Illustration Absmeier foto ki designer

KI verschärft die Cyberbedrohung für vernetzte Geräte – und wird zugleich zum zentralen Instrument ihrer Abwehr. Entscheidend sind dabei nicht nur intelligente Analysen, sondern eine durchgängige Sicherheitsarchitektur aus Geräteidentität, geschützter Konnektivität, Netzwerksegmentierung und menschlicher Kontrolle. Das Interview mit Timo Ross zeigt, welche Maßnahmen Unternehmen jetzt priorisieren sollten.

Management Summary

KI erhöht Tempo und Skalierung von Angriffen: Automatisierte Werkzeuge finden Schwachstellen in großen, heterogenen IoT-Flotten schneller und variieren Angriffsmuster fortlaufend.
IoT-Sicherheit muss über das Endgerät hinausreichen: Weil viele Geräte keine klassische Endpoint-Security ausführen können, werden sichere Identitäten, geschützte Verbindungen und kontrollierte Netze zur Pflicht.
Anomalieerkennung schafft den entscheidenden Zeitvorsprung: KI erkennt Abweichungen im Kommunikationsverhalten frühzeitig und reduziert die manuelle Auswertung großer Logdatenmengen.
Der Mensch bleibt in der Verantwortung: Automatisierung liefert Hinweise und Entscheidungsgrundlagen; Bewertung, Eskalation und Gegenmaßnahmen gehören in die Hände erfahrener Sicherheitsteams.
Transparenz ist die Basis für NIS2 und Security by Design: Unternehmen benötigen einen vollständigen Überblick über Geräte, Firmware, Kommunikationswege und Verantwortlichkeiten – von der Planung bis zum Betrieb.

Künstliche Intelligenz verändert die Cybersicherheit im Internet of Things (IoT) grundlegend: Während Angreifer KI nutzen, um automatisiert und im großen Stil nach Schwachstellen in vernetzten Geräten zu suchen, wird die Technologie auf der Abwehrseite zum unverzichtbaren Werkzeug für die Früherkennung. Doch wie sieht ein verlässlicher Schutz aus, wenn klassische Sicherheitssoftware auf schlanken IoT-Geräten gar keinen Platz findet?

Timo Ross, CEO, Wireless Logic mdex GmbH ©

Im Gespräch mit manage it erklärt Timo Ross, CEO der Wireless Logic mdex GmbH, warum effektiver Schutz bereits beim Mobilfunknetz beginnt, weshalb der Faktor Mensch trotz fortschreitender Automatisierung unersetzlich bleibt und an welchen Hürden viele Unternehmen bei Regulierungen wie NIS2 aktuell stehen.

Herr Ross, wie verändert künstliche Intelligenz aktuell die Bedrohungslage für IoT-Geräte?

KI hat die Bedrohungslage grundlegend beschleunigt. Was früher manuelle, punktuelle Angriffsversuche waren, ist heute automatisiert und skaliert: Angreifer nutzen KI-Werkzeuge, um Schwachstellen in vernetzten Geräten in kürzester Zeit zu identifizieren und Angriffsmuster laufend zu variieren, um klassische Signatur-basierte Erkennung zu umgehen.

Das spiegelt sich auch in der Praxis wider: Unsere Kunden betreiben oft mehrere tausend vernetzte Geräte, und die gemeldeten Angriffsversuche auf diese Flotten sind heute deutlich vielfältiger und schneller als noch vor wenigen Jahren. Wir unterstützen Kunden intensiv bei den entsprechenden Verteidigungsmaßnahmen. Wie etwa mit unserem Service ATD (Anomaly & Threat Detection), bei dem KI gezielt zum Einsatz kommt.

Was macht vernetzte Geräte (IoT) für Angreifer im KI-Zeitalter so attraktiv?

IoT-Geräte sind aus mehreren Gründen ein besonders lohnendes Ziel. Sie laufen oft jahrelang im Feld, ohne dass Firmware regelmäßig aktualisiert wird, sie haben meist begrenzte Rechenleistung, wodurch klassische Endpoint-Security-Software gar nicht installierbar ist, und sie sind häufig in großer Zahl und sehr heterogen im Einsatz. Ein einzelnes kompromittiertes Gerät kann so zum Einstiegspunkt in weit größere Unternehmensnetzwerke werden.

