Cyber Resilience Act: Wie Unternehmen sich jetzt strategisch vorbereiten

Der Cyber Resilience Act (CRA) der EU markiert einen Wendepunkt in der Produktentwicklung: Cybersicherheit wird zur gesetzlichen Pflicht und zum festen Bestandteil digitaler Wertschöpfung. Was früher als technisches Detail galt, wird nun zur strategischen Verantwortung.

Hersteller, Importeure und Händler müssen künftig nachweisen, dass ihre Produkte mit digitalen Funktionen sicher konzipiert, betrieben und aktualisiert werden – und das über den gesamten Lebenszyklus hinweg. Wer frühzeitig handelt, kann regulatorische Risiken minimieren und sich als vertrauenswürdiger Anbieter im europäischen Markt positionieren.

Warum wurde der CRA eingeführt?

Unsere Welt wird zunehmend digital – und mit ihr die Produkte, die unseren Alltag, unsere Wirtschaft und unsere Infrastruktur prägen. Doch je vernetzter diese Produkte sind, desto größer wird ihre Angriffsfläche für Cyberbedrohungen. 

Bisher fehlte der EU eine einheitliche Antwort auf diese wachsende Gefahr. Genau hier setzt der Cyber Resilience Act (CRA) an: Er verpflichtet Hersteller, Importeure und Händler erstmals dazu, die Cyberresilienz ihrer Produkte – also deren Fähigkeit, Cyberangriffe abzuwehren, sich davon zu erholen und dabei funktionsfähig zu bleiben – sicherzustellen.

Der CRA schafft verbindliche Sicherheitsanforderungen für alle Produkte mit digitalen Komponenten – unabhängig von der Branche oder dem Herkunftsland. Ob Smartwatch, Router, Industrieanlage oder Softwarelösung: Wer solche Produkte im EU-Markt anbieten will, muss künftig nachweisen, dass sie nach dem Prinzip „secure by design“ – also mit eingebauter Sicherheit von Anfang an – entwickelt wurden. Zudem müssen sie „secure by default“ sein, was bedeutet, dass sie bereits im Auslieferungszustand mit den sichersten Einstellungen versehen sind, ohne dass Nutzerinnen und Nutzer diese erst aktivieren müssen.

Damit ist Cybersicherheit nicht länger nur Kür, sondern wird zur Pflicht – und zur Voraussetzung für den Marktzugang.

Welche Unternehmen sind davon betroffen – und warum?

Der CRA gilt für Hersteller, Importeure und Händler nahezu aller Produkte mit digitalen Funktionen – ob Software, Embedded Systems oder IoT-Geräte. Typische Beispiele sind:

Auch Dienstleister, die digitale Produkte im Kundenauftrag entwickeln oder wesentlich verändern, fallen unter die Regelung. Die wenigen Ausnahmen – etwa für nicht-kommerzielle Open-Source-Projekte oder branchenspezifisch regulierte Produkte (z. B. Medizintechnik) – bestätigen die Regel: Wer am digitalen Binnenmarkt teilnimmt, muss sich auf den CRA einstellen.

Was ändert sich konkret durch den CRA – organisatorisch und rechtlich?

Der CRA verlagert die Sicherheitsverantwortung klar auf die Hersteller – rechtlich wie organisatorisch. Neben technischen Maßnahmen verlangt der Gesetzgeber eine lückenlose Dokumentation (unter anderem in Form einer Software-Stückliste [SBOM]), Risikoanalysen, Informationen und Anleitungen für Kunden und Nachweise zur Konformität. Je nach Risikoklasse erfolgt die Bewertung intern oder durch benannte Stellen. Verstöße können nicht nur Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des globalen Umsatzes nach sich ziehen, sondern ohne ein CE-Kennzeichen auch den Ausschluss vom Markt.

Schnellere Produktfreigaben, stabile Lieferketten, geringere Haftungsrisiken und bessere Chancen bei öffentlichen Ausschreibungen: Wer den Cyber Resilience Act (CRA) frühzeitig umsetzt, ist klar im Vorteil. © GettyImages

Was Verträge und Lieferketten in Zukunft abdecken müssen

Es muss sichergestellt werden, dass alle relevanten Teilerzeugnisse, die für das eigene Produkt von Dritten bezogen werden, ebenfalls EU CRA-konform sind. Dies gilt auch für Open-Source-Produkte, welche bei einem kommerziellen Artikel verwendet werden.

Risiken und Chancen für Unternehmen:

Risiken:

• Reorganisation von Produktentwicklungsprozessen
• Zusätzlicher Schulungs- und Ressourcenbedarf
• Langfristige Supportverpflichtungen für Altprodukte
• Veränderungen im Produktdesign
• Fehlende Ressourcen und Kompetenzen

Chancen:

• Vertrauensgewinn gegenüber Kunden und Partnern
• Höhere Marktzugangschancen (z. B. bei öffentlichen Ausschreibungen)
• Positionierung von Sicherheit als Qualitätsmerkmal
• Verlass auf sichere standardisierte Produkte

Vorausdenken statt aufholen: Warum sich frühes Handeln beim CRA auszahlt

Wer den Cyber Resilience Act (CRA) frühzeitig umsetzt, verschafft sich klare Vorteile: schnellere Produktfreigaben, stabile Lieferketten, geringere Haftungsrisiken – und bessere Chancen bei öffentlichen Ausschreibungen. Denn Cybersicherheit wird zur Marktzulassungsvoraussetzung. Wer sie von Anfang an mitdenkt, senkt nicht nur Kosten, sondern stärkt auch seine Wettbewerbsfähigkeit.

Umgekehrt drohen bei Untätigkeit gravierende Folgen: Produkte, die die Anforderungen nicht erfüllen, können vom Markt ausgeschlossen werden – mit Vertriebsstopps, Rückrufen und Reputationsschäden. Noch schwerer wiegt der Vertrauensverlust bei Kunden, Partnern und Investoren. Wer einmal ins Straucheln gerät, verliert oft mehr als Umsatz: nämlich Glaubwürdigkeit und Marktposition.

Die Botschaft ist klar: Wer wartet, riskiert – wer vorausplant, gewinnt.

Strategischer Handlungsrahmen für Unternehmen

Was kurzfristig, mittelfristig und dauerhaft geregelt werden muss

Cyber Resilience Act – Zusammenfassung: 

Mit dem CRA macht die EU das Thema Cybersicherheit zur strategischen Disziplin und zur Voraussetzung für Marktzugang, Vertrauen und Wettbewerbsfähigkeit. Unternehmen, die den CRA frühzeitig umsetzen, handeln nicht nur gesetzeskonform, sondern sichern sich auch strategische Vorteile: geringere Kosten, schnellere Markteinführung, robustere Lieferketten und ein gestärktes Markenimage.

Doch der CRA verlangt mehr als technische Nachbesserung – er fordert ein Umdenken. Sicherheit muss von Anfang an mitgedacht, dokumentiert und kontinuierlich überprüft werden. Oder wie Carsten Marmulla, Managing Partner & Senior Trusted Advisor bei carmasec, einer Beratungsboutique für Cybersicherheit, treffend formuliert:  „Compliance ist die Pflicht – wirksame Cybersicherheit ist die Kür. Der CRA zwingt Unternehmen, Sicherheit als Prozess zu denken: fortlaufend, überprüfbar, veränderbar.“