Cyber Resilience Act (CRA): Wie Unternehmen Cyber Resilience strategisch und mit IAM verankern

Der Cyber Resilience Act verändert grundlegend, wie Hersteller digitale Produkte entwickeln, absichern, dokumentieren und über ihren gesamten Lebenszyklus betreiben. Die EU-Verordnung 2024/2847 vom 23.10.2024 macht Cybersecurity ab Dezember 2027 damit von einer freiwilligen Qualitätsleistung zu einer verbindlichen Voraussetzung für den europäischen Marktzugang. Betroffen sind viele Hardware- und Softwareprodukte, die direkt oder indirekt mit Geräten oder Netzwerken verbunden werden können. Unternehmen müssen deshalb technische Produktarchitektur, Schwachstellenmanagement, Lieferkettensteuerung und regulatorische Nachweisführung gemeinsam betrachten. Identity & Access Management, kurz IAM, wird dabei zum zentralen Kontrollmechanismus für privilegierte Zugriffe, Entwicklungssysteme, Signaturprozesse und belastbare Verantwortlichkeiten.

Der Cyber Resilience Act, kurz CRA, definiert horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, die im EU-Binnenmarkt bereitgestellt werden. Dazu zählen beispielsweise vernetzte Maschinen, industrielle Steuerungskomponenten, Betriebssysteme, Anwendungen, Firmware, IoT-Geräte und separat vermarktete Softwarekomponenten. Hersteller müssen angemessene Schutzmassnahmen bereits bei Planung, Design, Entwicklung und Produktion berücksichtigen und während der erwarteten Nutzungsdauer aufrechterhalten. Der CRA verbindet damit Secure by Design, Secure by Default und kontinuierliches Vulnerability Management zu einer durchgängigen Produktverantwortung. Neben Herstellern betrifft die Verordnung auch Importeure, Händler, Bevollmächtigte und weitere Akteure innerhalb der digitalen Lieferkette. Entscheidend ist nicht allein der Unternehmenssitz, sondern ob ein relevantes Produkt auf dem europäischen Markt angeboten wird. Auch Unternehmen ausserhalb der EU können deshalb unmittelbar betroffen sein, sobald sie digitale Produkte oder Komponenten in die Europäische Union exportieren. Cyber Resilience wird damit zu einer strategischen Fähigkeit, welche Produktmanagement, Engineering, Security, Compliance und Unternehmensführung miteinander verbindet.

Der CRA gilt grundsätzlich für Hardware und Software, deren vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung umfasst. Das Spektrum reicht von Consumer-IoT und Business-Software bis zu industriellen Produkten, Bibliotheken, Netzwerkkomponenten und eingebetteten Systemen. Ausnahmen bestehen unter anderem für bestimmte Produkte, die bereits sektorspezifischen europäischen Regelwerken unterliegen, weshalb eine belastbare Einzelfallprüfung erforderlich bleibt. Unternehmen sollten ihr Portfolio nicht nur nach Produktnamen, sondern nach Funktionen, Verbindungsmöglichkeiten, Vertriebsmodellen und Verantwortlichkeiten systematisch klassifizieren. Gerade bei Plattformen, White-Label-Lösungen, Open-Source-Bausteinen und gemeinsam entwickelten Produkten können Rollen und Pflichten entlang der Lieferkette unklar werden.

Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten, seine wesentlichen Anforderungen gelten jedoch gestaffelt:

• Die vollständige Anwendung beginnt grundsätzlich am 11. Dezember 2027, sodass Unternehmen die verbleibende Zeit für Architektur, Prozesse und Nachweise nutzen müssen.
• Bereits seit dem 11. Juni 2026 gelten Regelungen zur Notifizierung von Konformitätsbewertungsstellen.
• Ab dem 11. September 2026 greifen die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.

Diese vorgezogenen Pflichten machen ein funktionsfähiges Detection-, Triage- und Eskalationsmodell schon deutlich vor der allgemeinen Anwendung erforderlich. Hersteller müssen bei relevanten Ereignissen eine Frühwarnung grundsätzlich innerhalb von 24 Stunden nach Kenntnis übermitteln. Eine vollständige Meldung ist grundsätzlich innerhalb von 72 Stunden (analog DSGVO) vorgesehen, ergänzt durch spätere Abschlussinformationen nach Behebung oder Untersuchung. Wer erst 2027 mit der Umsetzung beginnt, riskiert deshalb operative Lücken, unvollständige Evidenzen und nicht getestete Verantwortungswege.

