Themen 30. September 2025

Cyber Resilience Act

Neue Pflichten für Hersteller, mehr Sicherheit für Anwender

In einer zunehmend vernetzten Welt stehen Unternehmen einer wachsenden Flut von Cyberattacken gegenüber, die ihre Sicherheit und betrieblichen Abläufe ernsthaft gefährden. Ein erfolgreicher Hackerangriff kann Netzwerke lahmlegen, zu erheblichen Datenverlusten führen oder den Betrieb über Wochen unterbrechen – mit erheblichen wirtschaftlichen Schäden.

Wussten Sie, dass Cyberangriffe allein in Deutschland zuletzt Schäden von rund 180 Milliarden Euro verursacht haben? Die Europäische Union reagiert auf die zunehmenden Bedrohungen mit dem „Cyber Resilience Act“ (CRA): Dieser zielt darauf ab, einheitliche Cybersecuritystandards für vernetzte Produkte innerhalb der EU zu etablieren und so das Sicherheitsniveau auf Produktebene zu erhöhen.

Sie möchten mehr erfahren?

Jetzt handeln und ein kostenloses Beratungsgespräch sichern!

Ziele und Anforderungen des CRA

Als erste europäische Verordnung legt der CRA ein verbindliches Mindestmaß an Cybersecurity für alle vernetzten Produkte fest. Ab dem 11. Dezember 2027 sind Hersteller verpflichtet, Produkte mit digitalen Elementen über deren gesamten Lebenszyklus – von der Entwicklung bis zur Außerbetriebnahme – umfassend zu schützen. Diese Maßnahmen sollen die Cybersecurity in der EU nachhaltig stärken, den Verbraucherschutz verbessern und wirtschaftliche Risiken minimieren. Um diese Ziele zu erreichen, definiert die CRA-Verordnung fünf Kernanforderungen:

Cybersecurity über gesamten Produktlebenszyklus

Sicherheitsmaßnahmen werden von Beginn an in der Produktentwicklung integriert. Prinzipien wie Secure-by-Design, -Implementation und -Default gewährleisten kontinuierliche Sicherheit über den gesamten Lebenszyklus.

Schwachstellenmanagement und Meldepflicht

Eine zentrale Meldeplattform wird eingerichtet, um aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle zu dokumentieren. Diese Transparenz verbessert die Reaktionsfähigkeit der Anwender, um Sicherheitslücken effizient zu identifizieren und zu schließen.

Sicherheitsupdates und -Support

Hersteller sind verpflichtet, während der gesamten Produktlebensdauer kostenlose Sicherheitsupdates bereitzustellen. Der Supportzeitraum beträgt in der Regel fünf Jahre und umfasst auch das Schwachstellenmanagement.

Konformitätsverfahren und CE-Kennzeichnung

Produkte müssen je nach Risikoklasse eine entsprechende Konformitätsbewertung durchlaufen und eine CE-Kennzeichnung erhalten, um EU-weite Zulassung zu erlangen und Anwendern die notwendigen Sicherheitsstandards zu garantieren.

Verbraucherschutz und Schadensvermeidung

Hersteller müssen Sicherheitslücken und Manipulationen proaktiv verhindern, um das Risiko von Cyberangriffen zu minimieren. EU-Standards und präventive Maßnahmen schützen Anwender vor unsicheren Geräten und helfen, langfristig wirtschaftliche Schäden zu reduzieren.

Auswirkungen auf Anwender

Der „Cyber Resilience Act“ legt keine direkten Verpflichtungen für Endanwender fest. Dennoch signalisiert er – zusammen mit der NIS-2-Richtlinie – die Notwendigkeit, bei Neuinstallationen und Nachrüstungen verstärkt auf Schutzmaßnahmen zu achten und konforme Produkte auszuwählen. Diese proaktive Herangehensweise ist entscheidend, damit Sie Ihre Systeme umfassend gegen Cyberbedrohungen absichern und langfristig schützen können.

