"Entscheidend ist, um welche Art von Gerät es sich handelt."
"In der Regel ist es kostengünstiger, das Thema Sicherheit proaktiv anzugehen, als nachträglich Prozesse zu implementieren."
"Unternehmen müssen festlegen, wie sie Sicherheitslücken an die zuständigen Behörden melden."
Text: Cassini Redaktion
Der Cyber Resilience Act (CRA) verpflichtet Unternehmen in der EU zu verbindlichen Sicherheitsstandards für digitale Produkte. Meldepflichten für Schwachstellen greifen bereits ab September 2026. Ediz Turcan, IT-Security-Experte bei Cassini, erklärt, was der CRA konkret bedeutet, wie Unternehmen den neuen Cybersicherheitsanforderungen gerecht werden können und warum die Verordnung eine Chance ist, um die eigene Zukunftsfähigkeit zu stärken.
Ediz Turcan: Der CRA ist eine neue Verordnung der EU, bei der es um die Produktsicherheit geht. Der Begriff „Produkt“ ist dabei weit gefasst, denn er meint sowohl physische Produkte mit digitalen Elementen als auch Software oder Services. Kurz: Alles, was in irgendeiner Form digitale Komponenten enthält oder verarbeitet, auch über Funkverkehr. Genau deswegen ist der CRA für so viele Unternehmen relevant, vom Hersteller smarter Haushaltsgeräte bis zum Softwareanbieter. Auch Verkäufer, die entsprechende Waren in die EU importieren, sind betroffen.
Ediz Turcan: Ja, es gibt vier Produktbereiche, die nicht unter den CRA fallen, obwohl sie entsprechende Merkmale aufweisen: Medizin, Automotive, Luftfahrt und Schiffsausrüstung. Alle vier haben jedoch bereits ihre eigenen Regularien, die teilweise deutlich strenger definiert sind als der CRA. Ich könnte mir vorstellen, dass in Zukunft weitere Produktbereiche hinzukommen, die vom CRA ausgenommen sind.
Ediz Turcan: Entscheidend ist, um welche Art von Gerät es sich handelt. In die höchste Kategorie „Kritische Produkte“ fallen Produkte mit besonders sensiblen Infrastrukturkomponenten, wie beispielsweise Crypto- oder Hardware-Sicherheitsmodule. Sie erfordern eine Konformitätsbewertung durch eine notifizierte Stelle. Teilweise gilt das auch für die beiden Stufen darunter, die „Wichtige Produkte Klasse II“ und „Wichtige Produkte Klasse I“. Produkte dieser Klassen sind unter anderem Firewalls, VPN-Systeme und Betriebssysteme bzw. Identitätsmanagement-Software, Browser und Passwort-Manager. Daneben gibt es noch die CRA-Kategorie „Standardprodukte“. Sie umfasst zum Beispiel Smart-Home-Produkte, einfache Consumer-Software oder Apps. Hier können die Hersteller ihre Produkte eigenständig mit dem CE-Kennzeichen versehen, indem sie eine Erklärung abgeben, in der sie bestätigen, dass sie die Anforderungen des CRA erfüllen. Das sollte dann auch alles korrekt sein, denn von Stichproben sind die Hersteller nicht gefeit.
Ediz Turcan: Grundsätzlich müssen die meisten recht viel in ihre Cybersicherheit investieren. Unternehmen sollten all ihre Prozesse überprüfen, um eine sichere Softwareentwicklung und Hardware-Implementierung zu gewährleisten. Es braucht Meldeketten. Wen informiere ich wie, wenn eine Sicherheitslücke auftritt? Hier sind insbesondere die ENISA (Agentur der Europäischen Union für Cybersicherheit), das BSI (Bundesamt für Sicherheit in der Informationstechnik) und natürlich die Kunden entscheidend. Welche weiteren Schritte sind zu unternehmen? Werden gegebenenfalls Updates oder Patches verteilt? Es muss viel getan werden, um einen sicheren Software- bzw. Hardware-Lebenszyklus zu garantieren.
Ediz Turcan: Das lässt sich nur schwer sagen. Es kommt immer darauf an, an welchem Punkt sich das Unternehmen gerade befindet. Wie sicher ist die Soft- und Hardwareentwicklung? Wurden bereits Meldeketten implementiert? Ist der Reifegrad bekannt? Das heißt, inwieweit ist man bereits CRA-konform und inwieweit nicht. Einige Unternehmen müssen bei null anfangen, andere erfüllen bereits 90 Prozent der CRA-Anforderungen. Und dann kommt es darauf an, wie viele Produkte betroffen sind. Für ein einziges Produkt ist der Aufwand deutlich geringer als für hundert oder sogar tausend. Kurz: Eine pauschale Aussage zu den Kosten ist nicht möglich, da diese von zu vielen Faktoren abhängen.
