Auf den Punkt: Der CRA verpflichtet Hersteller ab September 2026 zur Meldung aktiv ausgenutzer Schwachstellen und fordert damit früher als der Dezember-2027-Stichtag vollständige Transparenz über Maschinenidentitäten und Secrets in der Lieferkette.
Die Europäische Kommission hat Leitlinien zum Cyber Resilience Act veröffentlicht, die Herstellern konkrete Vorgaben zur Compliance machen. Der bislang unterbeleuchtete Punkt ist dabei die Sorgfaltspflicht gegenüber Drittanbietern, Cloud-Infrastrukturen und allen integrierten Komponenten.
Mit den neuen Leitlinien schafft die Europäische Kommission Klarheit in bislang umstrittenen Punkten des Cyber Resilience Act (CRA): die Behandlung von Open-Source-Software, die Definition wesentlicher Änderungen bei Software-Updates und die Festlegung von Supportzeiträumen. Damit bietet sie Softwareanbietern und Herstellern konkretere Orientierung bei der Umsetzung eines der bedeutendsten EU-Gesetze zur Cybersicherheit.
Die eigentliche Compliance-Herausforderung liegt jedoch in der vom CRA geforderten Sorgfaltspflicht gegenüber Drittanbietern und ihren Komponenten. Der CRA dehnt die Verantwortung eines Herstellers über den selbst entwickelten Code hinaus aus: Sie erstreckt sich auch auf integrierte Komponenten, genuzte Infrastrukturanbieter sowie auf Maschinenidentitäten und Zugangsdaten (Secrets), über die Daten zwischen diesen Elementen ausgetauscht werden. Laut einer Keeper-Studie von 2026 benannt bereits ein Viertel der deutschen Unternehmen unzureichende Kontrolle über Drittanbieter-Zugriffe als Governance-Schwachstelle. Die neuen Leitlinien schließen diese Lücke nicht; sie schaffen jedoch einen verbindlichen Zeitrahmen für ihre Beseitigung.
Ein kritischer Zeitpunkt ist der 11. September 2026: Ab diesem Datum gelten Meldepflichten für aktiv ausgenutzte Schwachstellen, deutlich früher als der allgemeine CRA-Compliance-Stichtag im Dezember 2027. Unternehmen, die erst 2027 mit dem Aufbau von Transparenz über nicht-menschliche Identitäten beginnen, riskieren damit, diese Meldepflichten zu verfehlen.
Zentral für die Compliance-Vorbereitung ist eine umfassende Verwaltung von Maschinenidentitäten, API-Schlüsseln, Tokens und Servicekonten über alle Entwicklungs- und Integrationsprozesse hinweg. Diese zentrale Kontrolle über Secrets ermöglicht es Herstellern erst, die in den Leitlinien geforderte Sorgfalt gegenüber der Lieferkette nachzuweisen. Wer diese Maßnahme nicht bis September 2026 abgeschlossen hat, kann die obligatorischen Meldungen nicht fristgerecht erfüllen.
Quelle: www.it-daily.net · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.