Checkliste: Das müssen sie über den Cyber Resilience Act wissen

Ab dem 11. September müssen Hersteller aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle, etwa in Software oder vernetzten Geräten, innerhalb von 24 Stunden melden und diese Meldung innerhalb von 72 Stunden um weitere Informationen ergänzen. Hinzu kommen verpflichtende Abschlussberichte. Doch kurz vor dem Start ist das Gesetz in vielen Unternehmen noch nicht angekommen.

Zwei Drittel der Unternehmen in Deutschland (67 Prozent) ist der Cyber Resilience Act (CRA) zwar ein Begriff, doch nur 29 Prozent ist auch bewusst, was er für das eigene Unternehmen bedeutet. 38 Prozent haben von dem Gesetz gehört, können die Bedeutung für das eigene Unternehmen aber nicht einschätzen. 28 Prozent kennen den CRA überhaupt nicht. Das sind Ergebnisse einer Umfrage unter 1.003 Unternehmen ab 10 Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom  .


"Grundsätzlich ist der Cyber Resilience Act wichtig für mehr Cybersicherheit in Europa. Erstmals gelten EU-weit verbindliche Mindestanforderungen für Produkte mit digitalen Funktionen, Security by Design wird zum Grundsatz. Höhere Standards verbessern den Schutz von Unternehmen, Verbraucherinnen und Verbrauchern, Lieferketten und kritischen Infrastrukturen", sagt Bitkom-Präsident Dr. Ralf Wintergerst. "Aktuell hapert es aber noch an der praxistauglichen Umsetzung. Der CRA kann nur dann Vertrauen in europäische Produkte schaffen, wenn die Unternehmen ihn umsetzen wollen und umsetzen können."

So ist für die Meldung von Sicherheitslücken und -vorfällen eine zentrale europäische Plattform vorgesehen, die den sicheren Informationsaustausch zwischen Unternehmen, den zuständigen nationalen Stellen und der EU-Cybersicherheitsagentur ENISA ermöglichen soll. In Deutschland ist das das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig. Selbst gut vorbereitete Unternehmen können sich allerdings nicht vorab auf der Meldeplattform registrieren und die Meldewege erproben, weil die Plattform erst zum Stichtag live geht.

Grundlage der Angaben ist eine repräsentative Umfrage von Bitkom Research unter 1.003 Unternehmen ab 10 Beschäftigten und einem Jahresumsatz von mindestens 1 Mio. Euro in Deutschland.