Security by Design ist ab Dezember 2027 keine Best Practice mehr. Es ist Pflicht. Nachweispflichtig. Mit CE-Kennzeichnung.

Security by Design ist ab Dezember 2027 keine Best Practice mehr.

Es ist Pflicht. Nachweispflichtig. Mit CE-Kennzeichnung.

Aber wer denkt er hat noch Zeit sollte wissen: Ein Teil des Cyber Resilience Act gilt bereits seit dem 11. September 2026. Seit diesem Tag sind Hersteller digitaler Produkte verpflichtet aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden. Frühwarnung binnen vierundzwanzig Stunden. Detaillierte Meldung binnen zweiundsiebzig Stunden. Abschlussbericht binnen vierzehn Tagen. Bußgelder greifen erst ab Dezember 2027 – die Pflicht läuft bereits.

Was Security by Design konkret bedeutet ist weniger abstrakt als es klingt. Kein Produkt darf mit bekannten ausnutzbaren Schwachstellen ausgeliefert werden. Sicherheitsupdates müssen über den gesamten Supportzeitraum bereitgestellt werden. Sichere Standardkonfigurationen sind Pflicht. Zugriffskontrollen müssen dokumentiert sein. Und wer eine Schwachstelle entdeckt die aktiv ausgenutzt wird hat vierundzwanzig Stunden für die Frühwarnung – nicht für die Lösung. Für die Meldung.

Das ist kein Bürokratieprojekt. Es ist eine strukturelle Verschiebung die Cybersicherheit vom optionalen Qualitätsmerkmal zur nachweispflichtigen Grundvoraussetzung für den EU-Marktzugang macht.

Was viele unterschätzen ist der Zeitdruck der hinter dieser Verschiebung steckt. Produktentwicklungszyklen dauern drei bis fünf Jahre. Wer heute ein Produkt spezifiziert das 2028 oder 2029 auf den Markt kommen soll entwickelt es bereits unter CRA-Regime. Wer das jetzt nicht einplant integriert es später nach – zu einem Vielfachen des Aufwands und mit deutlich schlechteren Ausgangsbedingungen für die Konformitätsbewertung.

Security by Design ist kein Prinzip das am Ende eines Entwicklungsprozesses eingebaut wird. Es ist eines das am Anfang steht oder gar nicht.

Der erste Schritt ist einfacher als viele denken: Welche Produkte fallen unter den CRA – und in welcher Rolle stehe ich dabei? Hersteller. Händler. Integrator. Einführer. Die Antwort ist nicht immer dieselbe und sie entscheidet über den Umfang der Pflichten die bereits gelten und ab Dezember 2027 vollständig greifen.

Wer diese Frage heute beantwortet hat Zeit. Wer sie 2027 beantwortet hat Druck.

Wenn Sie mehr zum Thema CRA und digitale Resilienz wissen möchten – kurze DM genügt.