Cyber Resilience Act: EU schafft Klarheit für IT-Sicherheitschecks

Der Cyber Resilience Act führt verbindliche Sicherheitsprüfungen für digitale Produkte in der EU ein. Ein neuer Leitfaden soll Unternehmen bei der Umsetzung helfen, bei Verstößen drohen hohe Bußgelder.

Die Ära freiwilliger IT-Sicherheitsstandards in Europa geht zu Ende. Mit dem Cyber Resilience Act (CRA) führt die EU verbindliche, unabhängige Sicherheitsbewertungen für digitale Produkte ein. Diese Woche hat die Kommission den ersten Praxis-Leitfaden veröffentlicht – und startet den Countdown für Hersteller.

Anzeige

Angesichts der neuen EU-Vorgaben und verschärfter Gesetze stehen viele Geschäftsführer vor der Herausforderung, ihre IT-Sicherheit ohne Budget-Explosion zu stärken. Dieser Experten-Report enthüllt effektive Strategien und praktische Schutzmaßnahmen für mittelständische Unternehmen. Cyber Security Strategien für 2024 kostenlos herunterladen

Leitfaden entlastet vor allem den Mittelstand

Am 3. März 2026 veröffentlichte die Europäische Kommission ihren Entwurf für die praktische Anwendung des CRA. Bis zum 31. März können Wirtschaftsakteure dazu Stellung nehmen. Der Leitfaden soll vor allem kleinen und mittleren Unternehmen die Compliance erleichtern. Er klärt zentrale Fragen: Welche Produkte müssen zwingend von unabhängiger Stelle geprüft werden? Wie sind Cloud-Lösungen oder Open-Source-Software zu behandeln?

Ein neuer Schlüsselbegriff ist die verbindliche Unterstützungsdauer. Hersteller müssen künftig explizit festlegen, wie lange sie Sicherheitslücken in ihren Produkten und Komponenten aktiv beheben. Das schafft Planungssicherheit für Verbraucher und Geschäftskunden.

ENISA baut Zertifizierungs-Infrastruktur aus

Damit die Prüfungen überhaupt durchgeführt werden können, muss die Infrastruktur wachsen. Die EU-Agentur für Cybersicherheit (ENISA) hat am 4. März eine neue Ausschreibung für Unterstützungsdienstleistungen gestartet. ENISA sucht technische Expertise, um Prüfanforderungen zu formulieren, nationale Standards zu analysieren und Testwerkzeuge zu entwickeln.

Parallel laufen Pilotprojekte, um bestehende Schutzprofile an die neuen Vorgaben anzupassen. Diese sollen bis Mitte 2026 abgeschlossen sein. Ziel ist eine einheitliche Methodik, die Prüfer in allen Mitgliedstaaten gleichermaßen anwenden können.

Erstes EUCC-Zertifikat durch das BSI erteilt

Der CRA ist eng mit dem neuen EUCC-Zertifizierungsschema verknüpft. Es ersetzt nationale Einzellösungen durch einen einheitlichen europäischen Standard. Ein Meilenstein gelang im Januar 2026: Die Prüfstelle TÜV Informationstechnik schloss die erste EUCC-Bewertung für einen hochsicheren Smartcard-Controller ab. Das Zertifikat erteilte das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Das neue Schema setzt auf einen Multi-Assurance-Ansatz. Statt eines pauschalen Sicherheitsniveaus werden Anforderungen in Untergruppen zerlegt. Jede Komponente eines komplexen Produkts erhält so ein detailliertes Vertrauenslevel. Für als „hochkritisch“ eingestufte Produkte unter dem CRA wird dieser transparente Ansatz unverzichtbar sein.

Anzeige

Da die EU-KI-Verordnung bereits in Kraft ist und neue Dokumentationspflichten vorschreibt, riskieren viele Unternehmen unwissentlich Bußgelder. Dieser kostenlose Leitfaden erklärt verständlich die Risikoklassen sowie Kennzeichnungspflichten und hilft Ihnen bei der sofortigen Umsetzung. Gratis E-Book zur EU-KI-Verordnung sichern

Hohe Strafen und enge Fristen zwingen zum Handeln

Die wirtschaftlichen Folgen der neuen Pflichten sind erheblich. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Die Entwicklungszyklen sind lang – Unternehmen müssen ihre Prozesse daher sofort anpassen.

Die Zeit drängt:
* 11. Juni 2026: Der Rechtsrahmen für die Benennung unabhängiger Konformitätsbewertungsstellen tritt in Kraft.
* 11. September 2026: Strikte Meldepflichten für ausgenutzte Sicherheitslücken und Vorfälle beginnen.
* 11. Dezember 2027: Die volle CRA-Verordnung, inklusive der Pflichtzertifizierung hochkritischer Produkte, gilt.

Wettbewerbsvorteil durch frühe Anpassung

Die Umstellung erfordert einen massiven Ausbau der Prüfkapazitäten. Die Zahl der digitalen Produkte auf dem EU-Markt übersteigt die Kapazitäten der zertifizierten Stellen bei weitem. Wer zu lange wartet, riskiert Engpässe und den Verlust des Marktzugangs.

Doch die Harmonisierung birgt auch Chancen. Sie beendet den Flickenteppich nationaler Vorschriften. Unternehmen, die die strengen europäischen Anforderungen proaktiv umsetzen, könnten sich einen deutlichen Wettbewerbsvorteil sichern. In einer zunehmend sicherheitsbewussten digitalen Wirtschaft werden sie als vertrauenswürdige Anbieter dastehen. Die Kommission will den finalen Leitfaden nach Auswertung der Konsultation noch im zweiten Quartal 2026 vorlegen.