Produkt-Cybersecurity: Wie Unternehmen den Cyber Resilience Act umsetzen, ohne Innovation auszubremsen

Produkt Cybersecurity

• 09.02.2026
• Florian Deuring

Die Digitalisierung industrieller Produkte schreitet rasant voran. Software, Konnektivität und datenbasierte Funktionen prägen heute maßgeblich den Nutzen und die Leistungsfähigkeit industrieller Systeme – vom vernetzten Sensor bis zur autonomen Produktionsanlage. Parallel dazu verschärft die Europäische Union mit dem Cyber Resilience Act (CRA) die regulatorischen Anforderungen an die Cybersicherheit digitaler Produkte. Für Hersteller entsteht damit ein Spannungsfeld: Wie lassen sich Innovationstempo und regulatorische Compliance miteinander vereinbaren?

Warum ist Digitalisierung ein Innovationstreiber mit neuen Risiken?

Digitale Technologien haben sich in vielen Branchen zum wichtigsten Innovationstreiber entwickelt. Insbesondere der Einsatz künstlicher Intelligenz eröffnet neue Geschäftsmodelle: vorausschauende Wartung auf Basis von Sensordaten, adaptive Steuerungssysteme oder teilautonome Maschinen sind nur einige Beispiele.

Diese Potenziale lassen sich jedoch nur dann nachhaltig ausschöpfen, wenn Produkte über ihren gesamten Lebenszyklus hinweg sicher betrieben werden können. Vernetzte Systeme vergrößern die Angriffsfläche erheblich: Sicherheitslücken können nicht nur zu Produktionsausfällen oder Datenverlust führen, sondern im industriellen Umfeld auch physische Schäden, Haftungsrisiken und Reputationsverluste nach sich ziehen.

Gleichzeitig steigen mit neuen regulatorischen Vorgaben die rechtlichen und wirtschaftlichen Risiken für Hersteller. Produkte mit unzureichenden Sicherheitsmechanismen drohen vom Markt ausgeschlossen zu werden oder verlieren im internationalen Wettbewerb an Akzeptanz. Cybersecurity wird damit vom reinen IT-Thema zu einer strategischen Voraussetzung für Marktfähigkeit und langfristige Produktentwicklung.

Welche Pflichten bringt der Cyber Resilience Act für Hersteller mit sich?

Mit dem Cyber Resilience Act schafft die EU erstmals verbindliche Cybersicherheitsanforderungen für digitale Produkte über ihren gesamten Lebenszyklus hinweg. Betroffen sind unter anderem vernetzte Maschinen, industrielle Steuerungen, IoT-Geräte und Softwareprodukte.

Kernpunkte des Regelwerks sind unter anderem:

• Mindestanforderungen an die sichere Produktentwicklung („Security by Design“)
• ein verpflichtendes Schwachstellenmanagement
• regelmäßige Sicherheitsupdates
• sowie erhöhte Transparenz über eingesetzte Softwarekomponenten.

Ziel ist es, das Sicherheitsniveau digitaler Produkte im Binnenmarkt insgesamt zu erhöhen und zugleich klare Verantwortlichkeiten für Hersteller zu definieren. In der Praxis bereitet die Umsetzung vielen Unternehmen jedoch erhebliche Schwierigkeiten.

Warum ist die CRA-Umsetzung so komplex?

Der CRA ist bewusst technologieoffen und vage hinsichtlich der Umsetzung formuliert. Konkrete Vorgaben, wie Unternehmen die Anforderungen im Detail umsetzen sollen, bleiben aus. Für Hersteller bedeutet das: Sie müssen selbst tragfähige Strukturen schaffen, um sowohl regulatorische Anforderungen zu erfüllen als auch reale Sicherheitsrisiken zu beherrschen.

• Cyber Reslilience Act
• Capture The Flag-Events: Cyber Security für jedes Level
• Mehr zum Thema Cyber Security

Wie lässt sich Produkt-Cybersecurity ganzheitlich umsetzen?

Ein wirksamer Ansatz beginnt mit einem strukturierten Risikomanagement über den gesamten Produktlebenszyklus hinweg. Startpunkt ist eine Risikoanalyse (Threat Analysis and Risk Assessment/ TARA), bei der potenzielle Angriffsszenarien systematisch identifiziert, bewertet und priorisiert werden.

Davon abgeleitet müssen Sicherheitsanforderungen konsequent in den Entwicklungsprozess integriert werden. Der CRA fordert explizit ein belastbares Schwachstellenmanagement. In der Praxis ist hierfür eine Software Bill of Materials (SBOM) ein zentrales Instrument: Sie schafft Transparenz über eingesetzte Softwarekomponenten und Abhängigkeiten – insbesondere im Umgang mit Open Source – und erleichtert die schnelle Reaktion auf neu bekannt werdende Schwachstellen.

