„Wer jetzt handelt, verschafft sich einen echten Wettbewerbsvorteil.“

Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union erstmals einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Für viele mittelständische Unternehmen stellt sich die Frage: Sind wir überhaupt betroffen – und wenn ja, was müssen wir jetzt tun?

Ralph Sieger, Senior Berater beim RKW Baden-Württemberg, spricht mit Jürgen Hornberger, Experte für Informationssicherheit, über die Auswirkungen des CRA und darüber, warum Unternehmen die verbleibende Zeit bis 2027 sinnvoll nutzen sollten.

Ralph Sieger: Herr Hornberger, wenn ich derzeit mit Geschäftsführern spreche, höre ich häufig den Satz: „Das ist doch wieder eine neue EU-Verordnung. Damit beschäftigen wir uns, wenn sie tatsächlich gilt.“ Können Sie diese Reaktion nachvollziehen?

Jürgen Hornberger: Absolut. Die vergangenen Jahre waren geprägt von immer neuen gesetzlichen Anforderungen. Viele Unternehmen müssen ihre Prioritäten sorgfältig setzen. Beim Cyber Resilience Act liegt die Herausforderung allerdings darin, dass viele seinen tatsächlichen Umfang unterschätzen. Der CRA ist weder ein klassisches IT-Projekt noch eine reine Dokumentationspflicht. Er betrifft den gesamten Produktlebenszyklus – von der Entwicklung über das Inverkehrbringen bis hin zur Wartung und Pflege eines Produkts. Wer erst kurz vor Ablauf der Fristen beginnt, wird schnell feststellen, dass sich die erforderlichen organisatorischen und technischen Veränderungen nicht innerhalb weniger Monate umsetzen lassen.

Ralph Sieger: Viele mittelständische Unternehmen fragen sich zunächst einmal: Sind wir überhaupt betroffen? Gerade im Maschinen- und Anlagenbau oder bei produzierenden Unternehmen höre ich häufig: „Wir entwickeln doch gar keine Software.“

Jürgen Hornberger: Genau das ist eines der größten Missverständnisse. Der CRA richtet sich nicht ausschließlich an Softwarehersteller. Es gibt zwei Kriterien: Es müssen digitale Komponenten enthalten sein; und die Anlage / das Gerät /das Bauteil /die Software nimmt eine Verbindung zu einem Netz oder zu einem Gerät / einer Anlage außerhalb auf. Und das ist fast immer der Fall. Beispiele: wenn sich eine Software von außen aktualisieren lässt; wenn von extern konfiguriert werden kann; oder wenn eine Verbindung zu einer anderen externen Einheit hergestellt wird und darüber digital Daten ausgetauscht werden. Deshalb sollten Unternehmen weniger fragen, ob sie Software entwickeln, sondern vielmehr prüfen, welche digitalen Komponenten ihre Produkte enthalten und welche Verantwortung sich daraus ergibt.

Ralph Sieger: Der Cyber Resilience Act ist bereits in Kraft. Die wesentlichen Anforderungen gelten jedoch erst Ende 2027. Warum empfehlen Sie trotzdem, bereits heute aktiv zu werden?

Jürgen Hornberger: Weil sich die eigentliche Arbeit nicht auf einzelne Sicherheitsmaßnahmen beschränkt. Unternehmen müssen Entwicklungsprozesse überprüfen, Verantwortlichkeiten festlegen, Risikobewertungen etablieren, ein systematisches Schwachstellenmanagement aufbauen und ihre Dokumentation neu strukturieren. Das sind Veränderungen, die tief in bestehende Abläufe eingreifen. Möglicherweise muss auch die Produktkonzeption überarbeitet werden, da nicht alle Sicherheitsanforderungen erfüllt sind. Unsere Erfahrung zeigt: Gerade im Mittelstand benötigen solche Veränderungen Zeit – nicht wegen der Technik, sondern weil Prozesse und Organisation weiterentwickelt werden müssen.

Ralph Sieger: Genau das erleben wir auch in unseren Beratungsprojekten. Die technischen Lösungen stehen häufig gar nicht im Vordergrund. Vielmehr geht es darum, bestehende Prozesse so weiterzuentwickeln, dass sie dauerhaft nachvollziehbar, effizient und auditierbar sind. Welche Anforderungen bringt der CRA konkret mit sich?

Jürgen Hornberger: Die Verordnung verfolgt einen ganzheitlichen Ansatz. Cybersicherheit soll nicht erst nach der Entwicklung berücksichtigt werden, sondern von Beginn an mitgedacht werden – Stichwort Security by Design.

