ONEKEY Cybersecurity Report 2026: Supply Chain spielt Schlüsselrolle bei CRA-Compliance

ONEKEY: Hersteller müssen Transparenz über sämtliche Softwarekomponenten schaffen und Zulieferer systematisch in das Schwachstellenmanagement einbinden

Mit dem Cyber Resilience Act (CRA) macht die Europäische Union die Cybersicherheit vernetzter Hard- und Software zu einer Voraussetzung für den Marktzugang. Für Hersteller bedeutet das: Sie müssen nicht nur die Sicherheit ihrer eigenen Entwicklungen gewährleisten, sondern auch Cybersicherheitsrisiken berücksichtigen und bewerten, die durch zugelieferte Software, Firmware, Vorprodukte und weitere Komponenten in ihre Produkte gelangen. „Damit wird die Supply Chain zu einem entscheidenden Faktor für die CRA-Compliance, und zwar sowohl beim Einsatz von Fremdprogrammen in der eigenen Software als auch bei zugekauften Komponenten mit integrierter Software“, heißt es im aktuellen „IoT & OT Cybersecurity Report 2026 (https://www.onekey.com/de/resource/onekey-iot-ot-cybersecurity-report-2026)“. Der Bericht des Düsseldorfer Cybersicherheitsspezialisten ONEKEY (https://www.onekey.com/de) fußt auf einer Umfrage unter 200 Industrieunternehmen in Deutschland zu den Vorbereitungen, der Umsetzung und den Auswirkungen der EU-Verordnung zur Stärkung des Schutzes vernetzter Geräte, Maschinen und Anlagen vor Hackerangriffen.

Moderne digitale Produkte bestehen nur zu einem Teil aus selbst entwickelter Software. Betriebssysteme, Open-Source-Bibliotheken, Kommunikationsmodule, Software Development Kits, Container, Cloud-Komponenten und Firmware von Zulieferern bilden häufig einen großen Teil des fertigen Produkts. Dabei entstehen mehrstufige Abhängigkeiten: Eine unmittelbar eingebaute Softwarebibliothek kann ihrerseits weitere Komponenten enthalten, die dem Hersteller möglicherweise gar nicht bekannt sind. Eine einzige Schwachstelle kann sich dadurch über mehrere Lieferstufen hinweg auf zahlreiche Produkte und Produktversionen auswirken.

„Der Cyber Resilience Act beendet die Vorstellung, dass sich die Verantwortung für unsichere Softwarekomponenten einfach an den Zulieferer weiterreichen lässt“, erklärt Jan Wendenburg, CEO von ONEKEY. „Wer ein Produkt unter eigenem Namen auf den europäischen Markt bringt, muss die Cybersicherheitsrisiken des gesamten Produkts beherrschen. Dafür benötigt der Hersteller belastbare Informationen darüber, welche Komponenten tatsächlich enthalten sind, woher sie stammen und welche Produktversionen bei einer neu entdeckten Schwachstelle betroffen sind.“

Hersteller sind für das Endprodukt verantwortlich

Der CRA verpflichtet Hersteller, bei der Integration von Komponenten Dritter die notwendige Sorgfalt anzuwenden. Sie müssen sicherstellen, dass die verwendeten Komponenten die Sicherheit des fertigen Produkts nicht beeinträchtigen.

Wie der „IoT & OT Cybersecurity Report 2026“ von ONEKEY zeigt, fordern bislang 25,8 Prozent der deutschen Industrieunternehmen bereits aktiv und konsequent CRA-Compliance von Lieferanten ein. Weitere 33,3 Prozent verfolgen diesen Weg laut eigenen Angaben „teilweise“, weisen also noch Lücken in der Supply Chain in Bezug auf den Cyber Resilience Act auf. 20,8 Prozent der befragten Unternehmen sind in dieser Richtung noch gar nicht tätig geworden. „In keinem Fall ersetzen Lieferantenbescheinigungen oder vertragliche Zusicherungen die eigene Risikobewertung des Herstellers“, stellt Jan Wendenburg klar.

