Die ersten gesetzlichen Anforderungen des Cyber Resilience Acts (CRA) gelten seit dem 11. September 2026. Daran erinnert der Verband der Elektrotechnik Elektronik Informationstechnik (VDE). „Ab sofort müssen Hersteller Prozesse eingerichtet haben, mit denen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle erkennen, bewerten und fristgerecht melden können“, sagt Alexander Matheus, Senior Expert Smart Technologies und Information Security beim VDE Institut. Werden die vorgeschriebenen Meldungen nicht fristgerecht abgegeben, drohen Sanktionen durch die Marktaufsichtsbehörden. Der CRA sieht Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor.
„Gemeldet werden müssen aktiv ausgenutzte Sicherheitslücken sowie schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigen“, erklärt Matheus. „Die Fristen sind dabei sehr kurz. Unternehmen müssen innerhalb enger Zeitfenster reagieren und entsprechende Meldungen an die zuständigen Stellen übermitteln. Deshalb sind klare Prozesse und Verantwortlichkeiten entscheidend.“
CRA bringt erheblichen Anpassungsbedarf mit sich
Mit dem CRA dürfen künftig nur noch Produkte mit digitalen Elementen eine CE-Kennzeichnung erhalten, wenn sie die vorgeschriebenen Cybersecurity-Anforderungen erfüllen. Nur dann dürfen sie auf dem europäischen Markt in Verkehr gebracht werden. Betroffen sind Hersteller von Produkten mit digitalen Elementen, darunter beispielsweise vernetzte Haushaltsgeräte, industrielle Steuerungssysteme, Softwareprodukte oder Komponenten im Internet der Dinge. Für viele Unternehmen bedeutet der CRA erheblichen organisatorischen und technischen Anpassungsbedarf. Neben einem erhöhten Dokumentationsaufwand müssen Entwicklungsprozesse angepasst werden. Zudem wird ein kontinuierliches Schwachstellenmanagement erforderlich. Die Überwachung von Lieferanten und Zulieferern gewinnt ebenfalls an Bedeutung.
Auch wenn die meisten Anforderungen erst ab Dezember 2027 gelten, sollten betroffene Unternehmen nach Ansicht des VDE die Umsetzung nicht weiter aufschieben. „Wer den 11. September als ersten großen Meilenstein versteht und jetzt aktiv wird, schafft die Voraussetzungen für eine erfolgreiche und effiziente Umsetzung der weiteren CRA-Anforderungen bis 2027“, sagt Cyber-Security-Experte Alexander Matheus mit Blick auf die kommenden Monate.
Unternehmen sollten bereits heute Klarheit darüber haben, welche ihrer Produkte unter den CRA fallen, wer die erforderlichen Dokumentationen erstellt und welche Prozesse für die Meldung von Schwachstellen und Sicherheitsvorfällen gelten. „Je früher diese Fragen beantwortet werden, desto effizienter kann die Umsetzung erfolgen“, sagt Matheus.
Transparenz über individuellen Handlungsbedarf
Um Unternehmen bei der Umsetzung dieser komplexen Anforderungen zu unterstützen, begleitet das VDE Institut Hersteller entlang des gesamten Compliance-Prozesses. Das Leistungsspektrum reicht von ersten CRA-Readiness Assessments und Betroffenheitsanalysen über detaillierte Gap-Analysen bis hin zur Unterstützung bei Risikobewertungen und der Bewertung technischer Dokumentationen. Darüber hinaus führt das VDE Institut Prüfungen von Produkten und Systemen sowie umfassende Cybersecurity-Tests durch, um potenzielle Schwachstellen frühzeitig zu identifizieren und Sicherheitsanforderungen zuverlässig zu bewerten.
Ziel ist es, Unternehmen frühzeitig Transparenz über ihren individuellen Handlungsbedarf zu verschaffen und einen klaren, praxisorientierten Fahrplan zur CRA-Konformität bereitzustellen. So können Unternehmen die Anforderungen des CRA systematisch erfüllen und die Marktfähigkeit ihrer Produkte langfristig sichern.
Weitere Informationen und Zitate von Alexander Matheus finden sich in diesem Interview auf der Website des VDE.