IT-Sicherheit · Branchen-Briefing

Der Cyber Resilience Act (CRA) ist seit Dezember 2024 in Kraft und etabliert verbindliche Sicherheitsstandards für alle Produkte mit digitalen Elementen, die nach dem 11.12.2027 neu im EU-Binnenmarkt in Verkehr gebracht werden. Bereits ab 11.09.2026 müssen Hersteller aktiv ausgenutzte Schwachstellen melden und ein Schwachstellenmanagement-Prozess implementieren. Die Verantwortung liegt beim Hersteller oder, falls dieser nicht in der EU ansässig ist, beim Importeur, weshalb eine genaue Überprüfung der Lieferketten notwendig ist, um die einzelnen Pflichten und Risiken korrekt zuzuordnen.

Eine EY-Studie von April 2026 zeigt erhebliche Unsicherheiten österreichischer Unternehmen bezüglich ihrer Betroffenheit durch die NIS-2-Direktive vor deren Inkrafttreten im NISG 2026: Lediglich 6 Prozent ordneten sich als wesentliche Einrichtung ein, 44 Prozent konnten ihre Betroffenheit nicht einschätzen. Besonders kleine Unternehmen (unter 10 Millionen Euro Umsatz) waren verunsichert, während Unternehmen mit KI-Einsatz besser informiert waren. Große Wissenslücken bestanden auch bei den gesetzlichen Fristen: 61 Prozent der Befragten kannten die durch das NISG vorgegebenen Fristen nicht. Die Registrierung muss bis 31. Dezember 2026, die Selbstdeklaration bis 1. Oktober 2027 erfolgen. Im Bereich der praktischen Umsetzung hatten über zwei Drittel der Unternehmen (69 Prozent) in keinem der zentralen NIS-2-Maßnahmenbereiche die Implementierung weitgehend abgeschlossen; beim Lieferketten- und Drittparteienmanagement meldeten nur 18 Prozent Fortschritt.

Eine repräsentative Befragung von 605 deutschen Unternehmen der Bitkom zeigt erhebliche Compliance-Belastungen im Datenschutz: 90 Prozent fordern eine gezielte Reform der DSGVO, 93 Prozent sehen Reformbedarf bei der deutschen Datenschutzaufsicht. 92 Prozent bewerten den Datenschutzaufwand als hoch, bei 71 Prozent nahm er im vergangenen Jahr weiter zu. Die Dokumentationspflicht für Verarbeitungstätigkeiten bindet dabei die meisten Ressourcen (84 Prozent), gefolgt von Rechtsklärung (68 Prozent) und technischer Umsetzung (65 Prozent). 88 Prozent der Unternehmen klagen über Unsicherheit zu genauen Vorgaben, 83 Prozent über ständigen Anpassungsdruck aufgrund laufender rechtlicher Entwicklungen. Hinsichtlich der Aufsicht berichten 37 Prozent der Unternehmen, in den vergangenen zwei Jahren keine Rückmeldung auf Anfragen an Datenschutzbehörden erhalten zu haben. 85 Prozent der Unternehmen, die Reformbedarf sehen, wünschen sich eine Zentralisierung der Datenschutzaufsicht in Deutschland, 80 Prozent auf EU-Ebene. 89 Prozent nennen als wichtigste Vereinfachung weniger Dokumentationspflichten bei risikoarmen Verarbeitungen, 76 Prozent fordern einheitliche Auslegung durch Behörden. Der Einsatz von KI verschärft die Situation: 50 Prozent der Unternehmen sagen, Datenschutz behindere den KI-Einsatz, während 78 Prozent von aufwendigeren Datenschutzprüfungen für KI-Projekte berichten.