Das gilt auch für frei verfügbare Open-Source-Komponenten. Die Hersteller müssen wissen, welche Version sie verwenden, ob bekannte Schwachstellen bestehen und wie sich neu veröffentlichte Sicherheitslücken auf das eigene Produkt auswirken. Problematisch wird dies insbesondere bei älteren, nicht mehr gepflegten Bibliotheken oder Komponenten, für die kein verlässlicher Ansprechpartner und keine Aktualisierungen mehr verfügbar sind.

Hersteller sollten deshalb bereits bei der Auswahl von Zulieferern prüfen, welche Sicherheits- und Entwicklungsprozesse beim Lieferanten bestehen, ob Softwarekomponenten und Abhängigkeiten nachvollziehbar dokumentiert werden, wie schnell über neue Schwachstellen informiert wird, wer Sicherheitsupdates bereitstellt und für welchen Zeitraum, wie sicherheitsrelevante Änderungen kommuniziert werden und ob sich Komponenten eindeutig bestimmten Produkt- und Firmwareversionen zuordnen lassen. Zudem sollten Mitwirkungs-, Informations- und Aktualisierungspflichten vertraglich geregelt werden.

Die Zuliefererseite gibt laut „IoT & OT Cybersecurity Report 2026“ ein sehr gemischtes Bild in Bezug auf die neue EU-Cybersicherheitsverordnung ab. Nicht einmal ein Fünftel (17,5 Prozent) hat sich konsequent darauf eingestellt und liefert die notwendigen Informationen. 44,2 Prozent berücksichtigen zumindest teilweise die CRA-Anforderungen. 13,3 Prozent der Zulieferer sind kaum vorbereitet, bei 25,0 Prozent wissen die Hersteller nicht, wie es um die CRA-Vorbereitung steht.

„Gerade bei Zulieferern aus Asien erleben europäische Hersteller häufig, dass der Cyber Resilience Act noch kaum bekannt ist oder als rein europäische Angelegenheit betrachtet wird. Das ist ein Irrtum: Alle Lieferanten, die Produkte oder Komponenten in Europa verkaufen, müssen die CRA-Vorschriften selbst erfüllen. Werden Produkte oder Komponenten aus dem Ausland in ein anderes Produkt eingebaut und ebenfalls in Europa verkauft, muss der Hersteller für das neue Endprodukt ebenfalls CRA-Konformität nachweisen. Fehlende SBOMs, unklare Softwareversionen oder nicht geregelte Sicherheitsupdates können damit unmittelbar zum Compliance- und Marktzugangsrisiko werden“, warnt ONEKEY-CEO Jan Wendenburg.

SBOM wird zum Verzeichnis der Softwarelieferkette

Ein zentrales Instrument für die vom CRA geforderte Transparenz ist die Software Bill of Materials, kurz SBOM. Sie erfasst die in einem Produkt enthaltenen Softwarekomponenten und ihre Beziehungen.

In der Praxis reicht es allerdings nicht, einmalig eine Komponentenliste zu erzeugen und abzulegen. Eine SBOM muss dem tatsächlich ausgelieferten Softwarestand entsprechen, einer konkreten Produktversion zugeordnet und bei relevanten Änderungen aktualisiert werden. Andernfalls entsteht lediglich eine Momentaufnahme, die für die spätere Schwachstellenanalyse kaum nutzbar ist.

Zusätzliche Schwierigkeiten entstehen, wenn Zulieferer SBOMs in unterschiedlichen Formaten, mit uneinheitlichen Bezeichnungen oder ohne eindeutige Versionsangaben bereitstellen. Manche Listen bilden lediglich direkt verwendete Komponenten ab und lassen tiefer liegende Abhängigkeiten unberücksichtigt. Andere enthalten Bauteile, die zwar während der Entwicklung verwendet wurden, aber im ausgelieferten Produkt gar nicht mehr vorhanden sind. Hersteller müssen die gelieferten Informationen deshalb zusammenführen, prüfen und mit dem tatsächlichen Binär- oder Firmwarestand abgleichen.

