Der Cyber Resilience Act (CRA) ist ein europäisches Regelwerk, das ab September 2025 eine Meldepflicht für Herstellervon IoT- und anderen vernetzten Geräten einführt. Das Ziel ist grundsätzlich lobenswert: Produzenten sollen schneller und transparenter über Sicherheitslücken berichten, damit Nutzer und Sicherheitsexperten schnell reagieren können. Die Realität zeigt jedoch erhebliche Lücken, die den Schutzmechanismus abschwächen.
Das zentrale Problem liegt in der zeitlichen Beschränkung der Regelung. Der CRA verpflichtet Hersteller nur zu Meldungen für Schwachstellen in Geräten, die noch innerhalb eines vorgegebenen Supportzeitraums sind. Ältere Geräte, die bereits aus dem Support gefallen sind, unterliegen dieser Meldepflicht nicht, auch wenn sie nach wie vor im Netz aktiv sind und über bekannte Sicherheitslücken verfügen. Das bedeutet: Ein Gerät, das bereits fünf oder sechs Jahre alt ist, kann eine seit langem bekannte Schwachstelle aufweisen, ohne dass der Hersteller gerichtlich verpflichtet wäre, dies zu melden.
Dies schaff eine paradoxe Situation: Mit dem CRA sollte die Cybersicherheit eigentlich gestärkt werden. Gleichzeitig entsteht aber eine legale Grauzone, in der ältere Geräte mit bekannten Sicherheitsmängeln im Betrieb bleiben dürfen, ohne dass eine Meldung erfolgt. Besonders problematisch ist dies bei kritischer Infrastruktur oder bei Geräten in Unternehmensumgebungen, wo veraltete Hardware oft länger im Einsatz bleibt.
Für KMU-Dienstleister bedeutet dies, dass sie ihre Kunden stärker eigenständig beraten müssen. Es reicht nicht, auf die Hersteller zu verlassen. Stattdessen sollte eine proaktive Inventarverwaltung der eigenen IT-Systeme erfolgen, um zu identifizieren, welche Geräte noch im Support sind und welche nicht. Ein bewusstes End-of-Life-Management und rechtzeitige Erneuerungen werden damit zu einer notwendigen Sicherheitspraxis.