Miguel Morales

Cyber Resilience Act für OEMs: Vom Compliance-Nachweis zum Lifecycle-Service

Der CRA setzt zwei Termine: Ab September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb von 24 Stunden melden, ab Dezember 2027 gilt die volle Konformitätspflicht. Morales zieht die Grenze zwischen den beiden Regulierungen: Der CRA adressiert Hersteller und ihre Produkte, NIS2 die Betreiber – dort mit persönlicher Haftung. Genau an dieser Schnittstelle liegt seine zentrale These. Die CRA-Pflicht endet damit, Schwachstellen offenzulegen und Patches bereitzustellen, und die Patches selbst müssen kostenlos sein. Betreiber müssen ihre eigene Compliance aber über Geräte vieler Hersteller hinweg nachweisen. Wer ihnen dieses Beweismaterial automatisiert liefert, verkauft einen Lifecycle-Service statt nur Hardware. Als Referenzpunkt dient ein von Danfoss veröffentlichtes Cybersecurity-Paper. Konkret geht es um SBOM-Generierung, kontinuierliches Firmware-Scanning, PKI-Zertifikate und den Rollout von Updates über global verteilte Flotten. Den manuellen Aufwand dafür nennt Morales Governance Tax. Zum Abschluss nennt er zehn Handlungspunkte für Hersteller. Das nimmst du mit Der erste Termin ist nicht Dezember 2027, sondern September 2026: Ab dann gelten 24-Stunden-Meldefristen für aktiv ausgenutzte Schwachstellen. CRA und NIS2 greifen ineinander: Was für den Hersteller Pflicht ist, ist für den Betreiber die Grundlage seines eigenen Nachweises. Der Patch muss laut Regulierung kostenlos sein – bepreisbar sind die Orchestrierung des Rollouts und der auditierbare Nachweis. Compliance verschiebt sich von der jährlichen Berichtserstellung zur kontinuierlichen Berechnung aus Geräte-Zustandsdaten. Erster von zehn Handlungspunkten: die CRA-Verantwortung aus der Rechtsabteilung in die Produkt-P&Ls überführen.