Wirtschaft hat erheblichen Nachholbedarf beim Cyber Resilience Act (CRA).
Die deutsche Wirtschaft vernachlässigt den Cyber Resilience Act (CRA) sträflich, lautet ein besorgniserregendes Ergebnis des neuen “IoT & OT Cybersecurity Report 2026”, den das Düsseldorfer Cybersicherheitsunternehmen ONEKEY vorgestellt hat.
Zusammenfassung (TL; DR):
- Laut dem neuen „IoT & OT Cybersecurity Report 2026“ von ONEKEY vernachlässigt fast die Hälfte der deutschen Industrieunternehmen die Anforderungen des kommenden EU Cyber Resilience Act (CRA).
- Dies ist kritisch, da bereits am 11. September dieses Jahres die erste Stufe mit strengen Meldepflichten für aktiv ausgenutzte Schwachstellen in Kraft tritt.
Für den Berichtsband waren 200 deutsche Industrieunternehmen nach ihrer Strategie und Umsetzung in Bezug auf die jüngste Cybersicherheitsverordnung der EU bei Betriebstechnologie zur Steuerung physischer Anlagen und Prozesse (Operational Technology, OT) und bei vernetzten Geräten, die Daten über das Internet austauschen (Internet of Things, IoT), befragt worden.
CRA – was ist das?
Ein Großteil von 45 Prozent gab an, mit den Anforderungen entweder kaum oder gar nicht vertraut zu sein. Das ist bemerkenswert, weil die ersten CRA-Verpflichtungen bereits am 11. September dieses Jahres in Kraft treten. Ab diesem Stichtag müssen die Hersteller, Importeure und Händler vernetzter Geräte, Maschinen und Anlagen aktiv ausgenutzte Schwachstellen in ihren Produkten und damit verbundene schwerwiegende Sicherheitsvorfälle melden.
Der CEO von ONEKEY, Jan Wendenburg, stellt klar: “Das gilt von Ausnahmen abgesehen auch für alle Produkte, die bereits auf dem Markt sind, also nicht etwa nur für neue Entwicklungen, wie häufig fälschlicherweise angenommen wird.” Der “IoT & OT Cybersecurity Report 2026” zählt beispielhaft auf: vernetzte Maschinen und Steuerungen, Router, Firewalls und Netzwerkgeräte, IoT- und Smart-Home-Geräte, Betriebssysteme, Apps und andere Software, industrielle Steuerungssoftware und sogar Cloud-Funktionen, wenn sie für die Funktion des Produkts notwendig sind. Zudem können auch Industriebetriebe betroffen sein, die sich selbst nur als Nutzer verstehen, aber dennoch unter den Cyber Resilience Act fallen, heißt es im neuen ONEKEY-Report. Beispiel: Wenn eine Firma vernetzte Maschinen zwar nur für die eigene Produktion erwirbt, diese aber direkt aus Asien importiert, kann sie als Importeur im Sinne des CRA gelten, wenn sie die Maschinen beispielsweise an eine Tochter- oder Schwestergesellschaft abgibt.
Nur ein Drittel kennt sich mit den Fristen aus
Immerhin: 46 Prozent der befragten Unternehmen kennen sich eigenen Angaben zufolge mit dem Cyber Resilience Act aus, 21 Prozent sogar sehr gut. 43 Prozent sind sich laut Umfrage bewusst, dass die erste Phase der CRA-Pflichten bereits in diesem September eintritt. Allerdings räumen 60 Prozent ein, dass ihnen die weiteren Phasen und Fristen der EU-Sicherheitsverordnung nicht bekannt sind. “Tatsächlich gibt es im CRA-Umsetzungszeitplan der EU drei weitere Fristen, bevor am 11. Dezember 2027 der Cyber Resilience Act vollumfänglich in Kraft tritt”, sagt ONEKEY-Chef Jan Wendenburg. Über diese Kenntnisse verfügt aber laut Report nur ein Drittel der befragten Unternehmen.
