Cyber Resilience Act im Mittelstand

Cyber Resilience Act im Mittelstand: Warum KMU jetzt handeln müssen

Management-Zusammenfassung

Der Cyber Resilience Act verändert die Anforderungen an die Cybersicherheit digitaler Produkte grundlegend. Erstmals gelten in der Europäischen Union verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Betroffen sind nicht nur klassische Softwareunternehmen oder Hersteller von IT-Produkten. Auch Maschinenbauer, Anlagenhersteller, Anbieter vernetzter Komponenten und viele andere mittelständische Unternehmen können in den Anwendungsbereich fallen.

Für die Geschäftsführung ergibt sich daraus eine klare Managementaufgabe.

Unternehmen müssen klären, welche Produkte betroffen sind, welche Rolle sie in der Wertschöpfungskette einnehmen und welche organisatorischen, technischen und finanziellen Maßnahmen notwendig sind.

Der Zeitplan erhöht den Handlungsdruck: Ab dem 11. September 2026 gelten die Meldepflichten für bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Ab dem 11. Dezember 2027 müssen die umfassenden Anforderungen des Cyber Resilience Act eingehalten werden.

Wer erst 2027 mit der Umsetzung beginnt, riskiert Zeitdruck, steigende Kosten und erhebliche Schwierigkeiten bei der Anpassung bestehender Entwicklungs-, Produkt- und Schwachstellenmanagementprozesse.

Für KMU sollte deshalb jetzt gelten:

• Betroffenheit und Produktportfolio systematisch prüfen.

• Verantwortlichkeiten auf Managementebene festlegen.

• bestehende Prozesse und Sicherheitsmaßnahmen analysieren.

• Ressourcen und Budgets realistisch planen.

• Schwachstellenmanagement und Meldeprozesse vorbereiten.

• Cybersicherheit dauerhaft in Produktentwicklung und Produktlebenszyklus integrieren.

Der Cyber Resilience Act sollte dabei nicht ausschließlich als zusätzliche Compliance-Anforderung verstanden werden. Unternehmen, die Produktsicherheit systematisch organisieren, können Risiken reduzieren, Kundenvertrauen stärken und Cybersicherheit zu einem Wettbewerbsvorteil entwickeln.

Warum der Cyber Resilience Act für KMU jetzt wichtig ist

Die Digitalisierung hat die Produktwelt verändert.

Maschinen kommunizieren mit Cloud-Plattformen. Produktionsanlagen werden aus der Ferne gewartet. Steuerungskomponenten erhalten Software-Updates. Sensoren, mobile Anwendungen und eingebettete Software sind Bestandteil moderner Produkte.

Damit entstehen neue Geschäftsmodelle, aber auch neue Angriffsflächen.

Genau hier setzt der Cyber Resilience Act an. Er verpflichtet Hersteller und weitere Wirtschaftsakteure dazu, Cybersicherheit nicht erst nach einem Sicherheitsvorfall zu berücksichtigen, sondern über den gesamten Lebenszyklus eines Produkts systematisch zu organisieren.

Für mittelständische Unternehmen ist das besonders relevant. Viele KMU entwickeln seit Jahren hochwertige technische Produkte und verfügen über etablierte Qualitätsmanagement-, Entwicklungs- und CE-Prozesse.

Ein systematisches Product Security Management oder ein durchgängiger Prozess zur Behandlung von Schwachstellen ist dagegen häufig noch nicht in vergleichbarer Weise etabliert.

Der Cyber Resilience Act verändert damit die Perspektive:

Cybersicherheit wird zu einer Voraussetzung für den Marktzugang digitaler Produkte.

Der CRA erfasst grundsätzlich Produkte mit digitalen Elementen, die auf dem europäischen Markt bereitgestellt werden und direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. Dazu gehören Hardwareprodukte ebenso wie Software.

Für Unternehmen bedeutet das: Die Frage nach der Betroffenheit darf nicht allein an die IT-Abteilung delegiert werden.

Geschäftsführung, Produktmanagement, Entwicklung, Informationssicherheit, Qualitätsmanagement, Einkauf, Recht und Compliance müssen gemeinsam klären, welche Produkte betroffen sind und welche Pflichten daraus entstehen.

