Cyber-Resilienz im Mittelstand

Cyber-Resilienz im Mittelstand: Was der neue ENISA-Reifegradcheck für Ihr Unternehmen bedeutet

Management-Zusammenfassung

Mit dem SME Cyber Resilience Maturity Assessment Model stellt die EU-Agentur für Cybersicherheit ENISA kleinen und mittleren Unternehmen einen praxisnahen Selbstcheck zur Verfügung. Das Modell soll insbesondere Hersteller, Importeure und Händler von Produkten mit digitalen Elementen dabei unterstützen, ihren aktuellen Stand bei Produktsicherheit und Cyber-Resilienz zu bewerten und sich strukturiert auf den Cyber Resilience Act vorzubereiten.

Der Reifegradcheck untersucht fünf Bereiche:

• Governance und Dokumentation

• Risikomanagement sowie Security by Design und Security by Default

• Schwachstellen- und Patchmanagement

• Produktlebenszyklusmanagement

• Sicherheitsbewusstsein, Kompetenzen und Qualifikation

Die Ergebnisse werden den Profilen Basic, Intermediate oder Advanced zugeordnet. Entscheidend ist jedoch nicht, überall die höchste Punktzahl zu erreichen. Der eigentliche Nutzen liegt darin, Schwachstellen sichtbar zu machen, Maßnahmen risikoorientiert zu priorisieren und daraus eine belastbare Roadmap abzuleiten.

Wichtig für die Geschäftsleitung: Ein guter Reifegrad ist kein Nachweis der CRA-Konformität. Der Check ersetzt weder eine rechtliche Betroffenheitsprüfung noch erforderliche Konformitätsbewertungsverfahren oder technische Dokumentationen. Er ist ein Managementinstrument, keine Zertifizierung.

Warum das Thema für den Mittelstand wichtig ist

Der Cyber Resilience Act verändert die Anforderungen an Hersteller von Software, Hardware und vernetzten Produkten grundlegend. Künftig muss Cybersicherheit über den gesamten Produktlebenszyklus hinweg berücksichtigt werden – von der Entwicklung über das Schwachstellenmanagement bis zum Ende des Unterstützungszeitraums.

Davon können beispielsweise Hersteller folgender Produkte betroffen sein:

• Maschinen und Steuerungskomponenten mit vernetzter Software

• IoT-Geräte und Sensoren

• Unternehmenssoftware und Apps

• Netzwerk- und Sicherheitsprodukte

• digitale Mess-, Diagnose- oder Überwachungssysteme

Der CRA richtet sich jedoch nicht nur an klassische Softwareunternehmen. Gerade im Maschinenbau, in der Automatisierungstechnik oder bei spezialisierten Elektronikprodukten ist Software heute häufig ein integraler Bestandteil des Produkts.

ENISA reagiert mit dem Reifegradmodell auf ein konkretes Problem: Viele KMU wissen zwar, dass der CRA existiert, können die Anforderungen aber noch nicht sicher in ihre betrieblichen Prozesse übersetzen.

Eine ENISA-Befragung unter 194 Organisationen aus 31 Ländern zeigt diese Lücke deutlich: 66 Prozent der Befragten hatten bereits vom CRA gehört. Gleichzeitig gaben 54 Prozent an, die Anforderungen an Konformitätsbewertung und Compliance nur eingeschränkt oder gar nicht zu verstehen. Bei der erforderlichen Dokumentation traf dies auf 42 Prozent zu.

Das Problem ist daher weniger fehlende Aufmerksamkeit als fehlende Umsetzungsfähigkeit.

Aus Managementsicht schafft der Reifegradcheck vor allem drei Vorteile:

Transparenz: Die Geschäftsleitung erhält ein strukturiertes Bild über den tatsächlichen Umsetzungsstand.

Priorisierung: Investitionen können auf die Bereiche konzentriert werden, in denen die größten Produkt- und Haftungsrisiken bestehen.

Steuerbarkeit: Fortschritte lassen sich durch wiederholte Bewertungen nachvollziehen und gegenüber Kunden, Partnern oder internen Entscheidungsgremien darstellen.

Was der ENISA-Reifegradcheck konkret bewertet

Das Modell besteht aus fünf Domänen. Jede Domäne enthält fünf Bewertungskriterien. Die einzelnen Kriterien werden auf einer Skala von eins bis fünf bewertet, von nicht vorhandenen beziehungsweise rein reaktiven Praktiken bis zu gesteuerten und kontinuierlich verbesserten Prozessen.

