CRA-Bewusstsein: Cybersicherheit wird zur Produktanforderung

Der EU Cyber Resilience Act, bekannt als CRA, führt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein. Er trat am 10. Dezember 2024 in Kraft. Die Hauptpflichten gelten ab 11. Dezember 2027, während die Pflicht zur Meldung von Schwachstellen bereits früher gilt, ab 11. September 2026. (Digital Strategy)

Dies ist ein grosser Wandel für Hersteller, Softwareanbieter, Importeure, Händler und Unternehmen, die digitale Produkte auf dem EU-Markt platzieren. Cybersicherheit ist nicht mehr nur eine Aufgabe der Unternehmens-IT. Sie wird zu einer Pflicht über den gesamten Produktlebenszyklus.

Der CRA verlangt von Unternehmen, Secure Design, Schwachstellenmanagement, Sicherheitsupdates, Dokumentation, Konformität, Incident-Reporting und Post-Market-Monitoring mitzudenken. Für Software und vernetzte Produkte bedeutet dies, dass Sicherheit von der Konzeption über Entwicklung, Release und Wartung bis zum End-of-Life eingebettet sein muss.

Produktteams sollten jetzt mit der Vorbereitung beginnen. Wer bis kurz vor den Compliance-Fristen wartet, erzeugt unnötigen Druck — besonders bei komplexen Produktportfolios oder Legacy-Software.

Ein praktischer Readiness-Ansatz umfasst Produkt-Scoping, Gap-Assessment, eine Überprüfung des Secure Development Lifecycle, Prozesse zur Offenlegung von Schwachstellen, Update-Mechanismen, technische Dokumentation, Reviews der Lieferantenabhängigkeiten und eine klare Verantwortung auf Führungsebene.

Der CRA verändert auch die Erwartungen der Kunden. Käufer werden zunehmend fragen, ob digitale Produkte secure by design, unterstützt, patchbar und compliant sind.

Kernaussage: Der CRA macht Cybersicherheit zu einem Teil der Produktqualität. Sichere Produkte werden zur Markterwartung, nicht zum Differenzierungsmerkmal.