|
Düsseldorf (ots) -
- CEO Jan Wendenburg: "Die deutsche Industrie ist in Sachen Cyber Resilience Act
auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt
werden."
- "KI-gesteuerte Cyberattacken werden künftig auch industrielle Maschinen und
Anlagen angreifen."
- Weit weniger als die Hälfte der Firmen haben den Stichtag 11. September 2026
im Blick.
Die deutsche Wirtschaft vernachlässigt den Cyber Resilience Act (CRA) sträflich,
lautet ein besorgniserregendes Ergebnis des neuen "IoT & OT Cybersecurity Report
2026", den das Düsseldorfer Cybersicherheitsunternehmen ONEKEY
(http://www.onekey.com/de) vorgestellt hat. Für den Berichtsband waren 200
deutsche Industrieunternehmen nach ihrer Strategie und Umsetzung in Bezug auf
die jüngste Cybersicherheitsverordnung der EU bei Betriebstechnologie zur
Steuerung physischer Anlagen und Prozesse (Operational Technology, OT) und bei
vernetzten Geräten, die Daten über das Internet austauschen (Internet of Things,
IoT), befragt worden. Der Bericht steht online zur Verfügung:
https://www.onekey.com...eport-2026
(https://www.onekey.com/de/resource/onekey-iot-ot-cybersecurity-report-2026) .
Ein Großteil von 45 Prozent gab an, mit den Anforderungen entweder kaum oder gar
nicht vertraut zu sein. Das ist bemerkenswert, weil die ersten
CRA-Verpflichtungen bereits am 11. September dieses Jahres in Kraft treten. Ab
diesem Stichtag müssen die Hersteller, Importeure und Händler vernetzter Geräte,
Maschinen und Anlagen aktiv ausgenutzte Schwachstellen in ihren Produkten und
damit verbundene schwerwiegende Sicherheitsvorfälle melden.
Der CEO von ONEKEY, Jan Wendenburg, stellt klar: "Das gilt von Ausnahmen
abgesehen auch für alle Produkte, die bereits auf dem Markt sind, also nicht
etwa nur für neue Entwicklungen, wie häufig fälschlicherweise angenommen wird."
Der "IoT & OT Cybersecurity Report 2026" zählt beispielhaft auf: vernetzte
Maschinen und Steuerungen, Router, Firewalls und Netzwerkgeräte, IoT- und
Smart-Home-Geräte, Betriebssysteme, Apps und andere Software, industrielle
Steuerungssoftware und sogar Cloud-Funktionen, wenn sie für die Funktion des
Produkts notwendig sind. Zudem können auch Industriebetriebe betroffen sein, die
sich selbst nur als Nutzer verstehen, aber dennoch unter den Cyber Resilience
Act fallen, heißt es im neuen ONEKEY-Report. Beispiel: Wenn eine Firma vernetzte
Maschinen zwar nur für die eigene Produktion erwirbt, diese aber direkt aus
Asien importiert, kann sie als Importeur im Sinne des CRA gelten, wenn sie die
Maschinen beispielsweise an eine Tochter- oder Schwestergesellschaft abgibt.
Nur ein Drittel kennt sich mit den Fristen aus
Immerhin: 46 Prozent der befragten Unternehmen kennen sich eigenen Angaben
zufolge mit dem Cyber Resilience Act aus, 21 Prozent sogar sehr gut. 43 Prozent
sind sich laut Umfrage bewusst, dass die erste Phase der CRA-Pflichten bereits
in diesem September eintritt. Allerdings räumen 60 Prozent ein, dass ihnen die
weiteren Phasen und Fristen der EU-Sicherheitsverordnung nicht bekannt sind.
"Tatsächlich gibt es im CRA-Umsetzungszeitplan der EU drei weitere Fristen,
bevor am 11. Dezember 2027 der Cyber Resilience Act vollumfänglich in Kraft
tritt", sagt ONEKEY-Chef Jan Wendenburg. Über diese Kenntnisse verfügt aber laut
Report nur ein Drittel der befragten Unternehmen.
