CRA eröffnet Potenzial für Managed Services

Neue Pflichten für digitale Produkte CRA eröffnet Potenzial für Managed Services

17.09.2026 Von Ira Zahorsky 4 min Lesedauer

Anbieter zum Thema

Eclipse Foundation Inc. Ralph Müller

Bitkom e.V.

Commvault Systems GmbH

Bundesamt für Sicherheit i.d.Informationstechnik

tec4U-Solutions GmbH

mehr weniger

Der Cyber Resilience Act verpflichtet Unternehmen seit 11. September 2026 zunächst zu strikten Meldefristen. Da der Mittelstand unvorbereitet ist, entstehen für IT-Systemhäuser lukrative Service-Felder in Beratung, Schwachstellenmanagement und ResOps.

Der Cyber Resilience Act bringt für Hersteller digitaler Produkte zahlreiche neue Pflichten. Systemhäuser können mit Managed Services unterstützen.(Bild: Dall-E / KI-generiert) — Der Cyber Resilience Act bringt für Hersteller digitaler Produkte zahlreiche neue Pflichten. Systemhäuser können mit Managed Services unterstützen.
(Bild: Dall-E / KI-generiert)

Der europäische Cyber Resilience Act (CRA) verankert das Prinzip Security by Design als gesetzliche Vorgabe für Produkte mit digitalen Elementen. Damit wird Produktsicherheit zu einer dauerhaften Herstellerpflicht über den gesamten Lebenszyklus hinweg. Die breite Wirtschaft zeigt bei der Vorbereitung jedoch erhebliche Defizite. Einer Umfrage des Digitalverbands Bitkom zufolge haben zwar zwei Drittel (67 %) der Befragten vom CRA gehört, jedoch verstehen lediglich 29 Prozent die konkreten Konsequenzen für den eigenen Betrieb. Weitere 38 Prozent können die Auswirkungen auf ihr Unternehmen nicht einschätzen, und 28 Prozent kennen das Gesetz überhaupt nicht.

Der CRA kann nur dann Vertrauen in europäische Produkte schaffen, wenn die Unternehmen ihn umsetzen wollen und umsetzen können.

Dr. Ralf Wintergerst, Bitkom-Präsident

Bitkom-Präsident Dr. Ralf Wintergerst hebt hervor, dass höhere Sicherheitsstandards den Schutz von Lieferketten verbessern. Er verweist allerdings auf gravierende Schwachstellen bei der praxistauglichen Umsetzung: „Aktuell hapert es noch an der praxistauglichen Umsetzung. Der CRA kann nur dann Vertrauen in europäische Produkte schaffen, wenn die Unternehmen ihn umsetzen wollen und umsetzen können.“ Da die zentrale europäische Meldeplattform über die EU-Cybersicherheitsagentur ENISA und das Bundesamt für Sicherheit in der Informationstechnik (BSI) erst am Stichtag (11.9.2026) live ging, konnten Unternehmen Registrierungen und Meldewege im Vorfeld nicht testen. Für IT-Systemhäuser entsteht durch diese Unsicherheit ein unmittelbarer Bedarf an strategischer Regulierungs- und Prozessberatung.

Strikte Meldefristen unter dem Druck von KI

Der Zeitplan setzt Unternehmen unter erheblichen Druck. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Sicherheitslücken sowie schwerwiegende Sicherheitsvorfälle melden. Eine Erstmeldung per Frühwarnung muss innerhalb von 24 Stunden erfolgen. Innerhalb von 72 Stunden ist eine vollständige Meldung einzureichen. Nach der Bereitstellung von Gegenmaßnahmen ist binnen 14 Tagen ein Abschlussbericht fällig, bei schwerwiegenden Vorfällen innerhalb eines Monats. Die weitergehenden Produktanforderungen werden am 11. Dezember 2027 verbindlich.

Fortschrittliche KI-Modelle decken Sicherheitslücken in hoher Frequenz auf. „Mehr Schwachstellen bedeuten mehr Meldepflichten“, fasst Mark Molyneux, Field CTO bei Commvault, zusammen. „Der Cyber Resilience Act wird nun einen erweiterten Herstellerkreis verpflichten, ihre Schwachstellen eng zu verwalten und zu melden.“ IT-Abteilungen stehen also vor der Herausforderung, eine Welle von Patches unter hohem Zeitdruck zu priorisieren, zu testen und auszurollen. „Und das ist nur der reaktive Aspekt der Zusatzarbeit, der auf sie zukommt“, weiß Molyneux. „Unternehmen sollten spätestens jetzt prüfen, wie sie die Flut der nun verpflichtenden Meldungen operativ bewältigen könnten.“

Kleine und mittlere Unternehmen (KMU) können eine rund um die Uhr erreichbare Incident-Response-Struktur selten aus eigenen Mitteln aufbauen. Damit öffnet sich für Systemhäuser mit dem Aufbau von Managed Vulnerability Services und rund um die Uhr besetzten Frühwarn-Workflows ein wichtiges Betätigungsfeld.