Die Bewertung soll anhand objektiver Nachweise erfolgen, beispielsweise durch dokumentierte Verfahren, umgesetzte Praktiken oder beobachtbare Abläufe.

1. Governance und Dokumentation

Hier geht es um die organisatorische Verantwortung für Produktsicherheit.

Geprüft wird unter anderem:

• Sind Rollen und Verantwortlichkeiten klar festgelegt?

• Gibt es von der Leitung freigegebene Sicherheitsrichtlinien?

• Werden Sicherheitsmerkmale, Annahmen und Einschränkungen des Produkts dokumentiert?

• Bestehen Anforderungen an Lieferanten und externe Komponenten?

• Bewertet die Geschäftsleitung regelmäßig Sicherheitsrisiken und den Umsetzungsstand?

Die Botschaft ist eindeutig: Produktsicherheit darf nicht ausschließlich in der Entwicklungsabteilung verankert sein. Sie benötigt Managementverantwortung, klare Entscheidungen und nachvollziehbare Nachweise.

2. Risikomanagement und Security by Design

Diese Domäne bewertet, ob Sicherheitsrisiken bereits während Entwicklung und Konstruktion berücksichtigt werden.

Dazu gehören beispielsweise:

• produktspezifische Risikoanalysen

• Bedrohungs- und Missbrauchsszenarien

• Betrachtung möglicher Angriffsflächen

• Risiken aus Open-Source- und Drittanbieterkomponenten

• sichere Standardeinstellungen

• Reduzierung unnötiger Funktionen und Schnittstellen

Für ein mittelständisches Maschinenbauunternehmen könnte das bedeuten, bereits während der Entwicklung einer vernetzten Steuerung zu prüfen, welche Fernzugriffe tatsächlich erforderlich sind, wie Standardpasswörter vermieden werden und welche Risiken aus eingebetteten Softwarebibliotheken entstehen.

Security by Design ist damit keine nachgelagerte technische Prüfung. Es ist eine Vorgabe für Produktentscheidungen.

3. Schwachstellen- und Patchmanagement

Der Reifegradcheck untersucht, wie ein Unternehmen Schwachstellen erkennt, bewertet und behebt.

Dazu zählen:

• Aufnahme und Nachverfolgung gemeldeter Schwachstellen

• Überwachung externer Warnmeldungen und Schwachstellendatenbanken

• risikobasierte Priorisierung

• Entwicklung, Test und Verteilung von Sicherheitsupdates

• Kommunikation gegenüber Kunden und Anwendern

Auch die Transparenz über eingesetzte Softwarekomponenten spielt eine wichtige Rolle. ENISA verweist auf die Software Bill of Materials, kurz SBOM. Sie schafft einen strukturierten Überblick über proprietäre und quelloffene Komponenten, Bibliotheken und Abhängigkeiten eines Softwareprodukts.

Dadurch lässt sich schneller feststellen, welche Produkte von einer neu bekannt gewordenen Schwachstelle betroffen sind.

4. Produktlebenszyklusmanagement

Produktsicherheit endet nicht mit der Auslieferung.

Unternehmen müssen unter anderem festlegen:

• wie lange ein Produkt Sicherheitsunterstützung erhält

• wie Updates während dieses Zeitraums bereitgestellt werden

• wie Kunden über Supportfristen informiert werden

• wie das Supportende geplant und kommuniziert wird

• wie Produkte sicher außer Betrieb genommen oder ersetzt werden können

Gerade hier besteht nach der ENISA-Erhebung erheblicher Handlungsbedarf. Incident Response und Produktlebenszyklusmanagement erreichten mit durchschnittlich 2,6 von fünf Punkten den niedrigsten Wert. Mehr als ein Drittel der teilnehmenden Kleinstunternehmen verfügte über keinen Incident-Response-Plan.

Für die Geschäftsleitung ist dies besonders relevant: Unklare Supportzusagen können nicht nur Sicherheitsvorfälle verursachen, sondern auch zu Vertragsrisiken, Kundenkonflikten und ungeplanten Entwicklungskosten führen.