Für Angreifer, die KI-Werkzeuge nutzen, bedeutet das: Sie können automatisiert und im industriellen Maßstab nach genau diesen ungeschützten Geräten suchen, sei es für Botnetze, SIM-Betrug oder Datenabfluss. Genau deshalb setzen wir auf ein mehrschichtiges Sicherheitskonzept, das nicht nur auf das einzelne Gerät setzt, sondern die gesamte Netzwerkkette absichert, von der SIM-Karte über verschlüsselte Verbindungen bis zu unseren eigenen, redundanten Rechenzentren.

Angriffe laufen heute extrem schnell ab. Wie hilft KI auf der Abwehrseite, Angriffe rechtzeitig zu stoppen?

Der entscheidende Vorteil KI-gestützter Systeme ist die Geschwindigkeit der Mustererkennung. Anomalieerkennung analysiert Verbindungs- und Kommunikationsdaten kontinuierlich und schlägt Alarm, sobald ein Gerät von seinem gelernten Normalverhalten abweicht, etwa durch ungewöhnliche Datenmengen, unerwartete Verbindungsziele oder auffällige Zugriffszeiten.

Ohne diese Automatisierung müssten Sicherheitsteams manuell durch riesige Mengen an Logdaten sieben, das ist beim heutigen Tempo von Angriffen schlicht nicht mehr realistisch. KI verschafft uns den entscheidenden Zeitvorsprung, um verdächtige Aktivität frühzeitig einzugrenzen, bevor sie sich im Netzwerk ausbreiten oder größeren operativen Schaden anrichten kann.

Kann eine KI Angriffe völlig automatisch abwehren, oder braucht es weiterhin den Menschen?

Volle Automatisierung wäre der falsche Anspruch, und ich würde sie auch nicht empfehlen. KI ist für uns in erster Linie ein extrem leistungsfähiges Frühwarn- und Mustererkennungssystem. Sie liefert die Entscheidungsgrundlage schneller und zuverlässiger, als es ein Mensch allein könnte. Die abschließende Bewertung, ob es sich tatsächlich um einen Angriff handelt, und die Entscheidung über die richtige Gegenmaßnahme, ob eine SIM gesperrt, ein Gerät isoliert oder eine tiefere forensische Analyse angestoßen wird, bleibt Aufgabe erfahrener Sicherheitsexperten.

Das gilt insbesondere für unsere Kunden in regulierten und kritischen Branchen, in denen Fehlentscheidungen reale operative oder rechtliche Konsequenzen haben. Unser Ansatz ist deshalb klar: KI beschleunigt die Erkennung, der Mensch trägt die Verantwortung für die Entscheidung.

Warum reicht es nicht aus, nur das Endgerät zu sichern? Welche Rolle spielt die geschützte Verbindung – zum Beispiel spezielle IoT-SIM-Karten?

Nein, das reicht nicht, und zwar aus einem ganz praktischen Grund: Viele IoT-Geräte können aus Kosten-, Energie- oder Platzgründen gar keine aufwendige Sicherheitssoftware ausführen. Deshalb muss man Sicherheit ganzheitlicher denken. Und dabei spielt das Netzwerk eine zentrale Rolle.

Die SIM-Karte ist dabei der Anker. Über die IMSI – die weltweit eindeutige Kennung, die sicher auf dem SIM-Element gespeichert ist – erhält jedes Gerät eine klare Identität im Mobilfunknetz. Bei eUICC-Karten kommt noch ein weiterer Vorteil hinzu: Mehrere Mobilfunkprofile lassen sich digital verwalten und per Over-the-Air umschalten, ohne die Karte physisch austauschen zu müssen.

Darauf baut die Netzwerkschicht auf. Über private APNs und IPsec-Tunnel lässt sich der Datenverkehr abschirmen und gezielt über eigene Rechenzentren leiten. Wichtig ist dabei eine Einordnung, weil dieser Punkt häufig missverstanden wird: Solche Tunnel laufen in der Regel weiterhin über das öffentliche Internet. Der Datenverkehr ist verschlüsselt und logisch vom übrigen Verkehr getrennt. Physisch werden jedoch öffentliche Netze genutzt. Eine tatsächliche physische Trennung ist nur mit Sonderlösungen wie Standleitungen möglich und entsprechend kostenintensiv.

Und schließlich lässt sich am Gateway über eine Firewall genau festlegen, mit welchen Zielen überhaupt kommuniziert werden darf – etwa durch Whitelisting und Netzwerksegmentierung.