Neue Schwachstellen verändern die Risikolage fortlaufend

Eine bei Markteinführung als sicher bewertete Komponente kann Monate oder Jahre später von einer neu entdeckten Schwachstelle betroffen sein. Die Lieferkettentransparenz muss daher mit einem kontinuierlichen Schwachstellenmanagement verbunden werden. Hersteller benötigen Prozesse, die neue Sicherheitsmeldungen automatisiert mit den betroffenen Komponenten, Produktversionen und installierten Gerätebeständen abgleichen.

Dabei ist nicht jede theoretisch zugeordnete Schwachstelle im konkreten Produkt tatsächlich ausnutzbar. Entscheidend sind unter anderem die Konfiguration, der Nutzungskontext und die Frage, ob die betroffene Funktion überhaupt enthalten oder erreichbar ist. Ergänzende VEX-Informationen – Vulnerability Exploitability eXchange – können dokumentieren, ob und warum eine bekannte Schwachstelle ein bestimmtes Produkt betrifft. Dadurch lassen sich Warnungen und Abhilfemaßnahmen priorisieren.

„Eine SBOM schafft zwar Sichtbarkeit, aber Compliance entsteht erst, wenn Unternehmen diese Informationen in operative Prozesse überführen“, erläutert Jan Wendenburg. „Sie müssen neue Schwachstellen bewerten, betroffene Produkte identifizieren, Entscheidungen nachvollziehbar dokumentieren und bei Bedarf rechtzeitig Sicherheitsupdates bereitstellen. Genau diese Verbindung zwischen Softwarebestand, Risikobewertung und Reaktion ist in komplexen Lieferketten die eigentliche Herausforderung.“

Vertragsmanagement allein genügt nicht

Der CRA dürfte auch die Geschäftsbeziehungen zwischen Herstellern und Zulieferern verändern. Hersteller benötigen künftig nicht nur technische Spezifikationen, Preise und Liefertermine, sondern zusätzlich belastbare Sicherheitsinformationen. Entsprechende Anforderungen sollten bereits bei der Beschaffung, der Lieferantenauswahl und der Vertragsgestaltung berücksichtigt werden.

Sinnvoll sind beispielsweise Vereinbarungen über maschinenlesbare SBOMs, Meldewege für Schwachstellen, Reaktionszeiten, Sicherheitsupdates, Supportzeiträume und die Weitergabe relevanter Informationen aus vorgelagerten Lieferstufen. Ebenso wichtig ist ein geregeltes Vorgehen für den Fall, dass eine Komponente nicht mehr gepflegt wird oder der Zulieferer seine Geschäftstätigkeit einstellt.

Automatisierte Analyse statt manueller Tabellen

Bei umfangreichen Produktportfolios und regelmäßig aktualisierter Firmware stoßen manuell gepflegte Tabellen schnell an ihre Grenzen. ONEKEY unterstützt Hersteller dabei, Softwarekomponenten aus Binär- und Firmwaredateien zu identifizieren, vorhandene SBOMs zu importieren und zu validieren sowie Informationen aus unterschiedlichen Quellen zusammenzuführen. Die ONEKEY Product Cybersecurity & Compliance Plattform (https://www.onekey.com/de/platform-overview) unterstützt standardisierte Formate wie CycloneDX und SPDX und ermöglicht die Ergänzung durch VEX- und VDR-Informationen.

Darüber hinaus überwacht ONEKEY Produktstände kontinuierlich auf bekannte und bislang unbekannte Schwachstellen. Automatisierte Impact Assessments helfen dabei, theoretische Treffer von tatsächlich relevanten Risiken zu unterscheiden und Maßnahmen zu priorisieren. Auf diese Weise können Produktentwicklung, Product Security Incident Response Teams, Compliance-Verantwortliche und Produktmanagement mit einem gemeinsamen Datenbestand arbeiten.

