Die deutsche Wirtschaft vernachl\u00e4ssigt den Cyber Resilience Act (CRA) str\u00e4flich, lautet ein besorgniserregendes Ergebnis des neuen \u201eIoT & OT Cybersecurity Report 2026\u201c, den das D\u00fcsseldorfer Cybersicherheitsunternehmen ONEKEY vorgestellt hat. F\u00fcr den Berichtsband waren 200 deutsche Industrieunternehmen nach ihrer Strategie und Umsetzung in Bezug auf die j\u00fcngste Cybersicherheitsverordnung der EU bei Betriebstechnologie zur Steuerung physischer Anlagen und Prozesse (Operational Technology, OT) und bei vernetzten Ger\u00e4ten, die Daten \u00fcber das Internet austauschen (Internet of Things, IoT), befragt worden. Der Bericht steht online zur Verf\u00fcgung: https:\/\/www.onekey.com…eport-2026.<\/p>\n
Ein Gro\u00dfteil von 45 Prozent gab an, mit den Anforderungen entweder kaum oder gar nicht vertraut zu sein. Das ist bemerkenswert, weil die ersten CRA-Verpflichtungen bereits am 11. September dieses Jahres in Kraft treten. Ab diesem Stichtag m\u00fcssen die Hersteller, Importeure und H\u00e4ndler vernetzter Ger\u00e4te, Maschinen und Anlagen aktiv ausgenutzte Schwach\u00adstellen in ihren Produkten und damit verbundene schwerwiegende Sicherheitsvorf\u00e4lle melden.<\/p>\n
Der CEO von ONEKEY, Jan Wendenburg, stellt klar: \u201eDas gilt von Ausnahmen abgesehen auch f\u00fcr alle Produkte, die bereits auf dem Markt sind, also nicht etwa nur f\u00fcr neue Entwicklungen, wie h\u00e4ufig f\u00e4lschlicherweise angenommen wird.\u201c Der \u201eIoT & OT Cybersecurity Report 2026\u201c z\u00e4hlt beispielhaft auf: vernetzte Maschinen und Steuerungen, Router, Firewalls und Netzwerkger\u00e4te, IoT- und Smart-Home-Ger\u00e4te, Betriebssysteme, Apps und andere Software, industrielle Steuerungssoftware und sogar Cloud-Funktionen, wenn sie f\u00fcr die Funktion des Produkts notwendig sind. Zudem k\u00f6nnen auch Industriebetriebe betroffen sein, die sich selbst nur als Nutzer verstehen, aber dennoch unter den Cyber Resilience Act fallen, hei\u00dft es im neuen ONEKEY-Report. Beispiel: Wenn eine Firma vernetzte Maschinen zwar nur f\u00fcr die eigene Produktion erwirbt, diese aber direkt aus Asien importiert, kann sie als Importeur im Sinne des CRA gelten, wenn sie die Maschinen beispielsweise an eine Tochter- oder Schwestergesellschaft abgibt.<\/p>\n
Immerhin: 46 Prozent der befragten Unternehmen kennen sich eigenen Angaben zufolge mit dem Cyber Resilience Act aus, 21 Prozent sogar sehr gut. 43 Prozent sind sich laut Umfrage bewusst, dass die erste Phase der CRA-Pflichten bereits in diesem September eintritt. Allerdings r\u00e4umen 60 Prozent ein, dass ihnen die weiteren Phasen und Fristen der EU-Sicherheitsverordnung nicht bekannt sind. \u201eTats\u00e4chlich gibt es im CRA-Umsetzungszeitplan der EU drei weitere Fristen, bevor am 11. Dezember 2027 der Cyber Resilience Act vollumf\u00e4nglich in Kraft tritt\u201c, sagt ONEKEY-Chef Jan Wendenburg. \u00dcber diese Kenntnisse verf\u00fcgt aber laut Report nur ein Drittel der befragten Unternehmen.\u00a0Dem entsprechend schleppend geht die CRA-Umsetzung in der Wirtschaft voran, hei\u00dft es im \u201eIoT & OT Cybersecurity Report 2026\u201c. Wie gut sind die Unternehmen in Bezug auf den Cyber Resilience Act konkret vorbereitet, wollte ONEKEY im Rahmen der Umfrage wissen.<\/p>\n
Als \u201esehr gut vorbereitet\u201c bezeichnen sich demnach ein Viertel beim Risikomanagement, 22 Prozent bei den Sicherheitsanforderungen, 20 Prozent bei der Dokumentation und den gem\u00e4\u00df CRA zwingend erforderlichen Sicherheitsupdates \u00fcber den gesamten Produktlebenszyklus hinweg sowie 17 Prozent bei internen Prozessen und technischen Nachweisen. Diese Themen schon in Angriff genommen, aber nur teilweise umgesetzt, haben immerhin bei technischen Nachweisen 39 Prozent, bei der Dokumentation 37 Prozent, bei internen Abl\u00e4ufen und Sicherheitsupdates 34 Prozent sowie beim Risikomanagement 26 Prozent.<\/p>\n
