Illustration Absmeier foto ki designer

Der Cyber Resilience Act verschiebt Cybersicherheit im IoT von der technischen Kür zur unternehmerischen Pflicht. Für Hersteller vernetzter Produkte bedeutet das: Security-by-Design, belastbare Meldeprozesse und kontinuierliche Transparenz werden zu zentralen Voraussetzungen für Marktzugang, Compliance und operative Resilienz.

Management Summary

Der CRA macht Cybersicherheit zur Marktzugangsvoraussetzung:
Hersteller digitaler Produkte müssen Sicherheit künftig über den gesamten Lebenszyklus nachweisen.
Die Meldepflichten erhöhen den Handlungsdruck:
aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen strukturiert, schnell und nachvollziehbar gemeldet werden.
Security-by-Design wird zum Wettbewerbsfaktor:
sichere Standardkonfigurationen, Schwachstellenmanagement und Software-Transparenz sind keine Zusatzfunktionen mehr.
IoT-Hersteller müssen Resilienz technisch und organisatorisch verankern – von starker Authentifizierung über Anomalieerkennung bis zur laufenden Sichtbarkeit im Netzwerk.
Wer frühzeitig Prozesse, Produktarchitektur und Lifecycle-Support anpasst, reduziert Compliance-Risiken und stärkt zugleich Vertrauen bei Kunden und Partnern.

Am 11. September tritt die nächste Stufe des Cyber Resilience Act (CRA) in Kraft [1]. Ab diesem Zeitpunkt sind Hersteller verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle zu melden, die die Sicherheit von Produkten mit digitalen Elementen beeinträchtigen. Gemäß dem CRA muss die Cybersicherheit über den gesamten Produktlebenszyklus hinweg berücksichtigt werden, wodurch ein »Security-by-Design«-Ansatz für das IoT sowohl für die Einhaltung der Vorschriften als auch für die Betriebskontinuität entscheidend ist.

Trotz des Inkrafttretens dieser Verordnung scheinen viele Hersteller im Falle eines Angriffs nach wie vor unzureichend vorbereitet zu sein. Dadurch entsteht ein erhebliches Angriffsfenster. Laut des Device Security Threat Reports von Palo Alto Networks weist etwa jedes fünfte IoT-Gerät eine bekannte Sicherheitslücke auf und fast die Hälfte (48,2 %) der Verbindungen von IoT-Geräten zu internen IT-Geräten im Unternehmen stammt von High-Risk-IoT-Geräten [2]. Angesichts der baldigen Meldepflichten ist es für Hersteller nun entscheidend, diese Lücke zu schließen, um sowohl die Vorschriften einzuhalten als auch widerstandsfähig zu bleiben.

Iain Davidson, Leiter des Produktmarketings bei Wireless Logic, erklärt, was der CRA für IoT-Hersteller bedeutet und wie sich Unternehmen im Vorfeld auf die Verordnung vorbereiten können:

»Mit dem Wachstum des IoT in der Fertigungsindustrie müssen Regulierungsbehörden und Unternehmen berücksichtigen, dass IoT nur dann resilient sein kann, wenn es auch sicher ist [3]. Die enormen Mengen an wertvollen Daten, die IoT-Geräte erfassen und übertragen, sowie die Tatsache, dass viele dieser Geräte außerhalb der traditionellen IT-Sicherheitsperimeter betrieben werden, machen sie zu einem potenziell attraktiven und zugleich verwundbaren Ziel für Cyberangriffe.

