Der Cyber Resilience Act (CRA) wirft seine Schatten voraus: Was IT-Betreiber jetzt wissen müssen

Wer dachte, nach der intensiven Beschäftigung mit der NIS-2-Richtlinie würde im Bereich der IT-Regulierung erst einmal Ruhe einkehren, hat die Rechnung ohne den Gesetzgeber in Brüssel gemacht. Während NIS-2 den Fokus auf die Betreiber von kritischen und wichtigen Infrastrukturen legte, rollt mit dem Cyber Resilience Act (CRA) bereits die nächste, noch weitreichendere Regulierungswelle an.

Der CRA zielt auf das Fundament unserer digitalen Welt: Die Produkte selbst. Hard- und Software mit digitalen Elementen dürfen künftig in der EU nur noch verkauft werden, wenn sie strenge, gesetzlich verankerte Cybersicherheitsanforderungen erfüllen – das viel zitierte „Security by Design“.

Doch was bedeutet ein Gesetz, das sich primär an Hersteller richtet, für Sie als IT-Betreiber, CIO oder CISO? Sehr viel. In diesem Beitrag beleuchten wir, warum der CRA auch für die Anwenderseite ein massiver Gamechanger ist und warum Sie ohne ein automatisiertes, lückenloses IT-Asset-Management von dieser Regulierung überrollt werden.

Die Kernidee des Cyber Resilience Acts

Bisher glich der Software- und Hardwaremarkt oft einem Wilden Westen. Hersteller konnten Produkte mit Schwachstellen auf den Markt bringen, und die Verantwortung (und Haftung) für die Absicherung lag fast ausschließlich beim Endkunden – also bei Ihrer IT-Abteilung.

Der CRA dreht den Spieß um. Er definiert verbindliche Cybersicherheitsanforderungen für den gesamten Lebenszyklus eines Produkts (von der Entwicklung bis zum End-of-Life). Hersteller müssen Schwachstellen aktiv beheben, kostenlose Sicherheitsupdates über einen definierten Zeitraum (in der Regel mindestens fünf Jahre oder die erwartete Produktlebensdauer) zur Verfügung stellen und Sicherheitsvorfälle innerhalb von 24 Stunden melden. Produkte, die diesen Standard erfüllen, erhalten das CE-Kennzeichen. Ab dem 11. Dezember 2027 dürfen Produkte ohne dieses Kennzeichen in der EU nicht mehr in Verkehr gebracht werden. Die ersten Meldepflichten für Hersteller greifen bereits früher: ab dem 11. September 2026.

Warum der CRA IT-Betreiber massiv betrifft

Wenn Sie keine Software herstellen, könnten Sie sich nun entspannt zurücklehnen. Doch dieser Reflex ist gefährlich. Der CRA wird die Art und Weise, wie Sie IT-Architektur planen, einkaufen und betreiben, tiefgreifend verändern:

1. Das Management des End-of-Life (EOL)Der CRA zwingt Hersteller, klare Zeiträume für den Support (Updates) zu definieren. Für Ihre IT-Abteilung bedeutet das: Sie müssen exakt wissen, wann welches Produkt in Ihrem Netzwerk seinen End-of-Life-Status erreicht. Betreiben Sie nach Ablauf dieser Frist ein Gerät weiter, betreiben Sie wissentlich eine ungeschützte Komponente. Wenn Ihre IT-Dokumentation (CMDB) heute nicht in der Lage ist, den Lebenszyklus jeder einzelnen Software- und Hardwarekomponente automatisiert zu überwachen, sitzen Sie auf einer tickenden Zeitbombe.
2. Supply Chain Security (Die Lieferkette)NIS-2 fordert von Ihnen bereits, dass Sie Ihre Lieferkette absichern. Der CRA liefert Ihnen künftig die Werkzeuge dazu (wie die Software Bill of Materials, auf die wir im nächsten Beitrag detailliert eingehen). Aber Sie müssen in der Lage sein, diese Werkzeuge auch zu nutzen. Sie müssen wissen: Welche Software von welchem Hersteller läuft auf welchem Server? Gibt es für dieses Produkt noch ein gültiges CE-Kennzeichen? Wenn ein Hersteller den Support aufgrund von Insolvenz einstellt, müssen Sie alle betroffenen Assets in Ihrem Netzwerk sofort identifizieren können.
3. Radikale Transparenz bei SchwachstellenDa Hersteller durch den CRA gezwungen werden, Schwachstellen sofort transparent zu machen, wird die Anzahl der öffentlich bekannten Sicherheitslücken (CVEs) in den nächsten Jahren paradoxerweise erst einmal massiv ansteigen. Ihr Vulnerability Management wird mit Warnmeldungen überflutet werden. Um in dieser Flut nicht unterzugehen, brauchen Sie geschäftskritischen Kontext: Ist die betroffene Software bei uns überhaupt im Einsatz? Läuft sie auf einem System mit Internetzugang oder tief isoliert im internen Netzwerk?

Das IT-Inventar als Brücke zwischen Gesetz und Praxis

Der Cyber Resilience Act wird zu einer deutlichen Qualitätssteigerung bei IT-Produkten führen. Doch diesen Sicherheitsgewinn können Sie nur realisieren, wenn Sie Ihre eigene Infrastruktur im Griff haben.

Ein Hersteller kann noch so schnell einen kritischen Patch für seinen Router veröffentlichen – wenn Sie nicht wissen, dass (und wo) dieser Router in einer Ihrer Außenstellen steht, bleibt Ihr Netzwerk verwundbar. Die Brücke zwischen den sicheren Produkten der Hersteller und der Sicherheit Ihres Unternehmens ist das IT-Asset-Management.

Eine automatisierte Plattform wie Qbilon nimmt Ihnen diese Last ab. Sie erkennt nicht nur, welche Geräte und Software-Versionen im Einsatz sind, sie reichert diese rohen Daten auch mit dem entscheidenden Kontext an. Wenn ein Produkt das Ende seines Support-Lebenszyklus (EOL) erreicht, warnt die Plattform proaktiv. So verwandeln Sie die strengen Vorgaben des CRA von einer bürokratischen Herausforderung in einen echten, messbaren Sicherheitsvorteil für Ihr Unternehmen.