5. Awareness, Kompetenzen und Qualifikation

Die fünfte Domäne betrachtet, ob die beteiligten Beschäftigten über ausreichende Kenntnisse verfügen.

Das betrifft nicht nur Entwickler. Auch Produktmanagement, Einkauf, Qualitätssicherung, Support, Vertrieb und Geschäftsleitung müssen ihre jeweiligen Sicherheitsaufgaben kennen.

Ein Unternehmen kann technisch gute Lösungen einsetzen und dennoch scheitern, wenn Verantwortlichkeiten unklar sind, Schwachstellenmeldungen nicht weitergeleitet werden oder der Einkauf unsichere Komponenten ohne definierte Sicherheitsanforderungen beschafft.

Wie die Reifegrade zu verstehen sind

ENISA unterscheidet drei übergeordnete Profile:

Reifegradprofil	Bewertung	Typische Situation
Basic	1,0 bis 2,5	Prozesse fehlen oder werden reaktiv und personenabhängig ausgeführt
Intermediate	2,6 bis 3,9	Grundlegende Verfahren sind dokumentiert, werden aber nicht überall konsequent angewendet
Advanced	4,0 bis 5,0	Prozesse sind formal etabliert, gesteuert, überprüft und werden kontinuierlich verbessert

Ein niedriger Reifegrad ist zunächst kein Scheitern. Er ist eine belastbare Ausgangsbasis.

Problematisch wird es erst, wenn Unternehmen gute Bewertungen anstreben, ohne ihre tatsächliche Praxis kritisch zu prüfen. ENISA betont deshalb, dass die Bewertung auf objektiven Nachweisen und nicht auf Annahmen oder informellen Einschätzungen beruhen soll.

Ein dokumentierter Patchprozess ist beispielsweise nur dann belastbar, wenn Verantwortlichkeiten feststehen, Schwachstellen tatsächlich erfasst werden, Fristen überwacht werden und die Wirksamkeit regelmäßig überprüft wird.

Was der Check nicht leistet

Der Begriff „Reifegradcheck“ kann leicht zu einem falschen Sicherheitsgefühl führen.

Das Modell ist:

• keine Zertifizierung

• kein Audit

• keine formelle Konformitätsbewertung

• kein vollständiger Rechtsnachweis

• kein Ersatz für die produktspezifische Risikoanalyse

Selbst das Profil „Advanced“ belegt keine CRA-Konformität.

Vor der Durchführung sollten Unternehmen deshalb zunächst klären:

1. Welche eigenen Produkte sind Produkte mit digitalen Elementen?

2. Welche Rolle nimmt das Unternehmen ein, Hersteller, Importeur oder Händler?

3. In welche Produktkategorie fällt das jeweilige Produkt?

4. Welches Konformitätsbewertungsverfahren ist erforderlich?

5. Welche Pflichten gelten entlang der konkreten Lieferkette?

Das Reifegradmodell unterscheidet nicht vollständig zwischen den verschiedenen Produktkategorien und ihren unterschiedlichen regulatorischen Anforderungen. Diese Einordnung muss daher separat erfolgen.

Verbindung zu ISO 27001 und NIS2

Unternehmen mit einem bestehenden Informationssicherheitsmanagementsystem besitzen eine gute Ausgangsbasis. ISO/IEC 27001 unterstützt unter anderem bei Governance, Risikomanagement, Lieferantensicherheit, Schwachstellenmanagement, Kompetenzsteuerung und kontinuierlicher Verbesserung. Diese Einordnung beruht auf eigener fachlicher Einschätzung und ist nicht Bestandteil der ENISA-Publikationen.

Auch NIS2 adressiert organisatorische und technische Risikomanagementmaßnahmen, Vorfallmanagement, Lieferkettensicherheit und die Verantwortung der Geschäftsleitung.

Trotzdem sind die Regelwerke nicht deckungsgleich.

Der ENISA-Check und der CRA sind stark auf Produktsicherheit ausgerichtet. Ein klassisches ISMS betrachtet dagegen die Informationssicherheit des gesamten Unternehmens.