Unterm Strich lässt sich sagen: Die SIM sorgt für eine sichere Identität des Geräts, das Netzwerk schafft die kontrollierte und abgeschirmte Umgebung. Erst das Zusammenspiel beider Ebenen ermöglicht eine ganzheitliche Sicherheitsarchitektur für IoT.

Neue EU-Regeln wie NIS2 fordern mehr Sicherheit. Wo haben Unternehmen bei der Umsetzung aktuell die größten Probleme?

Die größte Hürde, die ich bei unseren Kunden immer wieder sehe, ist mangelnde Transparenz über die eigene Geräteflotte. Viele Unternehmen wissen nicht genau, wie viele IoT-Geräte tatsächlich im Feld aktiv sind, welche Firmware-Version sie nutzen und über welche Wege sie kommunizieren. Ohne diese Grundlage lässt sich aber keine belastbare Risikobewertung durchführen, wie sie NIS2 verlangt.

Zweitens fehlt oft ein integrierter, durchgängiger Sicherheitsansatz. Hardware, Konnektivität und Backend werden häufig von unterschiedlichen Teams oder Dienstleistern verantwortet, ohne eine gemeinsame Sicherheitsstrategie über die gesamte Kette. Und drittens herrscht bei vielen Unternehmen noch Unsicherheit darüber, welche konkreten technischen Nachweise künftig erbracht werden müssen, das führt in der Praxis oft zu Verzögerungen bei der Umsetzung.

Was ist der wichtigste Tipp für Unternehmen, um ihre IoT-Projekte von Anfang an sicher zu machen?

Sicherheit darf kein nachträglicher Baustein sein, sie muss von der ersten Konzeptphase an mitgedacht werden, »Security by Design« statt Nachrüstung. Das beginnt bereits bei der Auswahl von Geräten, SIM-Technologie und Konnektivitätspartner: Sind Identitätsmanagement, Verschlüsselung und Überwachungsmöglichkeiten von Anfang an vorgesehen?

Mein wichtigster Rat: Schaffen Sie sich frühzeitig vollständige Sichtbarkeit über Ihre gesamte Geräteflotte, welche Geräte kommunizieren wann, wie und mit wem, und verlassen Sie sich nicht auf eine einzelne Schutzebene. Kombinieren Sie Geräte-, Verbindungs- und Netzwerksicherheit zu einem mehrschichtigen Konzept. Genau das ist es, was mich an unserer Arbeit antreibt: IoT-Lösungen zu liefern, die nicht nur Technologie bereitstellen, sondern echte Probleme lösen, bessere Transparenz und ein bewussterer, sicherer Umgang mit den vernetzten Geräten unserer Kunden.

FAQ: KI und Sicherheit in IoT-Flotten

Warum verschärft KI die Bedrohungslage für IoT-Geräte?
KI automatisiert die Suche nach Schwachstellen, skaliert Angriffe auf große Gerätebestände und hilft Angreifern, ihre Muster schneller zu verändern.
Weshalb sind IoT-Geräte besonders attraktive Ziele?
Viele Geräte bleiben jahrelang im Einsatz, erhalten unregelmäßig Updates und verfügen nur über begrenzte Rechenleistung. Das macht sie zu potenziellen Einstiegspunkten in Unternehmensnetze.
Was leistet KI auf der Abwehrseite?
KI-gestützte Systeme analysieren Kommunikationsdaten kontinuierlich und erkennen Abweichungen vom üblichen Verhalten, etwa ungewöhnliche Datenmengen, Ziele oder Zugriffszeiten.
Kann die Abwehr vollständig automatisiert werden?
Nein. KI kann Warnungen priorisieren und Entscheidungen vorbereiten. Die abschließende Bewertung und die Wahl geeigneter Maßnahmen sollten jedoch qualifizierte Fachleute übernehmen.
Warum genügt klassische Endpoint-Security bei IoT oft nicht?
Viele IoT-Geräte sind hinsichtlich Energieverbrauch, Speicher und Rechenleistung stark eingeschränkt. Sicherheitsfunktionen müssen deshalb zusätzlich auf Identitäts-, Verbindungs- und Netzwerkebene greifen.
Welche Rolle spielt die IoT-SIM?
Sie verankert eine eindeutige Geräteidentität im Mobilfunknetz. In Verbindung mit eUICC-Technologie lassen sich Mobilfunkprofile zudem aus der Ferne verwalten.
Wie schützen private APNs und IPsec-Tunnel?
Sie grenzen den Datenverkehr logisch ab und übertragen ihn verschlüsselt. Dabei können weiterhin öffentliche Netze als Transportweg dienen; eine physische Trennung erfordert gesonderte Infrastruktur.
Welche Maßnahmen begrenzen die Angriffsfläche im Netz?
Whitelisting, Firewalls und Netzwerksegmentierung beschränken die Kommunikation auf freigegebene Ziele und reduzieren Möglichkeiten zur seitlichen Ausbreitung.
Was erschwert die Umsetzung von NIS2 in IoT-Umgebungen?
Häufig fehlen ein vollständiges Geräteinventar, klare Zuständigkeiten und ein durchgängiger Sicherheitsansatz über Hardware, Konnektivität und Backend hinweg.
Was sollten Unternehmen zuerst tun?
Sie sollten Transparenz über Gerätebestand, Firmware und Kommunikationswege herstellen und Sicherheit von Beginn an als mehrschichtiges »Security by Design«-Konzept planen.

