Cyber Resilience Act und Software-Lieferketten: Unterschätzte Risiken für Defence-Unternehmen
Jaber Kakar, Bereichsleiter Informationssicherheit
7. Juli 2026
Viele Unternehmen der Defence-Industrie sind überzeugt: Der Cyber Resilience Act betrifft uns nur eingeschränkt. Schließlich enthält die EU-Verordnung eine Ausnahme für bestimmte Verteidigungsgüter. Doch genau dieses Missverständnis birgt erhebliche Risiken. Denn die Ausnahme greift deutlich seltener, als viele vermuten.
Doch genau diese Annahme kann zum Risiko werden. Denn die Ausnahme gilt nicht pauschal für Unternehmen, ganze Produktportfolios oder komplexe Software-Lieferketten. Entscheidend ist immer die konkrete Bewertung einzelner Produkte, Komponenten und Einsatzszenarien.
Was das in der Praxis bedeutet, welche regulatorischen, organisatorischen und operativen Risiken daraus entstehen und worauf Defence-Unternehmen jetzt achten sollten, erklären wir in diesem Beitrag.
In diesem Beitrag:
Was die Ausnahme für Verteidigungsprodukte im CRA tatsächlich bedeutet
Der Cyber Resilience Act (EU 2024/2847) enthält eine Ausnahme für Produkte mit digitalen Elementen, die ausschließlich für Verteidigungs- oder nationale Sicherheitszwecke entwickelt wurden. Der Grund: Diese unterliegen bereits speziellen sicherheits- und verteidigungsrechtlichen Regelungen.
„Ausschließlich“ ist die entscheidende Formulierung. Und sie ist eng gemeint.
Denn die CRA-Ausnahme gilt nicht pauschal für ganze Unternehmen oder komplette Produktportfolios. Sie bezieht sich einzig und allein auf bestimmte Produkte und Anwendungsfälle.
Sobald ein Produkt auch zivile Einsatzbereiche hat, greift die Ausnahme in der Regel nicht mehr.
In der Praxis entstehen dadurch einige Grauzonen. Viele Defence-Unternehmen entwickeln heute Produkte, die sich nicht eindeutig einer einzigen Nutzungsart zuordnen lassen:
- Dual-Use-Produkte, die sowohl zivil als auch militärisch eingesetzt werden
- zivile Varianten militärischer Systeme
- Software-Plattformen mit mehreren Anwendungsbereichen
- Kommerzielle IT-Komponenten, die auch an militärische Kunden geliefert werden
- Produkte mit Open-Source- oder Drittanbieter-Software
Für diese Bereiche kann der CRA vollständig relevant werden.
Für viele Unternehmen beginnt genau hier die eigentliche Herausforderung.
Die eigentliche Herausforderung liegt in der Produktklassifikation
Für viele Unternehmen beginnt die CRA-Herausforderung bereits bei einer grundlegenden Frage: Welche unserer Produkte fallen überhaupt unter den Cyber Resilience Act – und welche nicht?
Gerade im Defence-Umfeld ist diese Bewertung häufig komplex. Systeme werden weiterentwickelt, erhalten neue Funktionen oder finden später zusätzliche Einsatzmöglichkeiten außerhalb ihres ursprünglichen Verwendungszwecks. Was heute ausschließlich für militärische Zwecke entwickelt wird, kann durch neue Funktionen, zusätzliche Kundengruppen oder erweiterte Einsatzszenarien später Merkmale eines Dual-Use-Produkts aufweisen.
Deshalb ist die Produktklassifikation keine rein technische oder juristische Aufgabe. Sie muss auch künftige Änderungen von Funktionen, Einsatzszenarien und Nutzungszwecken berücksichtigen.
Dazu ist es erforderlich, wirklich alle denkbaren Perspektiven zusammenzuführen: Entwicklung, Produktmanagement, Compliance, Informationssicherheit und Rechtsabteilung. Erst in der Zusammenschau lässt sich belastbar bewerten, welche Anforderungen gelten und welche Nachweise künftig erforderlich sind.
Die Frage ist nicht nur, wofür ein Produkt heute entwickelt wurde – sondern wofür es morgen eingesetzt werden könnte.
Doch auch wenn die Produktklassifikation geklärt ist, sind noch nicht alle Fragen beantwortet. Denn die Produktklassifikation ist nur der erste Schritt. Im nächsten Schritt rückt die Frage in den Mittelpunkt, aus welchen digitalen Komponenten ein System tatsächlich besteht.
Warum gerade Software-Lieferketten für Defence-Unternehmen besonders relevant sind
Früher wurden Verteidigungssysteme weitgehend als geschlossene Eigenentwicklungen mit selbst kontrollierten Komponenten entwickelt. Moderne Defence-Lösungen bestehen dagegen aus einer Vielzahl digitaler Komponenten, die häufig aus komplexen Lieferketten und unterschiedlichen Quellen stammen. Unternehmen müssen künftig auch die Sicherheitsfähigkeit ihrer Zulieferer stärker bewerten und dokumentieren. Und genau hier liegt ein Kernproblem.
