Cyber Resilience Act: Warum aus einem IT-Gesetz ein Compliance-Thema wird

„Cybersicherheit ist Sache der IT.“ Kaum eine Meinung hält sich in Unternehmen so hartnäckig wie diese. Lange Zeit war sie sogar richtig. Firewalls, Verschlüsselung oder Patchmanagement – all das gehörte in die Hände von IT- und Informationssicherheitsteams. Compliance kümmerte sich um Richtlinien, Audits und regulatorische Anforderungen. Mit dem Cyber Resilience Act (CRA) gerät diese klare Rollenverteilung jedoch ins Wanken.

Nicht, weil Compliance künftig Software entwickeln oder Sicherheitslücken schließen soll. Sondern weil die Europäische Union erstmals verlangt, dass Hersteller nachweisen können, wie sie Cybersicherheit organisieren – und zwar über den gesamten Lebenszyklus ihrer Produkte. Genau an diesem Punkt treffen IT und Compliance aufeinander.

Der CRA ist längst Realität

Wer derzeit über den Cyber Resilience Act spricht, hört häufig „Bis Ende 2027 haben wir ja noch Zeit.“ Das klingt beruhigend – ist aber nur die halbe Wahrheit.

Der CRA ist bereits am 10. Dezember 2024 in Kraft getreten. Die meisten materiellen Anforderungen gelten zwar erst ab dem 11. Dezember 2027, einzelne Verpflichtungen greifen jedoch deutlich früher. Bereits ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die zuständigen Behörden melden.

Vor allem aber übersehen viele Unternehmen etwas Entscheidendes: Prozesse entstehen nicht kurz vor einer gesetzlichen Frist. Wer Verantwortlichkeiten festlegen, Risiken systematisch bewerten, Dokumentationen aufbauen und Nachweise revisionssicher führen möchte, braucht Zeit. Viel Zeit. Genau deshalb beginnt die eigentliche Umsetzung nicht 2027 – sondern jetzt.

Ist der CRA überhaupt ein Thema für Compliance?

An dieser Stelle lohnt sich ein Perspektivwechsel. Stellen wir uns bewusst auf die Gegenposition: Der Cyber Resilience Act richtet sich an Hersteller von Produkten mit digitalen Elementen. Er behandelt Themen wie Security by Design, Security by Default, Schwachstellenmanagement, Sicherheitsupdates und technische Dokumentation.

Klingt nach IT. Warum also sollte sich die Compliance-Abteilung überhaupt damit beschäftigen? Die Antwort ist ebenso einfach wie unbequem: Weil der CRA nicht nur sichere Produkte verlangt. Er verlangt nachweisbare Prozesse. Und genau darin liegt der eigentliche Paradigmenwechsel.

Sicherheit lässt sich nicht verordnen – Verantwortung schon

Kein Gesetz der Welt kann garantieren, dass Software frei von Sicherheitslücken ist. Der CRA behauptet das auch nicht. Er verlangt vielmehr, dass Unternehmen Cybersicherheit systematisch steuern. Das klingt nach einem kleinen Unterschied. Ist es aber nicht. Denn damit verschiebt sich die zentrale Frage.

Früher lautete sie: „Ist unser Produkt sicher?“ Künftig wird häufiger gefragt: „Wie können wir nachweisen, dass wir alle angemessenen Maßnahmen getroffen haben?“

Diese Perspektive verändert vieles. Plötzlich geht es nicht mehr ausschließlich um technische Maßnahmen. Es geht um Governance, Verantwortlichkeiten, dokumentierte Entscheidungen, nachvollziehbare Prozesse und damit um Compliance. Genau hier beginnt die eigentliche Herausforderung

Viele regulatorische Anforderungen scheitern nicht an fehlendem Fachwissen. Sie scheitern daran, dass Informationen über das gesamte Unternehmen verteilt sind. Die IT bewertet Risiken. Die Entwicklung behebt Schwachstellen. Das Produktmanagement priorisiert Releases. Der Support erhält Kundenmeldungen. Die Rechtsabteilung bewertet regulatorische Pflichten. Compliance soll am Ende belegen können, dass alles ordnungsgemäß erfolgt ist.

Solange diese Informationen in E-Mails, Excel-Listen, Ticketsystemen und geteilten Laufwerken liegen, entsteht kein konsistenter Nachweis. Aber dieser Nachweis wird künftig immer wichtiger.

Braucht jetzt jedes Unternehmen ein Compliance-Management-System?

Ehrliche Antwort: Nein. Zumindest nicht deshalb, weil der CRA es verlangen würde. Die Verordnung schreibt weder ein Compliance-Management-System noch eine bestimmte Software vor. Die spannendere Frage lautet deshalb: „Wie wollen Unternehmen ihre regulatorischen Pflichten künftig steuern?“

Mit Tabellen, E-Mail-Verläufen und einzelnen Dokumenten auf Netzlaufwerken, oder mit einem strukturierten Prozess? Genau das ist die Aufgabe eines Compliance-Management-Systems. Es stellt Cybersicherheit nicht her, sondern stellt sicher, dass regulatorische Anforderungen nachvollziehbar umgesetzt werden.

Ein Compliance-Management-System ersetzt keine IT-Sicherheit

Das klingt selbstverständlich. Ist es aber erstaunlicherweise nicht. Immer wieder entsteht der Eindruck, Compliance-Software könne regulatorische Anforderungen quasi automatisch erfüllen. Aber ersetzt weder Informationssicherheitsmanagement noch Secure Software Development.

Vielmehr schafft es Transparenz, verbindet Verantwortlichkeiten, dokumentiert Entscheidungen und macht regulatorische Anforderungen nachvollziehbar.

Der CRA ist weit mehr als eine einzelne Verordnung

Wer den Cyber Resilience Act isoliert betrachtet, verkennt die Entwicklung. Mit NIS2, der Datenschutz-Grundverordnung, dem AI Act und weiteren europäischen Regelwerken entsteht Schritt für Schritt ein neues Verständnis von Unternehmensverantwortung.

Die Frage lautet immer seltener: „Welche Vorschrift müssen wir erfüllen?“ Stattdessen lautet sie: „Wie schaffen wir eine Governance-Struktur, mit der wir neue regulatorische Anforderungen effizient integrieren können?“

Genau deshalb ist der CRA auch kein reines IT-Thema. Er ist ein weiterer Beleg dafür, dass Compliance heute weit mehr bedeutet als Richtlinienverwaltung. Compliance entwickelt sich zum Betriebssystem regulatorischer Unternehmensführung.

Der CRA fordert keine neue Software – aber ein neues Denken

Der Cyber Resilience Act verpflichtet Unternehmen nicht zur Einführung eines Compliance-Management-Systems. Er verlangt auch keine bestimmte Plattform. Was er verlangt, ist deutlich anspruchsvoller: Unternehmen müssen nachweisen können, dass sie Cybersicherheit nicht dem Zufall überlassen, sondern strukturiert planen, umsetzen, dokumentieren und kontinuierlich verbessern.