Ergänzend sind regelmäßige Sicherheits- und Funktionstests erforderlich, um Schwachstellen frühzeitig zu identifizieren. Sicherheit entsteht dabei nicht punktuell, sondern als Ergebnis eines durchgängigen Entwicklungsprozesses.

Wie sieht der optimale Umgang mit Bestandsprodukten hinsichtlich des CRA aus?

Der CRA greift allerdings nicht nur für neue Produkte, sondern auch für Bestandsprodukte. In vielen Fällen muss ein Schwachstellen- und Incidentmanagement neu eingeführt werden; auch ein Risikomanagement ist für diese Produkte verpflichtend. Auch wenn umfassende Nachbesserungen eher die Ausnahme bleiben dürften, hat sich eine strukturierte Gap-Analyse als pragmatischer Ansatz bewährt: Der aktuelle Sicherheitsstatus wird erfasst und mit den regulatorischen sowie technischen Zielanforderungen abgeglichen. Das Ergebnis ist ein realistischer, priorisierter Maßnahmenplan, der gezielt dort ansetzt, wo tatsächlich Handlungsbedarf besteht – ohne Alarmismus oder unnötige Komplexität. Auf diese Weise lässt sich CRA-Compliance für Bestandsprodukte pragmatisch und schrittweise erreichen.

Wo erhalten Unternehmen Unterstützung zum Thema Produkt-Cybersecurity?

Ob Neu- oder Bestandsprodukt: Unternehmen sollten ausreichend Zeit einplanen und die Themen Produkt-Cybersecurity sowie CRA-Compliance strukturiert mit einem erfahrenen Partner angehen. Die CarByte Technology Group hat sich auf diesen Bereich spezialisiert. Das 2021 gegründete Unternehmen ist in nur vier Jahren zu einer Unternehmensgruppe mit zwei Tochtergesellschaften herangewachsen. Mit Hauptsitz in Rülzheim beschäftigt CarByte mehr als 200 Mitarbeiter an acht Standorten deutschlandweit.

Der Dienstleister deckt den kompletten Produktlebenszyklus ab: von der Beratung über Konzeption und Implementierung bis zum Markteintritt. Der Ansatz orientiert sich dabei konsequent an den real gelebten Prozessen der Kunden und berücksichtigt neben den regulatorischen Anforderungen auch technische, organisatorische und wirtschaftliche Rahmenbedingungen. So entstehen umsetzbare Lösungen, die Sicherheitsanforderungen vorausschauend adressieren, ohne bestehende Strukturen unnötig zu belasten.

Fazit

• ►
  Was ist der Cyber Resilience Act (CRA)?

  Der Cyber Resilience Act (CRA) ist ein Regelwerk der EU, das verbindliche Cybersicherheitsanforderungen für digitale Produkte über ihren gesamten Lebenszyklus hinweg festlegt. Er betrifft unter anderem vernetzte Maschinen, industrielle Steuerungen und IoT-Geräte.

• ►
  Welche Herausforderungen stellt der CRA für Hersteller dar?

  Die Umsetzung des CRA ist komplex, da er technologieoffen und vage bezüglich der genauen Umsetzung formuliert ist. Hersteller müssen selbst Strukturen schaffen, um sowohl die regulatorischen Anforderungen zu erfüllen als auch reale Sicherheitsrisiken zu beherrschen.

• ►
  Was sind die Kernanforderungen des CRA an die Produktsicherheit?

  Kernanforderungen umfassen Mindestanforderungen an die sichere Produktentwicklung ("Security by Design"), ein verpflichtendes Schwachstellenmanagement, regelmäßige Sicherheitsupdates und erhöhte Transparenz über eingesetzte Softwarekomponenten.

• ►
  Wie können Unternehmen Produkt-Cybersecurity ganzheitlich umsetzen?

  Ein strukturierter Ansatz beginnt mit einer Risikoanalyse (TARA). Sicherheitsanforderungen sollten in den Entwicklungsprozess integriert und Schwachstellenmanagement eingeführt werden. Eine Software Bill of Materials (SBOM) schafft Transparenz über Softwarekomponenten.

• ►
  Wie unterstützt CarByte Unternehmen bei der Umsetzung des CRA?

  CarByte bietet Unterstützung über den gesamten Produktlebenszyklus, von Beratung über Konzeption bis zur Implementierung. Der Ansatz berücksichtigt neben regulatorischen Anforderungen auch technische, organisatorische und wirtschaftliche Rahmenbedingungen.