Als horizontale Regulierung umfasst der CRA zahlreiche Produktklassen – von Haushaltsgeräten über industrielle Software bis hin zu IoT-Geräten, mit wenigen Ausnahmen wie Medizintechnik und Kraftfahrzeuge. Ab dem 11. Dezember 2027 müssen alle Hard- und Softwareprodukte CRA-konform sein, um das CE-Zeichen zu erhalten und im EU-Markt in Verkehr gebracht werden zu dürfen. Anwender wie Planer, Betreiber oder Integratoren sollten diese Vorgaben in ihren Planungen berücksichtigen, um die Konformität neu eingesetzter Produkte sicherzustellen.

Obwohl die Umsetzung des CRA vor allem für Hersteller herausfordernd sein kann, erhöhen diese Standards langfristig die Sicherheit und Zuverlässigkeit Ihrer Anlagen und Prozesse. Eine robuste Sicherheitsstrategie ermöglicht eine schnelle Wiederherstellung im Angriffsfall und sichert die Geschäftskontinuität. Dank der Informationspflicht der Hersteller über Sicherheitsmerkmale und potenziellen Risiken können Sie fundierte Entscheidungen bei der Produktauswahl treffen, wodurch Sie Ihre Systeme besser vor Datenlecks und Ausfälle schützen.

Die Rolle der IEC-62443-Norm bei WAGO

Angesichts zunehmend komplexer Cyberangriffe ist die IEC-62443-Norm eine wahre Geheimwaffe gegen Cyberbedrohungen. Sie integriert Sicherheitsmaßnahmen wie Zugriffskontrollen und Datenverschlüsselung über den gesamten Produktlebenszyklus und bietet internationale Standards für industrielle Automations- und Steuerungssysteme. Durch Trust-Zones, Defense-in-Depth-Ansätze und Least-Privilege-Prinzipien werden zusätzliche Barrieren gegen Angreifer geschaffen.

Der Vorteil der IEC 62443 besteht darin, dass sie viele Anforderungen des „Cyber Resilience Act“ abdeckt, wodurch die Konformität von Produkten vereinfacht wird. Bereits 2022 haben wir unseren Entwicklungslebenszyklus für Automatisierungsprodukte gemäß IEC 62443-4-1 zertifiziert, sodass Sie gemeinsam mit uns bestens auf die neuen Pflichten des CRA vorbereitet sind.

Mit WAGO sicher durch den „Cyber Resilience Act“

Der „Cyber Resilience Act“ ist ein Meilenstein in der Regulierung der Produktsicherheit und bringt nicht nur Herausforderungen, sondern auch große Chancen mit sich. Ob als Hersteller, Integrator oder Beitreiber: Mit dem WAGO Cybersecurity Consulting sind Sie optimal aufgestellt, um die neuen Standards im Bereich Cybersecurity zu erfüllen.

Unser erfahrenes Team unterstützt Sie bei der Implementierung ganzheitlicher Sicherheitsmaßnahmen und der kontinuierlichen Überwachung Ihrer Systeme. Von der Planung bis zur vollständigen Umsetzung stehen unsere Experten Ihnen zur Seite und gewährleisten, dass Ihre Systeme nicht nur CRA-konform, sondern auch das höchste Maß an Sicherheit bieten.

Weitere interessante Themen

Cyberresilienz stärken

Angesichts steigender Schäden durch Cyberangriffe und neuer EU-Richtlinien wie dem „Cyber Resilience Act“ (CRA) wird ganzheitliche Cybersecurity für Unternehmen unverzichtbar. Wie WAGO diesen Herausforderungen begegnet, erläutern Dr. Christopher Tebbe, Security Experte bei WAGO, und Kilian Fröhlich, Manager im Bereich OT-Security Consulting.

Volle Kraft voraus für Cyberresilienz auf hoher See

Mit WAGO Security Consulting zur Schiffsklassifikation

Gemeinsam gegen Cyberbedrohungen

Unabhängig davon, in welcher Branche Sie tätig sind, ob Sie am Anfang stehen oder bereits Maßnahmen ergriffen haben – gemeinsam stärken wir Ihre Cyberresilienz und sorgen dafür, dass gesetzliche Anforderungen wie der "Cyber Resilience Act" oder die NIS-2-Richtlinie erfüllt werden.