Das Gesetz zur Cyber-Resilienz erklärt: Was es für die Entwicklung sicherer Software bedeutet

Das Gesetz zur Cyberresilienz wird schnell zu einer strategischen Priorität – nicht nur für Unternehmen mit Sitz in der EU, sondern für alle Unternehmen, die digitale Produkte auf dem europäischen Markt verkaufen. Obwohl die Fristen für die Einhaltung der Vorschriften bis 2027 reichen, stellen die Technik- und Sicherheitsteams bereits jetzt schwierige Fragen zu Secure-by-Design-Praktiken, zum Umgang mit Schwachstellen und zu den Entwicklungskapazitäten.

Im Gegensatz zu vielen Vorschriften, die sich auf Dokumentation und Audits konzentrieren, stellt die CRA die sichere Softwareentwicklung in den Mittelpunkt der Compliance. Unternehmen, die frühzeitig in Secure-by-Design-Fähigkeiten investieren, werden schneller die Compliance erreichen – und sich in einem Markt hervorheben, in dem die Produktsicherheit zunehmend zu einem Kaufkriterium wird.

Was das Gesetz zur Cyber-Resilienz vorschreibt

Der Cyber Resilience Act (CRA) führt grundlegende Cybersicherheitsanforderungen für die meisten Produkte mit einer digitalen Komponente ein, die auf dem EU-Markt angeboten werden – darunter Software, Betriebssysteme, vernetzte Geräte und eingebettete Systeme.

Noch wichtiger ist, dass sich dadurch die Verantwortlichkeiten verschieben.

Sicherheit ist nicht mehr nur ein Thema für die Laufzeit oder den Betrieb. Im Rahmen der CRA wird sie zu einer Verpflichtung für Design und Entwicklung, die sich über Architektur, Implementierung, Wartung und Umgang mit Schwachstellen erstreckt.

Für Führungskräfte im Bereich Technik und Sicherheit bedeutet dies:

• Produkte müssen nach den Prinzipien von „Secure by Design“ hergestellt werden.
• Bekannte Schwachstellen müssen nach Möglichkeit verhindert und wirksam behandelt werden.
• Unternehmen müssen nachweisen, dass sie sichere Entwicklungsverfahren einsetzen.

Kurz gesagt: Compliance ist untrennbar mit der Art und Weise verbunden, wie Entwickler Code schreiben und pflegen.

Für wen gilt die CRA?

Obwohl die CRA von der EU eingeführt wurde, gilt sie für alle Organisationen weltweit, die digitale Produkte, die in ihren Geltungsbereich fallen, auf dem EU-Markt anbieten, darunter:

• Softwareanbieter und SaaS-Anbieter, deren Dienste als Komponenten zur Fernverarbeitung von Daten der abgedeckten Produkte fungieren
• Hersteller von digitalen oder vernetzten Produkten
• Importeure, Händler und Einzelhändler
• Organisationen, die digitale Komponenten von Drittanbietern einbinden

Für globale Unternehmen ist die CRA-Bereitschaft eine grenzüberschreitende Entwicklungsanforderung und keine regionale Compliance-Maßnahme.

Warum Unternehmen jetzt damit beginnen

Wichtige Meilensteine:

• September 2026 – Beginn der Meldepflicht für Sicherheitslücken
• Dezember 2027 – Vollständige Einhaltung erforderlich

Auf dem Papier mag dieser Zeitplan komfortabel erscheinen. In Wirklichkeit vollzieht sich die Transformation der Entwicklung jedoch nicht innerhalb von Quartalen, sondern erstreckt sich über Jahre hinweg.

