Die ersten gesetzlichen Anforderungen des Cyber Resilience Acts (CRA) gelten seit dem 11. September 2026. Daran erinnert der Verband der Elektrotechnik Elektronik Informationstechnik (VDE). \u201eAb sofort m\u00fcssen Hersteller Prozesse eingerichtet haben, mit denen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorf\u00e4lle erkennen, bewerten und fristgerecht melden k\u00f6nnen\u201c, sagt Alexander Matheus, Senior Expert Smart Technologies und Information Security beim VDE Institut. Werden die vorgeschriebenen Meldungen nicht fristgerecht abgegeben, drohen Sanktionen durch die Marktaufsichtsbeh\u00f6rden. Der CRA sieht Bu\u00dfgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor.<\/p>\n
\u201eGemeldet werden m\u00fcssen aktiv ausgenutzte Sicherheitsl\u00fccken sowie schwerwiegende Sicherheitsvorf\u00e4lle, die die Sicherheit eines Produkts mit digitalen Elementen beeintr\u00e4chtigen\u201c, erkl\u00e4rt Matheus. \u201eDie Fristen sind dabei sehr kurz. Unternehmen m\u00fcssen innerhalb enger Zeitfenster reagieren und entsprechende Meldungen an die zust\u00e4ndigen Stellen \u00fcbermitteln. Deshalb sind klare Prozesse und Verantwortlichkeiten entscheidend.\u201c<\/p>\n
Mit dem CRA d\u00fcrfen k\u00fcnftig nur noch Produkte mit digitalen Elementen eine CE-Kennzeichnung erhalten, wenn sie die vorgeschriebenen Cybersecurity-Anforderungen erf\u00fcllen. Nur dann d\u00fcrfen sie auf dem europ\u00e4ischen Markt in Verkehr gebracht werden. Betroffen sind Hersteller von Produkten mit digitalen Elementen, darunter beispielsweise vernetzte Haushaltsger\u00e4te, industrielle Steuerungssysteme, Softwareprodukte oder Komponenten im Internet der Dinge. F\u00fcr viele Unternehmen bedeutet der CRA erheblichen organisatorischen und technischen Anpassungsbedarf. Neben einem erh\u00f6hten Dokumentationsaufwand m\u00fcssen Entwicklungsprozesse angepasst werden. Zudem wird ein kontinuierliches Schwachstellenmanagement erforderlich. Die \u00dcberwachung von Lieferanten und Zulieferern gewinnt ebenfalls an Bedeutung.<\/p>\n
Auch wenn die meisten Anforderungen erst ab Dezember 2027 gelten, sollten betroffene Unternehmen nach Ansicht des VDE die Umsetzung nicht weiter aufschieben. \u201eWer den 11. September als ersten gro\u00dfen Meilenstein versteht und jetzt aktiv wird, schafft die Voraussetzungen f\u00fcr eine erfolgreiche und effiziente Umsetzung der weiteren CRA-Anforderungen bis 2027\u201c, sagt Cyber-Security-Experte Alexander Matheus mit Blick auf die kommenden Monate.<\/p>\n
Unternehmen sollten bereits heute Klarheit dar\u00fcber haben, welche ihrer Produkte unter den CRA fallen, wer die erforderlichen Dokumentationen erstellt und welche Prozesse f\u00fcr die Meldung von Schwachstellen und Sicherheitsvorf\u00e4llen gelten. \u201eJe fr\u00fcher diese Fragen beantwortet werden, desto effizienter kann die Umsetzung erfolgen\u201c, sagt Matheus.<\/p>\n
Um Unternehmen bei der Umsetzung dieser komplexen Anforderungen zu unterst\u00fctzen, begleitet das VDE Institut Hersteller entlang des gesamten Compliance-Prozesses. Das Leistungsspektrum reicht von ersten CRA-Readiness Assessments und Betroffenheitsanalysen \u00fcber detaillierte Gap-Analysen bis hin zur Unterst\u00fctzung bei Risikobewertungen und der Bewertung technischer Dokumentationen. Dar\u00fcber hinaus f\u00fchrt das VDE Institut Pr\u00fcfungen von Produkten und Systemen sowie umfassende Cybersecurity-Tests durch, um potenzielle Schwachstellen fr\u00fchzeitig zu identifizieren und Sicherheitsanforderungen zuverl\u00e4ssig zu bewerten.<\/p>\n
Ziel ist es, Unternehmen fr\u00fchzeitig Transparenz \u00fcber ihren individuellen Handlungsbedarf zu verschaffen und einen klaren, praxisorientierten Fahrplan zur CRA-Konformit\u00e4t bereitzustellen. So k\u00f6nnen Unternehmen die Anforderungen des CRA systematisch erf\u00fcllen und die Marktf\u00e4higkeit ihrer Produkte langfristig sichern.<\/p>\n