Schleppende Umsetzung des CRA
Dem entsprechend schleppend geht die CRA-Umsetzung in der Wirtschaft voran,
heißt es im "IoT & OT Cybersecurity Report 2026". Wie gut sind die Unternehmen
in Bezug auf den Cyber Resilience Act konkret vorbereitet, wollte ONEKEY im
Rahmen der Umfrage wissen.
Als "sehr gut vorbereitet" bezeichnen sich demnach ein Viertel beim
Risikomanagement, 22 Prozent bei den Sicherheitsanforderungen, 20 Prozent bei
der Dokumentation und den gemäß CRA zwingend erforderlichen Sicherheitsupdates
über den gesamten Produktlebenszyklus hinweg sowie 17 Prozent bei internen
Prozessen und technischen Nachweisen. Diese Themen schon in Angriff genommen,
aber nur teilweise umgesetzt, haben immerhin bei technischen Nachweisen 39
Prozent, bei der Dokumentation 37 Prozent, bei internen Abläufen und
Sicherheitsupdates 34 Prozent sowie beim Risikomanagement 26 Prozent.
Das bedeutet im Umkehrschluss laut Report: Rund ein Drittel der Firmen sind
bislang weder mit ihren internen Prozessen noch ihrem Risikomanagement
geschweige denn dem Management von Sicherheitsupdates auf den Cyber Resilience
Act vorbereitet. 30 Prozent haben die von der EU bald zwingend auferlegten
Sicherheitsanforderungen kaum in Angriff genommen oder technische Nachweise auf
den Weg gebracht.
ONEKEY-CEO Jan Wendenburg fasst zusammen: "Die Ergebnisse zeigen eine breite
Streuung: Ein kleinerer Teil sieht sich bereits sehr gut vorbereitet, viele
Unternehmen befinden sich mitten in der Umsetzung, während rund ein Drittel noch
kaum begonnen hat."
Die größten Herausforderungen
Was sind die größten Herausforderungen der Wirtschaft, den Anforderungen des
Cyber Resilience Act zu entsprechen, lautete eine zentrale Frage der
ONEKEY-Umfrage. Die Antworten gibt der "IoT & OT Cybersecurity Report 2026": Die
meisten Schwierigkeiten verursacht ausgerechnet die Meldepflicht für
Sicherheitsvorfälle binnen 24 Stunden, die zum 11. September dieses Jahres in
Kraft tritt, erklärten 62 Prozent der kontaktierten Unternehmen, wobei 30
Prozent dieser Aspekt offenbar ernsthafte Kopfschmerzen verursacht. Bei 30
Prozent erweist sich die Konformitätsbewertung zur EU-Richtlinie als äußerst
problematisch, also die Frage, ob die eigene Produktpalette Compliance zum Cyber
Resilience Act aufweist oder noch Nachholbedarf besteht. Für ebenso viele Firmen
erweist sich die Erstellung von Software-Stücklisten (Software Bill of
Materials, SBOM) als Haupthürde; mindestens 60 Prozent der befragten Unternehmen
haben dieses Problem noch nicht gelöst.
"Ein vollständiger Überblick über alle in den eigenen Produkten eingesetzten
Programme stellt eine Grundvoraussetzung für CRA-Compliance dar", verdeutlicht
Jan Wendenburg die Bedeutung dieses Punkts. Er präzisiert: "Wer seine Software
gar nicht komplett kennt, weiß auch nicht, welche Sicherheitslücken dort
bestehen können." Tatsächlich stellt das Vulnerability Management, also das
Aufspüren und Beheben von Angriffsflächen in der Software, für 62 Prozent der
Unternehmen noch ein ungelöstes Problem dar; für fast ein Viertel der Firmen
gehört es zu den größten Herausforderungen auf dem Weg zur CRA-Compliance.