Darüber hinaus fordert der CRA unter anderem:

• sichere und dokumentierte Entwicklungsprozesse,
• eine nachvollziehbare Cybersicherheits-Risikobeurteilung,
• ein strukturiertes Schwachstellenmanagement,
• sichere Software-Updates während des gesamten Produktlebenszyklus,
• eine vollständige technische Dokumentation,
• transparente Informationen für Anwender sowie
• die erfolgreiche Konformitätsbewertung als Voraussetzung für die CE-Kennzeichnung.

Neu ist vor allem der Gedanke, dass Hersteller die Sicherheit ihrer Produkte während des gesamten Lebenszyklus nachweisen und kontinuierlich gewährleisten müssen.

Ralph Sieger: Das bedeutet also, wer seine Prozesse heute sinnvoll aufstellt, schafft gleichzeitig die Grundlage für mehrere regulatorische Anforderungen.

Jürgen Hornberger: Genau. Deshalb lohnt sich ein ganzheitlicher Blick deutlich mehr als die isolierte Bearbeitung einzelner Verordnungen. CRA geht jedoch weit darüber hinaus, ich denke hier an Cyber Risk Management und Mindestanforderungen an die Cyber- und Informationssicherheit von Produkten.

Ralph Sieger: Manche Geschäftsführer empfinden den CRA zunächst als zusätzliche Bürokratie. Ist diese Einschätzung nachvollziehbar?

Jürgen Hornberger: Natürlich bringt jede neue Regulierung zunächst zusätzlichen Aufwand mit sich. Die entscheidende Frage lautet jedoch: Welchen Nutzen ziehen Unternehmen daraus? Der Nutzen von CRA ist klar: Aus Sicht der Nutzer: Ein Mindestmaß an Sicherheit gegenüber Cyberrisiken. Und indirekt für die Hersteller: Es werden negative Folgen von unsicheren Produkten vermieden, etwa Reputationsschaden oder Kosten für aufwändige eine Fehlerbehebung.

Wer seine Produktdaten besser strukturiert, Entwicklungsprozesse transparenter gestaltet und Verantwortlichkeiten eindeutig definiert, erfüllt nicht nur regulatorische Vorgaben. Gleichzeitig sinken Fehlerquoten, die Zusammenarbeit zwischen den Fachbereichen verbessert sich und die Qualität der Produkte steigt nachhaltig.

Compliance und Wettbewerbsfähigkeit schließen sich deshalb keineswegs aus – sie können sich sogar gegenseitig stärken.

Ralph Sieger: Wenn heute ein mittelständisches Unternehmen bei null startet – was wäre Ihr wichtigster Rat?

Jürgen Hornberger: Nicht mit technischen Lösungen beginnen.

Am Anfang sollte immer eine strukturierte Bestandsaufnahme stehen.

• Welche Produkte könnten betroffen sein?
• Welche Entwicklungsprozesse existieren bereits?
• Wie werden Risiken dokumentiert?
• Wie erfolgt heute das Schwachstellenmanagement?
• Wo liegen die relevanten Produktinformationen?
• Gegen welche Cyberrisiken hat das Produkt bereits einen wirksamen Schutz?

Erst wenn diese Fragen beantwortet sind, lässt sich fundiert entscheiden, welche Maßnahmen tatsächlich erforderlich sind.

Ralph Sieger: Das deckt sich mit unserem Beratungsansatz. Unternehmen benötigen zunächst Orientierung, bevor sie in konkrete Maßnahmen investieren. Wer seinen aktuellen Status kennt, trifft bessere Entscheidungen und kann Investitionen gezielt priorisieren. Abschließend gefragt: Wenn Sie Geschäftsführern nur eine Empfehlung mitgeben dürften – welche wäre das?

Jürgen Hornberger: Betrachten Sie den Cyber Resilience Act nicht als Pflichtübung, sondern als Chance, die eigenen Prozesse zukunftsfähig aufzustellen.

Wer frühzeitig beginnt, kann die Anforderungen Schritt für Schritt in bestehende Abläufe integrieren, Investitionen besser planen und unnötigen Zeitdruck vermeiden. Und man kann einen Mindeststandard für Sicherheit der Produkte gegenüber Cyberrisiken installieren.

Unternehmen, die sich heute vorbereiten, werden 2027 nicht nur regulatorisch besser aufgestellt sein. Sie verfügen in der Regel auch über transparentere Prozesse, hochwertigere Daten, ein professionelleres Produktmanagement und sicherere Produkte.

Fazit