Düsseldorf. Ab 2026 tritt der Cyber Resilience Act (CRA) in eine entscheidende operative Phase ein, in der Hersteller vernetzter digitaler Geräte wichtige Meldepflichten erfüllen müssen. Die Plattform ONEKEY weist darauf hin, dass Hersteller jetzt handeln und ihre Produkte auf CRA-Compliance vorbereiten sollten.
Hersteller jetzt handeln: Anforderungen des Cyber Resilience Act ab 2026
Der Cyber Resilience Act, der im Dezember 2024 in Kraft getreten ist, verlangt von Herstellern ab dem 11. September 2026 die Meldung von aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen. Die EU-Agentur für Cybersicherheit (ENISA) entwickelt dazu eine zentrale Meldeplattform, die CRA Single Reporting Platform (SRP). Hersteller müssen Sicherheitslücken und relevante Vorfälle innerhalb kurzer Fristen melden, sobald sie davon Kenntnis erlangen.
Ab dem 11. Dezember 2027 treten weitere umfassende Anforderungen in Kraft, etwa die verpflichtende CE-Kennzeichnung mit CRA-Konformitätsnachweis und Security-by-Design-Prinzipien. Hersteller vernetzter Produkte müssen bis dahin interne Prozesse, Dokumentationen und technische Nachweise bereitstellen, um eine externe Prüfung durch Konformitätsbewertungsstellen (CABs) zu ermöglichen. Für Produkte mit hohem Sicherheitsrisiko wie kritische Infrastruktur-Komponenten ist die externe Prüfung sogar Pflicht.
Pflicht zur eigenen Bewertung und Dokumentation
Etwa 90 Prozent der Produkte benötigen lediglich eine Selbsterklärung, die eine detaillierte Konformitätsbewertung beinhaltet. ONEKEY bietet hierfür eine Plattform an, die die Erstellung der erforderlichen Dokumente unterstützt. Hersteller, die keine solche Erklärung vorweisen, dürfen ihre Produkte nach dem Stichtag nicht mehr in der EU verkaufen.
Die Erstellung einer vollständigen Software Bill of Materials (SBOM) stellt einen zentralen Schritt dar. Diese Aufstellung enthält alle eingesetzten Software-Komponenten, inklusive Versionen, Lizenzen und bekannten Schwachstellen. In der Praxis erweist sich dieser Prozess jedoch oft als anspruchsvoll, da Hersteller häufig nicht alle Informationen von Lieferanten erhalten oder die Daten veraltet sind.
„Viele SBOMS sind unvollständig, veraltet oder ohne Kontext zu Schwachstellen. Für die in der EU-Regulatorik zwingend vorgeschriebene Nachweispflicht sind diese lückenhaften und teilweise überholten Software-Stücklisten unbrauchbar“, erklärte Jan Wendenburg, Geschäftsführer von ONEKEY.
Automatisierung entlastet Hersteller
Neben der SBOM sind weitere Verpflichtungen zu erfüllen, etwa das Security-by-Design, durchgängiges Risikomanagement sowie regelmäßige Sicherheitsupdates während des gesamten Produktlebenszyklus. Diese Maßnahmen müssen dokumentiert und nachgewiesen werden.
Laut Jan Wendenburg lässt sich ein Großteil dieser Arbeiten durch automatisierte Technologien unterstützen. Die von ONEKEY entwickelte Plattform ermöglicht die KI-basierte Prüfung von Firmware auf Schwachstellen in Minuten. Zudem bietet sie Funktionen zur automatischen Erstellung von SBOMs und kontinuierlichen Überwachung der Produktsicherheit.
„Die bevorstehende erste Umsetzungsphase des Cyber Resilience Act stellt zweifellos einen Meilenstein für die digitale Sicherheit in Europa dar, aber sie führt auch für die Hersteller zu einem Aufwand erheblichen Ausmaßes“, so Wendenburg.
Welche Bedeutung das für die Region hat, zeigt der folgende Abschnitt.
Umsetzung des Cyber Resilience Act in Düsseldorf: Bedeutung für Hersteller und Verbraucher
Düsseldorf ist mit Unternehmen wie ONEKEY ein zentraler Standort für Cybersecurity und Compliance-Management. Die Entwicklungen rund um den Cyber Resilience Act bedeuten für regionale Hersteller digital vernetzter Geräte eine zeitnahe Anpassung ihrer Produktprüfungen und internen Prozesse.
Für Bürgerinnen und Bürger bringt der CRA erhöhte Sicherheit bei vernetzten Geräten, da Schwachstellen künftig schneller erkannt und gemeldet werden müssen. Die verpflichtenden Sicherheitsstandards und Nachweise tragen dazu bei, Angriffsflächen im Internet der Dinge zu minimieren und sensible Infrastrukturen besser zu schützen.
Hersteller werden ermutigt, die von der EU bereitgestellten Meldeplattformen sowie spezialisierte Angebote wie die ONEKEY-Compliance-Plattform frühzeitig zu nutzen. Die Meldepflichten ab September 2026 sowie die umfassenden Anforderungen bis Dezember 2027 setzen klare Fristen, die notwendig sind, um die in Europa geltenden Cybersicherheitsrichtlinien zu erfüllen.
Weitere Informationen zum Thema Cybersicherheit und neue Anforderungen finden Sie auf regionalupdate.de sowie auf der offiziellen Website der EU-Agentur für Cybersicherheit (ENISA).
Artikel basierend auf einer Meldung der ONEKEY GmbH