Zwei Drittel der befragten Unternehmen bereitet das vom Gesetzgeber geforderte
Konzept "Security by Design / Security by Default" Kopfzerbrechen; 24 Prozent
stufen es als kritischen Faktor ein. Es bedeutet, dass Cybersicherheit von
Anfang an in die Entwicklung eines Produkts integriert und dieses bereits mit
sicheren Voreinstellungen ausgeliefert werden muss. Für beinahe ein Viertel
stellt die Sicherheit über den gesamten Produktlebenszyklus hinweg ein
gravierendes Problem dar; weitere 40 Prozent stufen dies als überwindbare Hürde
ein. Nur etwa 15 Prozent stufen alle diese Aspekte nicht als Herausforderung ein
- möglicherweise, weil sie sich noch gar nicht näher damit befasst haben, heißt
es im Report.
Ein Fünftel mit CRA-Compliance vor 2027
Allen Schwierigkeiten zum Trotz will ein Drittel der Unternehmen bis zum
vollständigen Inkrafttreten des Cyber Resilience Act am 11. Dezember nächsten
Jahres die Compliance mit der EU-Verordnung ohne Abstriche erreicht haben. Ab
diesem Tag müssen neu in Verkehr gebrachte Geräte, Maschinen und Anlagen mit
digitalen Elementen die CRA-Cybersicherheitsanforderungen vollständig erfüllen.
Mehr als ein Viertel (26 Prozent) strebt dies sogar schon Ende dieses Jahres an,
acht Prozent ist nach eigener Einschätzung bereits heute soweit. 13 Prozent der
Unternehmen befürchten aus heutiger Sicht, bis zum 11. Dezember 2027 die
Anpassung ihrer Produktpalette an den Cyber Resilience Act nicht in vollen
Umfang abgeschlossen zu haben.
"Das Umsetzungstempo müsste deutlich erhöht werden"
Jan Wendenburg resümiert: "Die deutsche Industrie ist in Sachen Cyber Resilience
Act auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt
werden." Dies gelte nicht nur angesichts der näher rückenden regulatorischen
Fristen. Auch die Bedrohungslage verschärfe sich durch zunehmend automatisierte
und KI-gestützte Cyberangriffe. Wie real dieses Risiko inzwischen ist, zeigten
jüngste Vorfälle bei OpenAI und Anthropic: Bei Sicherheitstests waren KI-Modelle
über die Testumgebungen hinausgelangt und hatten auch reale externe Systeme
angegriffen. "Die Vorfälle machen klar, dass leistungsfähige KI-Agenten bereits
heute selbstständig mehrstufige Angriffsketten ausführen und Schwachstellen
ausnutzen können", sagt Jan Wendenburg. Künftig dürften deshalb nicht nur
Rechenzentren und klassische IT-Systeme gefährdet sein, sondern zunehmend auch
vernetzte Maschinen, Produktionsanlagen und industrielle Steuerungen, meint der
CEO von ONEKEY. Ein erfolgreicher Angriff könnte dort neben Datendiebstahl auch
Produktionsausfälle, Prozessmanipulationen und im schlimmsten Fall physische
Schäden verursachen.
"Unternehmen sollten die Umsetzung des CRA nicht als reine Compliance-Aufgabe
betrachten, sondern als wichtigen Bestandteil ihrer betrieblichen
Risikovorsorge", erklärt Jan Wendenburg.
CRA Fast Start für strukturiertes Vorgehen
ONEKEY bietet unter der Bezeichnung " CRA Fast Start (https://www.onekey.com/de/
press-release/onekey-launches-cra-fast-start-to-help-manufacturers-prepare-for-e
u-cyber-resilience-act) " ein Programm an, mit dem die Hersteller vernetzter
Geräte, Maschinen und Anlagen ihre Produkte strukturiert und ohne Vorlaufzeiten
auf CRA-Compliance überprüfen können. Das Konzept basiert auf drei Säulen: CRA
Readiness Assessment (https://www.onekey.com/de/cra-readiness-assessment) ,
systematisches Vulnerability-Management
(https://www.onekey.com/de/feature/vulnerability-management) und
kontinuierliches Monitoring (https://www.onekey.com/de/feature/monitoring) .