Der erste Schritt: Betroffenheit und Handlungsdruck klären

Bevor Unternehmen Projekte starten oder Budgets freigeben, benötigen sie Transparenz.

Eine strukturierte Betroffenheitsprüfung sollte deshalb am Anfang jeder CRA-Umsetzung stehen.

Dabei sind insbesondere folgende Fragen zu beantworten:

• Welche Produkte des Unternehmens enthalten digitale Elemente?

• Können diese Produkte direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden werden?

• Werden die Produkte auf dem europäischen Markt bereitgestellt?

• Welche Rolle übernimmt das Unternehmen: Hersteller, Importeur oder Händler?

• Gibt es Ausnahmen oder bereits bestehende sektorspezifische Regelungen?

• Wie sind die Produkte nach dem CRA klassifiziert?

• Welches Konformitätsbewertungsverfahren ist erforderlich?

Ein typisches Beispiel ist ein mittelständischer Maschinenbauer.

Das Unternehmen betrachtet sich möglicherweise zunächst nicht als Hersteller digitaler Produkte. Die Maschinen enthalten jedoch Steuerungssoftware, Netzwerkkomponenten, Fernwartungszugänge und Schnittstellen zu Cloud-Diensten.

Damit kann der Cyber Resilience Act unmittelbar relevant werden.

Die Betroffenheitsprüfung ist deshalb mehr als eine juristische Vorprüfung. Sie schafft die Grundlage für Ressourcenplanung, Budgetierung und eine realistische Umsetzungsroadmap.

Welche Anforderungen stellt der Cyber Resilience Act?

Der CRA verfolgt einen grundlegenden Ansatz:

Cybersicherheit muss über den gesamten Lebenszyklus eines Produkts organisiert werden.

Hersteller müssen bereits bei Planung, Entwicklung und Produktion ihrer Produkte Cybersicherheitsrisiken berücksichtigen.

Dazu gehört zunächst eine produktbezogene Cybersicherheitsrisikobewertung.

Unternehmen müssen die Risiken ihrer Produkte identifizieren, geeignete Sicherheitsmaßnahmen ableiten und die Ergebnisse dokumentieren. Diese Bewertung darf nicht als einmalige Aktivität verstanden werden. Neue Schwachstellen, veränderte Bedrohungen und Änderungen am Produkt müssen berücksichtigt werden.

Ein weiterer zentraler Grundsatz ist Security by Design.

Produkte sollen von Beginn an so entwickelt werden, dass Sicherheitsrisiken reduziert werden. Cybersicherheit darf deshalb nicht erst kurz vor der Markteinführung durch zusätzliche technische Maßnahmen ergänzt werden.

Ergänzt wird dieser Ansatz durch Security by Default.

Produkte sollen mit sicheren Standardeinstellungen ausgeliefert werden. Nutzer dürfen nicht erst umfangreiche Konfigurationsänderungen vornehmen müssen, um ein angemessenes Sicherheitsniveau zu erreichen.

Besondere Bedeutung erhält das Schwachstellenmanagement.

Hersteller müssen Prozesse etablieren, um Schwachstellen zu erkennen, zu bewerten, zu behandeln und gegebenenfalls zu melden. Sicherheitsupdates müssen bereitgestellt und Schwachstelleninformationen angemessen kommuniziert werden.

Damit wird das Schwachstellenmanagement von einer häufig technisch geprägten Aufgabe zu einem verbindlichen Unternehmensprozess.

Weitere Anforderungen betreffen unter anderem:

• technische Dokumentation und Nachweisführung,

• Konformitätsbewertungsverfahren,

• CE-Kennzeichnung,

• Sicherheitsinformationen für Nutzer,

• geregelte Prozesse für Sicherheitsupdates,

• Umgang mit Komponenten und Abhängigkeiten,

• Meldepflichten bei bestimmten Schwachstellen und Sicherheitsvorfällen.

Die eigentliche Herausforderung liegt deshalb nicht in einzelnen technischen Sicherheitsmaßnahmen.

Unternehmen müssen bestehende Prozesse verändern und Cybersicherheit dauerhaft in Entwicklung, Produktmanagement, Qualitätsmanagement und Unternehmenssteuerung integrieren.

Fristen und Zeitplan: Der CRA ist bereits 2026 eine Managementaufgabe

Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten. Die Anforderungen werden schrittweise wirksam.

