Von Jonas Wittmann·25. August 2026·6 Min. LesezeitDer Cyber Resilience Act (CRA) der Europäischen Union stellt Hersteller digitaler Produkte vor neue Pflichten, doch eine aktuelle Studie zeigt: 38 Prozent der befragten deutschen Industrieunternehmen haben noch keine konkreten Maßnahmen zur Umsetzung ergriffen. Ab dem 11. September 2026 greift die erste verbindliche Frist mit einer 24-Stunden-Meldepflicht für Sicherheitsvorfälle.
- 38 Prozent der deutschen Industrieunternehmen haben laut ONEKEY-Studie noch keine Maßnahmen zur CRA-Umsetzung eingeleitet (ONEKEY, Stand 2025).
- Ab dem 11. September 2026 gilt die Meldepflicht: Aktiv ausgenutzte Schwachstellen müssen innerhalb von 24 Stunden an die EU-Agentur ENISA gemeldet werden.
- Bis zum 11. Dezember 2027 müssen alle Anforderungen vollständig erfüllt sein, andernfalls drohen Strafen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
- Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat gemeinsam mit der ENISA im August 2026 neue Umsetzungsleitfäden veröffentlicht.
Was der Cyber Resilience Act für Hersteller bedeutet
Der Cyber Resilience Act ist eine EU-Verordnung, die am 10. Dezember 2024 in Kraft getreten ist und erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Betroffen sind Hardware und Software gleichermaßen: von Smartphones und Smart-Home-Geräten über Firewalls bis hin zu Buchhaltungssoftware und Apps. Ausgenommen bleiben nicht-kommerzielle Open-Source-Software, Medizinprodukte und Fahrzeuge, für die eigene Regelwerke gelten.
Die Verordnung verfolgt den Grundsatz „Security by Design und Security by Default“. Hersteller müssen Produkte so entwickeln, dass Verschlüsselung, minimale Angriffsflächen und sichere Standardpasswörter von Anfang an integriert sind. Zudem verpflichtet der CRA Hersteller dazu, mindestens fünf Jahre lang kostenlose Sicherheitsupdates bereitzustellen und das Supportende klar zu kommunizieren.
Die drei Hürden der CRA-Umsetzung
Die ONEKEY-Studie unter 300 deutschen Industrieunternehmen identifiziert drei zentrale Herausforderungen bei der CRA-Umsetzung. An erster Stelle steht die 24-Stunden-Meldepflicht: 37 Prozent der Befragten sehen darin die größte operative Hürde. Unternehmen müssen ab September 2026 aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die ENISA melden, nach 72 Stunden zusätzliche Informationen nachreichen und innerhalb von 14 Tagen einen Abschlussbericht vorlegen.
Die zweite Hürde bildet die Umsetzung des Secure-by-Design-Prinzips, das 35 Prozent der Unternehmen als besonders anspruchsvoll einstufen. Produkte müssen bereits in der Entwicklung gegen bekannte Angriffsmuster gehärtet werden, was bestehende Entwicklungsprozesse grundlegend verändert.
An dritter Stelle steht die Erstellung einer Software Bill of Materials (SBOM): 29 Prozent der Befragten betrachten diese sogenannte Software-Stückliste als wesentliche Hürde. Die SBOM dokumentiert sämtliche in einem Produkt enthaltenen Software-Komponenten und deren Versionen. Der CRA verlangt die Erstellung einer SBOM, schreibt deren Veröffentlichung jedoch nicht vor.
| Kennzahl | Wert | Quelle, Stand |
|---|---|---|
| Unternehmen ohne CRA-Maßnahmen | 38 % | ONEKEY-Studie, Stand 2025 |
| Unternehmen ohne jede Beschäftigung mit dem CRA | 27 % | ONEKEY-Studie, Stand 2025 |
| Maximale Geldstrafe bei Verstoß | 15 Mio. Euro oder 2,5 % des Jahresumsatzes | EU-Verordnung 2024/2847 |
| Frist Meldepflicht | 24 Stunden (Frühwarnung) | CRA Art. 14, ab 11.09.2026 |
| Pflicht-Supportzeitraum für Updates | mindestens 5 Jahre | CRA Art. 13 |
| Vollständige Compliance-Frist | 11. Dezember 2027 | CRA Übergangsbestimmungen |
Warum viele Unternehmen den Zeitplan unterschätzen
Die Studie legt ein erhebliches Bewusstseinsproblem offen. Nur 32 Prozent der befragten Unternehmen bezeichnen sich als vollständig mit den CRA-Anforderungen vertraut. 36 Prozent haben immerhin erste Überprüfungen begonnen, während 27 Prozent sich nach eigener Aussage noch überhaupt nicht mit dem Thema beschäftigt haben.