Schleppende Umsetzung des CRA
Dem entsprechend schleppend geht die CRA-Umsetzung in der Wirtschaft voran, heißt es im “IoT & OT Cybersecurity Report 2026”. Wie gut sind die Unternehmen in Bezug auf den Cyber Resilience Act konkret vorbereitet, wollte ONEKEY im Rahmen der Umfrage wissen.
Als “sehr gut vorbereitet” bezeichnen sich demnach ein Viertel beim Risikomanagement, 22 Prozent bei den Sicherheitsanforderungen, 20 Prozent bei der Dokumentation und den gemäß CRA zwingend erforderlichen Sicherheitsupdates über den gesamten Produktlebenszyklus hinweg sowie 17 Prozent bei internen Prozessen und technischen Nachweisen. Diese Themen schon in Angriff genommen, aber nur teilweise umgesetzt, haben immerhin bei technischen Nachweisen 39 Prozent, bei der Dokumentation 37 Prozent, bei internen Abläufen und Sicherheitsupdates 34 Prozent sowie beim Risikomanagement 26 Prozent.
Risikomanagement wackelt
Das bedeutet im Umkehrschluss laut Report: Rund ein Drittel der Firmen sind bislang weder mit ihren internen Prozessen noch ihrem Risikomanagement geschweige denn dem Management von Sicherheitsupdates auf den Cyber Resilience Act vorbereitet. 30 Prozent haben die von der EU bald zwingend auferlegten Sicherheitsanforderungen kaum in Angriff genommen oder technische Nachweise auf den Weg gebracht.
ONEKEY-CEO Jan Wendenburg fasst zusammen: “Die Ergebnisse zeigen eine breite Streuung: Ein kleinerer Teil sieht sich bereits sehr gut vorbereitet, viele Unternehmen befinden sich mitten in der Umsetzung, während rund ein Drittel noch kaum begonnen hat.”
Die größten Herausforderungen
Was sind die größten Herausforderungen der Wirtschaft, den Anforderungen des Cyber Resilience Act zu entsprechen, lautete eine zentrale Frage der ONEKEY-Umfrage. Die Antworten gibt der “IoT & OT Cybersecurity Report 2026”: Die meisten Schwierigkeiten verursacht ausgerechnet die Meldepflicht für Sicherheitsvorfälle binnen 24 Stunden, die zum 11. September dieses Jahres in Kraft tritt, erklärten 62 Prozent der kontaktierten Unternehmen, wobei 30 Prozent dieser Aspekt offenbar ernsthafte Kopfschmerzen verursacht. Bei 30 Prozent erweist sich die Konformitätsbewertung zur EU-Richtlinie als äußerst problematisch, also die Frage, ob die eigene Produktpalette Compliance zum Cyber Resilience Act aufweist oder noch Nachholbedarf besteht. Für ebenso viele Firmen erweist sich die Erstellung von Software-Stücklisten (Software Bill of Materials, SBOM) als Haupthürde; mindestens 60 Prozent der befragten Unternehmen haben dieses Problem noch nicht gelöst.
Wer hat den Überblick?
“Ein vollständiger Überblick über alle in den eigenen Produkten eingesetzten Programme stellt eine Grundvoraussetzung für CRA-Compliance dar”, verdeutlicht Jan Wendenburg die Bedeutung dieses Punkts. Er präzisiert: “Wer seine Software gar nicht komplett kennt, weiß auch nicht, welche Sicherheitslücken dort bestehen können.” Tatsächlich stellt das Vulnerability Management, also das Aufspüren und Beheben von Angriffsflächen in der Software, für 62 Prozent der Unternehmen noch ein ungelöstes Problem dar; für fast ein Viertel der Firmen gehört es zu den größten Herausforderungen auf dem Weg zur CRA-Compliance.
