„CRA 2026: Jetzt wird es ernst!“

Ziel des CRAs ist es, die Sicherheit vernetzter Geräte, Maschinen und Softwareprodukte über ihren gesamten Lebenszyklus hinweg zu verbessern. Der CRA betrifft fast alle vernetzten digitalen Produkte – Schätzungen gehen davon aus, dass Hunderte Millionen, möglicherweise sogar Milliarden Geräte innerhalb der EU unter die neuen Vorschriften fallen.

Der Hintergrund der Regulierung liegt in der zunehmenden Bedeutung digitaler Produkte im Alltag und in der Industrie. Vernetzte Geräte bilden heute zentrale Bestandteile von Produktionsanlagen, kritischer Infrastruktur, Konsumgütern oder Fahrzeugen. Gleichzeitig haben zahlreiche Sicherheitsvorfälle gezeigt, dass Schwachstellen in Softwarekomponenten häufig erst spät erkannt werden oder über längere Zeit ungepatcht bleiben. Der CRA stellt eine Reaktion auf diese Situation dar, indem er Hersteller verpflichtet, Sicherheitsanforderungen bereits während der Entwicklung zu berücksichtigen und kontinuierlich zu überwachen.

Zeitplan der Umsetzung

Der Cyber Resilience Act trat offiziell am 10. Dezember 2024 in Kraft und wird schrittweise umgesetzt. Die erste operative Phase beginnt 2026. Ein zentraler Termin ist der 11. September 2026: Ab diesem Zeitpunkt sind Hersteller verpflichtet, aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb kurzer Fristen an die zuständigen Behörden zu melden. Dafür wird derzeit eine zentrale europäische Meldeplattform aufgebaut.

Die vollständigen Sicherheitsanforderungen des CRA werden ab dem 11. Dezember 2027 verbindlich. Ab diesem Zeitpunkt dürfen Produkte mit digitalen Elementen nur noch in Verkehr gebracht werden, wenn sie die geforderten Sicherheitsmaßnahmen erfüllen und entsprechend dokumentiert sind. Dazu gehören unter anderem Security-by-Design-Prinzipien, durchgängige Sicherheitsupdates über definierte Produktlebenszyklen sowie nachvollziehbare Nachweise über das Management von Sicherheitsrisiken.

Zudem sind die Hersteller verpflichtet, eine Konformitätsbewertung durchzuführen. Für Produkte mit besonders hohem Sicherheitsrisiko, etwa in kritischen Infrastrukturen oder industriellen Steuerungssystemen, ist eine externe Prüfung durch zugelassene Konformitätsbewertungsstellen erforderlich. Für den Großteil der Produkte genügt eine Selbsterklärung des Herstellers, die jedoch eine detaillierte technische Dokumentation voraussetzt.

Anforderungen an Hersteller

Der CRA verpflichtet Hersteller zu einer Reihe technischer und organisatorischer Maßnahmen. Dazu gehört insbesondere die systematische Identifikation, Bewertung und Behebung von Schwachstellen während des gesamten Produktlebenszyklus. Sicherheitsanforderungen müssen bereits während der Konzeptions- und Entwicklungsphase berücksichtigt werden. Darüber hinaus müssen Hersteller klare Prozesse zur Behandlung von Sicherheitslücken etablieren und dokumentieren.

Ein zentrales Element der Regulierung ist die Transparenz über Softwarekomponenten. Hersteller müssen für ihre Produkte eine sogenannte Software Bill of Materials (SBOM) erstellen. Diese enthält eine detaillierte Auflistung aller verwendeten Programme, Bibliotheken, Frameworks und Abhängigkeiten sowie deren Versionsnummern, Lizenzinformationen und bekannte Sicherheitslücken. Ziel ist es, potenzielle Schwachstellen schneller identifizieren und beheben zu können.

In der Praxis erweist sich die Erstellung solcher Software-Stücklisten jedoch häufig als anspruchsvoll. Viele Produkte bestehen aus einer Vielzahl von Softwarekomponenten unterschiedlicher Herkunft, darunter auch Open-Source-Elemente oder zugekaufte Module von Zulieferern. Oft liegen die erforderlichen Informationen über diese Komponenten nicht vollständig vor oder sind über verschiedene Systeme verteilt. Dadurch entsteht zusätzlicher Aufwand bei der Zusammenstellung und Pflege der erforderlichen Dokumentation.

Kontinuierliches Schwachstellenmanagement

Neben der Dokumentation verlangt der CRA ein systematisches Management von Sicherheitslücken. Hersteller müssen Mechanismen etablieren, um bekannte Schwachstellen zu erkennen, zu bewerten und zeitnah zu beheben. Gleichzeitig müssen sie ihre Produkte während des gesamten Lebenszyklus überwachen, um neue Risiken frühzeitig zu identifizieren.