Konkret betrifft das:
- Embedded-Software und Firmware in Systemen
- Open-Source-Komponenten und Drittanbieter-Bibliotheken
- Cloud-Dienste, die in Produkte integriert sind
- Externe Entwicklungsdienstleister und deren Code-Beiträge
- Software-Plattformen mit mehreren Einsatzbereichen
Für viele Defence-Unternehmen bedeutet das: Die CRA-Relevanz entsteht nicht nur durch das Endprodukt, sondern durch die Summe aller digitalen Komponenten. Ein System kann als Ganzes militärisch klassifiziert sein – und trotzdem zivile Software-Bestandteile enthalten, die den CRA auslösen.
Dadurch verschiebt sich der Fokus der Regulierung: Es geht nicht nur um das fertige Endprodukt, sondern um sämtliche digitale Komponenten über den gesamten Lebenszyklus hinweg.
Die Verantwortung für Cybersicherheit endet nicht an der Unternehmensgrenze.
Was Defence-Unternehmen jetzt wissen und tun sollten
Mit dem 11. September 2026 wird der Cyber Resilience Act erstmals praktisch spürbar. Ab diesem Zeitpunkt gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Verstöße können mit Bußgeldern von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist.
Die bisher betrachteten Fragen zu Produktklassifikation, Dual Use und Software-Komponenten bilden dabei lediglich die Grundlage.
Der CRA verlangt darüber hinaus, dass Unternehmen diese Erkenntnisse in belastbare Prozesse und Verantwortlichkeiten übersetzen.
Und damit beginnt die eigentliche Herausforderung. Denn aus der Bewertung von Produkten und Komponenten müssen konkrete Prozesse entstehen. Im Mittelpunkt stehen dabei vier Fragen:
- Nachweisfähigkeit: Welche Dokumentationen, Risikoanalysen und Nachweise müssen gegenüber Kunden, Auditoren und Behörden erbracht werden?
- Verantwortlichkeiten: Wer trifft Entscheidungen und wer übernimmt Verantwortung in Entwicklung, Einkauf, Compliance, Informationssicherheit und Management?
- Schwachstellenmanagement: Wie werden Sicherheitslücken über den gesamten Produktlebenszyklus hinweg identifiziert, bewertet, dokumentiert und behoben?
- Meldeprozesse: Wie werden Vorfälle erkannt, bewertet und innerhalb der vorgegebenen Fristen gemeldet?
Gerade diese organisatorischen und prozessualen Anforderungen werden in vielen Unternehmen unterschätzt. Dabei entscheidet sich hier, ob CRA-Compliance im Alltag funktioniert oder nur auf dem Papier existiert.
Schulungen und praxisnahe Übungen können dabei helfen, diese Anforderungen frühzeitig in den betroffenen Fachbereichen zu verankern.
CRA-Compliance ist eine Organisationsaufgabe
Der CRA fordert nicht nur sichere Produkte. Er fordert auch die Fähigkeit, auf Sicherheitsvorfälle schnell, nachvollziehbar und dokumentiert zu reagieren.
Konkret werden Unternehmen verpflichtet,
- innerhalb von 24 Stunden eine Erstmeldung zu übermitteln,
- innerhalb von 72 Stunden eine Folgemeldung mit weiteren technischen Informationen einzureichen,
- nach Abschluss der Analyse einen Abschlussbericht vorzulegen,
- dokumentierte Entscheidungs- und Meldeprozesse nachweisen zu können,
- und klare Verantwortlichkeiten festzulegen.
Dafür müssen Entwicklung, Einkauf, Compliance, Informationssicherheit und Management deutlich enger zusammenarbeiten als bisher. In der Praxis scheitern Organisationen dabei selten an fehlender Technologie, sondern deutlich häufiger an unklaren Prozessen, fehlenden Zuständigkeiten und mangelnder Abstimmung zwischen den beteiligten Bereichen.
Praxisnahe Übungen zu Incident Response, Meldeketten und Rollenverantwortlichkeiten helfen dabei, diese Lücken frühzeitig zu erkennen und zu schließen, bevor ein echter Sicherheitsvorfall eintritt.
24 Stunden Meldefrist lassen keinen Raum für ungeklärte Verantwortlichkeiten.
Fazit: Die CRA-Ausnahme ist enger als viele vermuten
Die Verteidigungsausnahme des Cyber Resilience Act ist real – aber sie ist deutlich enger, als viele Unternehmen vermuten. Für die meisten Defence-OEMs und ihre Zulieferer werden insbesondere Software-Lieferketten, Entwicklungsprozesse und organisatorische Verantwortlichkeiten relevant.
Die größte Gefahr besteht nicht darin, dass Unternehmen die Anforderungen des Cyber Resilience Act nicht erfüllen können. Die größte Gefahr besteht darin, dass sie ihre eigene Betroffenheit falsch einschätzen – und deshalb erst handeln, wenn die Zeit bereits gegen sie arbeitet.“ – ML Gruppe
Entscheidend wird sein, dass die beteiligten Fachbereiche die Anforderungen des CRA verstehen und sicher anwenden können.
Der 11. September 2026 ist keine abstrakte Deadline – er ist ein Praxistest.
Unternehmen, die ihre Teams heute schulen, werden ihn bestehen.
Unternehmen, die warten, werden feststellen, dass 24 Stunden sehr kurz sind.
Deshalb sollten Unternehmen die verbleibende Zeit bis zur praktischen Umsetzung nutzen, um Produktklassifikationen zu überprüfen, Verantwortlichkeiten festzulegen und die beteiligten Teams auf ihre Aufgaben vorzubereiten.