KI-Produktmanagement · Branchen-Briefing

Der Cyber Resilience Act (CRA) unterscheidet sich grundlegend von der ISO 27001 durch seinen starken Produktfokus und seine Geltung als unmittelbar bindende EU-Verordnung. Eine bestehende ISO-27001-Zertifizierung reicht für CRA-Compliance nicht aus, bildet aber einen guten Ausgangspunkt. Der CRA verlangt produktbezogene Anforderungen wie Security by Design and by Default, Schwachstellenmanagement über den gesamten Produktlebenszyklus, sichere Sicherheitsupdates, eine Software Bill of Materials (SBOM) und technische Dokumentation für Konformitätsbewertungen. Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits ab 11. September 2026, die vollständige Anwendbarkeit tritt am 11. Dezember 2027 in Kraft. Unternehmen sollten frühzeitig eine Bestandsaufnahme durchführen, ihre betroffenen Produkte einstufen, bestehende ISMS-Maßnahmen auf CRA-Anforderungen abbilden und Lücken identifizieren, um belastbare Prozesse und Nachweise rechtzeitig aufzubauen. Sanktionen für Nichtkonformität reichen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, Produktrückrufe und Entzug der CE-Kennzeichnung.

Die Europäische Kommission hat im Juni 2026 ein Gesetzespaket zur technologischen Souveränität verabschiedet, das künstliche Intelligenz und Rechenzentren direkt mit der Energiewende verknüpft. Der Cloud and AI Development Act (CADA) als EU-Verordnung etabliert verbindliche technische Rahmenbedingungen für den Rechenzentrumsbetrieb, darunter eine Power Usage Effectiveness (PUE) von durchschnittlich 1,15 EU-weit (aktueller Stand 2025: 1,29) sowie Anforderungen zur Wassereinsparung und Abwärmenutzung. Die Verordnung sieht zudem eine Zielquote von mindestens 25 Prozent für öffentliche Aufträge an KMU vor und bietet gezielte F&E-Förderung für Umwelttechnologien. Flankiert wird CADA durch den überarbeiteten Chips Act 2.0, der auf energieeffiziente Mikrochips und sichere europäische Lieferketten fokussiert, sowie die EU Open-Source-Strategie zur Reduktion der Abhängigkeit von außereuropäischen Anbietern. Die Strategic Roadmap for Digitalisation and AI in the Energy Sector adressiert die Netzintegration und plant eine Lastflexibilisierung von Rechenzentren durch intelligente Messsysteme, um Stromverbrauch von Rechenzentren (prognostiziert vier bis fünf Prozent des EU-Strombedarfs bis 2030) mit erneuerbaren Energien zu synchronisieren.

Das Whitepaper von Aras behandelt die Rolle von Product Lifecycle Management (PLM) und Digital Thread bei der Beherrschung von Produktkomplexität in der Hightech-Industrie, was für KI-Einsatz relevant ist. Der CEO von Aras, Leon Lauritsen, betont, dass ohne konsistente, vernetzte Produktdaten KI-Implementierungen scheitern: "Der Grund dafür liegt aber nicht in den neuen Werkzeugen, sondern in der Struktur davor: Ohne konsistente, vernetzte Produktdaten bleibt selbst die beste Technologie wirkungslos." Das Whitepaper behandelt auch verschärfte regulatorische Anforderungen in der Lieferkette und zeigt Praxisbeispiele wie Kamstrup und Lightium, die PLM zur Standardisierung von Produktdaten unter Compliance-Anforderungen nutzen. Digital Thread wird als Voraussetzung für skalierbare industrielle KI-Anwendungen dargestellt: "Ohne Digital Thread bleibt KI ein Pilotprojekt. Mit Digital Thread wird sie skalierbar."