Der CRA verlangt kein punktuelles Sicherheitsprojekt, sondern ein nachvollziehbares System aus technischen, organisatorischen und dokumentarischen Kontrollen. Besonders wichtig sind folgende Handlungsfelder:

Damit entsteht eine Verbindung zwischen Product Security, Software Supply Chain Security, Qualitätsmanagement und regulatorischer Governance.

IAM adressiert zwar nicht sämtliche Anforderungen des Cyber Resilience Act, kontrolliert jedoch einen wesentlichen Teil der sicherheitskritischen Handlungen. Entwicklungsplattformen, Quellcode-Repositories, Build-Pipelines, Cloud-Umgebungen und Update-Infrastrukturen benötigen eindeutig zugeordnete Identitäten mit angemessenen Berechtigungen. Ohne geregelte Zugriffe können unautorisierte Änderungen, manipulierte Artefakte oder missbräuchlich verwendete Signaturschlüssel die Integrität digitaler Produkte gefährden. Ein belastbares IAM sorgt dafür, dass Personen, technische Konten, Services und externe Partner nur die tatsächlich erforderlichen Rechte erhalten. Identity Governance and Administration (IGA) unterstützt zusätzlich Genehmigungen, Rezertifizierungen, Funktionstrennung und revisionsfähige Nachweise. Privileged Access Management (PAM) schützt besonders mächtige Konten, protokolliert administrative Sitzungen und reduziert dauerhafte Hochprivilegierung. Machine Identities und Workload Identities - sprich alle Non-Human Identities (NHI) - müssen ebenfalls verwaltet werden, weil moderne Softwarelieferketten zunehmend automatisiert und servicebasiert funktionieren. Damit wird IAM zu einer tragenden Kontrollschicht zwischen CRA-Governance und technischer Produktentwicklung.

Secure by Design bedeutet, dass Sicherheitsanforderungen nicht nachträglich ergänzt, sondern als Architekturprinzip in Entwicklung und Betrieb verankert werden. IAM übersetzt dieses Prinzip in eindeutige Regeln für Authentisierung, Autorisierung, privilegierte Aktionen und die Trennung kritischer Aufgaben, wie in Anhang I, Teil I, Ziffer 2(d) ausgeführt.

Secure by Default verlangt zudem, dass Produkte und Plattformen bereits in der Ausgangskonfiguration ein angemessenes Sicherheitsniveau bieten. Dazu gehören deaktivierte Standardkonten, starke Authentisierung, minimale Berechtigungen und kontrollierte administrative Schnittstellen. Produktteams sollten diese Vorgaben als wiederverwendbare Security Patterns dokumentieren, und automatisiert in Entwicklungs- und Bereitstellungsprozesse integrieren.

Ein CRA-konformes Vulnerability Management muss Schwachstellen nicht nur technisch erkennen, sondern betroffene Produkte, Verantwortliche und notwendige Entscheidungen schnell zusammenführen. Eine Software Bill of Materials, kurz SBOM, schafft Transparenz über Komponenten und Abhängigkeiten, ersetzt aber weder Risikobewertung noch belastbare Betriebsprozesse. Unternehmen benötigen ein Product Security Incident Response Team oder eine vergleichbare Funktion mit definierten Übergaben zu Entwicklung, Recht, Kommunikation und Management. Aktiv ausgenutzte Schwachstellen erfordern besonders kurze Reaktionszeiten und eine verlässliche Beurteilung, ob gesetzliche Meldekriterien erfüllt sind. Die europäische Single Reporting Platform soll für verpflichtende Meldungen an die zuständigen Stellen genutzt werden. IAM stellt hierbei sicher, dass nur autorisierte Rollen Meldungen erstellen, freigeben oder ergänzen können und dass ihre Aktivitäten nachvollziehbar bleiben. Gleichzeitig müssen Bereitschaftsdienste, Stellvertretungen und externe Spezialisten rechtzeitig mit zeitlich begrenzten, kontrollierten Zugängen ausgestattet werden. Cyber Resilience entsteht deshalb erst, wenn technische Erkenntnisse, Identitäten, Prozesse und Governance ohne Medienbrüche zusammenwirken.

Eine wirksame CRA-Governance braucht klare Entscheidungen, messbare Kontrollen und eine verbindliche Zuordnung von Produkt- und Prozessverantwortung. Unternehmen sollten mindestens folgende Rollen und Strukturen festlegen:

Diese Struktur verhindert, dass CRA-Aufgaben zwischen Produktentwicklung, Informationssicherheit, Compliance und Rechtsabteilung liegen bleiben.