Zwei Drittel der befragten Unternehmen bereitet das vom Gesetzgeber geforderte Konzept “Security by Design / Security by Default” Kopfzerbrechen; 24 Prozent stufen es als kritischen Faktor ein. Es bedeutet, dass Cybersicherheit von Anfang an in die Entwicklung eines Produkts integriert und dieses bereits mit sicheren Voreinstellungen ausgeliefert werden muss. Für beinahe ein Viertel stellt die Sicherheit über den gesamten Produktlebenszyklus hinweg ein gravierendes Problem dar; weitere 40 Prozent stufen dies als überwindbare Hürde ein. Nur etwa 15 Prozent stufen alle diese Aspekte nicht als Herausforderung ein – möglicherweise, weil sie sich noch gar nicht näher damit befasst haben, heißt es im Report.
Ein Fünftel mit CRA-Compliance vor 2027
Allen Schwierigkeiten zum Trotz will ein Drittel der Unternehmen bis zum vollständigen Inkrafttreten des Cyber Resilience Act am 11. Dezember nächsten Jahres die Compliance mit der EU-Verordnung ohne Abstriche erreicht haben. Ab diesem Tag müssen neu in Verkehr gebrachte Geräte, Maschinen und Anlagen mit digitalen Elementen die CRA-Cybersicherheitsanforderungen vollständig erfüllen. Mehr als ein Viertel (26 Prozent) strebt dies sogar schon Ende dieses Jahres an, acht Prozent ist nach eigener Einschätzung bereits heute soweit. 13 Prozent der Unternehmen befürchten aus heutiger Sicht, bis zum 11. Dezember 2027 die Anpassung ihrer Produktpalette an den Cyber Resilience Act nicht in vollen Umfang abgeschlossen zu haben.
“Das Umsetzungstempo müsste deutlich erhöht werden”
Jan Wendenburg resümiert: “Die deutsche Industrie ist in Sachen Cyber Resilience Act auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt werden.” Dies gelte nicht nur angesichts der näher rückenden regulatorischen Fristen. Auch die Bedrohungslage verschärfe sich durch zunehmend automatisierte und KI-gestützte Cyberangriffe. Wie real dieses Risiko inzwischen ist, zeigten jüngste Vorfälle bei OpenAI und Anthropic: Bei Sicherheitstests waren KI-Modelle über die Testumgebungen hinausgelangt und hatten auch reale externe Systeme angegriffen. “Die Vorfälle machen klar, dass leistungsfähige KI-Agenten bereits heute selbstständig mehrstufige Angriffsketten ausführen und Schwachstellen ausnutzen können”, sagt Jan Wendenburg. Künftig dürften deshalb nicht nur Rechenzentren und klassische IT-Systeme gefährdet sein, sondern zunehmend auch vernetzte Maschinen, Produktionsanlagen und industrielle Steuerungen, meint der CEO von ONEKEY. Ein erfolgreicher Angriff könnte dort neben Datendiebstahl auch Produktionsausfälle, Prozessmanipulationen und im schlimmsten Fall physische Schäden verursachen.
“Unternehmen sollten die Umsetzung des CRA nicht als reine Compliance-Aufgabe betrachten, sondern als wichtigen Bestandteil ihrer betrieblichen Risikovorsorge”, erklärt Jan Wendenburg.
Häufige Fragen (FAQ)
Bereits am 11. September tritt die erste Stufe mit strengen 24-Stunden-Meldepflichten für Sicherheitsvorfälle in Kraft.
Sie decken Sicherheitslücken auf, bevor Angreifer sie ausnutzen, und helfen, Kosten sowie Reputationsschäden zu vermeiden. Empfohlen wird meist eine jährliche Durchführung.
Was bereitet den Unternehmen bei der Umsetzung die größten Probleme?Vor allem die schnelle Meldepflicht für Schwachstellen sowie das Erstellen vollständiger Software-Stücklisten (SBOM).