ONEKEY-CEO Jan Wendenburg ordnet die Ergebnisse ein: Die deutsche Industrie sei „auf dem richtigem Weg, aber die Umsetzung sollte beschleunigt werden“. Die Studie lässt dabei erkennen, dass insbesondere kleinere und mittlere Unternehmen Schwierigkeiten haben, die komplexen Anforderungen zu überblicken. Der CRA unterscheidet bei der Konformitätsbewertung zwischen Standardprodukten, für die eine Selbstbewertung ausreicht, und kritischen Produkten wie Smartcards oder Smart-Meter-Gateways, die eine Zertifizierung durch eine notifizierte Stelle erfordern.
Was Behörden und Branche jetzt tun
Das BSI hat gemeinsam mit der europäischen Cybersicherheitsagentur ENISA im August 2026 neue Dokumente zur Unterstützung der CRA-Umsetzung veröffentlicht. Diese Leitfäden konkretisieren, wie Unternehmen die Meldepflichten technisch umsetzen und die geforderte Risikoanalyse dokumentieren können. Die ENISA richtet dafür eine zentrale Meldeplattform ein, über die Hersteller Schwachstellen und Sicherheitsvorfälle melden.
Für kleine und mittlere Unternehmen sieht der CRA Erleichterungen vor: vereinfachte technische Dokumentation, Helpdesks für Meldepflichten sowie sogenannte Regulatory Sandboxes, in denen Unternehmen ihre Compliance-Prozesse testen können, bevor die volle Verbindlichkeit greift. Bis zum 11. Juni 2026 mussten die Mitgliedstaaten ihre Notifizierungsbehörden benennen, die Konformitätsbewertungsstellen akkreditieren.
Welche Produkte unter verschärfte Prüfung fallen
Der CRA teilt Produkte in drei Risikostufen ein. Standardprodukte, die den Großteil ausmachen, können vom Hersteller selbst bewertet werden. Für sogenannte wichtige Produkte der Klasse 1 wie Passwortmanager oder Firewalls genügt eine Bewertung nach harmonisierten Normen. Wichtige Produkte der Klasse 2 und kritische Produkte wie Smartcards, Hardware-Sicherheitsmodule oder Smart-Meter-Gateways benötigen zwingend eine Prüfung durch eine notifizierte Stelle oder ein europäisches Cybersicherheitszertifikat.
Diese Abstufung betrifft auch die Lieferkette: Hersteller, die Komponenten von Zulieferern beziehen, müssen sicherstellen, dass deren Software-Komponenten in der eigenen SBOM dokumentiert sind. Die Verantwortung für die Gesamtkonformität liegt beim Inverkehrbringer des Endprodukts.
Der Cyber Resilience Act markiert einen Paradigmenwechsel in der europäischen Produktregulierung. Erstmals müssen Hersteller nicht nur die physische Sicherheit, sondern auch die digitale Widerstandsfähigkeit ihrer Produkte über den gesamten Lebenszyklus nachweisen. Mit der Meldepflicht ab September 2026 und der vollständigen Compliance-Frist im Dezember 2027 bleibt den Unternehmen ein Zeitfenster von weniger als 16 Monaten. Die Studienergebnisse zeigen, dass mehr als ein Drittel der deutschen Industrie dieses Fenster noch nicht genutzt hat. Die nun veröffentlichten BSI- und ENISA-Leitfäden liefern erstmals konkrete Handreichungen, ersetzen aber nicht die unternehmensinterne Umsetzungsarbeit.
Häufig gestellte Fragen
Welche Unternehmen sind vom Cyber Resilience Act betroffen?
Der CRA betrifft alle Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, die auf dem EU-Markt vertrieben werden. Das umfasst Hardware wie Smartphones, Router und Smart-Home-Geräte ebenso wie Software einschließlich Apps und Betriebssysteme. Ausgenommen sind nicht-kommerzielle Open-Source-Software, Medizinprodukte und Fahrzeuge.
Was passiert bei Verstößen gegen den Cyber Resilience Act?
Bei Nichteinhaltung drohen Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ausfällt. Zusätzlich können Marktaufsichtsbehörden den Rückruf oder das Verbot nicht-konformer Produkte anordnen. Eine persönliche Haftung von Geschäftsführern ist nach der Verordnung ebenfalls möglich.
Was ist eine Software Bill of Materials (SBOM) und warum verlangt der CRA sie?
Eine SBOM ist eine vollständige Auflistung aller Software-Komponenten, die in einem Produkt enthalten sind, vergleichbar mit einer Zutatenliste bei Lebensmitteln. Der CRA verlangt die Erstellung einer SBOM, damit Hersteller und Behörden bei Bekanntwerden einer Schwachstelle in einer Komponente schnell feststellen können, welche Produkte betroffen sind. Die Veröffentlichung der SBOM ist nicht vorgeschrieben.
Quellen:
Presseportal / ONEKEY,
Bundesamt für Sicherheit in der Informationstechnik (BSI)
Jonas Wittmann ist Verbraucherredakteur und prüft Angebote, Preise und Verbraucherrechte. Er hat viele Jahre für eine Verbraucherzentrale gearbeitet, bevor er in den Journalismus wechselte. Bei Meldungen.net verantwortet er das Ressort Verbraucher.