Cyber Resilience Act: Wenn Cybersicherheit zur Pflicht wird
Am 24. September 2026 startet eine Webinar-Reihe zum Cyber Resilience Act. Experten beleuchten Open Source, Meldepflichten, CRA-Compliance und die praktische Umsetzung in Unternehmen
Mit dem Cyber Resilience Act (CRA) verändert die Europäische Union die Spielregeln für Hersteller digitaler Produkte grundlegend. Was bislang häufig als Aufgabe von IT-Abteilungen oder Produktsicherheitsteams betrachtet wurde, entwickelt sich zunehmend zu einem strategischen Thema für die gesamte Unternehmensführung. Vor allem die ersten Meldepflichten, die seit dem 11. September 2026 gelten, erhöhen den Handlungsdruck erheblich. Unternehmen müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden melden. Damit kann eine einzelne Sicherheitslücke plötzlich weitreichende technische, rechtliche und wirtschaftliche Folgen haben.
Open Source: Praktisch unverzichtbar, aber nicht risikofrei
Besonders betroffen sind Hersteller von Maschinen, Sensoren, Steuerungen und anderen vernetzten Industrieprodukten. Denn moderne Systeme basieren längst nicht mehr ausschließlich auf selbst entwickelter Software. Open-Source-Komponenten gehören heute zum Standard und finden sich in nahezu jeder Software-Lieferkette. Was die Entwicklung beschleunigt und Kosten senkt, bringt jedoch neue Herausforderungen mit sich. Die Verantwortung für Sicherheitsprobleme bleibt letztlich beim Hersteller, selbst wenn die Ursache in fremdem Code liegt.
Mehr Transparenz in der Software-Lieferkette
Ein zentrales Thema des CRA ist die Transparenz über eingesetzte Software-Komponenten. Software Bill of Materials (SBOMs) gelten als wichtiger Baustein, reichen allein aber nicht aus, um die Anforderungen der Verordnung zu erfüllen. Unternehmen müssen jederzeit nachvollziehen können, welche Komponenten in ihren Produkten verbaut sind, welche Risiken daraus entstehen und wie im Ernstfall reagiert wird. Mit dem neuen Konzept des Open-Source-Stewards schafft die EU zudem einen klareren Rahmen für Verantwortlichkeiten innerhalb des Open-Source-Ökosystems.
Der EU-Leitfaden soll Orientierung schaffen
Für zusätzliche Orientierung sorgt ein neuer Leitfaden der Europäischen Kommission. Er erläutert die Anforderungen des CRA detaillierter und gibt Unternehmen erste Hilfestellungen für die praktische Umsetzung. Dennoch bleibt die Herausforderung groß: Die Verordnung umfasst zahlreiche technische, organisatorische und dokumentationsbezogene Pflichten, die in bestehende Entwicklungs-, Qualitäts- und Compliance-Prozesse integriert werden müssen.
Cybersicherheit als Teil des Produktlebenszyklus
Wie dies gelingen kann, zeigen Praxisbeispiele aus der Industrie. Unternehmen wie die SICK AG berichten, wie Cybersicherheit schrittweise als fester Bestandteil des gesamten Produktlebenszyklus etabliert wurde. Dabei wird deutlich, dass regulatorische Anforderungen nicht zwangsläufig als Belastung verstanden werden müssen. Professionelles Schwachstellenmanagement, klar definierte Prozesse und spezialisierte Product Security Incident Response Teams (PSIRT) stärken nicht nur die Compliance, sondern erhöhen auch die Sicherheit und Zuverlässigkeit der Produkte.
Hersteller müssen jetzt handeln
Auch Maschinenbauer stehen vor der Aufgabe, die neuen Anforderungen in ihre Entwicklungsprozesse zu integrieren. Phoenix Contact zeigt, wie Sicherheitsanforderungen bereits frühzeitig in die Produktentwicklung einfließen können. Gleichzeitig rückt die Frage in den Fokus, wie sich die Vorgaben des CRA mit anderen Regelwerken wie der NIS-2-Richtlinie verbinden lassen. Unternehmen, die beide Themen gemeinsam betrachten, können Synergien nutzen und Doppelarbeit vermeiden.
Compliance als Wettbewerbsvorteil
Der Cyber Resilience Act macht deutlich: Cybersicherheit ist nicht länger eine rein technische Disziplin. Sie wird zum integralen Bestandteil von Produktentwicklung, Risikomanagement und Unternehmensstrategie. Wer die neuen Anforderungen frühzeitig umsetzt, reduziert nicht nur regulatorische Risiken, sondern stärkt auch das Vertrauen von Kunden und Partnern. In einer zunehmend vernetzten Industrie kann dies zu einem entscheidenden Wettbewerbsvorteil werden. Denn künftig werden nicht nur Funktionalität und Innovationsgrad über den Markterfolg entscheiden, sondern ebenso die Fähigkeit, digitale Produkte dauerhaft sicher und resilient zu gestalten.