Dazu gehört auch die Analyse der Softwarelieferkette. Sicherheitslücken entstehen oftmals nicht im eigenen Code eines Herstellers, sondern in Drittkomponenten, Bibliotheken oder Frameworks. Ohne geeignete Analyseverfahren bleibt häufig unklar, welche Komponenten tatsächlich in einem Produkt enthalten sind und ob bekannte Schwachstellen vorliegen.

Der CRA verlangt daher nicht nur technische Sicherheitsmaßnahmen, sondern auch organisatorische Strukturen für Risikomanagement, Dokumentation und Meldeprozesse. Alle Maßnahmen müssen nachvollziehbar dokumentiert werden, um regulatorische Nachweispflichten zu erfüllen.

Herausforderungen bei der Umsetzung

Die Umsetzung der CRA-Anforderungen stellt viele Hersteller vor organisatorische und technische Herausforderungen. Insbesondere Unternehmen mit komplexen Produktportfolios oder langen Softwarelieferketten müssen ihre Entwicklungsprozesse anpassen. Häufig fehlen zunächst klare Informationen darüber, welche Produkte tatsächlich unter den CRA fallen und welche Anforderungen konkret erfüllt werden müssen.

Ein weiteres Problem besteht darin, dass viele bestehende Systeme nicht für eine kontinuierliche Überwachung von Softwarekomponenten ausgelegt sind. Ohne automatisierte Analyseverfahren wäre der Aufwand für die manuelle Prüfung aller Komponenten erheblich.

Zudem müssen Unternehmen sicherstellen, dass sie ihre Sicherheitsmaßnahmen über den gesamten Produktlebenszyklus hinweg aufrechterhalten können. Dies umfasst nicht nur die Entwicklungsphase, sondern auch Wartung, Updates und Support über mehrere Jahre hinweg.

Strukturierter Einstieg in die CRA-Compliance

Um Unternehmen bei der Vorbereitung auf den CRA zu unterstützen, wurden in der Praxis strukturierte Vorgehensmodelle entwickelt. Ein Beispiel ist der Ansatz „CRA Fast Start“ des Cybersecurity Unternehmens Onekey, der auf mehreren zentralen Bausteinen basiert. Ziel ist es, Herstellern einen schnellen, vereinfachten und systematischen Einstieg in die CRA-Compliance zu ermöglichen und gleichzeitig technische Grundlagen für eine langfristige Einhaltung der Anforderungen zu schaffen.

Der erste Schritt besteht in einem CRA Readiness Assessment. Dabei wird der aktuelle Reifegrad eines Unternehmens im Hinblick auf die CRA-Anforderungen analysiert. Untersucht werden vorhandene Prozesse zur Behandlung von Schwachstellen, bestehende Dokumentationsstrukturen und organisatorische Verantwortlichkeiten. Auf dieser Grundlage lassen sich mögliche Compliance-Lücken identifizieren und priorisierte Maßnahmen definieren.

Eine zentrale technische Grundlage bildet die Erstellung und Pflege von Software-Stücklisten (SBOMs). Sie ermöglichen Transparenz über die Softwarelieferkette und dienen als Ausgangs-punkt für Sicherheitsanalysen. Auf Basis dieser Informationen kann ein systematisches Vulnerability-Management etabliert werden, das bekannte Schwachstellen automatisch identifiziert und bewertet.

Ein weiterer wichtiger Bestandteil ist ein kontinuierliches Monitoring der Softwarekomponenten. Durch regelmäßige Analysen lassen sich neue Sicherheitslücken frühzeitig erkennen. Gleichzeitig können Veränderungen in der Softwarelieferkette nachvollzogen werden. Dadurch entsteht eine dauerhafte Übersicht über den Sicherheitsstatus digitaler Produkte.

Bedeutung für die europäische Cybersicherheit

Der Cyber Resilience Act gilt zu Recht als ein wichtiger Schritt zur Verbesserung der digitalen Sicherheit in Europa. Er schafft erstmals verbindliche Anforderungen an die Sicherheit vernetzter Produkte und verpflichtet Hersteller zu einem durchgängigen Sicherheitsmanagement.

Gleichzeitig führt die Regulierung zu einem erheblichen organisatorischen und technischen Aufwand für die betroffenen Unternehmen. Insbesondere die Anforderungen an Dokumentation, Schwachstellenmanagement und kontinuierliches Monitoring erfordern neue Prozesse und Werkzeuge.

Langfristig wird der CRA dazu beitragen, ein höheres Sicherheitsniveau für digitale Produkte zu etablieren und Risiken durch Software-Schwachstellen zu reduzieren. Für Hersteller bedeutet dies, Cybersicherheit stärker als integralen Bestandteil ihrer Produktentwicklung zu betrachten und entsprechende Strukturen dauerhaft zu verankern.