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

Cyberresilienz im Zeitalter von KI: Wie sicher ist das IoT wirklich?

25. Juli 2026

Illustration Absmeier foto ki designer

Die Bedrohungslage im Bereich der Cybersicherheit verändert sich rasant. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aktuell, dass künstliche Intelligenz die Geschwindigkeit, Skalierung und Automatisierung von Cyberangriffen erheblich erhöht und Unternehmen ihre Sicherheitsstrategien entsprechend anpassen müssen [1]. Vor diesem Hintergrund gewinnt der Cyber Resilience Act (CRA) der Europäischen Union zusätzlich an Bedeutung und rückt die Cyberresilienz vernetzter Produkte und Geräte stärker in den Fokus [2].

Für schnell wachsende Branchen wie das Internet der Dinge (IoT) wird Resilienz zunehmend komplexer. Mit der fortschreitenden Digitalisierung hängen geschäftskritische Prozesse immer stärker von vernetzten Geräten und IoT-Infrastrukturen ab. Das vergrößert die digitale Angriffsfläche erheblich, sodass bestehende Sicherheitslücken nicht länger ignoriert werden können.

Timo Ross, CEO von Wireless Logic mdex, kommentiert die aktuellen Entwicklungen und erklärt, wie Unternehmen ihre Cyberresilienz nachhaltig stärken:

»Die wachsende regulatorische Aufmerksamkeit ist ein wichtiger Schritt in die richtige Richtung. Mit dem Cyber Resilience Act schafft die EU endlich einen einheitlichen Rechtsrahmen für vernetzte Produkte. Entscheidend ist jetzt aber, dass Unternehmen Cyberresilienz nicht als reine Compliance-Aufgabe verstehen, sondern als festen Bestandteil ihres operativen Geschäfts begreifen. KI macht Cyberkriminalität schneller, kostengünstiger und einfacher zu skalieren. Die eigentliche Verwundbarkeit liegt jedoch in unserer enormen Abhängigkeit von vernetzten Geräten, die oft außerhalb der klassischen IT-Infrastruktur laufen.

Kartenterminals, Ladesäulen für Elektrofahrzeuge, medizinische Geräte, Logistiksysteme oder Industriesensoren sind heute wichtiger denn je für den Betrieb moderner Dienstleistungen. Fallen sie aus, reichen die Folgen weit über technische Probleme hinaus. Die Folgen sind reale Betriebsausfälle, betroffene Kunden und ein massiver Vertrauensverlust. Hinzu kommen mögliche regulatorische Konsequenzen im Rahmen des CRA sowie steigende Anforderungen von Kunden und Geschäftspartnern an die Cybersicherheit ihrer Lieferanten. Ein entscheidender Schritt für Unternehmen ist daher Transparenz. Sie müssen genau wissen, welche Geräte mit ihrem Netzwerk verbunden sind, welche davon geschäftskritisch sind, wie normales Verhalten aussieht und an welchen Stellen Abhängigkeiten von Zulieferern Risiken verursachen können. Auch KI kann hier unterstützen, indem sie Anomalien frühzeitig erkennt und Sicherheitsverantwortlichen hilft, Vorfälle sinnvoll zu priorisieren.