Ein ISO-27001-zertifiziertes Unternehmen kann daher organisatorisch gut aufgestellt sein und trotzdem Lücken aufweisen, beispielsweise bei:

• Security by Design in der Produktentwicklung

• produktspezifischen technischen Dokumentationen

• SBOMs

• koordiniertem Schwachstellenmanagement

• festgelegten Supportzeiträumen

• sicheren Standardeinstellungen

• CRA-spezifischen Melde- und Konformitätsprozessen

Unternehmen sollten kein separates „CRA-Managementsystem“ neben dem ISMS aufbauen. Sinnvoller ist es, bestehende Governance-, Risiko- und Nachweisstrukturen zu nutzen und um produktspezifische Prozesse zu ergänzen.

Welche Sofortmaßnahmen jetzt sinnvoll sind

1. Betroffenheit auf Produktebene klären

Nicht das Unternehmen als Ganzes, sondern jedes relevante Produkt muss betrachtet werden. Erstellen Sie eine Übersicht aller Produkte mit Software, Netzwerkzugang, Fernwartung oder digitalen Komponenten.

2. Verantwortlichkeit festlegen

Benennen Sie eine Person, die die Bewertung koordiniert. Sie benötigt Zugang zu Entwicklung, Produktmanagement, Einkauf, Support, Recht und Informationssicherheit.

3. Selbstcheck evidenzbasiert durchführen

Nutzen Sie das von ENISA bereitgestellte Excel-Werkzeug. Bewerten Sie nicht nur, ob ein Prozess beschrieben ist, sondern ob er im Alltag nachweisbar funktioniert.

Das Werkzeug berechnet die Reifegradwerte automatisch und unterstützt wiederholte Bewertungen.

4. Lücken nach Risiko priorisieren

Nicht jede Abweichung besitzt dieselbe Bedeutung. Eine fehlende Schulungsdokumentation kann relevant sein. Ein unkontrollierter Fernzugang oder ein fehlender Prozess für kritische Schwachstellen kann jedoch ein unmittelbar höheres Geschäftsrisiko darstellen.

5. Maßnahmenplan beschließen

Jede priorisierte Maßnahme sollte mindestens enthalten:

• verantwortliche Person

• betroffenes Produkt

• erwartetes Ergebnis

• Zieltermin

• erforderliches Budget

• geeigneten Nachweis

• Status der Umsetzung

Wie eine erfolgreiche Umsetzung erreicht werden kann

Der größte Fehler wäre, den Reifegradcheck als einmalige Excel-Übung zu behandeln.

Erfolgreich ist die Anwendung erst, wenn aus der Bewertung ein Steuerungsprozess entsteht:

Erster Schritt: Ausgangslage ehrlich bestimmen.

Zweiter Schritt: Größte Produkt- und Compliance-Risiken priorisieren.

Dritter Schritt: Maßnahmen in Entwicklung, Einkauf, Support und Managementprozesse integrieren.

Vierter Schritt: Nachweise systematisch aufbauen.

Fünfter Schritt: Bewertung regelmäßig wiederholen und Fortschritte durch die Geschäftsleitung überprüfen.

Ein realistisches Ziel für viele KMU ist zunächst nicht der höchste Reifegrad. Vorrangig sollten kritische, personenabhängige und rein reaktive Abläufe in dokumentierte und wiederholbare Prozesse überführt werden.

Fazit: Der Check ist ein Startpunkt, kein Gütesiegel

Der neue ENISA-Reifegradcheck ist für mittelständische Unternehmen ein sinnvoller und pragmatischer Einstieg in die Vorbereitung auf den Cyber Resilience Act.

Sein größter Nutzen liegt nicht in einer einzelnen Kennzahl. Er schafft eine gemeinsame Entscheidungsgrundlage für Geschäftsleitung, Produktentwicklung, Informationssicherheit und Qualitätsmanagement.

Unternehmen sollten das Ergebnis jedoch richtig einordnen: Ein hoher Reifegrad reduziert Unsicherheit und verbessert die Steuerbarkeit. Er ersetzt aber weder die rechtliche Einordnung noch die Erfüllung und Dokumentation der konkreten CRA-Anforderungen.

Wer den Check frühzeitig nutzt, kann bestehende Lücken strukturiert schließen, Investitionen besser priorisieren und Produktsicherheit zu einem planbaren Bestandteil der Unternehmenssteuerung machen. Genau darin liegt der eigentliche strategische Wert des Modells. 

Weitere Fachbeiträge, Whitepaper und Praxishilfen zu NIS2, ISO 27001, Informationssicherheit und Cyberresilienz findest Du im Wissensportal für Entscheider