Laut PwC Product Security Survey 2026 hat nur die Hälfte der deutschen Industrieunternehmen mit der Umsetzung des EU Cyber Resilience Act begonnen. Die vollständige Einhaltung bleibt die Ausnahme.
Nur drei Prozent der deutschen Industrieunternehmen halten sich nach eigener Einschätzung bereits vollständig an die Vorgaben des EU Cyber Resilience Act. Das zeigt der PwC Product Security Survey 2026, der erstmals konkrete Zahlen zur Umsetzung der neuen EU-Regulierung in der Industrie liefert. Die Meldepflichten des Cyber Resilience Act gelten seit dem 11. September 2026, doch die meisten Unternehmen erfüllen die Anforderungen noch nicht.
Regulatorische Vorgaben und betriebliche Praxis
Für die Studie hat PwC im Frühjahr 2026 hundert Industrieunternehmen befragt. 88 Prozent der Teilnehmer kennen die Grundzüge des Cyber Resilience Act, aber nur etwa die Hälfte hat mit der Umsetzung begonnen. Die vollständigen Anforderungen werden ab dem 11. Dezember 2027 verbindlich. Trotzdem fehlen in vielen Unternehmen klare Prozesse und Strukturen, um die Vorgaben tatsächlich umzusetzen. Der Cyber Resilience Act (CRA) ist am 10. Dezember 2024 in Kraft getreten und hat damit die Übergangsfristen für die Industrie gestartet.
Ein zentrales Problem zeigt sich beim Umgang mit Sicherheitsvorfällen: Trotz neuer Meldepflichten hat die Hälfte der Unternehmen keine externe Anlaufstelle für Sicherheitsmeldungen eingerichtet. Der Cyber Resilience Act verlangt jedoch eine öffentlich zugängliche Meldestelle. 27 Prozent der befragten Unternehmen haben intern keinen festgelegten Prozess für produktbezogene Sicherheitsprobleme. Die Lücke zwischen regulatorischen Anforderungen und der tatsächlichen Umsetzung bleibt damit groß. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden über die von ENISA bereitgestellte Single Reporting Platform (SRP) melden. Eine vollständige Meldung muss spätestens nach 72 Stunden erfolgen. Diese Vorgaben gelten auch für Produkte, die schon vor dem vollständigen Inkrafttreten des CRA auf dem Markt waren.
Technische Grundlagen sind da, Integration fehlt
Viele Unternehmen verfügen bereits über einzelne technische und organisatorische Maßnahmen, die für die Erfüllung der CRA-Anforderungen notwendig sind. 94 Prozent bieten updatefähige Produkte an, 84 Prozent arbeiten mit dokumentierten Entwicklungsprozessen, 83 Prozent führen formale Risikobewertungen durch und 58 Prozent setzen kontinuierliches Security-Testing ein. Was jedoch meist fehlt, ist ein integrierter Ansatz für Product Security Engineering über den gesamten Produktlebenszyklus. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, bestehende Prozesse an DIN EN ISO/IEC 27001 und branchenspezifische Sicherheitsstandards anzupassen, um Lücken zu schließen.
Mit dem Inkrafttreten des Cyber Resilience Act am 10. Dezember 2024 und der verpflichtenden Meldung von Schwachstellen ab dem 11. September 2026 stehen Unternehmen vor der Aufgabe, ihre Melde- und Sicherheitsprozesse EU-weit zu harmonisieren.
Ein weiteres Defizit zeigt sich beim Umgang mit Software Bills of Materials (SBOM): Nur 27 Prozent der Unternehmen erstellen SBOMs für die Mehrheit oder das gesamte Produktportfolio. 30 Prozent erhalten SBOMs von ihren Lieferanten. Dabei sind SBOMs wichtig, um bei Sicherheitsvorfällen schnell reagieren zu können. Die vorhandenen Einzellösungen werden bislang selten zu einem durchgängigen, nachweisbaren Product-Security-Management zusammengeführt. Die ENISA-Plattform für Meldungen ist ab dem 11. September 2026 für alle betroffenen Unternehmen verpflichtend nutzbar, wie eine Mitteilung der Europäischen Kommission bestätigt.
Selbsteinschätzung und Realität gehen auseinander
Viele Unternehmen schätzen ihren Stand bei der Umsetzung der neuen Anforderungen zu optimistisch ein. Nur 19 Prozent der Befragten verfügen laut PwC über ein fundiertes Verständnis des Cyber Resilience Act, das eine gezielte Steuerung der Umsetzungsstrategie ermöglicht. 12 Prozent kannten den Begriff vor der Umfrage kaum, obwohl 56 Prozent der Befragten direkt für Produkt-Cybersicherheit verantwortlich sind. Die Europäische Kommission hat am 27. Juli 2026 ein erstes, nicht bindendes Auslegungspapier veröffentlicht, das unter anderem die Definition von "becoming aware" und die Nicht-Retroaktivität bestimmter Pflichten präzisiert.
Die Ergebnisse der Studie stehen vor dem Hintergrund einer wachsenden Bedrohungslage für industrielle IT-Systeme. Der Schwarzmarkt für Industrie-Zugänge wächst, und Angriffe auf vernetzte Produktionsanlagen nehmen zu. Das erhöht den Druck auf Unternehmen, regulatorische Vorgaben nicht nur formal, sondern auch praktisch umzusetzen. Wie frühere Analysen zeigen, verändern neue Technologien und Regulierungen auch die Maßstäbe für Sicherheit und Compliance.
Folgen für Unternehmen und Märkte
Die langsame Umsetzung des Cyber Resilience Act bringt für deutsche Industrieunternehmen erhebliche Risiken mit sich. Neben möglichen Sanktionen bei Verstößen gegen Meldepflichten drohen auch Reputationsverluste und operative Störungen. Die Integration bestehender technischer und organisatorischer Maßnahmen in ein nachweisbares, durchgängiges Product-Security-Management bleibt eine zentrale Herausforderung. Unternehmen, die den Aufwand für die vollständige Umsetzung unterschätzen, riskieren, regulatorisch und technologisch den Anschluss zu verlieren.
Die Zahlen der PwC-Studie zeigen, dass die deutsche Industrie zwar viele notwendige Einzelkompetenzen besitzt, aber der Schritt zu einer systematischen, regulatorisch belastbaren Cybersicherheitsstrategie oft noch fehlt. In den kommenden Monaten wird sich zeigen, ob die Unternehmen die verbleibende Übergangsfrist nutzen, um die Lücke zwischen Anspruch und Realität zu schließen - oder ob die nächste Welle regulatorischer Anforderungen erneut auf unzureichend vorbereitete Strukturen trifft.
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Ziel ist es, Sicherheitslücken in Hard- und Softwareprodukten systematisch zu reduzieren und die Resilienz der europäischen Wirtschaft gegenüber Cyberangriffen zu stärken. Die Verordnung sieht Meldepflichten für Sicherheitsvorfälle, Anforderungen an sichere Entwicklung und Wartung sowie Transparenz über verwendete Softwarekomponenten vor. Unternehmen müssen ihre Prozesse und Produkte bis spätestens Dezember 2027 an die neuen Vorgaben anpassen. Die Umsetzung erfordert nicht nur technische Maßnahmen, sondern auch organisatorische und dokumentarische Nachweise über den gesamten Produktlebenszyklus.
