Cyber Resilience Act: Nur drei von zehn Unternehmen sind vorbereitet
 

Mit dem Cyber Resilience Act (CRA) beginnt für Unternehmen eine neue Phase der europäischen Cybersicherheitsregulierung. Seit dem 11. September 2026 gelten erste Meldepflichten für Hersteller digitaler Produkte. Doch eine aktuelle Bitkom-Umfrage zeigt erheblichen Nachholbedarf: Nur 29 Prozent der Unternehmen in Deutschland wissen, was der CRA für das eigene Unternehmen bedeutet. Für Entscheiderinnen und Entscheider wird Cybersicherheit damit noch stärker zur strategischen Managementaufgabe.

Software, vernetzte Maschinen, IoT-Geräte und andere Produkte mit digitalen Funktionen sind heute elementarer Bestandteil nahezu jeder Wertschöpfungskette. Gleichzeitig wächst mit ihrer Verbreitung die potenzielle Angriffsfläche für Cyberattacken. Der Cyber Resilience Act der Europäischen Union soll hier ein einheitliches Sicherheitsniveau schaffen und Hersteller stärker in die Verantwortung nehmen. Seit dem 11. September 2026 greifen nun erste konkrete Pflichten. Hersteller müssen aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle bei betroffenen Produkten innerhalb festgelegter Fristen melden. Für Unternehmen bedeutet das: Prozesse für Produktsicherheit, Incident Response und regulatorische Compliance müssen künftig noch enger zusammenspielen. Die deutsche Wirtschaft ist darauf bislang allerdings nur bedingt vorbereitet.

67 Prozent kennen den CRA – aber nur 29 Prozent verstehen die Auswirkungen

Eine repräsentative Bitkom-Umfrage unter 1.003 Unternehmen ab zehn Beschäftigten und mindestens einer Million Euro Jahresumsatz zeigt eine deutliche Lücke zwischen Bekanntheit und tatsächlicher Vorbereitung. 67 Prozent der befragten Unternehmen haben bereits vom Cyber Resilience Act gehört. Doch lediglich 29 Prozent wissen nach eigenen Angaben, was die neue Regulierung konkret für das eigene Unternehmen bedeutet. Weitere 38 Prozent kennen den CRA zwar, können dessen Auswirkungen auf das eigene Geschäft jedoch noch nicht einschätzen. 28 Prozent haben bislang überhaupt nichts vom Cyber Resilience Act gehört. Die Zahlen zeigen eine zentrale Herausforderung der Digitalen Transformation: Neue Technologien verändern nicht nur Produkte und Geschäftsmodelle, sondern auch die regulatorischen Anforderungen an Unternehmen. Wer digitale Produkte entwickelt, vertreibt oder in komplexen Wertschöpfungsnetzwerken einsetzt, muss deshalb Technologie-, Sicherheits- und Compliance-Fragen zunehmend gemeinsam betrachten.

24 Stunden für die erste Meldung

Besonders relevant sind die neuen Meldeprozesse. Seit dem 11. September müssen Hersteller aktiv ausgenutzte Sicherheitslücken sowie schwerwiegende Sicherheitsvorfälle, beispielsweise bei Software oder vernetzten Geräten, innerhalb von 24 Stunden melden. Innerhalb von 72 Stunden müssen anschließend weitere Informationen ergänzt werden. Darüber hinaus sind verpflichtende Abschlussberichte vorgesehen. Damit steigt der operative Druck erheblich. Unternehmen müssen relevante Sicherheitsereignisse nicht nur erkennen und technisch bewerten können. Sie benötigen auch klare Verantwortlichkeiten und Kommunikationswege, um innerhalb kurzer Zeit regulatorisch korrekt reagieren zu können. Für Führungskräfte stellt sich deshalb eine entscheidende Frage: Ist die Organisation tatsächlich in der Lage, einen meldepflichtigen Vorfall rechtzeitig zu erkennen, intern zu eskalieren, zu bewerten und innerhalb von 24 Stunden zu melden? Wenn diese Frage heute nicht eindeutig beantwortet werden kann, besteht Handlungsbedarf.

