Cyber Resilience Act: Neue Pflichten für Hersteller ab 11. Dezember 2027
Veröffentlicht am: 20.10.2026 um 05:43 Uhr | Redaktion boerse-global.de
Hersteller von industriellen Maschinen und Netzwerklösungen richten ihre Entwicklungs- und Produktionsprozesse verstärkt an etablierten Sicherheitsstandards aus. Wie aktuelle Branchenberichte zeigen, bereiten sich Unternehmen intensiv auf die regulatorischen Anforderungen des europäischen Cyber Resilience Act vor.
Im Zentrum der praktischen Umsetzung steht dabei vor allem die internationale Normenreihe IEC 62443, mit deren Hilfe Firmen ihre Produkte und Prozesse widerstandsfähig gegen digitale Angriffe machen wollen.
Gesetzliche Weichenstellungen in Deutschland und der EU
Auf politischer Ebene schreitet die gesetzliche Verankerung der Vorgaben voran. Der Deutsche Bundestag nahm am 15. Oktober 2026 das Gesetz zur Durchführung der Verordnung (EU) 2024/2847 an.
Grundlage war eine Beschlussempfehlung des Innenausschusses vom 14. Oktober 2026. Das Vorhaben erhielt die Zustimmung von CDU/CSU, SPD und Bündnis 90/Die Grünen, während die AfD dagegen stimmte und sich die Linke enthielt.
Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) vom 16. Oktober 2026 steht noch die Befassung im Bundesrat aus, dessen nächste Plenarsitzung für den 20. November 2026 angesetzt ist.
Die im Gesetzestext vorgenommene Änderung betrifft das Inkrafttreten: Die Rollen des BSI als nationales CSIRT und notifizierende Behörde greifen unmittelbar am Tag nach der Verkündung. Die übrigen Teile treten zum 11. Dezember 2027 in Kraft.
Wer sich mit der Absicherung industrieller Prozesse befasst, muss auch die neuen gesetzlichen Rahmenbedingungen auf EU-Ebene im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Ab diesem Stichtag greifen Marktüberwachungs- und Beschwerdestellen, Reallabore zur Unterstützung von kleinen und mittleren Unternehmen sowie Bußgeldvorschriften, für die das BSI zuständig ist. Eine begleitende Entschließung sieht vor, Netzwerkrouter vorrangig zu kontrollieren.
Im europäischen Vergleich haben Finnland, Ungarn und Malta die nationale Umsetzung bereits abgeschlossen, während Gesetzgebungsverfahren unter anderem in den Niederlanden, Frankreich und der Slowakei laufen.
Hersteller passen Prozesse an IEC 62443 an
In der industriellen Praxis treiben Automatisierungs- und Netzwerkexperten ihre Anpassungen voran. Advantech und DEKRA unterzeichneten am 16. Oktober 2026 eine Absichtserklärung, um die Cybersicherheit von industriellen IoT-Geräten im Hinblick auf die EU-Verordnung zu stärken.
Die Zusammenarbeit stützt sich auf Anforderungen der IEC 62443 bezüglich sicherer Systemarchitekturen und Zugriffskontrollen, stellt jedoch keine automatische Produktzertifizierung dar.
Angesichts der zunehmenden digitalen Vernetzung in der Produktion wird ein proaktiver Schutz vor Angriffen für Unternehmen jeder Größe überlebenswichtig. Das Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit ohne teure Investitionen stärken
Auch Komponentenhersteller vollziehen diesen Schritt: NORD DRIVESYSTEMS hat seine internen Abläufe angepasst und strebt die volle Produktkonformität bis zum 11. Dezember 2027 an. Das Unternehmen klassifizierte vier Inverter-Familien – NORDAC ON, NORDAC LINK, NORDAC FLEX und NORDAC PRO – nach IEC 62443-4-2 Security Level 1 und richtet seine Entwicklungsfahrpläne samt Software-Stücklisten und Schwachstellenportal nach IEC 62443-4-1 aus.
Euchner zertifizierte seinen Entwicklungsprozess seit Anfang 2026 nach IEC 62443-4-1, richtete ein eigenes Sicherheitsreaktionsteam ein und kooperiert mit CERT@VDE. HMS Networks stellte ein Informationsangebot samt Checklisten für industrielle Netzwerkgeräte bereit. Weidmüller wiederum adressiert die regulatorischen Herausforderungen auf Fachmessen mit Beratungsleistungen für Engineering und Cybersicherheit.
Laufende Pflichten und Verbandsforderungen
Bestimmte Vorgaben der Verordnung greifen bereits vor der vollständigen Anwendung Ende 2027: Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Hersteller – auch solche mit Sitz außerhalb der Europäischen Union, die Waren im Binnenmarkt platzieren – müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über eine zentrale Plattform an die ENISA und zuständige CSIRTs melden.
Vorgesehen ist ein dreistufiger Prozess mit einer Frühwarnung binnen 24 Stunden, einer Meldung innerhalb von 72 Stunden und einem abschließenden Bericht.
Aufseiten der Standardisierung meldete das europäische Normungsinstitut ETSI am 13. August 2026 Entwürfe für vertikale Normen. Der Digitalverband Bitkom warnt indessen vor drohenden Engpässen bei den Prüfstellen und fordert eine zweijährige Übergangsfrist, sollten harmonisierte Normen bis zum 11. Dezember 2026 nicht im Amtsblatt der Europäischen Union veröffentlicht sein. Allein in Tschechien schätzt die Cybersicherheitsbehörde NÚKIB die Zahl der betroffenen Betriebe auf bis zu 75.000.
