Seit dem 11. September 2026 gilt die Meldepflicht des EU Cyber Resilience Acts für Hersteller digitaler Produkte. Was das mit Ihrer Alarmanlage, Ihrer Kamera und Ihrer Zutrittskontrolle zu tun hat, wird noch zu selten diskutiert.

Was der Cyber Resilience Act regelt

Der EU Cyber Resilience Act ist eine EU-Verordnung, die Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen festlegt. Das klingt nach IT-Regulierung. Und es ist IT-Regulierung, die in die physische Sicherheitstechnik hineinreicht.

Denn physische Sicherheitssysteme sind längst digitale Produkte: Einbruchmeldeanlagen mit IP-Aufschaltung, Videokameras mit Netzwerkanschluss, Zutrittskontrollsysteme mit Cloud-Anbindung. Sie alle fallen unter die Definition des CRA. Hersteller dieser Produkte müssen seit dem 11. September 2026 aktiv melden, wenn sie Schwachstellen in ihren Produkten entdecken oder Sicherheitsvorfälle bekannt werden.

Was das für Betreiber bedeutet

Die Meldepflicht trifft zunächst die Hersteller, nicht die Betreiber. Aber die Konsequenzen wirken bis in den Betrieb hinein.

Erstens: Hersteller, die CRA-konform agieren, werden Schwachstellen und Updates deutlich transparenter kommunizieren als bisher. Das bedeutet, dass Betreiber künftig häufiger mit Sicherheitsmeldungen zu ihren Anlagen konfrontiert werden. Wer darauf keine Antwort hat, wer kein Wartungskonzept hat, das Updates und Patches systematisch einspielt, steht plötzlich mit einer bekannt verwundbaren Anlage da.

Zweitens: Der CRA schafft Transparenz über Produktsicherheit, die bei Beschaffungsentscheidungen genutzt werden kann und genutzt werden sollte. Ein Hersteller, der auf CRA-Anforderungen reagiert, liefert Sicherheitsupdates über den definierten Lebenszyklus seines Produkts. Ein Hersteller, der das nicht tut, liefert irgendwann eine Anlage ohne Sicherheitsunterstützung.

Drittens: Für Betreiber in regulierten Sektoren, also KRITIS-Betreiber und NIS-2-pflichtige Unternehmen, wird die Frage nach der CRA-Konformität ihrer Sicherheitsprodukte zur Compliance-Anforderung.

Die Produktlebenszyklus-Frage

Der CRA verlangt von Herstellern, dass sie ihre Produkte über einen angemessenen Lebenszyklus mit Sicherheitsupdates versorgen. Für die Praxis bedeutet das: Produkte haben ein Supportende, nach dem keine Sicherheitspatches mehr geliefert werden.

Das ist aus der IT-Welt bekannt. Windows-Versionen, die ihr End-of-Life erreichen, werden nicht mehr mit Updates versorgt. Wer sie weiter betreibt, tut das auf eigenes Risiko.

Dieselbe Logik gilt ab sofort auch für Sicherheitssysteme. Eine Einbruchmeldeanlage, die über IP aufgeschaltet ist und deren Hersteller keine Updates mehr liefert, ist eine bekannte Schwachstelle in der Infrastruktur. Für Betreiber mit Compliance-Anforderungen ist das kein theoretisches Risiko.

Die Frage, die sich daraus ergibt: Wann wurde die eigene Anlage installiert? Was ist der definierte Supportzeitraum des Herstellers? Und wer ist im Betrieb dafür verantwortlich, diese Information zu kennen?

Was das bei der Beschaffung neuer Systeme ändert

Wer heute ein neues Sicherheitssystem kauft, sollte den Hersteller nach seinem CRA-Konzept fragen. Wie lange werden Sicherheitsupdates geliefert? Wie werden Schwachstellen kommuniziert? Gibt es einen definierten Patch-Prozess?

Diese Fragen waren bisher optional. Nach dem CRA sind sie Standard. Hersteller, die darauf keine belastbare Antwort haben, liefern ein Produkt, das die neuen regulatorischen Anforderungen möglicherweise nicht erfüllt.

Für Betreiber, die in regulierten Sektoren tätig sind, ist das ein Beschaffungskriterium, das in die Ausschreibung gehört. Für alle anderen ist es eine Frage der Risikobewertung.

Bestandsanlagen: Was jetzt zu prüfen ist

Für bestehende Anlagen stellt sich die Frage: Sind die installierten Systeme CRA-ready? Das bedeutet nicht, dass alle Bestandsanlagen sofort ausgetauscht werden müssen. Aber es bedeutet, dass Betreiber wissen sollten, welche Systeme sie betreiben, welchen Sicherheitsstatus diese haben und ob der Hersteller noch aktiv Support leistet.

Eine Bestandsaufnahme, die diese Fragen beantwortet, ist der erste Schritt. Was danach kommt, hängt vom Ergebnis ab: Modernisierung einzelner Komponenten, Anbieterwechsel, oder Weiterbetrieb mit bewusstem und dokumentiertem Restrisiko.

Konntec unterstützt Betreiber bei der Bestandsaufnahme und der Planung von Modernisierungsmaßnahmen.

Quelle: PROTECTOR, EU CRA: 5 Tipps für sichere physische Sicherheitstechnik, protector.de, 11.09.2026