Für den neuen „IoT & OT Cybersecurity Report 2026“ hat das Düsseldorfer Cybersicherheitsunternehmen Onekey 200 deutsche Industrieunternehmen befragt. Untersucht wurden deren Strategien und die Umsetzung der jüngsten EU-Verordnung im Bereich der Betriebstechnologie zur Steuerung physischer Anlagen und Prozesse (Operational Technology, OT) sowie bei vernetzten Geräten, die Daten über das Internet austauschen (Internet of Things, IoT).
Erste CRA-Meldepflichten greifen am 11. September
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die einheitliche Cybersicherheitsstandards für alle digitalen Produkte mit Software und Hardware im europäischen Binnenmarkt festlegt. Knapp die Hälfte der befragten Unternehmen (45 Prozent) gab an, mit den Anforderungen entweder kaum oder gar nicht vertraut zu sein. Das ist bemerkenswert, weil am 11. September dieses Jahres erstmals bestimmte Meldepflichten des CRA greifen. Ab diesem Stichtag müssen Hersteller, Importeure und Händler vernetzter Geräte, Maschinen und Anlagen aktiv ausgenutzte Schwachstellen in ihren Produkten sowie damit verbundene schwerwiegende Sicherheitsvorfälle melden.
Der CEO von Onekey, Jan Wendenburg, stellt klar: „Das gilt von Ausnahmen abgesehen auch für alle Produkte, die bereits auf dem Markt sind, also nicht etwa nur für neue Entwicklungen, wie häufig fälschlicherweise angenommen wird.“
Viele Unternehmen können betroffen sein
Der „IoT & OT Cybersecurity Report 2026“ zählt beispielhaft auf: vernetzte Maschinen und Steuerungen, Router, Firewalls und Netzwerkgeräte, IoT- und Smart-Home-Geräte, Betriebssysteme, Apps und andere Software, industrielle Steuerungssoftware und sogar Cloud-Funktionen, wenn sie für die Funktion des Produkts notwendig sind. Zudem können auch Industriebetriebe betroffen sein, die sich selbst nur als Nutzer verstehen, aber dennoch unter den Cyber Resilience Act fallen, heißt es im neuen Onekey-Report. Beispiel: Wenn eine Firma vernetzte Maschinen zwar nur für die eigene Produktion erwirbt, diese aber direkt aus Asien importiert, kann sie als Importeur im Sinne des CRA gelten, wenn sie die Maschinen beispielsweise an eine Tochter- oder Schwestergesellschaft abgibt.
Wesentliche CRA-Pflichten gelten ab 11. Dezember 2027
Immerhin: 46 Prozent der befragten Unternehmen kennen sich eigenen Angaben zufolge mit dem Cyber Resilience Act aus, 21 Prozent sogar sehr gut. 43 Prozent sind sich laut Umfrage bewusst, dass die erste Phase der CRA-Pflichten bereits in diesem September beginnt. Allerdings räumen 60 Prozent ein, dass ihnen die weiteren Phasen und Fristen der EU-Verordnung nicht bekannt sind. „Tatsächlich gibt es im CRA-Umsetzungszeitplan der EU drei weitere Fristen, bevor am 11. Dezember 2027 die wesentlichen Pflichten des Cyber Resilience Act für Produkte mit digitalen Elementen gelten“, sagt Wendenburg. Über diese Kenntnisse verfügt laut Report aber nur ein Drittel der befragten Unternehmen. Dementsprechend schleppend geht die CRA-Umsetzung in der Wirtschaft voran, heißt es im „IoT & OT Cybersecurity Report 2026“.
Ein Drittel der Firmen unzureichend vorbereitet
Wie gut die Unternehmen konkret auf den Cyber Resilience Act vorbereitet sind, wollte Onekey im Rahmen der Umfrage wissen. Als „sehr gut vorbereitet“ bezeichnen sich demnach 25 Prozent beim Risikomanagement, 22 Prozent bei den Sicherheitsanforderungen, 20 Prozent bei der Dokumentation und den gemäß CRA zwingend erforderlichen Sicherheitsupdates über den gesamten Produktlebenszyklus hinweg sowie 17 Prozent bei internen Prozessen und technischen Nachweisen.
Diese Themen bereits in Angriff genommen, aber nur teilweise umgesetzt, haben 39 Prozent bei den technischen Nachweisen, 37 Prozent bei der Dokumentation, 34 Prozent bei internen Abläufen und Sicherheitsupdates sowie 26 Prozent beim Risikomanagement. Das bedeutet im Umkehrschluss laut Report: Rund ein Drittel der Firmen sind bislang weder bei ihren internen Prozessen und ihrem Risikomanagement noch beim Management von Sicherheitsupdates auf den Cyber Resilience Act vorbereitet.
