Cyber Resilience Act: Nur 3 von 10 Unternehmen sind vorbereitet
Ab morgen gilt die 24-Stunden-Meldepflicht des CRA
Bitkom bietet Hilfe mit Informationsseite zum neuen Gesetz
Berlin, 10. September 2026 – Morgen greifen die ersten Pflichten des Cyber Resilience Act – doch die meisten Unternehmen sind darauf nicht vorbereitet: Ab dem 11. September müssen Hersteller aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle, etwa in Software oder vernetzten Geräten, innerhalb von 24 Stunden melden und diese Meldung innerhalb von 72 Stunden um weitere Informationen ergänzen. Hinzu kommen verpflichtende Abschlussberichte. Doch kurz vor dem Start ist das Gesetz in vielen Unternehmen noch nicht angekommen. Zwei Drittel der Unternehmen in Deutschland (67 Prozent) ist der Cyber Resilience Act (CRA) zwar ein Begriff, doch nur 29 Prozent ist auch bewusst, was er für das eigene Unternehmen bedeutet. 38 Prozent haben von dem Gesetz gehört, können die Bedeutung für das eigene Unternehmen aber nicht einschätzen. 28 Prozent kennen den CRA überhaupt nicht. Das sind Ergebnisse einer Umfrage unter 1.003 Unternehmen ab 10 Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom.
„Grundsätzlich ist der Cyber Resilience Act wichtig für mehr Cybersicherheit in Europa. Erstmals gelten EU-weit verbindliche Mindestanforderungen für Produkte mit digitalen Funktionen, Security by Design wird zum Grundsatz. Höhere Standards verbessern den Schutz von Unternehmen, Verbraucherinnen und Verbrauchern, Lieferketten und kritischen Infrastrukturen“, sagt Bitkom-Präsident Dr. Ralf Wintergerst. „Aktuell hapert es aber noch an der praxistauglichen Umsetzung. Der CRA kann nur dann Vertrauen in europäische Produkte schaffen, wenn die Unternehmen ihn umsetzen wollen und umsetzen können.“ So ist für die Meldung von Sicherheitslücken und -vorfällen eine zentrale europäische Plattform vorgesehen, die den sicheren Informationsaustausch zwischen Unternehmen, den zuständigen nationalen Stellen und der EU-Cybersicherheitsagentur ENISA ermöglichen soll. In Deutschland ist das das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig. Selbst gut vorbereitete Unternehmen können sich allerdings nicht vorab auf der Meldeplattform registrieren und die Meldewege erproben, weil die Plattform erst zum Stichtag live geht.
Grundlage der Angaben ist eine Umfrage, die Bitkom Research im Auftrag des Digitalverbands Bitkom durchgeführt hat. Dabei wurden 1.003 Unternehmen ab 10 Beschäftigten und einem Jahresumsatz von mindestens 1 Mio. Euro in Deutschland telefonisch befragt. Die Befragung fand im Zeitraum von KW 16 bis KW 23 2026 statt. Die Umfrage ist repräsentativ. Die Fragestellung lautete: „Ist in Ihrem Unternehmen das Cybersicherheitsgesetz Cyber Resilience Act (CRA) bekannt?“
