Der Cyber Resilience Act (CRA) ist ein neues EU-Regulierungswerk, das die Sicherheit von vernetzten Geräten und Komponenten massiv verschärfen wird. Eine aktuelle Analyse zum sogenannten "IoT & OT Cybersecurity Report 2026" offenbart jedoch, dass viele Unternehmen in Deutschland diese Anforderungen erheblich unterschätzen oder sogar ignorieren.
Der CRA zielt darauf ab, dass Hersteller von IoT- und IT-Produkten umfassende Sicherheitsmassnahmen implementieren müssen. Das betrifft nicht nur grosse Tech-Konzerne, sondern auch kleinere Systemintegratoren und Zulieferer. Der neue Rechtsrahmen verlangt unter anderem regelmässige Sicherheitsupdates, transparente Schwachstellenverwaltung und eine Meldepflicht für kritische Sicherheitsvorfälle.
Das Düsseldorfer Analysehaus, das den Report erstellt hat, warnt vor einer Welle von Compliance-Verstössen, falls Unternehmen nicht schnell ihre Prozesse und Produkte anpassen. Besonders betroffen sind Firmen, die Komponenten oder komplette Geräte in Systeme für andere Unternehmen integrieren.
Die Anforderungen des CRA gehen erheblich über bisherige Standards hinaus und verpflichten Unternehmen, Sicherheit "by design" in ihre Entwicklungsprozesse einzubauen. Das bedeutet konkret: Neue Produkte müssen von Anfang an mit Sicherheitsüberlegungen entwickelt werden, nicht erst im Nachhinein.
Für KMU-Betriebe ist es wichtig, bereits jetzt zu handeln. Wer als Zulieferer oder Systemintegrator tätig ist, sollte eine interne Compliance-Analyse durchführen, um festzustellen, welche Anforderungen des CRA bereits erfüllt sind und wo Handlungsbedarf besteht. Die Einhaltung dieser Vorschriften wird in absehbarer Zeit zu einem Wettbewerbsvorteil und einer Haftungsfrage gleichermasssen.