Studie: Wirtschaft hat erheblichen Nachholbedarf beim Cyber Resilience ActKI-gesteuerte Cyber-Attacken bedrohen auch industrielle Maschinen und Anlagen

Die deutsche Wirtschaft vernachlässigt den Cyber Resilience Act (CRA) sträflich – so lautet ein besorgniserregendes Ergebnis des „IoT & OT Cyber-Security Report 2026“ von Onekey. Für den Bericht wurden 200 deutsche Industrieunternehmen nach ihrer Strategie und Umsetzung in Bezug auf die jüngste Cyber-Sicherheitsverordnung der EU bei Betriebstechnologie zur Steuerung physischer Anlagen und Prozesse (Operational Technology, OT) und bei vernetzten Geräten, die Daten über das Internet austauschen (Internet of Things, IoT), befragt.

Ein Großteil von 45 Prozent gab an, mit den Anforderungen entweder kaum oder gar nicht vertraut zu sein. Das ist bemerkenswert, weil die ersten CRA-Verpflichtungen bereits am 11. September dieses Jahres in Kraft treten. Ab diesem Stichtag müssen die Hersteller, Importeure und Händler vernetzter Geräte, Maschinen und Anlagen aktiv ausgenutzte Schwachstellen in ihren Produkten und damit verbundene schwerwiegende Sicherheitsvorfälle melden.

Das gilt von Ausnahmen abgesehen auch für alle Produkte, die bereits auf dem Markt sind, also nicht etwa nur für neue Entwicklungen, wie häufig fälschlicherweise angenommen wird. Der „IoT & OT Cyber-Security Report 2026“ zählt beispielhaft auf: vernetzte Maschinen und Steuerungen, Router, Firewalls und Netzwerkgeräte, IoT- und Smart-Home-Geräte, Betriebssysteme, Apps und andere Software, industrielle Steuerungssoftware und sogar Cloud-Funktionen, wenn sie für die Funktion des Produkts notwendig sind.

Zudem können auch Industriebetriebe betroffen sein, die sich selbst nur als Nutzer verstehen, aber dennoch unter den Cyber Resilience Act fallen, heißt es im Report. Beispiel: Wenn eine Firma vernetzte Maschinen zwar nur für die eigene Produktion erwirbt, diese aber direkt aus Asien importiert, kann sie als Importeur im Sinne des CRA gelten, wenn sie die Maschinen beispielsweise an eine Tochter- oder Schwestergesellschaft abgibt.

Nur ein Drittel kennt sich mit den Fristen aus

Immerhin kennen sich eigenen Angaben zufolge 46 Prozent der befragten Unternehmen mit dem Cyber Resilience Act aus, 21 Prozent sogar sehr gut. 43 Prozent sind sich laut Umfrage bewusst, dass die erste Phase der CRA-Pflichten bereits in diesem September eintritt. Allerdings räumen 60 Prozent ein, dass ihnen die weiteren Phasen und Fristen der EU-Sicherheitsverordnung nicht bekannt sind.

Tatsächlich gibt es im CRA-Umsetzungszeitplan der EU drei weitere Fristen, bevor am 11. Dezember 2027 der Cyber Resilience Act vollumfänglich in Kraft tritt. Über diese Kenntnisse verfügt aber laut Report nur ein Drittel der befragten Unternehmen. Dem entsprechend schleppend geht die CRA-Umsetzung in der Wirtschaft voran, heißt es im Report.

Die größten Herausforderungen

Die meisten Schwierigkeiten verursacht ausgerechnet die Meldepflicht für Sicherheitsvorfälle binnen 24 Stunden, die zum 11. September dieses Jahres in Kraft tritt, erklärten 62 Prozent der kontaktierten Unternehmen, wobei 30 Prozent dieser Aspekt offenbar ernsthafte Kopfschmerzen verursacht. Bei 30 Prozent erweist sich die Konformitätsbewertung zur EU-Richtlinie als äußerst problematisch, also die Frage, ob die eigene Produktpalette Compliance zum Cyber Resilience Act aufweist oder noch Nachholbedarf besteht. Für ebenso viele Firmen erweist sich die Erstellung von Software-Stücklisten (Software Bill of Materials, SBOM) als Haupthürde; mindestens 60 Prozent der befragten Unternehmen haben dieses Problem noch nicht gelöst.

Ein vollständiger Überblick über alle in den eigenen Produkten eingesetzten Programme stellt eine Grundvoraussetzung für CRA-Compliance dar. Wer seine Software gar nicht komplett kennt, weiß auch nicht, welche Sicherheitslücken dort bestehen können. Tatsächlich stellt das Vulnerability Management, also das Aufspüren und Beheben von Angriffsflächen in der Software, für 62 Prozent der Unternehmen noch ein ungelöstes Problem dar; für fast ein Viertel der Firmen gehört es zu den größten Herausforderungen auf dem Weg zur CRA-Compliance.

Zwei Drittel der befragten Unternehmen bereitet das vom Gesetzgeber geforderte Konzept „Security by Design / Security by Default“ Kopfzerbrechen; 24 Prozent stufen es als kritischen Faktor ein. Es bedeutet, dass Cyber-Sicherheit von Anfang an in die Entwicklung eines Produkts integriert und dieses bereits mit sicheren Voreinstellungen ausgeliefert werden muss. Für beinahe ein Viertel stellt die Sicherheit über den gesamten Produktlebenszyklus hinweg ein gravierendes Problem dar; weitere 40 Prozent stufen dies als überwindbare Hürde ein. Nur etwa 15 Prozent stufen alle diese Aspekte nicht als Herausforderung ein – möglicherweise, weil sie sich noch gar nicht näher damit befasst haben, heißt es im Report.

Allen Schwierigkeiten zum Trotz will ein Drittel der Unternehmen bis zum vollständigen Inkrafttreten des Cyber Resilience Act am 11. Dezember nächsten Jahres die Compliance mit der EU-Verordnung ohne Abstriche erreicht haben. Ab diesem Tag müssen neu in Verkehr gebrachte Geräte, Maschinen und Anlagen mit digitalen Elementen die CRA-Cyber-Sicherheitsanforderungen vollständig erfüllen. Doch dazu muss das Umsetzungstempo deutlich erhöht werden. Unternehmen sollten die Umsetzung des CRA nicht als reine Compliance-Aufgabe betrachten, sondern als wichtigen Bestandteil ihrer betrieblichen Risikovorsorge.

Jan Wendenburg ist CEO bei Onekey.

Zum „IoT & OT Cyber-Security Report 2026“ von Onekey