Mit dem Cyber Resilience Act (CRA) zieht die EU die Schrauben an: Ab 2027 dürfen unsichere Produkte nicht mehr auf den Markt. Für die Sicherheitstechnik-Branche bedeutet das einerseits Chancen für mehr Resilienz, aber auch Risiken, wenn Betreiber ihre Systeme nicht rechtzeitig anpassen.
Der von der EU beschlossene Cyber Resilience Act (CRA) hat es in sich. Nach Verabschiedung im vergangenen Jahr dürfen in der EU nach einer dreijährigen Übergangsfrist ab Dezember 2027 keine digitalen Produkte mehr in den Markt gebracht und – was noch entscheidender ist – auch nicht weiterbetrieben werden, wenn sie nicht den Regeln des CRA entsprechen. Das BSI betont, dies gelte für alle Produkte mit „digitalen Elementen" – von preisgünstigen Verbraucherprodukten über B2B-Software bis hin zu komplexen High-End-Industriesystemen.
Große Teile der Sicherheitstechnik-Branche sind betroffen. Zutrittskontrollsysteme, Alarmanlagen, Videoüberwachung und Leitstellenlösungen sind längst vernetzt, mit Cloud-Anwendungen verbunden und über mobile Endgeräte steuerbar.
Was der CRA regelt
Ziel ist ein einheitliches Sicherheitsniveau in der EU. Der CRA schreibt vor, dass Cybersicherheit bereits bei der Entwicklung berücksichtigt werden muss („Security by Design"), Produkte ab Werk mit sicheren Grundeinstellungen ausgeliefert werden („Security by Default") und Hersteller verpflichtet sind, über die gesamte Lebensdauer eines Produkts Sicherheitsupdates bereitzustellen. Nur konforme Produkte dürfen das CE-Kennzeichen tragen und in der EU vertrieben werden. Verstöße können empfindliche Sanktionen nach sich ziehen.
Auswirkungen auf die Sicherheitstechnik
Die Folgen sind weitreichend. Viele Betreiber nutzen Systeme, die seit Jahren zuverlässig arbeiten und tief in Gebäudestrukturen eingebunden sind. Wenn einzelne Komponenten nicht CRA-konform sind, können Hersteller sie künftig nicht mehr liefern. Ersatzteile oder Nachrüstungen könnten fehlen – mit erheblichen Auswirkungen auf den laufenden Betrieb.
Fällt ein Zutrittskontrollserver aus und ist kein konformer Ersatz mehr erhältlich, kann die Zugangssicherheit eines gesamten Gebäudes gefährdet sein. Ähnlich kritisch ist es bei Video-Management- und Videoüberwachungs-Systemen. IP-Kameras fallen als vernetzte Produkte natürlich unter den CRA – für Betreiber großer Anlagen wie Flughäfen, Industrieparks oder öffentlicher Einrichtungen kann das bedeuten, dass nicht konforme Modelle ausgetauscht werden müssen, obwohl sie technisch noch einwandfrei funktionieren.
Herausforderungen für Errichter und Betreiber
Eine der größten Herausforderungen liegt in der Verfügbarkeit. Errichter sollten sich verstärkt als Berater positionieren und ihren Kunden Orientierung geben – sie sind die Schnittstelle zwischen Herstellern, die ihre Portfolios anpassen, und Betreibern, die Planungssicherheit benötigen.
Für Betreiber stellen sich viele Fragen: Welche Systeme sind heute schon CRA-konform? Welche Produkte laufen aus? Welche Investitionen sind notwendig? Ein weiteres Problem ist die Lebensdauer sicherheitstechnischer Systeme: Während IT-Produkte oft in kurzen Zyklen ersetzt werden, laufen Zutritts- oder Videosysteme häufig zehn Jahre oder länger.
Die politische Dimension des CRA
Neben technischen und organisatorischen Aspekten hat der CRA eine politische Komponente. Kritiker sehen in der Regulierung auch ein Instrument zur Marktsteuerung: Hersteller aus Drittstaaten müssen größere Hürden beim Zugang zum europäischen Markt überwinden. Häufig genannt werden chinesische Unternehmen, darunter große Netzwerkausrüster sowie Hersteller von Videoüberwachungstechnik.
Chancen für die Branche
Trotz aller Herausforderungen eröffnet der CRA Chancen. Errichter können ihre Beratungskompetenz ausbauen und sich als langfristige Partner positionieren. Für Betreiber entsteht mehr Transparenz: Sie können künftig verlässlicher einschätzen, wie lange Produkte mit Updates versorgt werden und wann Ersatz geplant werden muss. Und auch Hersteller könnten profitieren – wahrscheinlich wird der CRA einen Innovationsschub auslösen.
Fakten zum Cyber Resilience Act (CRA)
- Inkrafttreten: Verabschiedet 2024, Übergangsfrist bis 27. Dezember 2027.
- Geltungsbereich: Alle „Produkte mit digitalen Elementen" – von IoT-Geräten bis zu komplexen Industrie- und Sicherheitssystemen.
- Kernprinzipien: „Security by Design" und „Security by Default".
- Pflichten der Hersteller: Sicherheitsupdates während der gesamten Lebensdauer.
- Marktzugang: Nur konforme Produkte dürfen die CE-Kennzeichnung tragen.
- Sanktionen: Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes.
- Verzahnung: Ergänzt andere EU-Regelwerke wie die NIS2-Richtlinie.
