Cyber Resilience Act (CRA): Nur jedes dritte Unternehmen ist bereit

Ab dem 11. September 2026 greifen die ersten Pflichten des Cyber Resilience Act (CRA) – doch die meisten Unternehmen sind darauf nicht genug vorbereitet. Ab jetzt müssen Hersteller aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle, etwa in Software oder vernetzten Geräten, innerhalb von 24 Stunden melden und diese Meldung innerhalb von 72 Stunden um weitere Informationen ergänzen. Hinzu kommen verpflichtende Abschlussberichte.

Zum Start ist das Gesetz in vielen Unternehmen noch nicht angekommen. Zwei Drittel der Unternehmen in Deutschland (67 Prozent) ist der Cyber Resilience Act (CRA) zwar ein Begriff, doch nur 29 Prozent ist auch bewusst, was er für das eigene Unternehmen bedeutet. 38 Prozent haben von dem Gesetz gehört, können die Bedeutung für das eigene Unternehmen aber nicht einschätzen. 28 Prozent kennen den CRA überhaupt nicht. Das sind Ergebnisse einer Umfrage unter 1.003 Unternehmen ab 10 Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom.

Grundsätzlich ist der Cyber Resilience Act wichtig für mehr Cybersicherheit in Europa. Erstmals gelten EU-weit verbindliche Mindestanforderungen für Produkte mit digitalen Funktionen, Security by Design wird zum Grundsatz. Höhere Standards verbessern den Schutz von Unternehmen, Verbraucherinnen und Verbrauchern, Lieferketten und kritischen Infrastrukturen. Aktuell hapert es aber noch an der praxistauglichen Umsetzung. Der CRA kann nur dann Vertrauen in europäische Produkte schaffen, wenn die Unternehmen ihn umsetzen wollen und umsetzen können.“

Dr. Ralf Wintergerst, Bitkom-Präsident

Für die Meldung von Sicherheitslücken und -vorfällen ist eine zentrale europäische Plattform vorgesehen, die den sicheren Informationsaustausch zwischen Unternehmen, den zuständigen nationalen Stellen und der EU-Cybersicherheitsagentur ENISA ermöglichen soll. In Deutschland ist dafür das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig. Selbst gut vorbereitete Unternehmen können sich nicht vorab auf der Meldeplattform registrieren und die Meldewege erproben, weil die Plattform erst zum Stichtag live geht.

Der Digitalverband Bitkom empfiehlt allen Unternehmen, sich umgehend mit den Pflichten aus dem CRA auseinanderzusetzen. Dafür stellt der Verband eine Website mit einer Übersicht mit Informationen zu Anwendungsbereich, Pflichten und Fristen bereit. Informationen zur ab dem 11. September erreichbaren Meldeplattform finden Sie auf der Website von ENISA.

Über die Umfrage

Grundlage der Angaben ist eine Umfrage, die Bitkom Research (Website) im Auftrag des Digitalverbands Bitkom durchgeführt hat. Dabei wurden 1.003 Unternehmen ab 10 Beschäftigten und einem Jahresumsatz von mindestens 1 Mio. Euro in Deutschland telefonisch befragt. Die Befragung fand im Zeitraum von KW 16 bis KW 23 2026 statt. Die Umfrage ist repräsentativ. Die Fragestellung lautete: „Ist in Ihrem Unternehmen das Cybersicherheitsgesetz Cyber Resilience Act (CRA) bekannt?“pp