Hinweis: Das Beitragsbild wurde mit künstlicher Intelligenz erzeugt.
Der Stichtag ist da. Seit dem 11. September 2026 gelten die verbindlichen Meldepflichten des EU Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Komponenten, also von vernetzten Steuerungen, Industriegateways oder Embedded-Systemen, müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die europäische Cybersicherheitsbehörde ENISA und das zuständige nationale CSIRT melden. Eine vollständige Meldung folgt spätestens nach 72 Stunden. Wer das versäumt, riskiert regulatorische Konsequenzen.
Was der CRA konkret verlangt
Der CRA unterscheidet zwei Meldetatbestände: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Für beide gilt die 24-Stunden-Frühwarnung. Bei ausgenutzten Schwachstellen ist innerhalb von 14 Tagen nach Verfügbarkeit eines Patches ein Abschlussbericht einzureichen. Nach schwerwiegenden Sicherheitsvorfällen beträgt diese Frist einen Monat.
Das klingt nach einer Aufgabe für die IT-Abteilung. In der Praxis ist es eine Frage der gesamten Unternehmensorganisation. Entwicklung, Produktmanagement, Rechtsabteilung und Geschäftsführung müssen koordiniert entscheiden können, ob ein Vorfall meldepflichtig ist und welche Produkte betroffen sind. Wer dafür keine Prozesse hat, scheitert an der Frist, nicht an der Technik.
Software-Stücklisten als operative Voraussetzung
Das Kernproblem liegt in der Produktzusammensetzung. Moderne Industriegeräte enthalten Dutzende oder Hunderte Softwarekomponenten. Ist eine davon verwundbar, muss ein Hersteller binnen Stunden wissen, welche Produkte und Firmware-Versionen betroffen sind. Ohne eine vollständige Software-Stückliste, im Fachjargon Software Bill of Materials (SBOM), ist das kaum leistbar.
Die SBOM ist damit keine theoretische Compliance-Anforderung mehr, sondern ein operatives Instrument, das direkt in die Meldefähigkeit eines Unternehmens eingreift. Wer seine SBOM nicht gepflegt hat oder sie nicht mit Schwachstellen-Datenbanken verknüpfen kann, wird bei der ersten echten Lage Zeit verlieren.
PSIRT: Strukturiertes Incident-Response-Team als Pflichtbaustein
Eng damit verbunden ist die Frage, wer im Ernstfall die Reaktion koordiniert. Die Branche spricht vom Product Security Incident Response Team, kurz PSIRT. Das ist eine dedizierte Einheit, die eingehende Schwachstellenmeldungen bewertet, Entwicklungsteams aktiviert und die regulatorische Kommunikation steuert. Ohne ein funktionierendes PSIRT ist die 24-Stunden-Frist für die meisten Unternehmen nicht einhaltbar.
Der Netzkomponenten-Hersteller Moxa, der industrielle Kommunikationsgeräte für Produktionsumgebungen liefert, hat nach eigenen Angaben ein solches PSIRT aufgebaut und seinen Entwicklungsprozess nach IEC 62443-4-1 Maturity Level 3 zertifizieren lassen. Diese Norm beschreibt einen sicheren Entwicklungszyklus (Secure Development Lifecycle, SDL) für industrielle Automatisierungsprodukte. Die Zertifizierung wurde von der IECEE sowie von ISCI/ISASecure ausgestellt.
Was das für Einkauf und Beschaffung bedeutet
Für Maschinenbauer, Systemintegratoren und Betreiber kritischer Infrastrukturen verschiebt der CRA die Anforderungen an ihre Lieferkette. Wer Komponenten mit digitalen Funktionen bezieht, sollte künftig prüfen, ob sein Lieferant die CRA-Meldepflichten tatsächlich erfüllen kann. Das betrifft den gesamten Produktlebenszyklus.
Konkret heißt das: Hersteller müssen belegen können, dass sie Schwachstellen in bereits ausgelieferten Produkten erkennen, verfolgen und melden. Wer als Einkäufer oder Anlagenbetreiber einen Lieferanten ohne diese Fähigkeiten im Portfolio hat, trägt das Risiko mit, wenn ein Vorfall ungemeldet bleibt.
Zertifizierungen als prüfbares Kriterium
Zertifizierungen nach IEC 62443-4-1 bieten hier einen ersten prüfbaren Anhaltspunkt. Sie belegen, dass ein Hersteller wiederholbare Prozesse zur Produktsicherheit etabliert hat. Sie sind kein Freifahrtschein, aber ein Indikator für organisatorische Reife. Beschaffungsverantwortliche sollten dieses Kriterium in ihre Lieferantenqualifizierung aufnehmen.
Fazit
Der CRA ist kein Papiertiger. Die Fristen von 24 und 72 Stunden sind operativ anspruchsvoll. Wer sie einhalten will, braucht gepflegte SBOMs, ein funktionierendes PSIRT und klare interne Entscheidungswege. Für Unternehmen auf der Einkaufsseite gilt: Die CRA-Fähigkeit eines Lieferanten wird zum Beschaffungskriterium. Wer das jetzt ignoriert, kauft sich künftig Compliance-Risiken ein.