Meldepflicht bereitet die größten Schwierigkeiten
30 Prozent haben die von der EU bald zwingend auferlegten Sicherheitsanforderungen kaum in Angriff genommen oder technische Nachweise auf den Weg gebracht. Jan Wendenburg fasst zusammen: „Die Ergebnisse zeigen eine breite Streuung: Ein kleinerer Teil sieht sich bereits sehr gut vorbereitet, viele Unternehmen befinden sich mitten in der Umsetzung, während rund ein Drittel noch kaum begonnen hat.“
Was sind die größten Herausforderungen für die Wirtschaft bei der Umsetzung des Cyber Resilience Act? Die Antworten darauf liefert der „IoT & OT Cybersecurity Report 2026“. Die meisten Schwierigkeiten verursacht ausgerechnet die Meldepflicht für Sicherheitsvorfälle binnen 24 Stunden, die zum 11. September dieses Jahres greift. Das erklärten 62 Prozent der befragten Unternehmen, wobei 30 Prozent darin offenbar ein ernsthaftes Problem sehen. Bei 30 Prozent erweist sich die Konformitätsbewertung als äußerst problematisch – also die Frage, ob die eigene Produktpalette die Anforderungen des Cyber Resilience Act erfüllt oder noch Nachholbedarf besteht. Für ebenso viele Firmen erweist sich die Erstellung von Software-Stücklisten (Software Bill of Materials, SBOM) als Haupthürde; mindestens 60 Prozent der befragten Unternehmen haben dieses Problem noch nicht gelöst.
Kenntnis eigener Software sehr wichtig
„Ein vollständiger Überblick über alle in den eigenen Produkten eingesetzten Software-Komponenten stellt eine Grundvoraussetzung für CRA-Compliance dar“, verdeutlicht Jan Wendenburg die Bedeutung dieses Punkts. Er präzisiert: „Wer seine Software gar nicht komplett kennt, weiß auch nicht, welche Sicherheitslücken dort bestehen können.“ Tatsächlich stellt das Vulnerability Management, also das Erkennen, Bewerten und Beheben von Schwachstellen in der Software, für 62 Prozent der Unternehmen noch ein ungelöstes Problem dar; für fast ein Viertel der Firmen gehört es zu den größten Herausforderungen auf dem Weg zur CRA-Compliance.
Zwei Drittel der befragten Unternehmen bereitet das im CRA vorgesehene Konzept „Security by Design / Security by Default“ Sorgen; 24 Prozent stufen es als kritischen Faktor ein. Es bedeutet, dass Cybersicherheit von Anfang an in die Entwicklung eines Produkts integriert und dieses bereits mit sicheren Voreinstellungen ausgeliefert werden muss. Für beinahe ein Viertel stellt die Sicherheit über den gesamten Produktlebenszyklus hinweg ein gravierendes Problem dar; weitere 40 Prozent stufen dies als überwindbare Hürde ein. Nur etwa 15 Prozent bewerten alle diese Aspekte nicht als Herausforderung – möglicherweise, weil sie sich noch gar nicht näher damit befasst haben, heißt es im Report.
Wendenburg: Umsetzung sollte deutlich schneller werden
Allen Schwierigkeiten zum Trotz will ein Drittel der Unternehmen bis zum vollständigen Geltungsbeginn der wesentlichen CRA-Pflichten am 11. Dezember nächsten Jahres die Compliance mit der EU-Verordnung ohne Abstriche erreicht haben. Ab diesem Tag müssen neu in Verkehr gebrachte Geräte, Maschinen und Anlagen mit digitalen Elementen die CRA-Cybersicherheitsanforderungen vollständig erfüllen. Mehr als ein Viertel (26 Prozent) strebt dies sogar schon Ende dieses Jahres an, acht Prozent sind nach eigener Einschätzung bereits heute so weit. 13 Prozent der Unternehmen befürchten aus heutiger Sicht, bis zum 11. Dezember 2027 die Anpassung ihrer Produktpalette an den Cyber Resilience Act nicht in vollem Umfang abgeschlossen zu haben.
Wendenburg resümiert: „Die deutsche Industrie ist in Sachen Cyber Resilience Act auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt werden.“ Dies gelte nicht nur angesichts der näher rückenden regulatorischen Fristen. Auch die Bedrohungslage verschärfe sich durch zunehmend automatisierte und KI-gestützte Cyberangriffe.
