Der Cyber Resilience Act (CRA) der EU stellt die Industrie vor große Herausforderungen. Wie eine Umfrage des Düsseldorfer Cybersicherheitsunternehmens Onekey zeigt, haben zwar bereits 52 Prozent der befragten Unternehmen in Deutschland Schritte zur Erfüllung der EU-Verordnung eingeleitet. Dennoch besteht bei der Umsetzung wichtiger technischer Standards noch erheblicher Nachholbedarf.
Neue Verordnung tritt stufenweise in Kraft
Die EU hat die Verordnung im Jahr 2024 verabschiedet. Sie tritt stufenweise in Kraft und verlangt von der Wirtschaft ab 2026 beziehungsweise 2027 umfangreiche Maßnahmen zur Abwehr von Hackerangriffen.
Der Fokus liegt dabei auf Geräten, Maschinen und Anlagen mit digitalen Komponenten und Internetzugang. „Das schließt den gesamten Themenkomplex Industrie 4.0 und die komplette IoT-Branche ein“, erläutert Jan Wendenburg, Chef von Onekey.
Besonders auffällig ist: Wichtige technische Normen werden relativ gering berücksichtigt. Lediglich 27 Prozent der befragten Firmen beachten die Norm IEC 62443-4-2, die Sicherheitsanforderungen für Komponenten industrieller Automatisierungs- und Steuerungssysteme definiert.
Noch weniger Beachtung findet mit 25 Prozent die Norm ETSI EN 303 645, die Cybersicherheitsanforderungen für vernetzte Verbrauchergeräte festlegt. Beide Standards sind jedoch wesentlich für die künftige CRA-Konformität.
Onekey befragte 300 Unternehmen
Auch bei der Funkanlagenrichtlinie RED (EN18031) zeigt sich Nachholbedarf. Nur 16 Prozent der Unternehmen berücksichtigen diese Richtlinie, obwohl sie für vernetzte Geräte, Anlagen und Maschinen von zentraler Bedeutung ist. Die Erfüllung der RED-Anforderungen ist ebenfalls ein wichtiger Baustein für die Compliance mit dem Cyber Resilience Act.
„Die EU hat mit dem Cyber Resilience Act ein sehr umfangreiches Regelwerk geschaffen, von technischen Normen bis hin zu Meldepflichten“, erklärt Wendenburg. „Dem entsprechend hoch sind die Herausforderungen für die Industrie, den CRA vollumfänglich umzusetzen.“ Die Einhaltung dieser Vorschriften wird künftig Voraussetzung sein, um vernetzte Geräte, Systeme und Anlagen in der EU zu verkaufen, in Verkehr zu bringen oder zu betreiben.
Onekey hat für die Umfrage 300 Unternehmen befragt. Das Unternehmen stellt die Ergebnisse in seinem „IoT & OT Cybersecurity Report 2025“ zur Verfügung. Der Bericht beleuchtet den aktuellen Stand und die Strategien der Unternehmen in Bezug auf „Operational Technology“ (OT) und „Internet of Things“ (IoT).
