42 DSD 3 | 2026 CYBERSICHERHEIT Cyber Resilience Act Nur keine Müdigkeit vorschützen Von Sergii Levitov Eine gewisse Regulierungsmüdigkeit ist bei vielen Unternehmen spürbar – und verständlich. Nun wird mit dem Cyber Resilience Act (CRA) eine weitere EU-Verordnung sukzessive wirksam. Der CRA ist jedoch mehr als eine weitere Compliance-Pflicht: Die EU-weite Verordnung schafft Klarheit über Produktsicherheit, Lieferketten und Supportzeiträume – und ist damit ein Instrument für mehr Investitions- und Planungssicherheit im Betriebsalltag. So langsam wird es ernst: Zwar ist der Cyber Resilience Act bereits am 10. Dezember 2024 in Kraft getreten, die Umsetzung verläuft jedoch in Etappen. Ab September 2026 gelten erste Meldepflichten für Schwachstellen und schwerwiegende Sicherheitsvorfälle, ab Dezember 2027 sind die wesentlichen Cybersicherheits- und Compliance-Anforderungen rechtsverbindlich. Sind NIS-2 und das KRITIS-Dachgesetz vor allem betriebszentrierte Regulierungen, die sich auf Prozesse, Verantwortlichkeiten und Meldewege bei den Betreibern konzentrieren, ist der CRA produkt- und damit herstellerzentriert. Er definiert verbindliche Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen – entlang des gesamten Lebenszyklus. Hersteller, Importeure und Händler sind nun in der Verantwortung. Betreiber sind zwar nicht direkt verpflichtet – aber die tragen die Konsequenzen, wenn Akteure entlang der Lieferkette ihre Pflichten nicht erfüllen. Zwischen physischer und digitaler Sicherheit Zu den Produkten mit digitalen Elementen, die der CRA reguliert, gehören auch Zutrittskontrollsysteme. Denn sie sind längst keine Insellösung mehr: Sie agieren als wichtiges Bindeglied zwischen physischer und digitaler Sicherheit – eingebunden in vernetzte IT- und Gebäudemanagementsysteme. Der CRA reguliert dabei beide Seiten: Hardwarekomponenten wie elektronische Türschlösser, Zutrittsleser, Terminals und Controller ebenso wie Softwareplattformen zur zentralen Steuerung. Für Errichter, Fachplaner und Systemhäuser bedeutet das eine neue Dimension der Beratungsverantwortung. Wer für seine Kunden ein Zutrittssystem plant oder installiert, sollte dessen CRA-Konformität im Blick haben. Was bei der Anbieterauswahl zählt Der CRA definiert ein breites Anforderungsprofil: „Security by Design“ (Sicherheit als fester Bestandteil des Entwicklungsprozesses) und „Security by Default“ (sichere Grundeinstellungen ohne Konfigurationsaufwand), außerdem verbindliche Update- und Supportpflichten über den gesamten Produktlebenszyklus, einen risikobasierten Ansatz, Melde- und Transparenzpflichten sowie Konformitätsnachweise wie die CE-Kennzeichnung. Für Betreiber werden diese Prinzipien zur konkreten Prüfliste bei der Anbieterwahl. Dass viele Unternehmen auf die neuen Anforderungen noch nicht vorbereitet sind, zeigt eine Studie von ONEKEY, einem Unternehmen für Cybersicherheit, vom September 2025: Nur etwa ein Drittel der befragten Unternehmen ist mit den Anforderungen des CRA vertraut, nur wenige haben umfassende Maßnahmen eingeleitet. Die Zeit bis Dezember 2027 ist kürzer, als sie erscheint. Dabei ist die Anbieterwahl vor allem eine strategische Entscheidung: Es geht nicht allein um Funktionsumfang und Preis, sondern darum, die Lieferkette langfristig sicherzustellen. IT-, Sicherheits- und Beschaffungsverantwortliche sollten diese Entscheidung gemeinsam treffen – und dabei folgende Punkte prüfen: • CE-Kennzeichnung: Ab Dezember 2027 dürfen nur noch CRA-konforme Produkte auf dem EU-Markt bereitgestellt werden. Anbieter sollten transparent kommunizieren, welche ihrer Produkte für die CE-Kennzeichnung vorbereitet werden. Lead Engineer bei der Interflex Daten-Syteme GmbH, begleitet die CRA-Umsetzung seit 2024 und engagiert sich in Normungs- und Verbandsausschüssen Die Erstveröffentlichung des Beitrages erfolgte in der Fachzeitschrift Security Insight, Ausgabe 3/2026. www.prosecurity.de Wir bedanken uns für die Abdruckgenehmigung. Sergii Levitov
RkJQdWJsaXNoZXIy Mjc4MQ==