Viele Unternehmen in Deutschland sind auf die Anforderungen des Cyber Resilience Act (CRA) der Europäischen Union noch nicht ausreichend vorbereitet. Das geht aus dem „IoT & OT Cybersecurity Report 2026“ des Cybersicherheitsunternehmens ONEKEY hervor. Zwar laufen in zahlreichen Betrieben bereits Vorbereitungen, doch insbesondere bei Fristen, Meldepflichten und technischen Anforderungen besteht weiterhin erheblicher Handlungsbedarf.
Fehlendes Wissen über Fristen und Pflichten
Laut der Befragung sind 45 Prozent der Unternehmen mit den Anforderungen des Cyber Resilience Act kaum oder gar nicht vertraut. Weniger als die Hälfte kennt den ersten wichtigen Stichtag am 11. September 2026, ab dem Hersteller, Importeure und Händler aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden müssen. Auch die weiteren Umsetzungsfristen bis zum vollständigen Inkrafttreten der Verordnung im Dezember 2027 sind vielen Unternehmen nicht bekannt.
Gewinnen in der Plattform-Ökonomie
Umsetzung kommt nur langsam voran
Bei zentralen Anforderungen wie Risikomanagement, Dokumentation, Sicherheitsupdates und internen Prozessen zeigt sich ein gemischtes Bild. Ein Teil der Unternehmen bewertet den eigenen Vorbereitungsstand als gut, viele befinden sich jedoch noch mitten in der Umsetzung. Rund ein Drittel hat wesentliche Anforderungen bislang kaum oder gar nicht umgesetzt. Besonders bei technischen Nachweisen und der kontinuierlichen Pflege von Sicherheitsupdates sehen viele Unternehmen noch deutlichen Nachholbedarf.
Meldepflichten und Softwaretransparenz bereiten Probleme
Zu den größten Herausforderungen zählen die gesetzlich vorgeschriebene Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden sowie die Erstellung einer vollständigen Software-Stückliste (SBOM). Auch die Identifikation und Beseitigung von Schwachstellen sowie die Umsetzung des Prinzips „Security by Design“ bereiten vielen Unternehmen Schwierigkeiten. Für zahlreiche Betriebe stellt bereits die vollständige Transparenz über eingesetzte Softwarekomponenten eine wesentliche Hürde auf dem Weg zur CRA-Konformität dar.
KI verschärft den Handlungsdruck
Der Report verweist zudem auf die wachsende Bedrohung durch KI-gestützte Cyberangriffe. Mit zunehmender Automatisierung könnten künftig nicht nur klassische IT-Systeme, sondern auch vernetzte Maschinen, industrielle Steuerungen und Produktionsanlagen verstärkt Ziel komplexer Angriffe werden. Vor diesem Hintergrund gewinnt die zügige Umsetzung der CRA-Anforderungen zusätzlich an Bedeutung. Viele Unternehmen planen zwar, die vollständige Compliance bis Ende 2027 zu erreichen, doch die Studie macht deutlich, dass dafür das derzeitige Umsetzungstempo in zahlreichen Betrieben deutlich erhöht werden muss.