Schweizer Hersteller müssen den CRA berücksichtigen, wenn sie betroffene Produkte direkt oder über Partner auf dem EU-Markt bereitstellen. Dabei können auch Komponenten relevant sein, die in grössere Systeme integriert und separat kommerziell angeboten werden. Eine rein juristische Betrachtung reicht nicht, weil Konformität von realen Entwicklungs-, Betriebs- und Supportfähigkeiten abhängt. Unternehmen sollten deshalb früh klären, welche Rolle sie je Produkt einnehmen und welche Pflichten vertraglich an Lieferanten oder Vertriebspartner übertragen werden können. Nicht delegierbare Herstellerverantwortung, unklare Updatezusagen und fehlende Komponententransparenz können erhebliche Umsetzungsrisiken erzeugen.

Eine belastbare Roadmap für «CRA READY» beginnt mit einem Scope Assessment, das Produkte, Märkte, wirtschaftliche Rollen und relevante Ausnahmen nachvollziehbar erfasst. Danach folgt eine Gap-Analyse gegen Sicherheitsanforderungen, Schwachstellenprozesse, technische Dokumentation, Konformitätsbewertung und Meldebereitschaft. Parallel sollte das Unternehmen seine IAM-Landschaft auf privilegierte Konten, technische Identitäten, externe Zugriffe und kritische Berechtigungskonflikte prüfen. Priorität erhalten Kontrollen, die sowohl das unmittelbare Sicherheitsrisiko als auch den späteren Nachweisaufwand reduzieren. Pilotprodukte helfen, Zielprozesse praktisch zu testen, bevor sie auf das gesamte Portfolio skaliert werden. Geeignete Kennzahlen sind beispielsweise die Zeit bis zur Schwachstellenbewertung, die Dauer bis zur Behebung und der Anteil rezertifizierter privilegierter Zugriffe. Ebenso wichtig sind dokumentierte Ausnahmen, klare Risikoakzeptanzen und regelmässige Übungen der Melde- und Eskalationswege. So wird der CRA nicht als isoliertes Compliance-Programm umgesetzt, sondern als nachhaltige Verbesserung der Product Security Governance.

IPG verbindet regulatorische Anforderungen mit Identity & Access Management, Identity Governance und der Absicherung privilegierter sowie technischer Identitäten. Im ersten Schritt analysieren unsere Experten Geschäftsrollen, Produktprozesse, kritische Systeme und bestehende Zugriffskontrollen im CRA-relevanten Umfeld. Daraus entsteht ein priorisiertes Zielbild, das Governance, IAM-Architektur, Prozesse und messbare Kontrollen miteinander verbindet. IPG unterstützt anschliessend bei Konzeption, Implementierung und Optimierung geeigneter IAM-, IGA- und PAM-Fähigkeiten. Damit schaffen Unternehmen nachvollziehbare Verantwortlichkeiten, reduzieren Zugriffsrisiken und verbessern ihre Audit Readiness.

Der Cyber Resilience Act macht Produktsicherheit zu einer kontinuierlichen Verpflichtung, die weit über eine einmalige Konformitätsprüfung hinausgeht. Erfolgreiche Unternehmen verbinden regulatorische Interpretation deshalb früh mit Product Security, Softwareentwicklung, Lieferkettensteuerung und operativer Reaktionsfähigkeit. IAM liefert dabei die Identitäts-, Berechtigungs- und Nachweisebene, auf der kritische Prozesse kontrolliert und Verantwortlichkeiten belastbar zugeordnet werden. Besonders dringlich sind jetzt die ab September 2026 geltenden Meldepflichten sowie der Aufbau getesteter Eskalations- und Freigabeprozesse. Wer Scope, Governance und technische Kontrollen strukturiert priorisiert, reduziert nicht nur Compliance-Risiken, sondern erhöht zugleich die Widerstandsfähigkeit seiner digitalen Produkte. Eine belastbare Identity Governance macht darüber hinaus sichtbar, wer kritische Entscheidungen treffen, Produktänderungen freigeben oder Sicherheitsmeldungen übermitteln darf. Diese Transparenz verbessert die Nachweisfähigkeit gegenüber Prüfern und reduziert operative Abhängigkeiten von einzelnen Schlüsselpersonen. Cyber Resilience wird so vom regulatorischen Projekt zum Qualitätsmerkmal, das Vertrauen, Marktzugang und nachhaltige Wettbewerbsfähigkeit stärkt.

Dieser Bericht beruht auf Expertenwissen, für die Ausformulierung wurde Hilfe von KI in Anspruch genommen.