Der Cyber Resilience Act (CRA) ist eines der ehrgeizigsten IT-Sicherheitsgesetze der Europäischen Union. Sein vollständiges Inkrafttreten im Dezember 2027 rückt näher, doch viele Unternehmen sind noch nicht ausreichend vorbereitet. Der CRA verpflichtet Hersteller und Entwickler von Hardware und Software zu umfassenden Sicherheitsanforderungen, um die Cyberresilienz europäischer Infrastrukturen zu verbessern.
Zu den zentralen Anforderungen gehören die Implementierung von Security-by-Design-Prinzipien, die Führung detaillierter Sicherheitsdokumentationen und nicht zuletzt die Erstellung von Software-Stücklisten (SBOMs, Software Bill of Materials). Eine SBOM ist eine Art Zutatenliste für Software: Sie dokumentiert alle verwendeten Komponenten, Bibliotheken und Abhängigkeiten, um Sicherheitslücken nachverfolgbar zu machen.
Für Schweizer KMU ist dieses Thema unmittelbar relevant. Zwar liegt die Schweiz nicht in der EU, doch viele Schweizer Unternehmen arbeiten mit europäischen Partnern oder verkaufen Produkte in die EU. Wer Hardware oder Software in den europäischen Markt bringen möchte, muss künftig CRA-konform sein. Besonders kritisch sind Produkte, die als "kritische Komponenten" eingestuft werden, etwa Sicherheits-Software oder IoT-Geräte.
Die Vorbereitungszeit ist knapp. Unternehmen sollten sofort mit einer Bestandsaufnahme beginnen: Welche Produkte fallen unter den CRA? Welche Sicherheitsmassnahmen sind bereits implementiert, welche fehlen noch? Wie können SBOMs automatisiert und skalierbar erzeugt werden?
Die gute Nachricht: Wer sich früh mit dem CRA auseinandersetzt, gewinnt nicht nur Konformität, sondern auch einen Wettbewerbsvorteil. Sichere, gut dokumentierte Produkte bauen Vertrauen bei Kunden auf.