Der Cyber Resilience Act der EU ist seit Oktober 2024 in Kraft und tritt schrittweise bis 2027 vollständig in Anwendung. Das Gesetz stellt neue Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen, also an Hard- und Software, die vernetzt sind oder Daten verarbeiten. Die IHK München hat bayerische Unternehmen auf die konkreten Pflichten hingewiesen. Was müssen Betriebe wissen und tun?
Was der Cyber Resilience Act verlangt
Der CRA verpflichtet Hersteller und Importeure von vernetzten Produkten, Cybersicherheit von Anfang an mitzudenken. Das betrifft eine riesige Bandbreite: von industriellen Steuerungen über smarte Haushaltsgeräte bis zu Software-as-a-Service-Angeboten. Konkret müssen Produkte nach dem Stand der Technik gegen bekannte Schwachstellen abgesichert sein, Sicherheitsupdates über den gesamten Produktlebenszyklus bereitgestellt werden und Schwachstellen innerhalb von 24 Stunden an die zuständige EU-Behörde gemeldet werden.
Produkte, die unter den CRA fallen, benötigen ab Anwendungsdatum eine CE-Kennzeichnung für Cybersicherheit. Wer das nicht nachweisen kann, darf das Produkt nicht mehr auf dem EU-Markt verkaufen. Die Bußgelder bei Verstößen sind erheblich: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Wer in Bayern besonders betroffen ist
Bayern ist mit seiner starken Industrie und vielen mittelständischen Technologieunternehmen besonders betroffen. Maschinenbauer, die vernetzte Anlagen liefern, Automatisierungsunternehmen, IoT-Hersteller und Softwareentwickler für industrielle Anwendungen stehen im Fokus. Aber auch Importeure von vernetzten Produkten aus Drittstaaten tragen Pflichten, wenn sie die Produkte auf dem EU-Markt in Verkehr bringen.
Für viele mittelständische Betriebe ist das Thema neu. Der CRA unterscheidet sich vom KRITIS-Dachgesetz, das auf Betreiber kritischer Infrastruktur abzielt. Der CRA richtet sich an Hersteller und Importeure von Produkten. Beide Gesetze können einen Betrieb gleichzeitig betreffen. Den KRITIS-Kontext beleuchtet der Artikel KRITIS-Dachgesetz: Was bayerische Unternehmen wissen müssen.
Was Betriebe jetzt konkret tun sollten
Erstens: Bestandsaufnahme aller Produkte, die unter den CRA fallen könnten. Welche Produkte stellt das Unternehmen her oder importiert es? Haben diese digitale Elemente, sind sie vernetzbar? Zweitens: Lückenanalyse der aktuellen Cybersicherheitsmaßnahmen im Vergleich zu den CRA-Anforderungen. Drittens: Prozesse für Schwachstellenmeldung und Update-Bereitstellung aufbauen. Das ist technisch und organisatorisch aufwendig und sollte nicht auf den letzten Drücker angegangen werden.
Die IHK München bietet Beratung und Informationsveranstaltungen zum CRA an. Wer früh handelt, vermeidet Stresssituationen kurz vor den Stichtagen und kann den CRA als Qualitätsmerkmal gegenüber Kunden kommunizieren. Den allgemeinen Cybersicherheitsrahmen für Betriebe zeigt der Artikel Mindestens jeder fünfte Betrieb in Bayern war Ziel eines Cyberangriffs.
Quelle: Zusammenfassung nach Angaben der IHK für München und Oberbayern, Pressemitteilung vom 12. August 2026 unter https://www.ihk-muenchen.de
Bildquellen
- datacenter-serverracks-cyber-resilience-act: Wikimedia Commons