Mit dem Cyber Resilience Act verschärft die EU die Anforderungen an die Sicherheit digitaler Produkte deutlich. Für Unternehmen bedeutet das nicht nur neue Meldepflichten ab September 2026, sondern auch eine stärkere Verankerung von Cybersicherheit auf Managementebene – unabhängig von Unternehmensgröße oder Branche.
Foto: FTAPI Software
Ari Albertini – CEO bei FTAPI
Der Cyber Resilience Act (CRA) ist seit Ende 2024 in Kraft, doch seine praktische Relevanz nimmt erst mit den kommenden Fristen deutlich zu. Insbesondere kleine und mittlere Unternehmen stehen vor der Herausforderung, regulatorische Anforderungen in bestehende Prozesse zu integrieren. Gleichzeitig zeigt sich, dass staatliche Unterstützungsmaßnahmen begrenzt bleiben, während die Verantwortung für die Umsetzung klar bei den Unternehmen selbst liegt.
Mit Blick auf die bevorstehenden Meldepflichten ab September 2026 wird deutlich, dass Cybersicherheit nicht mehr ausschließlich als technische Disziplin betrachtet werden kann. Vielmehr entwickelt sie sich zu einem integralen Bestandteil von Governance, Risikomanagement und strategischer Unternehmensführung.
Der CRA verpflichtet Hersteller, Importeure und Händler digitaler Produkte zu umfassenden Cybersicherheitsmaßnahmen. Anders als bei anderen Regulierungen gibt es keine Ausnahmen für kleinere Unternehmen. Alle Anbieter von Software, Hardware oder IoT-Produkten müssen die Vorgaben erfüllen, sobald ihre Produkte in der EU vertrieben werden.
Damit verschiebt sich die Verantwortung deutlich in Richtung Management. Im Ernstfall kann die Geschäftsführung haftbar gemacht werden, was die Bedeutung des Themas auf oberster Ebene unterstreicht. Gleichzeitig bleibt die öffentliche Unterstützung begrenzt. Laut aktuellem Referentenentwurf sind jährlich 1,28 Millionen Euro vorgesehen, was im Vergleich zu anderen Initiativen als gering bewertet wird.
Ein zentraler Aspekt des CRA sind verbindliche Meldepflichten für Sicherheitsvorfälle. Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle innerhalb klar definierter Fristen gemeldet werden. Dazu zählen eine Erstmeldung innerhalb von 24 Stunden, eine Folgemeldung nach 72 Stunden sowie ein Abschlussbericht innerhalb von 14 Tagen nach Verfügbarkeit einer Lösung.
Diese Vorgaben erfordern belastbare organisatorische Strukturen über die IT hinaus. Prozesse für Schwachstellenmanagement und Incident Response müssen unternehmensweit abgestimmt sein, um die regulatorischen Anforderungen fristgerecht erfüllen zu können.
Neben den regulatorischen Pflichten eröffnet der CRA auch neue Perspektiven im Wettbewerb. Unternehmen, die die Anforderungen erfüllen, können sich als verlässliche Partner in zunehmend sicherheitskritischen Lieferketten positionieren. Gleichzeitig steigt der Druck auf Anbieter, die entsprechende Nachweise nicht erbringen können.
„Die neuen Regularien zwingen Unternehmen, Cybersicherheit strategisch zu denken”, sagt Ari Albertini, CEO von FTAPI. „Das ist der Moment, in dem sich entscheidet, wer in den nächsten Jahren noch als verlässlicher Technologiepartner wahrgenommen wird. KMU, die jetzt handeln, kaufen sich einen Vorsprung, den andere nicht mehr aufholen können.“
Der CRA markiert damit einen Wandel: Cybersicherheit wird von einer operativen Aufgabe zu einem zentralen Element der Unternehmensstrategie und beeinflusst zunehmend Marktchancen und Wettbewerbsfähigkeit.