Security by Design wird zum europäischen Grundsatz

Die Bedeutung des Cyber Resilience Act geht jedoch deutlich über einzelne Meldefristen hinaus. Mit dem CRA etabliert die EU erstmals verbindliche Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Funktionen. Damit wird Security by Design zunehmend zum verbindlichen Grundprinzip der Produktentwicklung. Cybersicherheit soll nicht erst dann relevant werden, wenn ein Produkt bereits im Markt ist oder eine Sicherheitslücke entdeckt wurde. Sicherheitsanforderungen müssen vielmehr über den gesamten Produktlebenszyklus berücksichtigt werden – von Konzeption und Entwicklung über Markteinführung und Betrieb bis hin zu Updates und Schwachstellenmanagement. Bitkom-Präsident Dr. Ralf Wintergerst bewertet die grundsätzliche Stoßrichtung positiv. Höhere Sicherheitsstandards könnten Unternehmen, Verbraucherinnen und Verbraucher, Lieferketten und kritische Infrastrukturen besser schützen. Gleichzeitig weist Bitkom auf Schwierigkeiten bei der praktischen Umsetzung hin. Genau hier liegt für Unternehmen eine wesentliche Herausforderung: Regulierung muss in konkrete technische und organisatorische Prozesse übersetzt werden.

Cybersicherheit wird zur Produkt- und Führungsaufgabe

Für viele Unternehmen verändert der CRA deshalb die organisatorische Perspektive auf Cybersecurity. IT-Sicherheit kann nicht länger ausschließlich als Aufgabe spezialisierter Security-Teams betrachtet werden. Produktentwicklung, IT, Informationssicherheit, Legal, Compliance, Einkauf, Supply Chain Management und Geschäftsführung müssen enger zusammenarbeiten. Das betrifft insbesondere Unternehmen, deren Produkte Software enthalten oder mit anderen Systemen und Netzwerken verbunden sind. In der Digitalen Transformation verschwimmen die Grenzen zwischen klassischen physischen Produkten und digitalen Lösungen zunehmend. Maschinen werden vernetzt, Software wird zum integralen Bestandteil industrieller Produkte und KI-Funktionen werden in immer mehr Anwendungen integriert. Damit wächst zugleich die Verantwortung für die digitale Sicherheit dieser Produkte. Für Unternehmen kann der CRA deshalb auch zum Anlass werden, bestehende Entwicklungs- und Governance-Strukturen grundsätzlich zu überprüfen: Wer trägt Verantwortung für Produktsicherheit? Wie werden Schwachstellen erfasst und priorisiert? Welche Informationen stehen im Ernstfall zur Verfügung? Wie schnell können Teams reagieren? Und wie werden externe Partner und Lieferanten eingebunden?

Neue Meldeplattform soll europäischen Informationsaustausch ermöglichen

Für die Meldung von Sicherheitslücken und Sicherheitsvorfällen ist eine zentrale europäische Plattform vorgesehen. Sie soll den sicheren Informationsaustausch zwischen Unternehmen, den zuständigen nationalen Behörden und der EU-Agentur für Cybersicherheit ENISA ermöglichen. In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zuständige Stelle. Bitkom kritisierte im Vorfeld allerdings praktische Schwierigkeiten bei der Einführung: Selbst gut vorbereitete Unternehmen konnten sich nicht bereits vor dem Stichtag auf der Plattform registrieren und die vorgesehenen Meldewege testen, da die Plattform erst zum Start der Meldepflicht verfügbar sein sollte. Das verdeutlicht ein grundsätzliches Problem komplexer Digitalregulierung: Unternehmen benötigen neben gesetzlichen Vorgaben auch funktionierende technische Infrastrukturen, standardisierte Prozesse und ausreichend Zeit, um neue Anforderungen operativ umzusetzen.

Vom Compliance-Projekt zum strategischen Wettbewerbsvorteil

Der Cyber Resilience Act sollte deshalb nicht ausschließlich als zusätzliche regulatorische Belastung verstanden werden. Richtig umgesetzt kann ein höheres Niveau der Produktsicherheit auch wirtschaftlichen Nutzen schaffen. Vertrauen entwickelt sich zunehmend zu einem Wettbewerbsfaktor digitaler Geschäftsmodelle. Geschäftskunden wollen wissen, wie sicher Software, Plattformen und vernetzte Produkte sind. Betreiber kritischer Infrastrukturen stellen hohe Anforderungen an ihre Lieferanten. Gleichzeitig gewinnen Security-Anforderungen bei Beschaffungsentscheidungen und Partnerschaften an Bedeutung. Unternehmen, die Security by Design konsequent umsetzen und ihre Prozesse transparent dokumentieren können, schaffen damit eine Grundlage für Vertrauen. Gerade im europäischen Wettbewerb kann dies relevant werden. Der CRA soll einheitliche Mindestanforderungen etablieren und damit einen gemeinsamen Rahmen für Produktsicherheit im europäischen Binnenmarkt schaffen. Die regulatorische Pflicht kann so zum Impuls für bessere Produkte und robustere digitale Geschäftsmodelle werden.

