Cyber Resilience Act (CRA): Mehr als nur Regulierung 

Eindrücke von der EY-Roadshow zu CRA, AI Act und NIS-2 

Manche Veranstaltungen klingen im Vorfeld nach Marketing und entpuppen sich dann als inhaltlich überraschend wertvoll. Genau das habe ich bei der EY-Roadshow zu Cybersecurity-Regulierung im Kontext von KI erlebt, die ich am 09. Juni 2026 in Frankfurt besucht habe. 

Ich bin Spezialist für den Bereich Compliance und Informationssicherheit bei auticon. Das bedeutet: Alles, was mit EU-Regulierungen im Bereich Informationssicherheit zu tun hat, landet auf meinem Schreibtisch, und ich halte mich konstant auf dem Laufenden über die Vorgaben und Anforderungen, den Stand der Umsetzung und die „Pain Points“, die Unternehmen damit haben.

Warum das Thema für mich (und dein Unternehmen) relevant ist

Der Punkt ist: Wir denken für unsere Kunden mit. Die Regulierungen können auch dich betreffen — ob du es weißt oder nicht. Wenn dein Unternehmen Produkte mit digitalen Komponenten herstellt, sie vertreibt oder einfach nur IT-Services anbietet, kommen du oder dein IT-Team mit den Richtlinien in Berührung. Und zwar nicht irgendwann, sondern jetzt. Denn die EU hat in den letzten Jahren ein neues Regelwerk geschaffen: den Cyber Resilience Act (CRA), den AI Act und verschärfte Anforderungen durch NIS-2.

Wir betreuen Projekte bei Kunden, die unter diese Regulierungen fallen, Beratung zu den Richtlinien anbieten und bei der Implementierung und langfristigen Umsetzung unterstützen können. Das gilt für Maschinenbauer ebenso wie für Finanzdienstleister, Softwarehäuser und eigentlich jede Organisation, die etwas mit Digitalisierung zu tun hat. Aus diesem Grund habe ich mich für die EY-Veranstaltung angemeldet.

Was ich erwartet habe — und was ich bekommen habe

Ehrlich gesagt: Ich habe eine klassische Sales-Roadshow erwartet. EY ist ein großer Anbieter im Bereich Regulatorik und Compliance. Ich dachte: „Ok, sie werden erzählen, wie toll ihre Services sind, und dann versuchen, mich als Kunden zu gewinnen.” Tatsächlich war es völlig anders. Es war eine echte Schulung. Den Tag gestalteten keine Sales Manager, sondern Anwälte, die sich täglich mit CRA, AI Act, Produkthaftung und NIS-2 auseinandersetzen. Und sie gingen wirklich in die Tiefe —statt nur einer High-Level-Übersicht lieferten sie fundierte Infos über praktische Herausforderungen mit konkreten Beispielen, benannten offene Fragen und gaben ehrliche “Das wissen wir auch noch nicht”-Antworten.

Das hat meine Perspektive auf das Thema massiv geschärft. Ich bin nicht als Experte dorthin gegangen, sondern als jemand, der up-to-date bleiben will. Und das bin ich jetzt deutlich mehr — mit ganz neuen Erkenntnissen über die Komplexität, die auf Unternehmen zukommt.

Erkenntnis 1: CRA ist größer als das AI-Hype-Thema

Bevor ich nach Frankfurt gefahren bin, war ich ziemlich im „AI-Act-Modus“. Künstliche Intelligenz, neue EU-Regelungen, Hochrisiko-KI-Systeme — das klang wie das zentrale Thema. Was ich gelernt habe: Der AI Act ist tatsächlich wichtig, aber der Cyber Resilience Act (CRA) ist das eigentliche Fundament. Alles andere baut darauf auf.

Der CRA verlangt nicht nur sichere Entwicklung, sondern auch, dass Produkte über ihren Supportzeitraum hinweg sicher gehalten werden — mit Updates, sauberem Schwachstellenmanagement, dokumentierten Prozessen und Transparenz über eingesetzte Software-Komponenten. Das betrifft nicht nur neue Technologien, sondern buchstäblich jeden Smart-Toaster, jeden vernetzten Kühlschrank, jede vernetzte Maschine.