Das bedeutet im Umkehrschluss laut Report: Rund ein Drittel der Firmen sind bislang weder mit ihren internen Prozessen noch ihrem Risikomanagement geschweige denn dem Management von Sicherheitsupdates auf den Cyber Resilience Act vorbereitet. 30 Prozent haben die von der EU bald zwingend auferlegten Sicherheitsanforderungen kaum in Angriff genommen oder technische Nachweise auf den Weg gebracht.\u00a0ONEKEY-CEO Jan Wendenburg fasst zusammen: \u201eDie Ergebnisse zeigen eine breite Streuung: Ein kleinerer Teil sieht sich bereits sehr gut vorbereitet, viele Unternehmen befinden sich mitten in der Umsetzung, w\u00e4hrend rund ein Drittel noch kaum begonnen hat.\u201c<\/p>\n
Was sind die gr\u00f6\u00dften Herausforderungen der Wirtschaft, den Anforderungen des Cyber Resilience Act zu entsprechen, lautete eine zentrale Frage der ONEKEY-Umfrage. Die Antworten gibt der \u201eIoT & OT Cybersecurity Report 2026\u201c: Die meisten Schwierigkeiten verursacht ausgerechnet die Meldepflicht f\u00fcr Sicherheitsvorf\u00e4lle binnen 24 Stunden, die zum 11. September dieses Jahres in Kraft tritt, erkl\u00e4rten 62 Prozent der kontaktierten Unternehmen, wobei 30 Prozent dieser Aspekt offenbar ernsthafte Kopfschmerzen verursacht. Bei 30 Prozent erweist sich die Konformit\u00e4tsbewertung zur EU-Richtlinie als \u00e4u\u00dferst problematisch, also die Frage, ob die eigene Produktpalette Compliance zum Cyber Resilience Act aufweist oder noch Nachholbedarf besteht. F\u00fcr ebenso viele Firmen erweist sich die Erstellung von Software-St\u00fccklisten (Software Bill of Materials, SBOM) als Haupth\u00fcrde; mindestens 60 Prozent der befragten Unternehmen haben dieses Problem noch nicht gel\u00f6st.<\/p>\n
\u201eEin vollst\u00e4ndiger \u00dcberblick \u00fcber alle in den eigenen Produkten eingesetzten Programme stellt eine Grundvoraussetzung f\u00fcr CRA-Compliance dar\u201c, verdeutlicht Jan Wendenburg die Bedeutung dieses Punkts. Er pr\u00e4zisiert: \u201eWer seine Software gar nicht komplett kennt, wei\u00df auch nicht, welche Sicherheitsl\u00fccken dort bestehen k\u00f6nnen.\u201c Tats\u00e4chlich stellt das Vulnerability Management, also das Aufsp\u00fcren und Beheben von Angriffsfl\u00e4chen in der Software, f\u00fcr 62 Prozent der Unternehmen noch ein ungel\u00f6stes Problem dar; f\u00fcr fast ein Viertel der Firmen geh\u00f6rt es zu den gr\u00f6\u00dften Heraus\u00adforderungen auf dem Weg zur CRA-Compliance.<\/p>\n
Zwei Drittel der befragten Unternehmen bereitet das vom Gesetzgeber geforderte Konzept \u201eSecurity by Design \/ Security by Default\u201c Kopfzerbrechen; 24 Prozent stufen es als kritischen Faktor ein. Es bedeutet, dass Cybersicherheit von Anfang an in die Entwicklung eines Produkts integriert und dieses bereits mit sicheren Voreinstellungen ausgeliefert werden muss. F\u00fcr beinahe ein Viertel stellt die Sicherheit \u00fcber den gesamten Produktlebenszyklus hinweg ein gravierendes Problem dar; weitere 40 Prozent stufen dies als \u00fcberwindbare H\u00fcrde ein. Nur etwa 15 Prozent stufen alle diese Aspekte nicht als Herausforderung ein \u2013 m\u00f6glicherweise, weil sie sich noch gar nicht n\u00e4her damit befasst haben, hei\u00dft es im Report.<\/p>\n
Allen Schwierigkeiten zum Trotz will ein Drittel der Unternehmen bis zum vollst\u00e4ndigen Inkrafttreten des Cyber Resilience Act am 11. Dezember n\u00e4chsten Jahres die Compliance mit der EU-Verordnung ohne Abstriche erreicht haben. Ab diesem Tag m\u00fcssen neu in Verkehr gebrachte Ger\u00e4te, Maschinen und Anlagen mit digitalen Elementen die CRA-Cybersicherheitsanforderungen vollst\u00e4ndig erf\u00fcllen. Mehr als ein Viertel (26 Prozent) strebt dies sogar schon Ende dieses Jahres an, acht Prozent ist nach eigener Einsch\u00e4tzung bereits heute soweit. 13 Prozent der Unternehmen bef\u00fcrchten aus heutiger Sicht, bis zum 11. Dezember 2027 die Anpassung ihrer Produktpalette an den Cyber Resilience Act nicht in vollen Umfang abgeschlossen zu haben.<\/p>\n
