Safe & Secure by Design Cyber Resilience Act: Wie KMUs Sicherheit, Kosten und Compliance vereinen

Anbieter zum Thema

CADFEM Germany GmbH

d.velop AG

xSuite Group GmbH

Ab 2027 erzwingen Cyber Resilience Act und Maschinenverordnung die Einhaltung von Safe & Secure by Design. Bußgelder bis 15 Millionen Euro treffen Unternehmen, die Compliance-Richtlinien ignorieren. clockworkX und CADFEM zeigen, wie Prozess-Know-how und qualifizierte Tools Compliance ermöglicht.

Die bisherigen Compliance-Strategien der KMUs werden nicht mehr genügen, denn die EU vollzieht mit dem Cyber Resilience Act (CRA) und der neu formulierten Maschinenverordnung (MVO) einen Paradigmenwechsel in Gesetzestext. Der Wandel geht von reaktiver Sicherheit zu “Secure by Design”. Bisherige Standards wie ISO 9001 oder CE-Kennzeichnung fokussierten auf Produktqualität zum Zeitpunkt der Markteinführung. Die neuen Regularien fordern jedoch Lifecycle-Monitoring – von der Konzeptphase bis zur Stilllegung.

Hersteller vernetzter Produkte müssen nun TARA (Threat Analysis and Risk Assessment), kontinuierliches Vulnerability Management und dokumentierte Update-Prozesse nachweisen. „Secure by Default“ bedeutet nämlich: Sicherheit ist kein nachträgliches Add-On, sondern Entwicklungsprinzip von Beginn an. Die Konsequenz: Wer heute noch mit Excel arbeitet und keine Traceability zwischen Risikoanalyse und Produktdesign hat, kann in Zukunft bei Audits durchfallen.

Cyber Resilience Act: Welche Produkte sind betroffen?

Der Cyber Resilience Act erfasst alle „Produkte mit digitalen Elementen“ – Software, Hardware, Firmware mit Netzwerkanbindung. Die Maschinenverordnung betrifft alle Maschinen, die ein CE-Kennzeichen tragen. Der Selbsttest für Ihr Unternehmen: Integrieren Sie Elektrisch/Elektronische Komponenten? Haben Ihre Produkte Remote-Zugriff oder IoT-Funktionen? Laufen Software-Updates über das Netzwerk? Wenn Sie auch nur die Möglichkeit bereitstellen, sind Sie CRA-pflichtig.

Wichtig: Es gibt keine Ausnahmen für KMUs. Die Unternehmensgröße spielt keine Rolle. Deshalb achten auch OEMs zunehmend auf Compliance innerhalb ihrer gesamten Zuliefererkette. Solche Unternehmen stecken heute schon in einer Zwangslage.

Non-Compliance als Business-Risiko

Für die Nichtbeachtung des Cyber Resilience Act wurden empfindliche Strafen formuliert. Falsche oder unvollständige CE Kennzeichnung kostet bis zu 5 Millionen Euro oder 1% des weltweiten Jahresumsatzes. Dokumentationsmängel schlagen mit bis zu 10 Millionen Euro oder 2% zu Buche. Kernverstöße gegen Cybersecurity-Anforderungen werden mit bis zu 15 Millionen Euro oder 2,5% geahndet – je nachdem, welcher Betrag höher ist.

Hinzu kommen Produktrückrufe und Verlust des EU-Marktzugangs. Bei kritischer Infrastruktur verschärft die NIS2-Richtlinie zusätzlich: Geschäftsführer haften persönlich! Die Realität ist – bisher wurden wenige Strafen verhängt, aber ab 2026 starten BSI-Audits. Frühe Compliance wird also zum Wettbewerbsvorteil gegenüber Nachzüglern.

seite 2 Das Befähigungskonzept wird zum Schlüssel

Das „Selber-Machen“ wird für KMUs den Erfolg bringen. Ein gutes Enablement orientiert sich an dem 3-Stufen-Modell:

• Stufe 1 – Outsourcing: Zunächst übernehmen externe Berater alles. Das sichert die derzeitige Situation ab. Diese Lösung ist schnell, aber auch teuer und nicht nachhaltig. Es entstehen starke Abhängigkeiten.
• Stufe 2 – Enablement: Hier entsteht ein Mix aus interner und externer Expertise. Über Training und Coaching fließt das Know-How ins Unternehmen. Tool-Integration und Prozessaufbau laufen parallel dazu. Die Basis wird geschaffen.
• Stufe 3 – Unabhängigkeit: Der Wissenstransfer ist abgeschlossen. Das Team kann eigenständig TARAs durchführen, FMEAs aktualisieren und sich auf Audits vorbereiten. Das Unternehmen agiert unabhängig, hat aber bei Problemen immer noch starke Partner im Rücken.

Der Kern von Enablement ist „selber machen“. Beispiel: Eine TARA-Masterclass von clockworkX kombiniert mit der Medini-Tool-Schulung von CADFEM versetzt das Team in die Lage, selbstständig zu arbeiten. Der Vorteil der Partnerschaft: clockworkX baut die Governance-Struktur auf, CADFEM integriert das Tool in den Entwicklungsprozess. Denn ohne Prozess ist selbst das beste Tool nutzlos.

IoT- und Embedded-Systeme

Cyber Resilience Act: Cybersicherheit als Erfolgsfaktor