Cyber Resilience Act: 45% der Industrieunternehmen unvorbereitet
Veröffentlicht am: 25.08.2026 um 12:44 Uhr | Redaktion boerse-global.de
Eine aktuelle Erhebung des Cybersicherheitsunternehmens ONEKEY unter 200 deutschen Industrieunternehmen zeigt einen massiven Nachholbedarf bei der Vorbereitung auf den Cyber Resilience Act (CRA) der Europäischen Union.
Laut den am 25. August 2026 veröffentlichten Ergebnissen sind 45 Prozent der befragten Unternehmen kaum oder gar nicht mit den neuen regulatorischen Anforderungen vertraut. Diese Intransparenz trifft die Branche zu einem kritischen Zeitpunkt, da bereits in Kürze erste verbindliche Fristen in Kraft treten.
Unkenntnis über Fristen und Compliance-Status
Der Kenntnisstand innerhalb der deutschen Wirtschaft hinsichtlich der Zeitpläne für den CRA ist nach den Daten der ONEKEY-Studie lückenhaft. Zwar gaben 43 Prozent der Unternehmen an, die erste Frist am 11. September 2026 zu kennen, doch gleichzeitig seien 60 Prozent der Befragten die darauf folgenden Fristen gänzlich unbekannt.
Der am 24. August 2026 veröffentlichte „ONEKEY IoT & OT Cybersecurity Report 2026“ ergänzt hierzu, dass insgesamt lediglich 46 Prozent der deutschen Unternehmen den CRA überhaupt kennen; nur 21 Prozent schätzten ihren Wissensstand als sehr gut ein.
Diese Wissensdefizite spiegeln sich im Grad der Vorbereitung wider. Den Studienergebnissen zufolge streben zwar 26 Prozent der Unternehmen an, die CRA-Konformität bis Ende des Jahres 2026 zu erreichen, doch zum aktuellen Zeitpunkt gelten lediglich 8 Prozent als bereits vollständig vorbereitet.
Besonders kritisch bewerten die Experten die Situation in der Zulieferkette: Nur 18 Prozent der Zulieferer seien derzeit CRA-konform. 13 Prozent der befragten Betriebe äußerten zudem die Befürchtung, die vollständige Compliance bis zum Stichtag am 11. Dezember 2027 nicht gewährleisten zu können.
Meldepflichten als zentrale Herausforderung
Als größte Hürde bei der Umsetzung identifizierten 62 Prozent der befragten Unternehmen die künftigen Meldepflichten. Gemäß Artikel 14 des CRA, der ab dem 11. September 2026 gilt, müssen Hersteller aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle innerhalb von nur 24 Stunden an die Europäische Agentur für Cybersicherheit (ENISA) melden. Detailliertere Informationen müssen nach 72 Stunden folgen, ein abschließender Bericht ist nach 14 Tagen fällig.
Wer sich mit den neuen gesetzlichen Anforderungen für Unternehmen befasst, erhält in diesem Report wichtige Einblicke in rechtliche Pflichten und aktuelle Bedrohungen. Gratis-Report zu neuen Gesetzen und Cyberrisiken anfordern
Diese Pflichten gelten für Hersteller von Produkten mit digitalen Elementen, was auch Maschinenbauer einschließt, die eigene Softwarelösungen integrieren. Betroffen sind neben Herstellern auch Importeure und Händler.
Eine Besonderheit stellt dabei die Einbeziehung von Altprodukten dar, sofern diese unter die Bestimmungen des Artikel 69 Absatz 3 fallen. Ausgenommen bleiben lediglich reine Webdienste. Um den Prozess zu zentralisieren, wurde bereits die „ENISA Single Reporting Platform“ eingerichtet.
Finanzielle Risiken und technische Anforderungen
Unternehmen, die den Anforderungen nicht nachkommen, riskieren empfindliche Sanktionen. Bei Verstößen gegen die Bestimmungen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Mitsubishi Electric warnte in diesem Zusammenhang Maschinenbauer eindringlich davor, die Vorbereitungen auf die im September 2026 startenden Meldepflichten zu vernachlässigen. Das Unternehmen unterstützt Betroffene in diesem Prozess in seiner Funktion als CVE Numbering Authority (CNA).
Angesichts steigender Risiken durch Cyberangriffe hilft eine fundierte Strategie, Sicherheitslücken proaktiv zu schließen und die eigene Firma langfristig abzusichern. Kostenloses E-Book mit Praxis-Checkliste jetzt sichern
Ein wesentlicher Bestandteil der technischen Umsetzung ist die Software-Stückliste (Software Bill of Materials, SBOM). Hier besteht laut der ONEKEY-Studie bei 30 Prozent der Unternehmen noch Klärungsbedarf. Für die künftige CE-Kennzeichnung, die nun auch Aspekte der Cybersicherheit abdeckt, gewinnt der Ansatz „Security-by-Design“ an Bedeutung.
Als technischer Rahmen dient hierfür die Norm IEC 62443-4-1. Experten weisen zudem darauf hin, dass die Integration von Künstlicher Intelligenz in Produkte zusätzliche Herstellerpflichten auslösen kann, insbesondere durch Risiken wie bösartige Modelle oder Prompt-Injection.
Unterstützungsangebote für die Wirtschaft
Um die Unternehmen bei der Umsetzung zu begleiten, bieten Wirtschaftsverbände kurzfristig Informationsveranstaltungen an. Der Deutsche Industrie- und Handelskammertag (DIHK) führt am 25. August 2026 ein Webinar zum Thema durch.
Eine weitere Webinarreihe des Bayerischen Industrie- und Handelskammertages (BIHK) startet ab dem 3. September 2026, um die verbleibende Zeit bis zum Inkrafttreten der ersten Regelungen für die Aufklärung der Betriebe zu nutzen.
