Cybersicherheit!? Ein Stück weit inklusive

Cyberangriffe sind längst kein Randphänomen mehr, sondern eine der größten wirtschaftlichen und sicherheitspolitischen Herausforderungen der Gegenwart. Ob Energieversorger, Produktionsanlagen smarte Gebäude oder die IT eines Planungsunternehmens – die Angriffsflächen wachsen mit jeder zusätzlichen vernetzten Komponente und betreffen die gesamte Wertschöpfungskette. Allein in Deutschland belief sich im Jahr 2024 der Gesamtschaden durch CybercrimeVorfälle aller Art auf geschätzte 178,6 Mrd. € – eine enorme Summe! Darüber hinaus ist es erschreckend, dass darin eine Steigerung um 30,4 Mrd. € gegenüber dem Vorjahr steckt.

Ihr Ansprechpartner in der Redaktion:
Markus Münzfeld
Tel.: 05241 2151-3232
markus.muenzfeld@bauverlag.de
Bild: CS

Um dieser Entwicklung entgegenzuwirken, das heißt, um für mehr Cybersicherheit zu sorgen, wurde von der EU-Kommission der „Cyber Resilience Act“ – kurz CRA – auf den Weg gebracht. Diese Verordnung soll sicherstellen, dass digitale Produkte künftig nur dann in Verkehr gebracht werden dürfen, wenn sie grundlegende Anforderungen an IT-Sicherheit erfüllen. Mit dem CRA wird die Verantwortung der Hersteller, Importeure und Distributoren erheblich ausgeweitet. Sie müssen ihre Produkte nach dem Prinzip „Security by Design“ entwickeln, regelmäßig Sicherheitsupdates bereitstellen und schwerwiegende Vorfälle binnen 24 Stunden melden. Zudem ist für jedes Produkt eine sogenannte „Software Bill of Materials“ (SBOM) zu führen, die alle eingesetzten Software-Komponenten offenlegt.

Doch die Realität der Wirtschaft zeigt, dass der Weg zu mehr Cyberresilienz noch weit ist. Laut dem aktuellen „IoT & OT Cybersecurity Report 2025“ von Onekey haben sich bisher nur rund ein Drittel der deutschen Industrieunternehmen umfassend mit den Anforderungen des CRA beschäftigt. Fast ebenso viele haben bislang gar keine Maßnahmen ergriffen. Angesichts der Tatsache, dass die neuen Meldepflichten bereits im Herbst 2026 vollumfänglich greifen, droht bei vielen Unternehmen ein gefährlicher Rückstand. Doch Abhilfe – oder besser gesagt Kontrolle – ist in Sicht: Denn jüngst hat die Bundesregierung das Bundesamt für Sicherheit in der Informationstechnik (BSI) als notifizierende und marktüberwachende Behörde benannt. Das BSI wird künftig sowohl Prüfstellen zertifizieren als auch selbst IT-Produkte auf ihre Sicherheit hin untersuchen können. Es darf bei Verstößen Bußgelder verhängen und sogar unsichere Produkte vom Markt nehmen – kurzum: ein klares Signal für mehr Verantwortlichkeit und Verbraucherschutz.

BSI-Präsidentin Claudia Plattner bezeichnet den CRA als „Gamechanger für die Sicherheit digitaler Produkte“. In der Tat könnte es der Beginn einer neuen Sicherheitskultur sein – vorausgesetzt, die Hersteller erkennen die Tragweite der neuen Vorgaben und handeln proaktiv. Denn die Herausforderungen liegen nicht nur in technischen Anpassungen, sondern auch in den Köpfen: Cybersicherheit muss integraler Bestandteil von Entwicklungsprozessen werden, nicht nachgelagerte Pflichtübung. Mit der Benennung des BSI als marktüberwachende Behörde wird der CRA auf nationaler Ebene mit Leben gefüllt – und das ist gut so. Die neuen Kompetenzen versprechen mehr Kontrolle, mehr Transparenz und ein insgesamt höheres Schutzniveau. Doch all das reicht nur ein Stück weit inklusive: Kein Gesetz und keine Behörde können Cybersicherheit vollständig garantieren. Letztlich bleibt es Aufgabe jedes einzelnen Unternehmens, auch im Bausektor – von der Herstellung über die Planung und dem Bau bis hin zur Nutzung – eigene Schutzmaßnahmen zu treffen, Sicherheitslücken frühzeitig zu erkennen und digitale Verantwortung zu übernehmen, um größtmögliche Cybersicherheit zu haben.

 

Markus Münzfeld

Chefredakteur COMPUTER SPEZIAL