Cyber Resilience Act: Nur 29 Prozent der Unternehmen kennen die Auswirkungen
Seit September 2026 gelten erste Meldepflichten des Cyber Resilience Act. Doch eine aktuelle Bitkom-Befragung zeigt: Viele Unternehmen kennen die Anforderungen noch nicht ausreichend. Was jetzt wichtig ist und welche Kompetenzen für die Umsetzung benötigt werden.
Der Cyber Resilience Act (CRA) bringt neue Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen. Seit dem 11. September 2026 gelten erste Meldepflichten für Hersteller. Doch viele Unternehmen sind auf die neuen Vorgaben noch nicht ausreichend vorbereitet. Eine repräsentative Bitkom-Befragung vom 10. September 2026 zeigt deutlichen Informationsbedarf.
Die wichtigsten Zahlen zum Cyber Resilience Act
- 67 Prozent der Unternehmen haben bereits vom Cyber Resilience Act gehört.
- 29 Prozent wissen, welche Auswirkungen die Verordnung auf ihr eigenes Unternehmen hat.
- 38 Prozent kennen den CRA, können seine Bedeutung für das eigene Unternehmen jedoch nicht einschätzen.
Die Ergebnisse verdeutlichen die Herausforderung: Die Bekanntheit einer Regulierung bedeutet noch nicht, dass Unternehmen ihre konkreten Pflichten kennen oder bereits geeignete Prozesse eingerichtet haben.
Welche Pflichten gelten seit September 2026?
Der CRA verpflichtet Hersteller betroffener digitaler Produkte, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle unter den gesetzlichen Voraussetzungen zu melden. Dabei gelten insbesondere folgende Fristen:
- 24 Stunden: Erste Meldung nach Bekanntwerden einer meldepflichtigen Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls.
- 72 Stunden: Ergänzende Meldung mit weiterführenden Informationen.
- 11. Dezember 2027: Beginn der Anwendung der wesentlichen weiteren Anforderungen des CRA.
Zu diesen Anforderungen gehören unter anderem die Berücksichtigung von Cybersicherheit bei der Produktentwicklung, der Umgang mit Schwachstellen und die Sicherheit während des Produktlebenszyklus.
Was sollten Unternehmen jetzt tun?
Für betroffene Unternehmen ist eine frühzeitige Auseinandersetzung mit den gesetzlichen und organisatorischen Anforderungen entscheidend. Dazu gehören insbesondere:
- Prüfen, welche Produkte und Unternehmensbereiche vom CRA betroffen sind.
- Verantwortlichkeiten für Cybersicherheit und Schwachstellenmanagement festlegen.
- Interne Meldeprozesse und Reaktionszeiten überprüfen.
- Fachliche Kompetenzen zu IT-Sicherheit und regulatorischen Anforderungen aufbauen.
Mit Weiterbildung auf regulatorische Anforderungen vorbereiten
Die Bitkom Akademie unterstützt Fach- und Führungskräfte dabei, regulatorische Entwicklungen einzuordnen und IT-Sicherheitsrisiken systematisch zu bewerten. Passende Weiterbildungsangebote sind:
- IT-Risk Manager: IT-Risiken erkennen, bewerten und wirksame Risikomanagementprozesse etablieren.
- Weiterbildungen zu Recht & Regulierung: Regulatorische Anforderungen verstehen und für die Unternehmenspraxis einordnen.
Die aktuellen Zahlen zeigen: Der Cyber Resilience Act ist längst mehr als ein zukünftiges Regulierungsthema. Unternehmen müssen ihre Betroffenheit bewerten und rechtliche Anforderungen in konkrete Sicherheitsprozesse übersetzen.
Quelle: Bitkom, „Cyber Resilience Act: Nur 3 von 10 Unternehmen sind vorbereitet“, 10. September 2026. Repräsentative Befragung von 1.003 Unternehmen ab 10 Beschäftigten und mindestens einer Million Euro Jahresumsatz. Ergänzende Informationen zu Fristen: Europäische Kommission.