Was Unternehmen jetzt prüfen sollten

Für Entscheiderinnen und Entscheider sollte der CRA spätestens jetzt auf der Managementagenda stehen. Im ersten Schritt gilt es zu klären, welche Produkte und Geschäftsbereiche von der Regulierung betroffen sind und welche Verantwortlichkeiten daraus entstehen. Darauf aufbauend sollten Unternehmen insbesondere ihre Prozesse für Schwachstellenmanagement und Incident Response überprüfen. Eine 24-Stunden-Frist lässt im Ernstfall wenig Raum für ungeklärte Zuständigkeiten. Ebenso wichtig ist die Integration von Security by Design in Produktentwicklung und Software Engineering. Sicherheitsanforderungen sollten möglichst früh Bestandteil von Entwicklungsprozessen werden und nicht erst unmittelbar vor dem Marktstart geprüft werden. Hinzu kommt die Lieferkette. Digitale Produkte bestehen häufig aus einer Vielzahl eigener und externer Komponenten. Unternehmen müssen deshalb Transparenz darüber schaffen, welche Softwarebestandteile und Abhängigkeiten in ihren Produkten eingesetzt werden und wie Sicherheitsinformationen entlang der Wertschöpfungskette ausgetauscht werden. Schließlich braucht es klare Governance. Geschäftsführung, Produktverantwortliche, Security, Legal und Compliance müssen wissen, wer im Fall einer Sicherheitslücke welche Entscheidung trifft.

Der CRA als weiterer Baustein einer neuen digitalen Unternehmensrealität

Der Cyber Resilience Act zeigt exemplarisch, wie stark Digitale Transformation, Regulierung und Unternehmensstrategie inzwischen miteinander verbunden sind. Mit zunehmender Digitalisierung wächst nicht nur das Innovationspotenzial. Auch die Anforderungen an Sicherheit, Resilienz und Verantwortlichkeit steigen. Für Unternehmen bedeutet das einen Perspektivwechsel: Cybersecurity ist nicht lediglich Schutz vor Angriffen. Sie wird Bestandteil von Produktqualität, Risikomanagement, regulatorischer Compliance und letztlich der Wettbewerbsfähigkeit. Die Bitkom-Zahlen machen gleichzeitig deutlich, dass viele Unternehmen diesen Wandel noch nicht vollständig vollzogen haben. Wenn nur 29 Prozent wissen, was der CRA konkret für das eigene Unternehmen bedeutet, besteht eine erhebliche Umsetzungslücke. Für Entscheiderinnen und Entscheider lautet die zentrale Aufgabe deshalb nicht mehr, ob sie sich mit dem Cyber Resilience Act beschäftigen sollten. Entscheidend ist, wie schnell sie regulatorische Anforderungen in belastbare operative Prozesse übersetzen können.
 

Q&A: Die wichtigsten Fragen zum Cyber Resilience Act

Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist eine EU-Regulierung für die Cybersicherheit von Produkten mit digitalen Funktionen. Ziel ist es, verbindliche Sicherheitsanforderungen zu etablieren und die Cyberresilienz digitaler Produkte über ihren Lebenszyklus hinweg zu verbessern.

Welche neuen Pflichten gelten seit dem 11. September 2026?
Seit dem 11. September greifen erste Meldepflichten. Hersteller müssen aktiv ausgenutzte Sicherheitslücken und bestimmte schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden melden. Innerhalb von 72 Stunden müssen weitere Informationen bereitgestellt werden. Zusätzlich sind Abschlussberichte vorgesehen.