Diese Termine sind besonders relevant:

11. September 2026

Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle werden wirksam.

11. Dezember 2027

Der Cyber Resilience Act ist grundsätzlich vollständig anwendbar. Produkte, die ab diesem Zeitpunkt in Verkehr gebracht werden, müssen die entsprechenden Anforderungen erfüllen.

Für das Management entsteht daraus eine wichtige Konsequenz:

Der Dezember 2027 ist kein sinnvoller Starttermin für die Umsetzung.

Produktentwicklungsprozesse, Schwachstellenmanagement, Lieferantenanforderungen, technische Dokumentationen und organisatorische Verantwortlichkeiten lassen sich nicht innerhalb weniger Monate nachhaltig etablieren.

Insbesondere Unternehmen mit langen Entwicklungszyklen müssen bereits heute berücksichtigen, welche Produkte Ende 2027 oder später auf den Markt gebracht werden sollen.

Ein Produkt, das heute entwickelt wird, kann bereits unter die vollständigen Anforderungen des CRA fallen.

Welche Risiken reduziert eine frühzeitige Umsetzung?

Die Umsetzung des Cyber Resilience Act reduziert zunächst regulatorische Risiken.

Bei schwerwiegenden Verstößen gegen die grundlegenden Cybersicherheitsanforderungen sind Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres möglich – je nachdem, welcher Betrag höher ist.

Die wirtschaftlichen Risiken gehen jedoch deutlich darüber hinaus.

Produkte können überprüft, beanstandet oder vom Markt genommen werden. Korrekturmaßnahmen und Rückrufe können erhebliche Kosten verursachen.

Hinzu kommen mögliche Haftungsrisiken, Vertragsverletzungen und Reputationsschäden.

Besonders kritisch sind Sicherheitslücken, die erst nach der Markteinführung erkannt werden.

Fehlen strukturierte Prozesse für Schwachstellenmeldungen, Sicherheitsupdates und Kundenkommunikation, können aus technischen Problemen schnell operative und wirtschaftliche Krisen entstehen.

Ein weiteres Risiko liegt in der Lieferkette.

Moderne Produkte bestehen häufig aus zahlreichen Hardware- und Softwarekomponenten unterschiedlicher Anbieter. Unternehmen müssen deshalb Transparenz über eingesetzte Komponenten, Abhängigkeiten und bekannte Schwachstellen schaffen.

Der CRA macht deutlich:

Produktsicherheit endet nicht an der eigenen Unternehmensgrenze.

Welche Sofortmaßnahmen sind für KMU sinnvoll?

KMU sollten nicht mit einzelnen technischen Maßnahmen beginnen.

Der erste Schritt ist eine strukturierte Bestandsaufnahme.

1. CRA-Verantwortung festlegen

Die Geschäftsführung sollte einen Verantwortlichen oder ein bereichsübergreifendes Team benennen.

Produktmanagement, Entwicklung, Informationssicherheit, Qualitätsmanagement, Einkauf, Recht und Compliance müssen eingebunden werden.

2. Produktportfolio analysieren

Unternehmen sollten ein vollständiges Inventar potenziell betroffener Produkte erstellen.

Für jedes Produkt sollte dokumentiert werden, ob der CRA anwendbar ist, welche Rolle das Unternehmen einnimmt und welche Produktklassifizierung relevant ist.

3. Gap-Analyse durchführen

Bestehende Prozesse und Sicherheitsmaßnahmen werden mit den Anforderungen des CRA verglichen.

Dabei sollten insbesondere Produktentwicklung, Risikomanagement, Schwachstellenmanagement, Sicherheitsupdates, Lieferantenmanagement, technische Dokumentation und Meldeprozesse betrachtet werden.

4. Meldeprozesse vorbereiten

Die Meldepflichten gelten bereits ab September 2026.

Unternehmen müssen deshalb frühzeitig klären, wie relevante Schwachstellen und Sicherheitsvorfälle erkannt, bewertet, eskaliert und fristgerecht gemeldet werden.

5. Umsetzungsroadmap und Budget beschließen

Aus den Ergebnissen der Gap-Analyse sollte eine priorisierte Roadmap entstehen.

Maßnahmen benötigen Verantwortliche, Termine, Ressourcen und Budgets.

