Düsseldorf. Ab 2026 tritt der Cyber Resilience Act in seine operative Phase ein, wodurch Hersteller digital vernetzter Geräte erstmals verpflichtet sind, Sicherheitslücken und Vorfälle zu melden. Mit der Einführung der Meldepflicht verändert sich die Verantwortung für Hersteller deutlich.
Cyber Act startet 2026
Der Cyber Resilience Act (CRA) wurde am 10. Dezember 2024 in Kraft gesetzt und sieht ab dem 11. September 2026 verbindliche Meldepflichten für Hersteller digitaler Produkte vor. Diese sollen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle umgehend melden. Zu diesem Zweck richtet die EU-Behörde ENISA die zentrale CRA Single Reporting Platform (SRP) ein, über die alle Meldungen abgewickelt werden.
Ab dem 11. Juni 2026 beginnen unabhängige Konformitätsbewertungsstellen (CABs) mit der Prüfung von Produkten. Für Geräte mit besonders hohem Sicherheitsrisiko, etwa für kritische Infrastrukturen oder industrielle Steuerungssysteme, ist eine externe Prüfung verpflichtend. Für rund 90 Prozent aller vernetzten Produkte genügt eine Selbsterklärung der Hersteller, die eine ausführliche CRA-Konformitätsbewertung enthält.
Anforderungen an Hersteller und Produkte
Hersteller müssen bis spätestens 11. Juni 2026 ihre internen Prozesse, Dokumentationen und technischen Nachweise dem Prüfverfahren anpassen. Eine zentrale Herausforderung ist die Erstellung einer detaillierten, vollständigen Software Bill of Materials (SBOM). Diese Liste enthält genaue Angaben zu allen eingesetzten Softwarekomponenten, deren Versionen, Urhebern, Lizenzen sowie bekannten Schwachstellen.
„Viele SBOMS sind unvollständig, veraltet oder ohne Kontext zu Schwachstellen. Für die in der EU-Regulatorik zwingend vorgeschriebene Nachweispflicht sind diese lückenhaften und teilweise überholten Software-Stücklisten unbrauchbar“, erläutert Jan Wendenburg, Geschäftsführer von ONEKEY.
Neben der SBOM verlangt der CRA, dass Hersteller Sicherheitsmaßnahmen bereits im Produktdesign umsetzen. Dazu zählen sichere Software- und Hardwareentwicklung, Schwachstellenmanagement, Risikomanagement sowie verpflichtende Sicherheitsupdates über den gesamten Produktlebenszyklus. Alle Maßnahmen müssen umfassend dokumentiert und nachgewiesen werden.
Vorteile automatisierter Compliance-Plattformen
Das Düsseldorfer Unternehmen ONEKEY bietet mit seiner Product Cybersecurity & Compliance Platform rasche und umfassende Unterstützung bei der CRA-konformen Bewertung digitaler Produkte. Die Plattform identifiziert Sicherheitslücken automatisch auf Firmware-Ebene und erstellt valide SBOMs. Zudem ermöglicht sie durch sogenannte „Digital Cyber Twins“ eine kontinuierliche Überwachung der Produktsicherheit.
„In den meisten Fällen treten Lücken zutage, von denen viele nicht leicht zu beheben sind“, so Jan Wendenburg. Deshalb sollten sich Hersteller auf einen erheblichen Aufwand einstellen, insbesondere was Zeit, Kosten und Personal betrifft.
Die Einhaltung der Vorgaben ist zwingend, denn ab dem 11. Dezember 2027 dürfen Produkte ohne gültigen CRA-Konformitätsnachweis nicht mehr auf dem EU-Markt verkauft werden.
Weitere Informationen zur Umsetzung des Cyber Resilience Act finden Interessierte auf regionalupdate.de sowie bei der European Union Agency for Cybersecurity (ENISA).
Ausblick auf weitere Entwicklungen
In den kommenden Monaten wird der Fokus auf der Vorbereitung von Herstellern auf die Anforderungen des Cyber Resilience Act liegen. Die ersten Konformitätsbewertungsstellen nehmen im Juni 2026 die Arbeit auf. Danach beginnt die Phase der Produktprüfungen und Meldungen. Hersteller sollten frühzeitig ihre Prozesse für Security-by-Design, Lifecycle-Management und Berichtswesen anpassen, um die EU-Vorgaben zu erfüllen und Marktverbote zu vermeiden. Der Cyber Resilience Act markiert damit einen bedeutenden Schritt zur Stärkung der digitalen Sicherheit in Europa.