Dabei wird zunächst der aktuelle Reifegrad eines Unternehmens in Bezug auf die
CRA-Anforderungen analysiert. Im weiteren Verlauf sorgen ein kontinuierliches
Vulnerability Management und ein fortlaufendes Monitoring dafür, Schwachstellen
aufzudecken, Softwarelieferketten Transparenz zu schaffen und die nachhaltige
Einhaltung der CRA-Anforderungen zu gewährleisten. Dies unterstützt nicht nur
die Einhaltung der CRA-Pflichten, sondern auch interne Governance- und
Risikomanagementprozesse, umreißt ONEKEY die Vorgehensweise und den Umfang des
Start-Programms
"Mit CRA Fast Start ermöglichen wir Herstellern einen systematischen und
kurzfristig umsetzbaren Einstieg in die vom Gesetzgeber geforderte
CRA-Compliance", erklärt Jan Wendenburg, CEO von ONEKEY, das Angebot.
ONEKEY (https://www.onekey.com/de) ist Europas führender Spezialist für Product
Cybersecurity & Compliance Management und Teil des Investmentportfolios von
PricewaterhouseCoopers Germany (PwC). Die einzigartige Kombination der
automatisierten ONEKEY Product Cybersecurity & Compliance Platform (OCP) mit
Expertenwissen und Consulting Services bietet schnelle und umfassende Analyse,
Unterstützung und Management zur Verbesserung der Produkt Cybersecurity und
Compliance vom Produkt Einkauf, Design, Entwicklung, Produktion bis zum
End-of-Life.
Kritische Sicherheitslücken und Compliance-Verstöße in der Geräte-Firmware
werden durch die KI-basierte Technologie innerhalb von Minuten vollautomatisch
im Binärcode identifiziert - ohne Quellcode, Geräte- oder Netzwerkzugriff. Durch
die integrierte Erstellung von "Software Bills of Materials (SBOMs)" können
Software-Lieferketten proaktiv überprüft werden. "Digital Cyber Twins"
ermöglichen die automatisierte 24/7 Überwachung der Cybersicherheit auch nach
dem Release über den gesamten Produktlebenszyklus.
Der integrierte ONEKEY Compliance Wizard deckt bereits heute die Anforderungen
nach IEC 62443-4-2, ETSI EN 303 645, UNECE R1 55 und vielen anderen ab. Im
Rahmen des EU-geförderten Projekts CRACoWi (Cyber Resilience Act Compliance
Wizard) entwickelt ONEKEY gemeinsam mit 13 europäischen Partnern einen
KI-gestützten Assistenten zur automatisierten Umsetzung des EU Cyber Resilience
Act (CRA). Dieser unterstützt Unternehmen vom ersten CRA-Scope-Check bis zur
Erstellung der notwendigen Declaration of Conformity.
Das Product-Security-Incident-Response-Team (PSIRT) wird durch die integrierte,
automatische Priorisierung von Schwachstellen effektiv unterstützt und die Zeit
bis zur Fehlerbehebung deutlich verkürzt.
International führende Unternehmen in Asien, Europa und Amerika profitieren
bereits erfolgreich von der ONEKEY Product Cybersecurity & Compliance Platform
(OCP) und den ONEKEY Cybersecurity Experten.
Pressekontakt:
Weitere Informationen: ONEKEY GmbH,
Sara Fortmann, E-Mail: mailto:sara.fortmann@onekey.com,
Toulouser Allee 19A, 40211 Düsseldorf, Deutschland,
Web: https://onekey.com
PR-Agentur: euromarcom public relations GmbH,
Mühlhohle 2, 65205 Wiesbaden, Deutschland,
E-Mail: mailto:team@euromarcom.de, Web: http://www.euromarcom.de
Weiteres Material: http://presseportal.de/pm/151206/6339415
OTS: ONEKEY GmbH
|