Mit europäischen Vorgaben wie dem Cyber Resilience Act sowie der NIS2-Richtlinie steigt die Verantwortung für Hersteller und Anbieter vernetzter Produkte. Sicherheit darf nicht mit dem Verkaufsstart enden, sie muss den gesamten Lebenszyklus eines Geräts gewährleistet werden. Entwicklungs- und Produktteams müssen Prozesse für Schwachstellenmanagement, Firmware-Updates, Sicherheits-Patches, die Meldung von Sicherheitsvorfällen sowie Incident Response als kontinuierlichen Prozess etablieren. Die Sicherheit ihrer Geräte als Verantwortung Dritter zu betrachten ist keine Option mehr. Compliance bildet zwar die notwendige Grundlage, doch echte Cyberresilienz entsteht erst dann, wenn Unternehmen Bedrohungen schnell erkennen und wirksam darauf reagieren können.«

[1] https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-262788-1032.pdf?__blob=publicationFile&v=2

[2] https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act

Security-by-Design: Was der Cyber Resilience Act für IoT-Hersteller bedeutet

3. September 2026

Illustration Absmeier foto ki designer

Der Cyber Resilience Act verschiebt Cybersicherheit im IoT von der technischen Kür zur unternehmerischen Pflicht. Für Hersteller vernetzter Produkte bedeutet das: Security-by-Design, belastbare Meldeprozesse und kontinuierliche Transparenz werden zu zentralen Voraussetzungen für Marktzugang, Compliance und operative Resilienz.

Management Summary

Der CRA macht Cybersicherheit zur Marktzugangsvoraussetzung:
Hersteller digitaler Produkte müssen Sicherheit künftig über den gesamten Lebenszyklus nachweisen.
Die Meldepflichten erhöhen den Handlungsdruck:
aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen strukturiert, schnell und nachvollziehbar gemeldet werden.
Security-by-Design wird zum Wettbewerbsfaktor:
sichere Standardkonfigurationen, Schwachstellenmanagement und Software-Transparenz sind keine Zusatzfunktionen mehr.
IoT-Hersteller müssen Resilienz technisch und organisatorisch verankern – von starker Authentifizierung über Anomalieerkennung bis zur laufenden Sichtbarkeit im Netzwerk.
Wer frühzeitig Prozesse, Produktarchitektur und Lifecycle-Support anpasst, reduziert Compliance-Risiken und stärkt zugleich Vertrauen bei Kunden und Partnern.

Am 11. September tritt die nächste Stufe des Cyber Resilience Act (CRA) in Kraft [1]. Ab diesem Zeitpunkt sind Hersteller verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle zu melden, die die Sicherheit von Produkten mit digitalen Elementen beeinträchtigen. Gemäß dem CRA muss die Cybersicherheit über den gesamten Produktlebenszyklus hinweg berücksichtigt werden, wodurch ein »Security-by-Design«-Ansatz für das IoT sowohl für die Einhaltung der Vorschriften als auch für die Betriebskontinuität entscheidend ist.

Trotz des Inkrafttretens dieser Verordnung scheinen viele Hersteller im Falle eines Angriffs nach wie vor unzureichend vorbereitet zu sein. Dadurch entsteht ein erhebliches Angriffsfenster. Laut des Device Security Threat Reports von Palo Alto Networks weist etwa jedes fünfte IoT-Gerät eine bekannte Sicherheitslücke auf und fast die Hälfte (48,2 %) der Verbindungen von IoT-Geräten zu internen IT-Geräten im Unternehmen stammt von High-Risk-IoT-Geräten [2]. Angesichts der baldigen Meldepflichten ist es für Hersteller nun entscheidend, diese Lücke zu schließen, um sowohl die Vorschriften einzuhalten als auch widerstandsfähig zu bleiben.

Iain Davidson, Leiter des Produktmarketings bei Wireless Logic, erklärt, was der CRA für IoT-Hersteller bedeutet und wie sich Unternehmen im Vorfeld auf die Verordnung vorbereiten können:

»Mit dem Wachstum des IoT in der Fertigungsindustrie müssen Regulierungsbehörden und Unternehmen berücksichtigen, dass IoT nur dann resilient sein kann, wenn es auch sicher ist [3]. Die enormen Mengen an wertvollen Daten, die IoT-Geräte erfassen und übertragen, sowie die Tatsache, dass viele dieser Geräte außerhalb der traditionellen IT-Sicherheitsperimeter betrieben werden, machen sie zu einem potenziell attraktiven und zugleich verwundbaren Ziel für Cyberangriffe.

