Neue EU-Regeln für smarte Produkte: Cybersicherheit wird zum Pflichtprogramm

Vom Staubsauger bis zur Smartwatch: Jetzt müssen Hersteller Sicherheitslücken melden

Vernetzte Haushaltsgeräte, Fitness-Tracker, vernetzte Heizungen oder moderne Produktionsanlagen: Immer mehr Produkte sind mit dem Internet verbunden. Gleichzeitig steigt die Gefahr, dass Kriminelle Sicherheitslücken ausnutzen. Die Europäische Union reagiert darauf mit dem Cyber Resilience Act (CRA). Ein wichtiger Meilenstein ist seit rund einem Monat (Stichtag 11. September 2026) in Kraft: Hersteller müssen jetzt aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb kurzer Fristen melden.

Für Verbraucherinnen und Verbraucher soll das die Sicherheit digitaler Produkte erhöhen. Für Unternehmen bedeutet die neue Regelung hingegen erheblichen Handlungsbedarf. Viele Hersteller müssen neue Prozesse einführen, um Sicherheitslücken frühzeitig erkennen, analysieren und beheben zu können.

Digitale Sicherheit wird Teil der Produktqualität

"Produktsicherheit endet heute nicht mehr bei Materialqualität oder technischer Funktion", sagt Matthias Springer, Senior Vice President Functional Safety & Security bei TÜV NORD. "Auch die digitale Sicherheit eines Produkts wird zunehmend zum Qualitätsmerkmal."

Betroffen sind nahezu alle Produkte mit digitalen Elementen. Dazu zählen beispielsweise Smart-Home-Anwendungen, Router, Apps, Wearables oder vernetzte Maschinen. Wer die europäischen Vorgaben künftig nicht erfüllt, riskiert Bußgelder und kann unter Umständen Produkte nicht mehr auf dem europäischen Markt anbieten.

Viele Unternehmen unterschätzen den Aufwand

Die neuen Meldepflichten sind nur ein Teil der Anforderungen. Hersteller müssen künftig nachweisen können, dass Cybersicherheit bereits in der Entwicklung berücksichtigt wurde. Außerdem müssen Sicherheitsupdates bereitgestellt und Schwachstellen über den gesamten Produktlebenszyklus hinweg überwacht werden.

"Um die Meldepflichten jetzt erfüllen zu können, müssen die erforderlichen Prozesse aufgebaut und wirksam umgesetzt werden. Darüber hinaus muss Cybersecurity dauerhaft in den Unternehmensprozessen und in der Produktentwicklung verankert werden", sagt Michelle Michael, Lead Expert Secure Digital Solutions bei TÜVIT.

Wissen aufbauen, Prozesse testen, Produkte absichern

Die TÜV NORD GROUP unterstützt Unternehmen dabei auf unterschiedlichen Ebenen: von Weiterbildungen und Workshops über Bewertungen von Krisen- und Schwachstellenmanagement-Prozessen bis hin zu technischen Sicherheitsprüfungen und Zertifizierungen.

"Cybersicherheit entwickelt sich zunehmend zu einem Wettbewerbsfaktor", sagt Springer. "Verbraucher:innen erwarten sichere Produkte. Unternehmen, die frühzeitig handeln, schaffen Vertrauen und sind auf kommende Anforderungen besser vorbereitet."

Mit der vollständigen Anwendung des Cyber Resilience Act Ende 2027 wird Cybersicherheit für viele vernetzte Produkte endgültig zur Voraussetzung für den europäischen Marktzugang.

Weitere Informationen gibt es hier: CRA: Cybersicherheit vernetzter Geräte | TÜVIT