Cyber Resilience Act: EU-Leitfaden für KMU ab sofort verfügbar
Veröffentlicht am: 19.08.2026 um 23:42 Uhr | Redaktion boerse-global.de
Um kleine und mittlere Unternehmen bei den steigenden Anforderungen an die IT-Sicherheit zu unterstützen, hat die EU-Kommission am 27. Juli 2026 einen neuen Leitfaden zum Cyber Resilience Act (CRA) veröffentlicht. Das Dokument bietet praxisorientierte Hilfestellungen für die Umsetzung der künftigen Regularien, die bis Ende 2027 vollständig in Kraft treten sollen.
Der nun vorgelegte Leitfaden der EU-Kommission ist rechtlich nicht bindend, soll aber insbesondere Kleinstunternehmen sowie kleinen und mittleren Unternehmen (KMU) als Orientierungshilfe dienen. Mit praxisnahen Beispielen, detaillierten Diagrammen und Entscheidungsbäumen adressiert die Behörde die Komplexität des CRA, der Herstellern von Produkten mit digitalen Elementen verbindliche Sicherheitsvorgaben auferlegt.
Neue Standards und Zeitplan für den Cyber Resilience Act
Parallel zur Veröffentlichung des Leitfadens treibt die europäische Normungsorganisation ETSI die technische Ausgestaltung voran. ETSI hat 17 Cybersicherheitsstandards vorgeschlagen, welche die Anforderungen des CRA konkretisieren. Diese umfassen verschiedene Produktkategorien wie Netzwerkgeräte, IoT-Lösungen, Sicherheitssoftware und Edge-Geräte.
Als Mindestanforderungen sehen die Standards unter anderem die Nutzung moderner Kryptografie, das Prinzip „Secure-by-Default“, die Bereitstellung von Software-Stücklisten (SBOM) sowie eine durchgehende Update-Fähigkeit vor.
Der Zeitplan für diese Normen ist eng gefasst: Eine öffentliche Anhörung dazu soll im Zeitraum von Mitte September bis Mitte November 2026 stattfinden. Die endgültige Fassung der Standards wird für Dezember 2026 erwartet. Die vollständige Umsetzung des Cyber Resilience Act durch die betroffenen Unternehmen muss laut aktuellem Stand bis Dezember 2027 erfolgen.
Hürden bei der Implementierung von NIS2
Während der CRA noch in der Vorbereitungsphase steckt, stellt die Umsetzung der NIS2-Richtlinie viele Betriebe bereits vor erhebliche Herausforderungen. Eine aktuelle Studie unter 324 IT-Entscheidungsträgern im DACH-Raum zeigt, dass 66 Prozent der Unternehmen die Vorgaben noch nicht vollständig umgesetzt haben.
Etwa 47 Prozent der Befragten bewerten die Implementierung als schwierig, wobei 39 Prozent vor allem die hohen Aufwände als wesentliche Hürde betrachten.
Angesichts immer komplexerer Vorgaben wie NIS2 oder dem Cyber Resilience Act stehen viele Betriebe vor der Herausforderung, ihre IT-Sicherheit ohne explodierende Kosten zu stärken. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken effektiv schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Die NIS2-Richtlinie, die Unternehmen ab 50 Mitarbeitern oder einem Jahresumsatz von über 10 Millionen Euro in 18 Sektoren betrifft, schreibt unter anderem strikte Meldefristen vor. Bei erheblichen Sicherheitsvorfällen muss eine erste Warnung innerhalb von 24 Stunden und ein ausführlicher Bericht binnen 72 Stunden erfolgen.
Zudem wird für die Kommunikation in hochkritischen Sektoren der Einsatz zertifizierter Lösungen gefordert. Anbieter wie Tixeo halten hierfür bereits CSPN-zertifizierte Videokonferenzsysteme bereit, die eine Ende-zu-Ende-Verschlüsselung ermöglichen.
In den Niederlanden ist die nationale Umsetzung mit der „Cyberbeveiligingswet“ (Cbw) bereits am 15. August 2026 in Kraft getreten. Sie betrifft essentielle und wichtige Entitäten in Branchen wie Energie, Gesundheit und digitaler Infrastruktur.
Nationale Initiativen und kritische Infrastrukturen
Auch in Deutschland wächst der Druck auf Politik und Wirtschaft. Nach Hacker-Angriffen auf Berliner Senatsverwaltungen forderte der Wirtschaftsrat der CDU bundesweit verbindliche Mindeststandards für Länder und Kommunen. Dabei soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) künftig stärker als Prüfinstanz fungieren.
Für Betreiber kritischer Infrastrukturen rückt zudem die Frist des KRITIS-Dachgesetzes näher. Bis zum 17. Mai 2027 müssen umfassende Schutzkonzepte vorliegen, die einen „All-Gefahren-Ansatz“ verfolgen. Dieser behandelt Cyber-Angriffe gleichrangig mit Naturkatastrophen oder Sabotage.
Ergänzend dazu fordert die TRBS 1115-1 eine systematische Dokumentation von Cyber-Risiken in Mess-, Steuer- und Regeleinrichtungen (MSR). Softwarelösungen wie HiScout zielen darauf ab, diese strukturierte Risikoanalyse technisch zu unterstützen.
Wachsender Druck durch KI und Patch-Zyklen
Zusätzliche Komplexität entsteht durch den Einsatz künstlicher Intelligenz. Ein aktueller Bericht von Optro verdeutlicht, dass 30 Prozent der befragten Unternehmen bisher nicht getestet haben, welche Folgen ein Kontrollverlust über KI-Systeme hätte.
In Deutschland liegt dieser Wert bei 25 Prozent. Zwar glauben 58 Prozent der Unternehmen, dass ihre Governance-Strukturen mit der Entwicklung schritthalten, doch nur 18 Prozent verfügen über eine aktive Risikominimierung.
Wer sich mit der Integration moderner Technologien befasst, muss heute auch die rechtlichen Leitplanken wie den EU AI Act im Blick behalten. Ein kostenloser Umsetzungsleitfaden bietet einen kompakten Überblick über alle Anforderungen, Pflichten und Fristen der neuen KI-Verordnung für Unternehmen. EU AI Act in 5 Schritten verstehen
Gleichzeitig verkürzen KI-gesteuerte Angriffe die Zeitfenster für notwendige Sicherheitsupdates massiv. Branchenexperten berichten, dass Patch-Zyklen, die früher Monate dauerten, nun innerhalb weniger Stunden abgeschlossen sein müssen. Das Volumen der Schwachstellen bleibt hoch: So veröffentlichte Oracle im Juli 2026 insgesamt 1.449 Sicherheits-Patches.
Microsoft behob im gleichen Zeitraum 622 Schwachstellen, während Google innerhalb von 60 Tagen 1.072 Fehler in Chrome schloss. Angesichts dieser Dynamik und regulatorischer Anforderungen wie der DSGVO oder NIS2 verstärkt sich der Trend zur „Data Repatriation“, bei der Unternehmen Daten aus öffentlichen Clouds in souveräne europäische IT-Umgebungen zurückführen.
