Mit dem Cyber Resilience Act (CRA) hat die Europäische Union einen verbindlichen Rechtsrahmen für die Cybersicherheit vernetzter Produkte geschaffen. Betroffen sind sämtliche Hersteller von Produkten mit digitalen Elementen – also explizit auch Anbieter von Steuerungssystemen, SPS, Industrieservern, Feldbuskomponenten, Sensorik und IIoT-Gateways, die in der produzierenden Industrie eingesetzt werden. Laut dem aktuellen Cybersecurity Report 2026 des Düsseldorfer Spezialisten ONEKEY GmbH spielt dabei die Software-Lieferkette eine Schlüsselrolle, die in der Praxis bislang häufig unterschätzt wird.
Der Kern des Problems: Moderne eingebettete Systeme und vernetzte Automatisierungskomponenten bestehen zu großen Teilen aus Open-Source-Bibliotheken, Drittanbieter-Firmware-Modulen und zugekauften Softwarekomponenten. Hersteller können also auch dann von einer Schwachstelle betroffen sein, wenn der Fehler nicht im eigenen Code liegt, sondern in einer Zuliefererkomponente tief im Software-Stack. Der CRA verpflichtet Hersteller jedoch unabhängig vom Ursprung einer Schwachstelle zur Meldung und zur Bereitstellung von Sicherheitsupdates – und zwar über den gesamten Produktlebenszyklus.
ONEKEY empfiehlt als zentrales Werkzeug die konsequente Erstellung und Pflege einer Software Bill of Materials (SBOM). Eine SBOM listet alle Softwarekomponenten eines Produkts maschinenlesbar auf und ermöglicht es, bei Bekanntwerden neuer CVEs (Common Vulnerabilities and Exposures) automatisiert zu prüfen, ob eine betroffene Komponente im eigenen Produkt verbaut ist. Für Automatisierungskomponenten mit langen Betriebszyklen – in der Fertigungsindustrie sind Laufzeiten von zehn bis zwanzig Jahren keine Seltenheit – ist diese kontinuierliche Überwachung besonders relevant.
Die systematische Einbindung von Zulieferern stellt dabei eine der größten operativen Herausforderungen dar. Hersteller müssen von ihren Lieferanten vertraglich zusichern lassen, dass diese ebenfalls SBOMs bereitstellen und Schwachstellen zeitnah kommunizieren. ONEKEY empfiehlt, entsprechende Anforderungen in Lieferantenverträge und Qualifizierungsprozesse zu integrieren und die Compliance automatisiert zu überwachen – manuell ist dieser Aufwand bei komplexen Produktportfolios kaum zu bewältigen.
Für Maschinenbauer und Komponentenhersteller, die ihre Produkte auf dem europäischen Markt vertreiben, ist Handlungsbedarf konkret: Der CRA sieht für nicht konforme Produkte Marktrücknahmen und empfindliche Bußgelder vor. Automatisierungsunternehmen sollten daher jetzt ihre Prozesse für Vulnerability Management, Patch-Deployment und Zuliefererkommunikation auf CRA-Tauglichkeit prüfen und gegebenenfalls spezialisierte Software-Tools einsetzen, die – wie die Plattform von ONEKEY – eine automatisierte Firmware-Analyse und SBOM-Generierung ermöglichen.
Der ONEKEY-Report 2026 liefert damit einen praxisrelevanten Lagebericht für alle Hersteller vernetzter Industrieprodukte und zeigt konkret auf, welche Prozesse und Werkzeuge für eine nachhaltige CRA-Compliance entlang der gesamten Software-Lieferkette erforderlich sind.
Quelle: presseportal Themen: Produktion – https://www.presseportal.de/pm/151206/6384686