„Ein Tropfen auf dem heißen Stein“ ist die finanzielle Unterstützung, die der Staat Unternehmen für die Umsetzung des Cyber Resilience Act (CRA) zur Verfügung stellt. (Bild: Dall-E / KI-generiert)

ResOps verlangt forensisch geprüfte Wiederherstellung

Die bloße Verwahrung von Sicherungsdaten reicht unter dem CRA nicht mehr aus. Um Systeme im Ernstfall ohne verbleibende Einfallstore wiederherzustellen, rückt das Konzept Resilience Operations (ResOps) in den Mittelpunkt. Dieser Ansatz verknüpft IT-Betrieb, Sicherheit und Geschäftsabläufe zu abgestimmten Prozessen.

Im Falle einer Attacke muss die Wiederherstellung fehlerfrei und ohne erneute Infektion gelingen. „Bei einem schwerwiegenden Sicherheitsvorfall ist wichtig, die betroffene Software mit intakten Daten wiederherzustellen“, so Molyneux. Backup-Daten müssen also vor der Systemwiederherstellung systematisch auf Spuren von Angreifern durchsucht werden. Andernfalls drohe das unbeabsichtigte Neuladen verdeckter Hintertüren, wodurch Cyberakteure innerhalb weniger Minuten erneut Zugriff erlangen.

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Für Systemhäuser bedeutet diese Anforderung eine klare Erweiterung ihres Backup-Geschäfts. Die reine Bereitstellung von Speicherkapazitäten wandelt sich zu einer qualifizierten Dienstleistung, die automatisierte Recovery-Tests und forensische Backup-Analysen umfasst.

Kostenlose Open-Source-Tools zur SBOM-Erstellung

Bei der Umsetzung der Vorgaben stehen viele Unternehmen vor Hürden in der Dokumentation. Die Selbstbewertung im Rahmen des von der EU geförderten OCCTET-Projekts (Fördervereinbarung Nr. 101190474) zeigt, dass KMU zwar oft Sicherheitsmaßnahmen einsetzen, ihnen aber strukturierte Nachweise und Transparenz in der Lieferkette fehlen.

Mike Milinkovich, Geschäftsführer der Eclipse Foundation, unterstreicht den Aufwand für Organisationen mit begrenzten Compliance-Ressourcen. Das kostenlose Open-Source-Toolkit des Projekts unterstützt KMU dabei, Entwicklungsabläufe an den CRA anzupassen. „OCCTET macht diese Arbeit überschaubarer, indem es Tools zusammenführt, die ihnen helfen, ihre Verpflichtungen zu verstehen, Schwachstellen zu identifizieren und zu beheben sowie die für die Einhaltung der Vorschriften erforderliche Dokumentation zu führen“, erklärt Milinkovich.

Das Toolkit umfasst Werkzeuge zur Erfüllung zentraler CRA-Anforderungen:

CRA-Selbstbewertungsportal: Führt Unternehmen über strukturierte Fragen an ihren konkreten Handlungsbedarf heran.

Eclipse Apoapsis: Identifiziert Open-Source-Abhängigkeiten und generiert standardisierte Software-Stücklisten (Software Bills of Materials, SBOMs).

Bitsea Curator: Verifiziert Sicherheitsinformationen und unterstützt das Erstellen von Vulnerability Exploitability eXchange (VEX)-Berichten zur Dokumentation von Schwachstellen.

Systemhäuser können diese kostenfreien Tools direkt in ihre Beratungspraxis einbinden. Sie ermöglichen es, Kunden bei der Erstellung von SBOMs und VEX-Berichten zu begleiten, ohne dass sofort hohe Lizenzkosten für Compliance-Software anfallen.

Mit einem Leitfaden will die EU-Kommission vor allem Kleinstunternehmen und KMU bei der Umsetzung der Cyberresilienzverordnung unterstützen. (Bild: Dall-E / KI-generiert)

Fazit

Der Cyber Resilience Act verändert das Spielfeld für IT-Dienstleister grundlegend. Die Kombination aus komplexen Berichtspflichten und der Notwendigkeit kontinuierlicher Produktpflege über den gesamten Lebenszyklus schafft dauerhaften Beratungsbedarf. Systemhäuser, die diese Anforderungen frühzeitig in strukturierte Managed Resilience Services übersetzen, festigen ihre Rolle als strategische Partner des Mittelstands.

(ID:50953859)