Genau an dieser Stelle wird der CRA zur Managementaufgabe.

Ressourcen und Budget realistisch planen

Eine der größten Fehleinschätzungen besteht darin, die Umsetzung des CRA als zusätzliches IT-Projekt zu betrachten.

Tatsächlich betrifft der CRA zahlreiche Unternehmensbereiche.

Entwicklungsteams müssen Sicherheitsanforderungen früher berücksichtigen. Produktmanagement und Qualitätsmanagement benötigen zusätzliche Prozesse und Nachweise. Der Einkauf muss Anforderungen an Lieferanten und Komponenten überprüfen. Informationssicherheit und IT müssen Schwachstellenmanagement und Incident-Prozesse unterstützen.

Für viele KMU bedeutet das zusätzliche Aufwände.

Deshalb sollten Unternehmen frühzeitig prüfen:

Welche Kompetenzen sind intern vorhanden?

Welche Aufgaben können bestehende Mitarbeiter übernehmen?

Wo werden zusätzliche Werkzeuge oder externe Spezialisten benötigt?

Welche Kosten entstehen durch Produktanalysen, Sicherheitsprüfungen, Dokumentation und Konformitätsbewertung?

Welche Fördermöglichkeiten können genutzt werden?

Mit dem EU-finanzierten Projekt SECURE ("Strengthening EU SMEs Cyber Resilience") stand europäischen Kleinst-, kleinen und mittleren Unternehmen eine gezielte finanzielle Förderung zur Vorbereitung auf den Cyber Resilience Act zur Verfügung. Die erste Ausschreibung mit einem Gesamtbudget von rund 5 Millionen Euro lief vom 28. Januar bis 29. März 2026; förderfähige Unternehmen konnten einen Zuschuss von 50 Prozent der förderfähigen Projektkosten erhalten, gedeckelt bei maximal 30.000 Euro. 
KMU sollten die aktuelle Ausschreibungslage über die offizielle SECURE-Plattform (secure4sme.eu) prüfen, um festzustellen, ob eine neue Antragsrunde geöffnet ist.
(Stand der Angaben: Juli 2026)

Unternehmen sollten Förderprogramme allerdings nicht zum Ausgangspunkt ihrer CRA-Strategie machen.

Zuerst müssen Betroffenheit, Handlungsbedarf und Umsetzungsziele geklärt werden. Anschließend kann geprüft werden, welche Maßnahmen sinnvoll durch Förderangebote unterstützt werden können.

Haftungsrisiken und Konsequenzen bei Nichteinhaltung

Die Geschäftsführung sollte den Cyber Resilience Act nicht allein wegen möglicher Bußgelder ernst nehmen.

Wesentlich bedeutsamer ist die Kombination verschiedener wirtschaftlicher Konsequenzen.

Fehlende Konformität kann den Marktzugang gefährden.

Unsichere Produkte können Gegenstand behördlicher Maßnahmen werden. Sicherheitslücken können Rückrufe, Nachbesserungen und ungeplante Entwicklungskosten verursachen.

Hinzu kommen mögliche Schadensersatzforderungen, Vertragsrisiken und Reputationsverluste.

Für das Management entsteht deshalb eine klare Organisationsverantwortung.

Es muss sichergestellt werden, dass Zuständigkeiten definiert, angemessene Ressourcen bereitgestellt, Risiken bewertet und wirksame Prozesse etabliert werden.

Das bedeutet nicht, dass die Geschäftsführung jede technische Sicherheitsmaßnahme selbst steuern muss.

Sie muss jedoch gewährleisten, dass Produktsicherheit organisatorisch verankert, angemessen überwacht und in unternehmerische Entscheidungen einbezogen wird.

Vom Compliance-Projekt zum Wettbewerbsvorteil

Der Cyber Resilience Act verursacht Aufwand.

Neue Prozesse, zusätzliche Dokumentation, Sicherheitsprüfungen und organisatorische Veränderungen benötigen Ressourcen.

Unternehmen sollten deshalb die Frage stellen, welchen zusätzlichen geschäftlichen Nutzen diese Investitionen erzeugen können.

Die Antwort liegt in einer professionellen Product Security Governance.

Unternehmen, die ihre Produkte sicher entwickeln, Schwachstellen systematisch behandeln und Sicherheitsupdates zuverlässig bereitstellen, schaffen Vertrauen.

