Cyber Resilience Act: Warum der 11. September 2026 für Hersteller entscheidend ist

Herr Matheus, viele Unternehmen sprechen über den CRA. Warum ist das Thema aktuell so relevant?

Weil viele Unternehmen ihren Fokus ausschließlich auf Dezember 2027 richten und dabei übersehen, dass bereits ab dem 11. September 2026 erste gesetzliche Anforderungen gelten.

Ab sofort müssen Hersteller Prozesse eingerichtet haben, mit denen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle erkennen, bewerten und fristgerecht melden können. Falls nach dem 11.09.2026 solche Meldungen nicht erfolgen, könnten entsprechende Repressalien durch die Marktaufsichtsbehörden ausgesprochen werden. Im extremsten Fall könnten dies 15 Millionen Euro oder 2,5 % des jährlichen Umsatzes sein, laut Artikel 64 Absatz 2.
 

Was genau müssen Hersteller ab dem 11. September 2026 melden?

Gemeldet werden müssen aktiv ausgenutzte Sicherheitslücken sowie schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigen.

Die Fristen sind dabei sehr kurz. Unternehmen müssen innerhalb enger Zeitfenster reagieren und entsprechende Meldungen an die zuständigen Stellen übermitteln. Deshalb sind klare Prozesse und Verantwortlichkeiten entscheidend.
 

Viele Unternehmen blicken also beim Cyber Resilience Act auf das Jahr 2027. Warum ist der 11. September 2026 dennoch der erste große Stichtag?

Der heutige Stichtag ist ein wichtiger Weckruf für die gesamte Branche. Denn die Anforderungen des CRA lassen sich nicht kurzfristig umsetzen. Themen wie Schwachstellenmanagement, Risikobewertungen, technische Dokumentation und Security-by-Design müssen frühzeitig in bestehende Entwicklungs- und Qualitätsprozesse integriert werden. Auch eine SBOM (Software-Bill-of-Material), die als Grundlage zur Identifikation der Relevanz von gemeldeten Schwachstellen angesehen wird, muss erstellt werden. Wer den 11. September als ersten großen Meilenstein versteht und jetzt aktiv wird, schafft die Voraussetzungen für eine erfolgreiche und effiziente Umsetzung der weiteren CRA-Anforderungen bis 2027.
 

Welche Unternehmen unterschätzen die Auswirkungen des CRA besonders häufig?

Vor allem Unternehmen, die sich bisher nicht intensiv mit Cybersecurity-Regularien beschäftigen mussten. Viele Hersteller klassischer Konsumgüter entwickeln inzwischen vernetzte Produkte. Sobald beispielsweise ein Haushaltsgerät per App gesteuert werden kann oder Daten austauscht, können CRA-Anforderungen relevant werden. Deshalb empfehlen wir grundsätzlich eine frühzeitige Betroffenheitsanalyse.

Auch bemerken wir, dass Firmen auf die Fertigstellung der Standards warten und sich deshalb nicht intensiv mit dem Thema beschäftigen. Dies könnte sich sehr negativ auswirken, da die Zeit zur Fertigstellung der entsprechenden Dokumentation und zur Etablierung der Prozesse, die zu den Stichtagen benötigt wird, nicht mehr ausreichen wird.
 

Welche typischen Fehler beobachten Sie derzeit bei Herstellern?

Besonders die Annahme, der CRA betreffe ausschließlich Softwarehersteller oder die IT-Abteilung. Tatsächlich betrifft die Verordnung zahlreiche vernetzte Produkte und erfordert die Zusammenarbeit unterschiedlichster Bereiche, von der Produktentwicklung über das Qualitätsmanagement bis hin zu Compliance und Einkauf.

Auch Produkte, die nicht direkt mit dem Internet verbunden sind, aber auf lokaler Ebene kommunizieren, fallen in den CRA. Dies wird oft nicht bedacht. Ebenso wie Software und Cloud Applikation, die ebenfalls in die Betrachtung für den CRA fallen.

Außerdem erleben wir häufig, dass Unternehmen den Aufwand für Dokumentation, Risikobewertungen und Schwachstellenmanagement unterschätzen. Cybersecurity muss künftig über den gesamten Produktlebenszyklus hinweg betrachtet werden. Wer erst mit der Umsetzung beginnt, wenn ein Produkt kurz vor der Markteinführung steht, wird die Anforderungen nur schwer effizient erfüllen können.

