Cyber Resilience Act: 45 Prozent der Industrieunternehmen kaum mit Anforderungen vertraut

Ab dem 11. September 2026 treten die ersten Verpflichtungen des Cyber Resilience Act (CRA) in Kraft. Die EU-Verordnung führt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein und betrifft damit auch zahlreiche vernetzte Maschinen, Anlagen und Komponenten. Die Umsetzung erfolgt in verschiedenen Etappen bis Dezember 2027. In der jetzt verbindlich werdenden Stufe greifen unter anderem Meldepflichten für aktiv ausgenutzte Schwachstellen und damit verbundene schwerwiegende Sicherheitsvorfälle.

Wie gut die Industrie darauf vorbereitet ist, hat das Cybersicherheitsunternehmen Onekey im aktuellen „IoT & OT Cybersecurity Report 2026“ untersucht, für den 200 deutsche Industrieunternehmen befragt wurden. Das Ergebnis zeigt deutliche Wissens- und Umsetzungslücken: 45 Prozent der Unternehmen sind mit den Anforderungen des CRA kaum oder gar nicht vertraut. Nur 43 Prozent wissen, dass bereits im September die erste Phase der neuen Pflichten beginnt, 60 Prozent kennen die weiteren Stufen und Fristen nicht.

Auch die Umsetzung stellt viele Unternehmen vor Herausforderungen. 62 Prozent der Befragten sehen Schwierigkeiten bei der ab September geltenden 24-Stunden-Frist für die erste Meldung. Rund ein Drittel hat in wesentlichen Bereichen der CRA-Umsetzung bislang kaum mit den Vorbereitungen begonnen. Mit dem Start der ersten Pflichten steigt damit für viele Industrieunternehmen der Handlungsdruck.