Dieses Vertrauen wird insbesondere im B2B-Geschäft zunehmend relevant.

Kunden erwarten Nachweise zur Produktsicherheit. Betreiber kritischer Infrastrukturen und regulierte Unternehmen verschärfen ihre Anforderungen an Lieferanten. Sicherheitsanforderungen werden häufiger Bestandteil von Ausschreibungen, Verträgen und Lieferantenbewertungen.

Unternehmen, die frühzeitig belastbare Sicherheitsprozesse etablieren, können schneller auf Kundenanforderungen reagieren und ihre Sicherheitsfähigkeit nachvollziehbar belegen.

Der CRA kann deshalb als Anlass genutzt werden, Cybersicherheit stärker mit Qualitätsmanagement, Produktentwicklung und Unternehmensstrategie zu verbinden.

Aus einer regulatorischen Verpflichtung entsteht dann eine organisatorische Fähigkeit.

Und aus dieser Fähigkeit kann ein Wettbewerbsvorteil werden.

Wie eine erfolgreiche CRA-Umsetzung gelingt

Eine erfolgreiche Umsetzung beginnt nicht mit einer langen Maßnahmenliste.

Sie beginnt mit Transparenz und klaren Managemententscheidungen.

Ein pragmatisches Vorgehen für KMU besteht aus fünf Schritten:

1. Betroffenheit feststellen

Produkte, Unternehmensrollen und regulatorische Anforderungen systematisch analysieren.

2. Verantwortlichkeiten organisieren

Managementverantwortung, operative Zuständigkeiten und bereichsübergreifende Zusammenarbeit festlegen.

3. Reifegrad und Lücken bewerten

Bestehende Prozesse und Sicherheitsmaßnahmen gegen die Anforderungen des CRA prüfen.

4. Maßnahmen priorisieren

Meldeprozesse, Schwachstellenmanagement, Produktentwicklung, Lieferantenmanagement und Nachweisführung risikoorientiert verbessern.

5. Produktsicherheit dauerhaft steuern

Kennzahlen, Verantwortlichkeiten, Reviews und kontinuierliche Verbesserungsprozesse etablieren.

Unternehmen mit einem bestehenden Informationssicherheitsmanagementsystem, beispielsweise nach ISO 27001, verfügen bereits über wichtige organisatorische Grundlagen.

Risikomanagement, Verantwortlichkeiten, interne Audits, Managementbewertungen und kontinuierliche Verbesserung können die Umsetzung unterstützen.

Ein ISMS ersetzt jedoch keine produktspezifische CRA-Umsetzung.

Der entscheidende Schritt besteht darin, Unternehmenssicherheit und Produktsicherheit sinnvoll miteinander zu verbinden.

Fazit: Der Cyber Resilience Act verlangt Entscheidungen, nicht erst 2027

Der Cyber Resilience Act verändert die Verantwortung für die Cybersicherheit digitaler Produkte grundlegend.

Für KMU besteht die größte Gefahr nicht darin, einzelne technische Anforderungen falsch umzusetzen.

Das größere Risiko besteht darin, zu spät zu beginnen.

Unternehmen müssen ihre Betroffenheit klären, Produkte analysieren, Verantwortlichkeiten festlegen, Ressourcen bereitstellen und bestehende Prozesse weiterentwickeln.

Die Meldepflichten ab September 2026 erhöhen den unmittelbaren Handlungsdruck.

Die vollständige Anwendung ab Dezember 2027 verlangt darüber hinaus eine nachhaltige Integration von Cybersicherheit in Produktentwicklung, Schwachstellenmanagement und Unternehmenssteuerung.

Geschäftsführungen sollten den CRA deshalb nicht als weiteres Compliance-Projekt behandeln.

Der Cyber Resilience Act ist eine Gelegenheit, Produktsicherheit zu professionalisieren, Risiken systematisch zu reduzieren und Vertrauen zu einem messbaren Wettbewerbsvorteil zu entwickeln.

Unternehmen, die jetzt strukturiert handeln, schaffen nicht nur die Grundlage für regulatorische Konformität.

Sie stärken zugleich die Sicherheit ihrer Produkte, die Widerstandsfähigkeit ihrer Organisation und ihre Position im Markt.