IT-Sicherheit · Branchen-Briefing

Der EU Cyber Resilience Act (CRA) führt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein, die auf dem europäischen Markt bereitgestellt werden. Die Verordnung (EU) 2024/2847 verpflichtet Hersteller nicht nur bei der Produktentwicklung, sondern auch während des gesamten unterstützten Produktlebenszyklus zur Etablierung von Schwachstellenmanagement und Sicherheitsupdates. Der CRA differenziert zwischen vier Produktkategorien mit unterschiedlichen Konformitätsbewertungsverfahren: Standardkategorie (Interne Fertigungskontrolle durch den Hersteller), Important Class I und II (mit Einbindung Benannter Stellen) sowie kritische Produkte (EU-Baumusterprüfung). Die wichtigsten Umsetzungsmeilensteine sind der 10. Dezember 2024 (Inkrafttreten), 11. Juni 2026 (Benennung Benannter Stellen), 11. September 2026 (verbindliche Meldepflicht für ausgenutzter Schwachstellen mit 24-Stunden-Frist über die ENISA-Plattform) und 11. Dezember 2027 (vollständige Anwendung). Bei Nichteinhaltung drohen Sanktionen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen. Harmonisierte Normen existieren derzeit noch größtenteils nicht, werden aber von der Europäischen Kommission in Auftrag gegeben und sollen Herstellern künftig Konformitätsvermutungen bieten. Der CRA ersetzt bestehende europäische Produktvorschriften nicht, sondern ergänzt diese – betroffene Produkte müssen häufig gleichzeitig Anforderungen von RED, EMV, LVD und weiteren Richtlinien erfüllen.

Der Verband eco warnt in einem Eckpunktepapier vom 07. Juli 2026 vor einer zunehmenden Verschärfung der Cyberregulierung, die digitale Freiheitsrechte gefährdet. NIS2, KRITIS-Dachgesetz, Cyber Resilience Act und Cybersecurity Act schaffen nach Verbandsmeinung neue Doppelpflichten statt besserer Zusammenarbeit. eco fordert, dass diese Regelwerke besser ineinandergreifen und Unternehmen nicht dieselben Risiken mehrfach bewerten und melden müssen. Besonders kritisch sieht der Verband die geplanten Maßnahmen eines „Cyberdome", der nur defensiv bleiben darf und keine offensiven Eingriffe in digitale Infrastrukturen ermöglichen darf. Das BSI sollte Unternehmen befähigen statt zusätzliche Regulierungslast zu schaffen, fordert eco. Der Verband mahnt auch mehr Klarheit beim Schutz kritischer Infrastrukturen an, damit das KRITIS-Dachgesetz kein paralleles Pflichtensystem neben NIS2 schafft.

Accenture und ServiceNow haben gemeinsam KI-gestützte Managed Security Services entwickelt, die Unternehmen bei der Migration von Legacy-Tools unterstützen, Risiken durch Drittanbieter und Operational Technology steuern sowie Compliance-Prozesse beschleunigen sollen. Die Services zielen darauf ab, schnellere und ergebnisorientierte Cybersecurity-Lösungen angesichts zunehmender KI-gestützter Bedrohungen bereitzustellen.

Controlware und Swiss Post Cybersecurity bieten ab sofort gemeinsam Managed 24x7 SOC-Services auf Basis von Splunk Enterprise Security an. Das Angebot richtet sich an mittelständische und große Unternehmen sowie Behörden in Deutschland, die professionelle Sicherheitsüberwachung benötigen, aber keine eigenen Security Operations Center aufbauen möchten. Die Services umfassen kontinuierliche Überwachung sicherheitsrelevanter Ereignisse, Analyse und Priorisierung von Security-Vorfällen sowie operative Unterstützung bei Incident Response, wobei die Leistungen von deutschsprachigen Security-Experten aus der Schweiz und Luxemburg erbracht werden und kein Offshoring stattfindet.