Ediz Turcan: Oft gibt es keine sauber definierte Meldekette. Ein einfaches Beispiel: Ich habe ein Produkt auf dem Markt, und plötzlich wird eine Sicherheitslücke erkannt. Wen muss ich jetzt informieren? Wie erreiche ich sie? Wann muss ich informieren? Und noch einen Schritt weiter zurück: Wer sind überhaupt die Kunden, die mein Produkt nutzen? Das Problem ist, dass Cybersicherheit oft nicht die höchste Priorität hat, weil sie in den meisten Köpfen viel Geld kostet, aber gefühlt nur wenige Vorteile bietet. Aber das ist de facto natürlich falsch. In der Regel ist es kostengünstiger, das Thema Sicherheit proaktiv anzugehen, als nachträglich Prozesse zu implementieren. Und ganz wichtig: Cybersecurity sichert meine Handlungsfähigkeit.
Ediz Turcan: Ja, ganz klar. Der CRA ist schließlich nicht dazu da, Unternehmen zu bestrafen. Am Ende geht es um Sicherheit und Verbraucherschutz. Ein Unternehmen, das sichere Produkte herstellt, ist potenziell viel besser aufgestellt. Wir reden hier auch über Haftungsfragen. Wenn ich sicherheitsrelevante Produkte entwickle oder anbiete, diese aber nicht entsprechend teste und dann etwas Kritisches passiert, kann das den Ruin des Unternehmens bedeuten. Klar ist: Von einer erhöhten Sicherheit profitieren Kunden und Unternehmen, vorausgesetzt, man macht gewissenhaft seine Hausaufgaben.
Ediz Turcan: Zunächst sollten sie prüfen, ob und in welchem Umfang sie betroffen sind. Das ist die Grundlage. Wenn ihre Produkte unter den CRA fallen und die Anforderungen nicht erfüllen, erhalten sie keine CE-Kennzeichnung und dürfen nicht in der EU verkauft werden. Im nächsten Schritt sollten Unternehmen klären, in welche Risikostufe ihre Produkte fallen und welche Maßnahmen notwendig sind, um die CRA-Vorgaben einzuhalten. Anschließend ist es wichtig, geeignete Meldeketten einzurichten. Die Meldepflichten gelten bereits ab dem 11. September 2026. Das bedeutet konkret: Unternehmen müssen festlegen, wie sie Sicherheitslücken an die zuständigen Behörden melden. Danach empfiehlt sich eine Gap-Analyse, um den aktuellen Sicherheitsstand bzw. Reifegrad des Unternehmens zu bewerten. Darauf aufbauend lässt sich ein Reifegradmodell entwickeln, das Schwachstellen sichtbar macht und den Ist-Zustand strukturiert einordnet. Auf dieser Grundlage kann schließlich ein konkreter Fahrplan mit gezielten Verbesserungsmaßnahmen erstellt werden.
Ediz Turcan: Das ist wie bei den Kosten schwer zu sagen, da ganz viele Variablen eine Rolle spielen. Wenn ich gezielt vorgehe, kann ich in zwei bis drei Wochen mit der Gap-Analyse durch sein und weiß, wo ich stehe. Dann kommt es darauf an, wie groß die Sicherheitslücken sind. Muss der ganze Entwicklungsprozess meines Produkts umgekrempelt werden, kann das ein paar Monate dauern. Habe ich hingegen einen Großteil bereits erfüllt, geht es sehr schnell. Ganz wichtig: Unternehmen sollten sich auf keinen Fall mehr Zeit lassen, denn der CRA wird teilweise schon in diesem Jahr scharfgeschaltet und tritt dann im nächsten Jahr komplett in Kraft. Wer dann erst anfängt, ist deutlich zu spät dran. Denn der Aufwand kann enorm sein, wenn man noch am Anfang steht.
Neben einem Verkaufsverbot in der EU drohen empfindliche Geldbußen:
„… Bei Nichteinhaltung der in Anhang I festgelegten grundlegenden Cybersicherheitsanforderungen oder Verstößen, gegen die in den Artikeln 13 und 14 festgelegten Pflichten, werden Geldbußen von bis zu 15.000.000 EUR oder – im Falle von Unternehmen – von bis zu 2,5% des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.”
(Cyber Resilience Act (CRA) der Europäischen Union, Artikel 53 Abs. 2)
Management Consultant
Ediz Turcan hat über zehn Jahre Erfahrung in der Softwareentwicklung und sich sehr früh mit der Thematik der sicheren Softwareentwicklung im Rahmen einer FIPS 140-2-Zertifizierung beschäftigt. Seit sechs Jahren ist er im Bereich der Cybersicherheit aktiv und berät Kunden sowohl zu technischen als auch zu regulatorischen Themen.