Resilienz war für das IoT schon immer sehr wichtig. Mit dem Cyber Resilience Act wird sie jedoch zu einer strategischen Notwendigkeit, da Cybersicherheit künftig eine rechtliche Voraussetzung für den Verkauf vernetzter Produkte in Europa sein wird. Der CRA stellt sicher, dass Cybersicherheit nicht länger nachträglich berücksichtigt wird, sondern von Anfang an Teil der Produktentwicklung ist. In Zukunft müssen Hersteller bereits vor der CE-Kennzeichnung eine sichere Standardkonfiguration, Prozesse für den Umgang mit Schwachstellen und eine Software-Stückliste integrieren. Gleichzeitig müssen sie ihre Produkte über deren gesamten Lebenszyklus hinweg unterstützen, anstatt sie lediglich auf den Markt zu bringen und anschließend sich selbst zu überlassen. Das ist essenziell, da sich die grundlegenden Anforderungen des CRA auf den gesamten Produktlebenszyklus erstrecken: sichere Entwicklung, Umgang mit Schwachstellen und verpflichtende Sicherheitsupdates für die erwartete Produktlebensdauer.

Um sich auf diese neue Regulierung vorzubereiten, muss sich auch die Herangehensweise der Industrie an die IoT-Sicherheit verändern. Der Fokus sollte von Beginn an auf integrierter Resilienz liegen. Dazu zählt eine Konnektivität, die Sicherheit von Grund auf mitdenkt: starke Authentifizierung schützt den Zugang, Anomalieerkennung erkennt Auffälligkeiten frühzeitig, und kontinuierliche Transparenz macht das gesamte System jederzeit nachvollziehbar. So lässt sich sicherstellen, dass jedes Gerät in einem Netzwerk identifizierbar ist, vor einer Kompromittierung geschützt wird und die geltenden Anforderungen erfüllt.«

[1] https://digital-strategy.ec.europa.eu/de/policies/cra-reporting

[2] https://www.paloaltonetworks.com/resources/infographics/device-security-threat-2025

[3] https://wirelesslogic.com/iot-sim/network#:~:text=uptime%20with%20resilient%2C-,secure,-cellular%20connectivity%20solutions

FAQ: Cyber Resilience Act und IoT-Hersteller

Was ist der Cyber Resilience Act?
Der CRA ist ein EU-Rechtsrahmen, der Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt und Hersteller stärker in die Verantwortung nimmt.
Warum ist der CRA für IoT-Hersteller besonders relevant?
IoT-Geräte sind oft dauerhaft vernetzt, sammeln sensible Daten und befinden sich teilweise außerhalb klassischer IT-Sicherheitsperimeter.
Was bedeutet Security-by-Design in diesem Kontext?
Sicherheitsanforderungen werden bereits in Architektur, Entwicklung, Konfiguration und Betrieb eines Produkts integriert – nicht erst nachträglich ergänzt.
Welche Meldepflichten entstehen für Hersteller?
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen über definierte Prozesse gemeldet und dokumentiert werden.
Welche Rolle spielt die Software-Stückliste?
Eine Software Bill of Materials schafft Transparenz über eingesetzte Komponenten und erleichtert die Bewertung von Schwachstellen.
Was müssen Hersteller organisatorisch vorbereiten?
Sie benötigen klare Verantwortlichkeiten, Schwachstellenprozesse, Meldeketten, Update-Mechanismen und belastbare Dokumentation.
Wie lässt sich IoT-Resilienz technisch stärken?
Durch starke Authentifizierung, sichere Konnektivität, kontinuierliches Monitoring, Anomalieerkennung und nachvollziehbare Geräteidentitäten.
Welche Risiken entstehen bei verspäteter Vorbereitung?
Unternehmen riskieren Compliance-Probleme, längere Reaktionszeiten im Ernstfall, Vertrauensverlust und potenzielle Einschränkungen beim Marktzugang.
Ist der CRA nur ein Compliance-Thema?
Er betrifft Produktstrategie, Engineering, Betrieb, Kundenvertrauen und die langfristige Wettbewerbsfähigkeit vernetzter Lösungen.
Was ist der wichtigste erste Schritt?
Hersteller sollten ihre Produktportfolios, Sicherheitsprozesse und Lifecycle-Verantwortung systematisch gegen die CRA-Anforderungen prüfen.