Jan Wendenburg res\u00fcmiert: \u201eDie deutsche Industrie ist in Sachen Cyber Resilience Act auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt werden.\u201c Dies gelte nicht nur angesichts der n\u00e4her r\u00fcckenden regulatorischen Fristen. Auch die Bedrohungslage versch\u00e4rfe sich durch zunehmend automatisierte und KI-gest\u00fctzte Cyberangriffe. Wie real dieses Risiko inzwischen ist, zeigten j\u00fcngste Vorf\u00e4lle bei OpenAI und Anthropic: Bei Sicherheitstests waren KI-Modelle \u00fcber die Testumgebungen hinausgelangt und hatten auch reale externe Systeme angegriffen. \u201eDie Vorf\u00e4lle machen klar, dass leistungsf\u00e4hige KI-Agenten bereits heute selbstst\u00e4ndig mehrstufige Angriffsketten ausf\u00fchren und Schwachstellen ausnutzen k\u00f6nnen\u201c, sagt Jan Wendenburg. K\u00fcnftig d\u00fcrften deshalb nicht nur Rechenzentren und klassische IT-Systeme gef\u00e4hrdet sein, sondern zunehmend auch vernetzte Maschinen, Produktionsanlagen und industrielle Steuerungen, meint der CEO von ONEKEY. Ein erfolgreicher Angriff k\u00f6nnte dort neben Datendiebstahl auch Produktionsausf\u00e4lle, Prozessmanipulationen und im schlimmsten Fall physische Sch\u00e4den verursachen.\u00a0\u201eUnternehmen sollten die Umsetzung des CRA nicht als reine Compliance-Aufgabe betrachten, sondern als wichtigen Bestandteil ihrer betrieblichen Risikovorsorge\u201c, erkl\u00e4rt Jan Wendenburg.<\/p>\n
ONEKEY bietet unter der Bezeichnung \u201eCRA Fast Start\u201c ein Programm an, mit dem die Hersteller vernetzter Ger\u00e4te, Maschinen und Anlagen ihre Produkte strukturiert und ohne Vorlaufzeiten auf CRA-Compliance \u00fcberpr\u00fcfen k\u00f6nnen. Das Konzept basiert auf drei S\u00e4ulen: CRA Readiness Assessment, systematisches Vulnerability-Management und kontinuierliches Monitoring. Dabei wird zun\u00e4chst der aktuelle Reifegrad eines Unternehmens in Bezug auf die CRA-Anforderungen analysiert. Im weiteren Verlauf sorgen ein kontinuierliches Vulnerability Management und ein fortlaufendes Monitoring daf\u00fcr, Schwachstellen aufzudecken, Softwarelieferketten Transparenz zu schaffen und die nachhaltige Einhaltung der CRA-Anforderungen zu gew\u00e4hrleisten. Dies unterst\u00fctzt nicht nur die Einhaltung der CRA-Pflichten, sondern auch interne Governance- und Risikomanagementprozesse, umrei\u00dft ONEKEY die Vorgehensweise und den Umfang des Start-Programms.\u00a0\u201eMit CRA Fast Start erm\u00f6glichen wir Herstellern einen systematischen und kurzfristig umsetzbaren Einstieg in die vom Gesetzgeber geforderte CRA-Compliance\u201c, erkl\u00e4rt Jan Wendenburg, CEO von ONEKEY, das Angebot.<\/p>\n","protected":false},"excerpt":{"rendered":"
Die deutsche Wirtschaft vernachl\u00e4ssigt den Cyber Resilience Act (CRA) str\u00e4flich, lautet ein besorgniserregendes Ergebnis des neuen \u201eIoT & OT Cybersecurity Report 2026\u201c, den das D\u00fcsseldorfer Cybersicherheitsunternehmen ONEKEY vorgestellt hat. F\u00fcr den Berichtsband waren 200 deutsche Industrieunternehmen nach ihrer Strategie und Umsetzung in Bezug auf die j\u00fcngste Cybersicherheitsverordnung der EU bei Betriebstechnologie zur Steuerung physischer Anlagen […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10,11],"tags":[],"class_list":["post-2309","post","type-post","status-publish","format-standard","hentry","category-recht-gesetz","category-security"],"_links":{"self":[{"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/posts\/2309","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/comments?post=2309"}],"version-history":[{"count":1,"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/posts\/2309\/revisions"}],"predecessor-version":[{"id":2310,"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/posts\/2309\/revisions\/2310"}],"wp:attachment":[{"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/media?parent=2309"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/categories?post=2309"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.lan-wan-telecom.de\/index.php\/wp-json\/wp\/v2\/tags?post=2309"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}