.png)
Das stille Drama des deutschen Mittelstands
In deutschen Maschinenbau-Unternehmen, Softwarehäusern und Technologie-Betrieben herrscht oft noch trügerische Ruhe. Die Produkte laufen, Kunden sind zufrieden, die Technik funktioniert zuverlässig. Doch hinter dieser Fassade bahnt sich eine regulatorische Revolution an, die viele etablierte Geschäftsmodelle erschüttern wird.
Der Cyber Resilience Act (CRA) wird ab 2027 endgültig darüber entscheiden, welche digitalen Produkte überhaupt noch verkauft werden dürfen. Nicht die Funktionalität steht dabei im Fokus, sondern die nachweisbare Cybersicherheit über den gesamten Produktlebenszyklus.
Der gefährlichste Irrtum: "Wir sind kein Softwareunternehmen"
Dieser Satz fällt in nahezu jedem Beratungsgespräch – und er ist brandgefährlich. Der CRA interessiert sich nicht für Selbstbeschreibungen oder Branchenzugehörigkeiten. Er fragt nur: Hat Ihr Produkt digitale Funktionen?
- Steuerungssoftware? ✓ CRA-relevant
- Update-Funktionen? ✓ CRA-relevant
- Fernwartung? ✓ CRA-relevant
- Apps oder Cloud-Anbindung? ✓ CRA-relevant
Wer solche Produkte verkauft, ist regulatorisch Hersteller eines Produkts mit digitalen Elementen – unabhängig davon, ob er sich als Maschinenbauer oder Dienstleister versteht.
Was der CRA wirklich verlangt (und warum das schmerzt)
Der CRA fordert keine perfekte Sicherheit. Er verlangt etwas für viele Mittelständler deutlich Unbequemeres: Struktur, Verantwortlichkeit und lückenlose Nachweisbarkeit.
Die neuen Mindestanforderungen:
- Security by Design: Sicherheit muss ins Produktdesign, nicht in den Nachgang
- Aktives Schwachstellenmanagement: Systematische Prozesse statt reaktives Handeln
- End-of-Life-Strategien: Klare Ausstiegsszenarien für jedes Produkt
- Vollständige Dokumentation: Jede Sicherheitsentscheidung muss belegbar sein
Warum gerade der Mittelstand unter Druck gerät
Großkonzerne haben Compliance-Abteilungen und formalisierte Prozesse. Der Mittelstand hat Erfahrung und Pragmatismus – aber genau das wird zur Schwäche.
Die typischen Probleme:
- Gewachsene Strukturen: Sicherheitsentscheidungen wurden getroffen, aber nie dokumentiert
- Implizite Zuständigkeiten: Verantwortung existiert, aber nicht klar geregelt
- Externe Abhängigkeiten: Dienstleister übernehmen Teile, ohne dass Gesamtverantwortung definiert ist
Der CRA bewertet nicht die Geschichte eines Produkts, sondern den aktuellen Zustand. Produkte ohne nachweisbare Sicherheitsorganisation verlieren schleichend ihre regulatorische Akzeptanz.
Der Trugschluss der Delegation
"Unser Dienstleister kümmert sich darum" – auch das funktioniert nicht mehr. Das europäische Produktrecht folgt einer klaren Logik: Verantwortlich ist, wer ein Produkt unter eigenem Namen verkauft.
Aufgaben können ausgelagert werden, Verantwortung nicht. Wer nicht weiß, welche Software im eigenen Produkt steckt oder keinen Einfluss auf Sicherheitsupdates hat, verliert die Kontrolle über die eigene Marktfähigkeit.
2026 ist näher als gedacht
Wenn vom CRA "ab 2026" gesprochen wird, denken viele an die Zukunft. Tatsächlich ist es bereits Gegenwart. Produkte, die heute entwickelt oder geplant werden, müssen 2026 CRA-konform sein.
Die kritischen Fristen:
- Heute: Planung und Entwicklung CRA-konformer Produkte
- 2025: Aufbau der erforderlichen Governance-Strukturen
- 2026: Erste Anwendung des CRA
- 11.12.2027: Vollständige Anwendung des Cyber Resilience Acts
Sicherheitsarchitekturen und Update-Strategien lassen sich nicht auf Knopfdruck einführen. Wer erst reagiert, wenn die Marktaufsicht fragt, reagiert zu spät.
Was jetzt zu tun ist: Der FBDC-Ansatz
Als spezialisierte Beratung für IT-GRC und digitale Resilienz begleiten wir mittelständische Unternehmen systematisch durch die CRA-Herausforderungen:
1. CRA-Relevanz klären
- Welche Produkte sind betroffen?
- Wo bestehen regulatorische Risiken?
- Welche Handlungsfelder sind prioritär?
2. Governance-Strukturen aufbauen
- Klare Verantwortlichkeiten definieren
- Sicherheitsprozesse strukturieren
- Dokumentation systematisieren
3. Zukunftsfähigkeit sichern
- Produktportfolio strategisch bewerten
- Marktfähigkeit langfristig absichern
- Wettbewerbsvorteile durch frühe Compliance schaffen
Fazit: Aus der Krise eine Chance machen
Der CRA ist unbequem – aber auch eine strategische Chance. Er trennt Produkte, die verantwortet werden können, von solchen, die nur verwaltet werden.
Wer jetzt handelt, sichert nicht nur Compliance, sondern Zukunftsfähigkeit. Wer wartet, riskiert, dass funktionierende Produkte regulatorisch obsolet werden.
Dieser Beitrag basiert auf dem ausführlichen Artikel "Cyber Resilience Act: Warum viele mittelständische Produkte ab 2026 nicht mehr marktfähig sind" von Christopher Schroer. Für eine vertiefte Analyse der regulatorischen Herausforderungen empfehlen wir die Lektüre des vollständigen Artikels.