Resilienz war für das IoT schon immer sehr wichtig. Mit dem Cyber Resilience Act wird sie jedoch zu einer strategischen Notwendigkeit, da Cybersicherheit künftig eine rechtliche Voraussetzung für den Verkauf vernetzter Produkte in Europa sein wird. Der CRA stellt sicher, dass Cybersicherheit nicht länger nachträglich berücksichtigt wird, sondern von Anfang an Teil der Produktentwicklung ist. In Zukunft müssen Hersteller bereits vor der CE-Kennzeichnung eine sichere Standardkonfiguration, Prozesse für den Umgang mit Schwachstellen und eine Software-Stückliste integrieren. Gleichzeitig müssen sie ihre Produkte über deren gesamten Lebenszyklus hinweg unterstützen, anstatt sie lediglich auf den Markt zu bringen und anschließend sich selbst zu überlassen. Das ist essenziell, da sich die grundlegenden Anforderungen des CRA auf den gesamten Produktlebenszyklus erstrecken: sichere Entwicklung, Umgang mit Schwachstellen und verpflichtende Sicherheitsupdates für die erwartete Produktlebensdauer.

Um sich auf diese neue Regulierung vorzubereiten, muss sich auch die Herangehensweise der Industrie an die IoT-Sicherheit verändern. Der Fokus sollte von Beginn an auf integrierter Resilienz liegen. Dazu zählt eine Konnektivität, die Sicherheit von Grund auf mitdenkt: starke Authentifizierung schützt den Zugang, Anomalieerkennung erkennt Auffälligkeiten frühzeitig, und kontinuierliche Transparenz macht das gesamte System jederzeit nachvollziehbar. So lässt sich sicherstellen, dass jedes Gerät in einem Netzwerk identifizierbar ist, vor einer Kompromittierung geschützt wird und die geltenden Anforderungen erfüllt.«

[1] https://digital-strategy.ec.europa.eu/de/policies/cra-reporting

[2] https://www.paloaltonetworks.com/resources/infographics/device-security-threat-2025

[3] https://wirelesslogic.com/iot-sim/network#:~:text=uptime%20with%20resilient%2C-,secure,-cellular%20connectivity%20solutions

FAQ: Cyber Resilience Act und IoT-Hersteller

Was ist der Cyber Resilience Act?
Der CRA ist ein EU-Rechtsrahmen, der Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt und Hersteller stärker in die Verantwortung nimmt.
Warum ist der CRA für IoT-Hersteller besonders relevant?
IoT-Geräte sind oft dauerhaft vernetzt, sammeln sensible Daten und befinden sich teilweise außerhalb klassischer IT-Sicherheitsperimeter.
Was bedeutet Security-by-Design in diesem Kontext?
Sicherheitsanforderungen werden bereits in Architektur, Entwicklung, Konfiguration und Betrieb eines Produkts integriert – nicht erst nachträglich ergänzt.
Welche Meldepflichten entstehen für Hersteller?
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen über definierte Prozesse gemeldet und dokumentiert werden.
Welche Rolle spielt die Software-Stückliste?
Eine Software Bill of Materials schafft Transparenz über eingesetzte Komponenten und erleichtert die Bewertung von Schwachstellen.
Was müssen Hersteller organisatorisch vorbereiten?
Sie benötigen klare Verantwortlichkeiten, Schwachstellenprozesse, Meldeketten, Update-Mechanismen und belastbare Dokumentation.
Wie lässt sich IoT-Resilienz technisch stärken?
Durch starke Authentifizierung, sichere Konnektivität, kontinuierliches Monitoring, Anomalieerkennung und nachvollziehbare Geräteidentitäten.
Welche Risiken entstehen bei verspäteter Vorbereitung?
Unternehmen riskieren Compliance-Probleme, längere Reaktionszeiten im Ernstfall, Vertrauensverlust und potenzielle Einschränkungen beim Marktzugang.
Ist der CRA nur ein Compliance-Thema?
Er betrifft Produktstrategie, Engineering, Betrieb, Kundenvertrauen und die langfristige Wettbewerbsfähigkeit vernetzter Lösungen.
Was ist der wichtigste erste Schritt?
Hersteller sollten ihre Produktportfolios, Sicherheitsprozesse und Lifecycle-Verantwortung systematisch gegen die CRA-Anforderungen prüfen.

Cyberresilienzgesetz – Berichtspflichten

Quelle: Cyberresilienzgesetz – Berichtspflichten | Gestaltung der digitalen Zukunft Europas

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, die sich auf die Sicherheit von Produkten mit digitalen Elementen auswirken.