Der Zeitdruck steigt

Die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits seit dem 11. September 2026. Ab dem 11. Dezember 2027 finden die wesentlichen Produkt- und Herstellerpflichten vollständig Anwendung. Neue Produkte mit digitalen Elementen müssen dann grundsätzlich CRA-konform sein, wenn sie erstmals auf dem EU-Markt bereitgestellt werden.

Der Aufbau einer belastbaren Lieferkettentransparenz lässt sich jedoch nicht kurzfristig erledigen. Fehlende Informationen müssen bei Zulieferern beschafft, Produktstände erfasst, SBOMs validiert und Verantwortlichkeiten festgelegt werden. Hinzu kommen technische und organisatorische Prozesse für Schwachstellenbewertung, Aktualisierungen, Dokumentation und Meldungen.

„Unternehmen sollten nicht bis zur abschließenden Konformitätsbewertung warten“, warnt Jan Wendenburg. „Wer erst kurz vor dem Markteintritt feststellt, dass zentrale Komponenten nicht identifizierbar sind oder der Lieferant keine ausreichenden Sicherheitsinformationen liefern kann, riskiert Verzögerungen, kostspielige Nacharbeiten und im schlimmsten Fall den Verlust des Marktzugangs. CRA-Compliance in der Lieferkette muss deshalb bereits beim Einkauf beginnen.“

ONEKEY (https://www.onekey.com/de) ist Europas führender Spezialist für Product Cybersecurity & Compliance Management und Teil des Investmentportfolios von PricewaterhouseCoopers Germany (PwC). Die einzigartige Kombination der automatisierten ONEKEY Product Cybersecurity & Compliance Platform (OCP) mit Expertenwissen und Consulting Services bietet schnelle und umfassende Analyse, Unterstützung und Management zur Verbesserung der Produkt Cybersecurity und Compliance vom Produkt Einkauf, Design, Entwicklung, Produktion bis zum End-of-Life.

Kritische Sicherheitslücken und Compliance-Verstöße in der Geräte-Firmware werden durch die KI-basierte Technologie innerhalb von Minuten vollautomatisch im Binärcode identifiziert – ohne Quellcode, Geräte- oder Netzwerkzugriff. Durch die integrierte Erstellung von „Software Bills of Materials (SBOMs)“ können Software-Lieferketten proaktiv überprüft werden. „Digital Cyber Twins“ ermöglichen die automatisierte 24/7 Ãœberwachung der Cybersicherheit auch nach dem Release über den gesamten Produktlebenszyklus.

Der integrierte ONEKEY Compliance Wizard deckt bereits heute die Anforderungen nach IEC 62443-4-2, ETSI EN 303 645, UNECE R1 55 und vielen anderen ab. Im Rahmen des EU-geförderten Projekts CRACoWi (Cyber Resilience Act Compliance Wizard) entwickelt ONEKEY gemeinsam mit 13 europäischen Partnern einen KI-gestützten Assistenten zur automatisierten Umsetzung des EU Cyber Resilience Act (CRA). Dieser unterstützt Unternehmen vom ersten CRA-Scope-Check bis zur Erstellung der notwendigen Declaration of Conformity.

Das Product-Security-Incident-Response-Team (PSIRT) wird durch die integrierte, automatische Priorisierung von Schwachstellen effektiv unterstützt und die Zeit bis zur Fehlerbehebung deutlich verkürzt.

International führende Unternehmen in Asien, Europa und Amerika profitieren bereits erfolgreich von der ONEKEY Product Cybersecurity & Compliance Platform (OCP) und den ONEKEY Cybersecurity Experten.

Pressekontakt:

Weitere Informationen: ONEKEY GmbH,
Sara Fortmann, E-Mail: sara.fortmann@onekey.com,
Toulouser Allee 19A, 40211 Düsseldorf, Deutschland,
Web: https://onekey.com

PR-Agentur: euromarcom public relations GmbH,
Mühlhohle 2, 65205 Wiesbaden, Deutschland,
E-Mail: team@euromarcom.de, Web: www.euromarcom.de

Original-Content von: ONEKEY GmbH, übermittelt durch news aktuell

  it-security