Wie gut sind deutsche Unternehmen auf den CRA vorbereitet?
Nach einer repräsentativen Bitkom-Umfrage kennen 67 Prozent der Unternehmen den Cyber Resilience Act zumindest dem Namen nach. Allerdings wissen lediglich 29 Prozent, was er konkret für das eigene Unternehmen bedeutet. 38 Prozent kennen den CRA, können seine Bedeutung aber nicht einschätzen. 28 Prozent haben noch nie davon gehört.

Warum ist der CRA für die Digitale Transformation relevant?
Immer mehr Produkte enthalten Software, sind vernetzt oder greifen auf digitale Dienste zurück. Cybersicherheit wird dadurch unmittelbar zum Bestandteil von Produktentwicklung und digitalen Geschäftsmodellen. Der CRA verstärkt diese Entwicklung, indem Sicherheitsanforderungen verbindlicher in den Produktlebenszyklus integriert werden.

Was bedeutet „Security by Design“?
Security by Design bedeutet, Sicherheitsanforderungen bereits bei Konzeption und Entwicklung eines Produkts mitzudenken. Unternehmen sollen Cybersecurity nicht erst nachträglich ergänzen oder ausschließlich auf bekannte Sicherheitsprobleme reagieren. Sicherheit wird damit zu einem grundlegenden Entwicklungsprinzip.

Wer sollte sich im Unternehmen mit dem CRA beschäftigen?
Der CRA ist keine reine Aufgabe der IT-Abteilung. Je nach Unternehmen sind insbesondere Geschäftsführung, Produktentwicklung, IT und Cybersecurity, Legal und Compliance sowie Einkauf und Supply Chain Management relevant. Entscheidend sind klar definierte Verantwortlichkeiten und Eskalationsprozesse.

Warum ist die 24-Stunden-Frist eine besondere Herausforderung?
Eine kurze Meldefrist setzt voraus, dass Unternehmen Sicherheitsvorfälle schnell erkennen, bewerten und intern an die richtigen Verantwortlichen weitergeben können. Sind Zuständigkeiten oder Prozesse unklar, kann bereits die interne Abstimmung wertvolle Zeit kosten.

Welche Rolle spielen Lieferketten?
Digitale Produkte basieren häufig auf Komponenten, Bibliotheken, Software und Dienstleistungen unterschiedlicher Anbieter. Schwachstellen können deshalb entlang komplexer Lieferketten entstehen. Transparenz über eingesetzte Komponenten und verlässliche Kommunikationswege mit Partnern werden für ein wirksames Schwachstellenmanagement entsprechend wichtiger.

Ist der CRA ausschließlich eine Compliance-Herausforderung?
Nein. Die Regulierung verursacht zwar zusätzlichen organisatorischen und technischen Aufwand, kann aber gleichzeitig als Impuls dienen, Produktentwicklung und Sicherheitsprozesse nachhaltig zu verbessern. Unternehmen, die nachweisbar sichere digitale Produkte entwickeln, können Vertrauen bei Kundinnen und Kunden sowie Geschäftspartnerinnen und Geschäftspartnern schaffen und Cybersecurity als Qualitätsmerkmal positionieren.

Was sollten Unternehmen jetzt konkret tun?
Unternehmen sollten zunächst prüfen, ob und in welchem Umfang ihre Produkte unter den CRA fallen. Anschließend sollten Verantwortlichkeiten, Meldeprozesse, Incident Response und Schwachstellenmanagement überprüft werden. Ebenso wichtig sind die Integration von Security by Design in Entwicklungsprozesse, die Analyse relevanter Lieferketten sowie die Vorbereitung der erforderlichen Dokumentation und internen Eskalationswege.

Wo erhalten Unternehmen weitere Informationen?
Bitkom stellt eine Informationsseite mit Hinweisen zu Anwendungsbereich, Pflichten und Fristen des Cyber Resilience Act bereit. Für die europäischen Meldeprozesse stellt ENISA Informationen zur zentralen Single Reporting Platform zur Verfügung.

Quelle: Bitkom, Presseinformation „Cyber Resilience Act: Nur 3 von 10 Unternehmen sind vorbereitet“, 10. September 2026. Grundlage der genannten Umfragewerte ist eine repräsentative telefonische Befragung von 1.003 Unternehmen in Deutschland ab zehn Beschäftigten und einem Jahresumsatz von mindestens einer Million Euro. Die Befragung wurde von Bitkom Research zwischen KW 16 und KW 23 2026 durchgeführt.