Dass Cyberregulierung längst reale Produktentscheidungen beeinflusst, zeigt auch das Beispiel Porsche: Beim Macan-Verbrenner spielten neue Vorgaben zur Fahrzeug-Cybersicherheit eine Rolle. Sie verkaufen in der EU jetzt nur noch die Elektroversion , und zwar nicht etwa wegen Abgas- oder Emissionsregeln, sondern wegen der Sicherheitsanforderungen für vernetzte Fahrzeuge. Die Regulierungen existieren nicht nur in der Theorie, sondern tangieren echte Produkte und echte Geschäftsmodelle.

Er gilt auch für die Supply Chain. Das heißt: Wenn dein Unternehmen externe Komponenten, Software oder Systeme integriert, trägst du für deren Sicherheit mit Verantwortung. Open Source ist damit nicht pauschal raus: Nicht die freie Komponente an sich steht automatisch unter CRA-Pflicht, wohl aber die Verantwortung des Herstellers, wenn sie in ein vermarktetes Produkt integriert wird. Das ist eine massive Verschiebung, besonders für Maschinenbauer und Systemintegratoren. Sie gelten jetzt nicht mehr nur als Installateure von Produkten, sondern unter Umständen als Hersteller des Gesamtsystems.

Erkenntnis 2: NIS-2 ist noch nicht im Bewusstsein angekommen

Hier ist eine Zahl, die mir beim Hören im Kopf steckengeblieben ist: Nur etwa 39% der voraussichtlich betroffenen Unternehmen haben beim BSI (Bundesamt für Sicherheit in der Informationstechnik) gemeldet, dass sie NIS-2-pflichtig sind (siehe auch hier). Das bedeutet: Ein Großer Teil der Wirtschaft hat das Thema noch nicht ernsthaft auf dem Schirm — oder weiß gar nicht, dass es sie betrifft.

Wenn dein Unternehmen unter NIS-2 fällt, betrifft das längst nicht nur klassische Kritische Infrastrukturen, sondern je nach Größe und Einordnung auch viele Unternehmen aus digitaler Infrastruktur, Industrie, Versorgung, Gesundheit, Logistik und weiteren regulierten Bereichen. Dabei riskierst du bei Nicht-Erfüllung der Pflichten aufsichtsrechtliche Maßnahmen, Bußgelder und ggf. persönliche Haftung der Geschäftsleitung — egal, ob du es wusstest oder nicht. Und die Anforderungen sind real: Dokumentierte Prozesse, Incident-Response-Pläne, Schulungen, Audits.

Was ich aus den Gesprächen vor Ort gelernt habe: Das größte praktische Problem ist nicht die technische Umsetzung. Das Problem ist oft organisatorisch. Unternehmen wissen nicht genau, wer zuständig ist, welche Abteilungen betroffen sind, wie relevant die Konzernstruktur ist. Wenn dann deshalb Anwälte involviert werden müssen, wird es teuer.

Meine Empfehlung: Prüfe jetzt sauber, ob dein Unternehmen betroffen ist.

Nicht irgendwann, sondern jetzt.

Erkenntnis 3: Die eigentliche Hürde ist die Geschäftsführung, nicht die Technik

Das war etwas, was ich in mehreren Gesprächen mit anderen Teilnehmern vor Ort gehört habe. Ein IT-Manager von einem größeren Unternehmen fasste es so zusammen: „Technisch ist mir klar, was zu tun ist. Die Herausforderung ist: Wie verkaufe ich das der Geschäftsführung?“

Hier haben wir ein echtes Problem: Regulierungen sind abstrakt. Compliance klingt trocken. Und wenn die Geschäftsführung denkt, dass das nur eine IT-Angelegenheit ist, die man schon irgendwie managen kann, wird es schwierig.

