Cyber Resilience Act wird zur Herausforderung für KMU
Der Cyber Resilience Act (CRA) ist seit Dezember 2024 in Kraft und stellt kleine und mittlere Unternehmen vor neue Herausforderungen. Ab September 2026 greifen die ersten Meldepflichten, doch die staatliche Unterstützung für KMU bleibt begrenzt. Verbände wie TeleTrusT kritisieren bereits, dass die vorgesehene Hilfe weit hinter dem tatsächlichen Bedarf zurückbleibt.
Anders als bei anderen Regularien wie NIS-2 gibt es beim CRA keine größenabhängigen Ausnahmen. Alle Hersteller, Importeure und Händler von Produkten mit digitalen Elementen – von Software über Hardware bis hin zu IoT-Geräten – müssen umfassende Cybersicherheitsmaßnahmen umsetzen. Dabei trägt die Geschäftsführung persönliche Haftung im Ernstfall.
Staatliche Unterstützung bleibt unzureichend
Der aktuelle Referentenentwurf zum CRA-Durchführungsgesetz zeigt die Dimensionen des Problems auf: Der Staat plant lediglich 1,28 Millionen Euro jährlich für die Unterstützung ein. Zum Vergleich: Das NIS2-Gesetz sah allein für Schulungen in der Bundesverwaltung das Vierfache vor. Diese Unterstützungslücke macht deutlich, dass KMU die Umsetzung selbst in die Hand nehmen müssen.
Das regulatorische Fenster schließt sich bereits: Unternehmen haben nur noch wenige Monate Zeit, bis die ersten harten Pflichten greifen. Wer bis September 2026 nicht bereit ist, riskiert erhebliche Konsequenzen.
Fünf Schritte zur CRA-Readiness
Schritt 1: Betroffenheit klären
Jedes Produkt, das sich direkt oder indirekt mit einem Gerät oder einem Netzwerk verbinden kann, fällt unter den CRA. Dies gilt sowohl für IoT-Geräte als auch für reine Softwareprodukte, unabhängig davon, ob tatsächlich eine Verbindung hergestellt wird. Nicht betroffen sind SaaS-Lösungen und Open-Source-Komponenten. Unternehmen müssen zunächst eine vollständige Bestandsaufnahme ihrer Produkte durchführen.
Schritt 2: Meldeprozesse aufbauen
Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gemeldet werden. Der Zeitplan ist dabei eng getaktet:
- Erstmeldung innerhalb von 24 Stunden
- Folgemeldung innerhalb von 72 Stunden
- Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme
Unternehmen, die noch keine internen Prozesse für Schwachstellenmanagement und Incident Response haben, müssen diese jetzt etablieren – nicht als IT-Projekt, sondern als Betriebsthema.
Schritt 3: Security by Design verankern
Der CRA verlangt, dass Sicherheit von Beginn an Teil der Produktentwicklung ist. Die größten Lücken entstehen dort, wo Architekturentscheidungen zu Authentifizierung, Datenflusskontrolle und Mandantenfähigkeit ohne explizite Security-Perspektive getroffen werden. KMU müssen keinen perfekten Prozess anstreben, aber einen nachweisbaren und dokumentierten Ansatz entwickeln.
Schritt 4: Lieferkette und Open-Source-Abhängigkeiten inventarisieren
Viele Produkte bestehen heute aus einer Kombination aus Eigenentwicklung, Open-Source-Bibliotheken, Cloud-Diensten und Drittkomponenten. Der CRA adressiert genau diese Risiken: Hersteller tragen die Verantwortung auch für eingebettete Komponenten Dritter. Eine Software Bill of Materials (SBOM) – eine strukturierte Übersicht aller verwendeten Softwarebestandteile – ist das zentrale Werkzeug, um Transparenz herzustellen und im Ernstfall handlungsfähig zu bleiben.
Schritt 5: Fördermöglichkeiten nutzen
Die EU stellt mit dem Programm SECURE insgesamt 16,5 Millionen Euro als direkte finanzielle Unterstützung für KMU bereit, die Produkte mit digitalen Elementen herstellen, entwickeln oder vertreiben. Förderfähig sind unter anderem Risikoanalysen, Penetrationstests und Sicherheitsbewertungen. Antragsberechtigt sind Unternehmen mit weniger als 250 Mitarbeitern und bis zu 50 Millionen Euro Jahresumsatz.
Regulierung als Wettbewerbsvorteil begreifen
Die CRA-Anforderungen eröffnen auch strategische Chancen. Wer CRA-konform ist, wird zum bevorzugten Partner in Lieferketten, in denen Auftraggeber künftig auf nachweisbare Sicherheitsstandards bestehen müssen. Umgekehrt droht der Verlust von Aufträgen für alle, die nicht liefern können.
Ari Albertini, CEO von FTAPI, betont: "Die neuen Regularien zwingen Unternehmen, Cybersicherheit strategisch zu denken. Das ist der Moment, in dem sich entscheidet, wer in den nächsten Jahren noch als verlässlicher Technologiepartner wahrgenommen wird. KMU, die jetzt handeln, kaufen sich einen Vorsprung, den andere nicht mehr aufholen können."
Ausblick: Ende einer Ära der freiwilligen Cybersicherheit
Der CRA markiert das Ende einer Ära, in der Cybersicherheit ausschließlich ein Thema für Spezialisten war. Das BSI hat bereits die Leitung der europäischen Marktüberwachung AdCo CRA übernommen, wobei Anna Schwendicke diese Aufgabe verantwortet. Unternehmen, die Sicherheit als operative und strategische Selbstverständlichkeit begreifen, schützen nicht nur ihre Produkte, sondern sichern auch ihre langfristige Marktfähigkeit in einem regulierten Europa.
Die Zeit für freiwillige Maßnahmen läuft ab. KMU müssen jetzt handeln, um bis September 2026 die notwendige CRA-Readiness aufzubauen. Wer wartet, riskiert nicht nur Compliance-Probleme, sondern auch den Verlust wichtiger Marktchancen in einer zunehmend sicherheitsbewussten digitalen Wirtschaft.