Cyberresilienzgesetz – Berichtspflichten

Quelle: Cyberresilienzgesetz – Berichtspflichten | Gestaltung der digitalen Zukunft Europas

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, die sich auf die Sicherheit von Produkten mit digitalen Elementen auswirken.

Was sind die wichtigsten Regeln?

Die Ratingagentur verlangt von den Herstellern, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden, die sich auf die Sicherheit ihres Produkts mit digitalen Elementen auswirken. Sie müssen innerhalb von 24 Stunden nach Bekanntwerden eine Frühwarnung und innerhalb von 72 Stunden eine vollständige Benachrichtigung einreichen. Ein Abschlussbericht muss spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme für aktiv ausgenutzte Schwachstellen und innerhalb eines Monats für schwerwiegende Vorfälle vorgelegt werden.

Hersteller melden nur einmal über die CRA Single Reporting Platform (SRP). Die Meldung ist an das Computer Security Incident Response Team (CSIRT) gerichtet, in dem sie ihre Hauptniederlassung haben, und, sofern keine besonderen außergewöhnlichen Umstände vorliegen, werden die Informationen gleichzeitig der ENISA zur Verfügung gestellt. Das CSIRT, das die Meldung ursprünglich erhält, teilt die Meldung unverzüglich mit allen anderen CSIRTs, in deren Hoheitsgebiet das Produkt mit digitalen Elementen bereitgestellt wurde.

Unter außergewöhnlichen Umständen und aus berechtigten Gründen im Zusammenhang mit der Cybersicherheit kann das CSIRT beschließen, die Verbreitung an andere CSIRTs zu verzögern: Am 11. Dezember 2025 erließ die Kommission einen delegierten Rechtsakt, in dem die Modalitäten und Bedingungen für die Anwendung solcher Gründe im Zusammenhang mit der Cybersicherheit genauer festgelegt wurden.

Wann wird die zentrale Meldeplattform für Ratingagenturen fertiggestellt?

Gemäß Artikel 16 der Ratingagentur ist die ENISA mit der Einrichtung der zentralen Meldeplattform für Ratingagenturen (Single Reporting Platform, SRP) beauftragt.

Die ENISA hat eine öffentliche Ausschreibung durchgeführt und Dienstleistungen von einem Auftragnehmer beschafft, um die Entwicklung des SRP zu unterstützen.

Die einheitliche Meldeplattform wird bis zum 11. September 2026 (Datum des Inkrafttretens der Meldepflichten der Ratingagenturen) einsatzbereit sein. Funktions- und Sicherheitstests sind im Gange.

Wo können weitere Leitlinien zu Berichtspflichten gefunden werden?

Die ENISA unterhält eine FAQ zum CRA SRP, die unter diesem Link abrufbar ist.

Weitere Klarstellungen zu den Berichtspflichten sind auch in Abschnitt 9.1 der Leitlinien der Kommission zur Ratingagentur sowie in Abschnitt 5 der häufig gestellten Fragen der Kommission zur Umsetzung der Ratingagentur enthalten.

Einschlägige Kooperationsstellen

Referenzdokumente und Links

Häufig gestellte Fragen zur CRA-Umsetzung

Leitlinien der Kommission zur Ratingagentur

Häufig gestellte Fragen der ENISA zum CRA SRP

Delegierter Rechtsakt über CSIRTs, mit dem Meldungen zurückgehalten werden, die über die zentrale Meldeplattform zu verbreiten sind

3611 Artikel zu „IoT Sicherheit“

Effizienz | Industrie 4.0 | IT-Security | News | Trends 2025 | Trends Security

IoT und OT: Was 2025 für die Sicherheit von cyber-physischen Systemen bringt

14. Januar 2025

NIS2, Effizienzgewinne durch Security und die Cloud-Verbreitung in der Industrie. Und wieder liegt ein herausforderndes Jahr hinter uns. Die geopolitische Lage insbesondere in der Ukraine und im Nahen Osten ist weiterhin angespannt, während die innenpolitische Situation in den zwei stärksten Volkswirtschaften Europas derzeit ungewiss erscheint. All dies hat auch Auswirkungen auf die Cybersecurity. Schon…