Die deutsche Industrie weist bei der Vorbereitung auf den EU Cyber Resilience Act (CRA) deutliche Defizite auf. Einer aktuellen Untersuchung des Sicherheitsunternehmens ONEKEY zufolge kennen lediglich 46 Prozent der 200 befragten deutschen Industrieunternehmen das kommende Regelwerk.
Noch geringer ist der Informationsstand bei den weiteren Umsetzungsschritten: Rund 60 Prozent der Befragten gaben an, die auf die Einführung folgenden Phasen der Gesetzgebung nicht zu kennen.
Erhebliche Rückstände bei der Lieferketten-Transparenz
Die Umfrageergebnisse zeichnen ein kritisches Bild der aktuellen Umsetzungspraxis in der deutschen Wirtschaft. Ein zentrales Instrument des CRA ist die sogenannte Software-Bill-of-Materials (SBOM), eine detaillierte Auflistung aller Softwarekomponenten eines Produkts.
Dennoch verfügen 60 Prozent der Unternehmen derzeit über keinerlei SBOMs. Lediglich 18 Prozent der Befragten gaben an, für sämtliche ihrer Produkte entsprechende Verzeichnisse erstellt zu haben.
Auch bei der Überprüfung der Zuliefererkette zeigt sich ein ähnliches Bild. Nach Angaben von ONEKEY fordern derzeit nur 25 Prozent der Unternehmen die CRA-Konformität aktiv von ihren Lieferanten ein. Dies spiegelt sich im Bereitschaftsgrad der Gegenseite wider: Nur 18 Prozent der Lieferanten gelten aktuell als vollständig konform mit den Anforderungen des EU-Gesetzes.
Zeitdruck durch bevorstehende Meldepflichten
Besorgnis äußerten die Unternehmen insbesondere mit Blick auf die zeitlichen Vorgaben. Die Meldepflichten des EU Cyber Resilience Act greifen bereits ab dem 11. September 2026. Ab diesem Zeitpunkt müssen Sicherheitsvorfälle innerhalb von 24 Stunden gemeldet werden. Diese kurze Frist stellt für 62 Prozent der befragten Betriebe die größte Herausforderung bei der Umsetzung dar.
Angesichts neuer gesetzlicher Vorgaben und steigender Cyberrisiken stehen viele Betriebe vor der Frage, welche Pflichten nun konkret auf sie zukommen. Dieser kostenlose Report klärt auf, wie Unternehmen die rechtlichen Anforderungen meistern und sich proaktiv schützen können. Jetzt kostenlosen Cyber-Security-Report sichern
Die vollständige Anwendbarkeit des CRA ist für den 11. Dezember 2027 vorgesehen. Ab diesem Datum müssen Unternehmen die Hauptanforderungen vollumfänglich erfüllen. Das Regelwerk sieht bei Verstößen empfindliche Sanktionen vor: Die Bußgelder können bis zu 15 Millionen Euro oder 2,5 Prozent des gesamten weltweiten Jahresumsatzes erreichen, wobei der jeweils höhere Betrag maßgeblich ist.
Erweiterter Anwendungsbereich und technische Anforderungen
Die neue Gesetzgebung betrifft eine weite Spanne von Produkten mit digitalen Elementen. Laut Analysen des Sicherheitsspezialisten VicOne fallen darunter neben industrieller Ausrüstung auch Internet-of-Things-Geräte (IoT), Ladegeräte für Elektrofahrzeuge sowie Roboter mit Künstlicher Intelligenz.
Die Hersteller sind künftig verpflichtet, ein umfassendes Schwachstellenmanagement zu etablieren und kontinuierliche Sicherheitsupdates sowie eine detaillierte Lebenszyklus-Dokumentation bereitzustellen. Der CRA verlangt zudem eine ständige Überwachung der Produkte und ein lückenloses Tracking der Lieferketten, ergänzt durch entsprechende Audit-Nachweise.
Wer die IT-Sicherheit im eigenen Unternehmen stärken möchte, ohne sofort in teure neue Infrastrukturen zu investieren, findet in diesem Leitfaden wertvolle Ansätze. Erfahren Sie, wie Sie bestehende Sicherheitslücken schließen und gesetzliche Anforderungen effizient erfüllen. Gratis-E-Book für proaktiven Schutz herunterladen
Wie wichtig diese Anforderungen in der Praxis sind, verdeutlichen Sicherheitsvorfälle wie der sogenannte UniPwn-Exploit, der im September 2025 Unitree-Roboter über Bluetooth LE und Wi-Fi betraf.
Solche Vorfälle unterstreichen laut Experten die physischen Risiken, die von vernetzten Maschinen in der Industrie ausgehen können, wenn Sicherheitsstandards nicht konsequent umgesetzt werden. Vor diesem Hintergrund wird die Einhaltung der CRA-Vorgaben für Unternehmen nicht nur zur rechtlichen Pflicht, sondern zu einem wesentlichen Bestandteil der Betriebssicherheit.
