Auf den Punkt: KMUs verfügen häufig nicht über die organisatorischen und technischen Ressourcen, um die Anforderungen der CRA fristgerecht zu erfüllen.
Kleine und mittlere Unternehmen in der EU befassen sich mit erheblichen Herausforderungen bei der Vorbereitung auf die Cyber Resilience Act (CRA), zeigt eine aktuelle Analyse der Europäischen Agentur für Cybersicherheit (ENISA).
Die Cyber Resilience Act wird zur Pflichtregulation für Produkt- und Lösungsanbieter, die an den EU-Binnenmarkt liefern. Die Verordnung verpflichtet hersteller von IoT-Geräten, Cybersicherheit-Komponenten und kritischen Infrastruktur-Software zur Umsetzung verbindlicher Sicherheitsvorgaben bei Design, Produktion und Wartung. Für große Konzerne gelten Compliance-Prozesse teilweise bereits – KMUs sehen sich hingegen einer Transformationsaufgabe gegenüber.
Viele kleine und mittlere Unternehmen berichten von Ressourcenmangel, fehlender Klarheit zu konkreten Compliance-Anforderungen und unterkapazitäten in IT-Security und Produktentwicklung. Hinzu kommt, dass Interpretationsunsicherheiten zum regulatorischen Perimeter und zu technischen Standards bestehen. Besonders kritisch: KMUs haben oft keinen etablierten Governance-Apparat für die Dokumentation von Sicherheitsmassnahmen, was bei Audits und Zertifizierungen notwendig wird.
CISOs in betroffenen KMUs sollten daher frühzeitig eine Readiness-Analyse vornehmen, um Implementierungslücken zu identifizieren. ENISA empfiehlt u.a. Mentoring-Programme zwischen Konzernen und KMUs, öffentliche Toolkits zur Selbstbeurteilung und regulatorische Übergangszeiträume, um die Compliance-Lasten verteilt zu adressieren. Die finale Anwendung der CRA ist für 2027 geplant.
Quelle: www.enisa.europa.eu · Erschienen
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.