Cyber Resilience Act Beim CRA müssen KMU selbst aktiv werden

Anbieter zum Thema

FTAPI Software GmbH

Open-E GmbH

Impossible Cloud GmbH

Der Cyber Resilience Act ist bereits seit Dezember 2024 in Kraft, ab September 2026 greifen die ersten Meldepflichten. Das deutsche Durchführungsgesetz und die staatliche Unterstützung stehen in der Kritik. KMU müssen die Umsetzung selbst in die Hand nehmen.

Nur 1,28 Millionen Euro jährlich will der Staat für die Unterstützung von Unternehmen bei der Umsetzung des Cyber Resilience Act (CRA) locker machen. Verglichen mit den Investitionen in NIS2, die allein für Schulungen in der Bundesverwaltung das Vierfache vorsehen, ist das ein Tropfen auf den heißen Stein. Und das, obwohl es beim CRA keine größenabhängigen Ausnahmen gibt: Jedes Unternehmen, das digitale Produkte in der EU vertreibt, ist verpflichtet, die Anforderungen zu erfüllen.

Zu den Anforderungen zählen unter anderem:

• Risikoangemessene Cybersicherheitsmaßnahmen etablieren

• Schwachstellen managen und melden

• CE-Kennzeichnung und Konformität prüfen

• Sicherheit im Lebenszyklus gewährleisten

• Technische Dokumentation erstellen

• Nutzer informieren

• Einhaltung von Vorgaben überprüfen

• Dokumentation aufbewahren

Alles zum Cyber Resilience Act – Teil 1

Warum Produkte cybersicher werden müssen

Geschäftsführerhaftung

Ebenso wie bei NIS2 haftet auch beim CRA im Ernstfall die Geschäftsführung persönlich. Damit wird Cybersicherheit immer mehr zum operativen und strategischen Thema. „Die neuen Regularien zwingen Unternehmen, Cybersicherheit strategisch zu denken“, bestätigt Ari Albertini, CEO bei Ftapi. Er ist überzeugt: „KMU, die jetzt handeln, kaufen sich einen Vorsprung, den andere nicht mehr aufholen können.“

Umsetzung von NIS2, CRA und Co.

Fünf Tipps zur Cybersecurity-Compliance

Checkliste zur CRA-Umsetzung

Die vorgesehene staatliche Unterstützung bleibt deutlich hinter dem Bedarf zurück, das bemängelt unter anderem auch der TeleTrust. KMU sind also gefordert, selbst die Initiative zu ergreifen, um sich durch die Investitionen einen strategischen Vorteil, zum Beispiel als Partner in Lieferketten zu sichern. Da Auftraggeber künftig auf nachweisbare Sicherheitsstandards bestehen müssen, kann nur auf CRA-konforme Partner zurückgegriffen werden.

So gehen Unternehmen dem Ftapi-CEO zufolge am besten vor:

• 1. Betroffenheit klären: Jedes Produkt, das sich direkt oder indirekt mit einem Gerät oder Netzwerk verbinden kann, fällt unter den CRA, unabhängig davon, ob es tatsächlich verbunden wird. Das betrifft nicht SaaS-Lösungen und Open-Source-Komponenten.

• 2. Meldeprozesse aufbauen: Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gemeldet werden. Wer noch keine internen Prozesse für Schwachstellenmanagement und Incident Response hat, muss diese jetzt etablieren.

• 3. Security by Design verankern: Der CRA verlangt, dass Sicherheit von Beginn an Teil der Produktentwicklung ist. Die größten Lücken entstehen dort, wo Architekturentscheidungen (Authentifizierung, Datenflusskontrolle, Mandantenfähigkeit) ohne explizite Security-Perspektive getroffen wurden. KMU, die jetzt starten, müssen keine Perfektion anstreben, aber einen nachweisbaren, dokumentierten Prozess.

• 4. Lieferkette und Open-Source-Abhängigkeiten inventarisieren: Viele Produkte bestehen heute aus einer Kombination aus Eigenentwicklung, Open-Source-Bibliotheken, Cloud-Diensten und Drittkomponenten. Der CRA adressiert genau diese Risiken: Hersteller tragen die Verantwortung auch für eingebettete Komponenten Dritter. Eine Software Bill of Materials (SBOM) – eine strukturierte Übersicht aller verwendeten Softwarebestandteile – ist dabei das zentrale Werkzeug, um Transparenz herzustellen und im Ernstfall handlungsfähig zu bleiben.

• 5. Fördermöglichkeiten nutzen: Die EU stellt mit dem Programm SECURE insgesamt 16,5 Millionen Euro als direkte finanzielle Unterstützung für KMU bereit, die Produkte mit digitalen Elementen herstellen, entwickeln oder vertreiben. Förderfähig sind u. a. Risikoanalysen, Penetrationstests und Sicherheitsbewertungen. Antragsberechtigt sind Unternehmen mit weniger als 250 Mitarbeitern und bis zu 50 Millionen Euro Jahresumsatz. Der erste Call ist bereits geschlossen, eine zweite Runde ist bereits angekündigt.

(ID:50831176)