Deshalb empfehlen wir, frühzeitig Transparenz zu schaffen, die Betroffenheit der eigenen Produkte zu prüfen und bestehende Prozesse systematisch mit den CRA-Anforderungen abzugleichen.
 

Was sollte ein Hersteller jetzt konkret tun?

Der wichtigste Schritt ist eine Bestandsaufnahme.

Unternehmen sollten prüfen:

• Welche Produkte fallen unter den CRA? Und sind alle Elemente der Produkte in der Betrachtung (Software, Cloud-Applikation)?
• Wer erstellt die zusätzliche Dokumentation?
• Welche Security-Prozesse sind bereits etabliert bzw. müssen erstellt oder angepasst werden?
• Welche Cybersecurity-Maßnahmen für die Produkte sind bereits vorhanden?
• Wie werden Schwachstellen heute behandelt?
• Gibt es definierte Meldeprozesse?
• Sind Lieferanten ausreichend eingebunden und gibt es vertragliche Regelungen?

Je früher diese Fragen beantwortet werden, desto effizienter kann die Umsetzung erfolgen.
 

Welche Folgen drohen bei Nichtbeachtung des CRA?

Der Cyber Resilience Act ist nicht nur ein weiterer regulatorischer Baustein, sondern eine verbindliche Voraussetzung für das Inverkehrbringen vieler Produkte mit digitalen Elementen auf dem europäischen Markt. Unternehmen, die die Anforderungen nicht erfüllen, riskieren künftig erhebliche Konsequenzen.

Zum einen kann die Marktaufsicht Maßnahmen gegen Produkte ergreifen, die nicht den CRA-Vorgaben entsprechen. Dies kann von Vertriebsbeschränkungen bis hin zur Rücknahme von Produkten vom Markt reichen. Zum anderen drohen finanzielle Sanktionen und erhebliche Reputationsschäden, wenn Sicherheitsmängel bekannt werden oder gesetzliche Meldepflichten nicht eingehalten werden.

Mindestens ebenso wichtig ist jedoch die wirtschaftliche Perspektive: Hersteller, die ihre Cybersecurity-Prozesse nicht rechtzeitig anpassen, riskieren Verzögerungen bei der Markteinführung neuer Produkte, zusätzlichen Entwicklungsaufwand und steigende Compliance-Kosten.

Wie eben bereits erwähnt können die Marktaufsichtsbehörden auch Strafen bei der Nichtkonformität zur Regulierung aussprechen (Artikel 64 der Regulierung), die gestaffelt bis zu 15 Millionen Euro oder 2,5% des weltweiten jährlichen Umsatzes betragen können.

Die Anforderungen des Cyber Resilience Act betreffen weit mehr als die technische Sicherheit eines Produkts. Sie erfordern ein Zusammenspiel aus Cybersecurity, Produktentwicklung, Qualitätsmanagement, Risikobewertung, Dokumentation und regulatorischer Compliance. Um Unternehmen bei der Umsetzung dieser komplexen Anforderungen zu unterstützen, begleitet das VDE Institut Hersteller entlang des gesamten Compliance-Prozesses.

Das Leistungsspektrum reicht von ersten CRA-Readiness Assessments und Betroffenheitsanalysen über detaillierte Gap-Analysen bis hin zur Unterstützung bei Risikobewertungen und der Bewertung technischer Dokumentationen. Darüber hinaus führt das VDE Institut Prüfungen von Produkten und Systemen sowie umfassende Cybersecurity-Tests durch, um potenzielle Schwachstellen frühzeitig zu identifizieren und Sicherheitsanforderungen zuverlässig zu bewerten.

Auch bei der Vorbereitung und Durchführung von Konformitätsbewertungen steht das VDE Institut Unternehmen als unabhängiger Partner zur Seite. Dabei werden Hersteller dabei unterstützt, die regulatorischen Anforderungen strukturiert umzusetzen und die Voraussetzungen für eine spätere CE-Kennzeichnung gemäß den Vorgaben des Cyber Resilience Act zu schaffen.

Ziel ist es, Unternehmen frühzeitig Transparenz über ihren individuellen Handlungsbedarf zu verschaffen und einen klaren, praxisorientierten Fahrplan zur CRA-Konformität bereitzustellen. So können Anforderungen effizient umgesetzt, Risiken minimiert und die Marktfähigkeit digitaler Produkte langfristig gesichert werden.