Aber hier ist die gute Nachricht: Die neuen Haftungsregeln geben IT-Verantwortlichen endlich echte Argumente. Wenn ein Produkt nicht CRA-konform ist, kann es unter die neue Produkthaftungsrichtlinie fallen, die im Dezember 2026 mit nationalem Recht in Kraft tritt. Das bedeutet: Wenn ein Kunde durch einen Fehler einen Schaden erleidet, kann er Schadensersatz fordern. Ein Beweis für den Fehler als Ursache ist nicht mehr zwingend nötig, eine plausible Kausalität reicht aus. Die Folge kann sogar sein, dass Hersteller ihren Quellcode im Verfahren offenlegen müssen. Dass das keine reine IT-Angelegenheit mehr ist, versteht auch der Vorstand, denn häufig wird auch die Führungsebene direkt mit in die Verantwortung gezogen – zum Beispiel durch Verpflichtungen zur Weiterbildung in Cybersecurity-Themen gemäß Cybersicherheits-Schulungspflicht nach § 38 Abs. 3 BSIG.

• Es gab Telefonzellen, in die man sich zurückziehen konnte, wenn es zu viel wurde (ja, einfache Glaskästen, aber deutlich besser als gar keine Option)
• Die Verpflegung war sehr gut
• Der Tagesablauf war gut strukturiert, die Pausen waren gesetzt, die Redner hatten ein gutes Gespür für Tempo
• Teilnahmebestätigung zum Nachweis der Cybersicherheits-Schulungspflicht nach § 38 Abs. 3 BSIG

Was fehlte:

• Die Agenda war im Vorfeld eine vollständige “Black Box”. Erst vor Ort bekam ich einen Ausdruck des Ablaufs. Das machte eine mentale Vorbereitung unmöglich
• Wichtige Infos wie “bringt euren Personalausweis mit” standen erst ganz unten in der Bestätigungs-E-Mail
• Informationen zu Parkplätzen wären hilfreich gewesen, das vermeidet unnötigen Stress

Fazit für Unternehmen

Hier ist die zentrale Botschaft: Die EU-Regulierungen sind in Kraft und müssen umgesetzt werden. Sie werden zukünftig strenger, nicht lockerer. Und die Konsequenzen — ob Produkthaftung, Compliance-Strafen oder schlicht der operative Aufwand — sind real. Wer ein Unternehmen führt oder IT-Verantwortung hat, sollte sich diese drei Fragen stellen:

Unwissenheit schützt nicht vor Betroffenheit!

• Bin ich betroffen vom CRA? Produziere oder vertreibe ich Produkte mit digitalen Komponenten auf dem EU-Markt?
• Bin ich betroffen von NIS-2? Gehöre ich zu den regulierten Unternehmen, auch wenn ich keine klassische KRITIS bin?
• Wenn ja, haben wir die Umsetzung sauber geklärt?

Wie auticons autistische Compliance- und Cybersecurity-Spezialisten unterstützen

Gerade an der Schnittstelle zwischen regulatorischen Anforderungen von CRA und NIS-2, technischer Umsetzung und klarer Struktur sehe ich einen Mehrwert spezialisierter Consultants, mit umfangreichem Know-how über die Vorgaben, Skills in der Cyber Security und autistischen Stärken. Wir können den Blickwinkel erweitern und die teils komplexen, emotional behafteten Fragestellungen in jeder Phase neutral bewerten – vom ersten Betroffenheits-Check über die praktische Umsetzung bis zur Schulung der Beteiligten. Das ist nicht nur Compliance-Theorie, sondern die Antwort auf Fragen wie

• Wie macht man das in der Praxis im eigenen Unternehmen?
• Geht das mit den vorhandenen Ressourcen?
• Funktionieren die bereits bestehenden Prozesse?
• Wie bekommen wir alle Beteiligten an einen Tisch?

Zum Abschluss

Die EY-Roadshow hat mir gezeigt: Es ist nicht die Komplexität der Technik, die Unternehmen blockiert — es ist oft die fehlende Klarheit über die Anforderungen und die richtige Unterstützung bei ihrer Umsetzung.

Genau da kann man ansetzen.

Autor: Marcel Lipinski