Sicherheit durch Design ist keine Aktualisierung der Richtlinien. Es erfordert:

• Weiterbildung für Tausende von Entwicklern über Sprachen und Teams hinweg
• Einbettung von „Secure by Design“-Erwartungen in die täglichen Arbeitsabläufe
• Von der reaktiven Behebung von Schwachstellen zur Prävention
• Schaffung messbarer Nachweise dafür, dass sichere Entwicklungspraktiken konsequent angewendet werden

Diese Änderungen wirken sich auf die Personalbeschaffung, die Einarbeitung neuer Mitarbeiter, Architekturentscheidungen, SDLC-Prozesse und die Ingenieurskultur aus. Unternehmen, die bis Ende 2026 warten, werden unter dem Druck der Regulierungsbehörden versuchen, ihre Fähigkeiten nachzurüsten – ein weitaus kostspieligerer und störenderer Weg.

Die Durchsetzung birgt auch ein erhebliches finanzielles Risiko. Gemäß Artikel 64 der CRA können Strafen für Verstöße gegen wesentliche Cybersicherheitsanforderungen bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes betragen.

Bis Ende 2026 zu warten, ist einfach zu spät.

CRA ist letztendlich eine Herausforderung für die Fähigkeiten der Entwickler

Viele Vorschriften konzentrieren sich auf Richtlinien und Dokumentation. Die CRA geht noch einen Schritt weiter und verbindet die Einhaltung der Vorschriften mit den tatsächlichen Praktiken, die bei der Entwicklung und Erstellung von Software zum Einsatz kommen. Sie weckt Erwartungen hinsichtlich einer sicheren Entwicklung als operative Disziplin und nicht nur als Governance-Anforderung.

Für Führungskräfte im Ingenieurwesen bedeutet dies, dass die Einhaltung von Vorschriften davon abhängt, ob Entwicklungsteams konsequent sichere Praktiken anwenden, darunter:

• Häufige Schwachstellenklassen verstehen
• Anwendung sicherer Design- und Architekturprinzipien
• Unsichere Implementierungsmuster vermeiden
• Verantwortungsvoller Umgang mit Komponenten von Drittanbietern und Open-Source-Komponenten

Sicherheitstools spielen eine wichtige Rolle bei der Erkennung von Problemen. Allerdings decken Tools Schwachstellen erst auf, nachdem der Code geschrieben wurde. Secure by Design erfordert, dass Entwickler Schwachstellen von vornherein verhindern – und zwar konsistent über Teams, Sprachen und Produkte hinweg.

Werkzeuge allein können dies nicht erreichen. Sichere Ergebnisse hängen von den Fähigkeiten des Menschen ab.

Wie Secure Code Warrior die CRA-Bereitschaft Secure Code Warrior

Secure Code Warrior CRA-konforme Lernpfade, die Folgendes kombinieren:

• Eine CRA-Standardabfrage, die den technischen Schwachstellenanforderungen in Anhang I, Teil I zugeordnet ist
• Eine konzeptionelle Sammlung zum Thema „Sicherheit durch Design“
• Praktisches, sprachspezifisches Lernen über Schwachstellen

Sehen Sie sich unseren Ein-Seiten-Leitfaden zu allen CRA-konformen Lerninhalten in SCW an. SCW zertifiziert keine Konformität. Wir unterstützen die CRA-Bereitschaft durch strukturiertes Lernen und messbare Kompetenzverbesserungen, die auf die Grundsätze der sicheren Entwicklung der Verordnung abgestimmt sind. 

Beginnen Sie jetzt mit der Vorbereitung auf CRA

Die CRA spiegelt wider, wohin sich die Branche entwickelt: Secure by Design Engineering als Standardanforderung. Unternehmen, die jetzt in die Fähigkeiten ihrer Entwickler investieren, sind besser für die Einhaltung von Vorschriften positioniert – und können langfristig widerstandsfähigere Software mit geringerem Risiko entwickeln.

Weitere Informationen darüber, wie Secure Code Warrior Ihnen bei der Einhaltung von Vorschriften helfen Secure Code Warrior , finden Sie in unserer Wissensdatenbank: Wie Secure Code Warrior Ihnen bei der Einhaltung von Vorschriften helfen Secure Code Warrior