Was sind die wichtigsten Regeln?

Die Ratingagentur verlangt von den Herstellern, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden, die sich auf die Sicherheit ihres Produkts mit digitalen Elementen auswirken. Sie müssen innerhalb von 24 Stunden nach Bekanntwerden eine Frühwarnung und innerhalb von 72 Stunden eine vollständige Benachrichtigung einreichen. Ein Abschlussbericht muss spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme für aktiv ausgenutzte Schwachstellen und innerhalb eines Monats für schwerwiegende Vorfälle vorgelegt werden.

Hersteller melden nur einmal über die CRA Single Reporting Platform (SRP). Die Meldung ist an das Computer Security Incident Response Team (CSIRT) gerichtet, in dem sie ihre Hauptniederlassung haben, und, sofern keine besonderen außergewöhnlichen Umstände vorliegen, werden die Informationen gleichzeitig der ENISA zur Verfügung gestellt. Das CSIRT, das die Meldung ursprünglich erhält, teilt die Meldung unverzüglich mit allen anderen CSIRTs, in deren Hoheitsgebiet das Produkt mit digitalen Elementen bereitgestellt wurde.

Unter außergewöhnlichen Umständen und aus berechtigten Gründen im Zusammenhang mit der Cybersicherheit kann das CSIRT beschließen, die Verbreitung an andere CSIRTs zu verzögern: Am 11. Dezember 2025 erließ die Kommission einen delegierten Rechtsakt, in dem die Modalitäten und Bedingungen für die Anwendung solcher Gründe im Zusammenhang mit der Cybersicherheit genauer festgelegt wurden.

Wann wird die zentrale Meldeplattform für Ratingagenturen fertiggestellt?

Gemäß Artikel 16 der Ratingagentur ist die ENISA mit der Einrichtung der zentralen Meldeplattform für Ratingagenturen (Single Reporting Platform, SRP) beauftragt.

Die ENISA hat eine öffentliche Ausschreibung durchgeführt und Dienstleistungen von einem Auftragnehmer beschafft, um die Entwicklung des SRP zu unterstützen.

Die einheitliche Meldeplattform wird bis zum 11. September 2026 (Datum des Inkrafttretens der Meldepflichten der Ratingagenturen) einsatzbereit sein. Funktions- und Sicherheitstests sind im Gange.

Wo können weitere Leitlinien zu Berichtspflichten gefunden werden?

Die ENISA unterhält eine FAQ zum CRA SRP, die unter diesem Link abrufbar ist.

Weitere Klarstellungen zu den Berichtspflichten sind auch in Abschnitt 9.1 der Leitlinien der Kommission zur Ratingagentur sowie in Abschnitt 5 der häufig gestellten Fragen der Kommission zur Umsetzung der Ratingagentur enthalten.

Einschlägige Kooperationsstellen

Referenzdokumente und Links

Häufig gestellte Fragen zur CRA-Umsetzung

Leitlinien der Kommission zur Ratingagentur

Häufig gestellte Fragen der ENISA zum CRA SRP

Delegierter Rechtsakt über CSIRTs, mit dem Meldungen zurückgehalten werden, die über die zentrale Meldeplattform zu verbreiten sind

3595 Artikel zu „IoT Sicherheit“

News | Trends 2025 | Trends Security | Effizienz | Industrie 4.0 | IT-Security

IoT und OT: Was 2025 für die Sicherheit von cyber-physischen Systemen bringt

14. Januar 2025

NIS2, Effizienzgewinne durch Security und die Cloud-Verbreitung in der Industrie. Und wieder liegt ein herausforderndes Jahr hinter uns. Die geopolitische Lage insbesondere in der Ukraine und im Nahen Osten ist weiterhin angespannt, während die innenpolitische Situation in den zwei stärksten Volkswirtschaften Europas derzeit ungewiss erscheint. All dies hat auch Auswirkungen auf die Cybersecurity. Schon…