Product Security Survey 2026: Digital vernetzt, aber auch sicher?

Ihre Expertin für Fragen

Siri Sophia Oberpottkamp
Director Product Security bei PwC Deutschland
+49 1516 4500068
E-Mail

Viel Problembewusstsein, wenig belastbare Praxis 

Im Maschinenbau, in der Industrieautomation oder in der Gebäudetechnik: Produkte mit digitalen Elementen sind aus dem Unternehmensalltag nicht mehr wegzudenken. Mit dem Cyber Resilience Act (CRA) hat die EU erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen geschaffen, die nicht bereits durch spezifische Vorgaben reguliert werden (bspw. Automotive, Militär, Luftfahrt). Seit 11. September 2026 gelten die Meldepflichten für Sicherheitsvorfälle, bis 11. Dezember 2027 müssen Unternehmen alle weiteren Anforderungen umsetzen. 

Wie gut sind deutsche Industriebetriebe auf den Cyber Resilience Act vorbereitet? PwC hat dazu 100 Fach- und Führungskräfte aus Produktentwicklung, IT und Security in besonders CRA-relevanten Branchen wie dem Maschinenbau befragt. Das Ergebnis: Das Problembewusstsein ist groß, erste technische Grundlagen stehen vielerorts bereits. Doch zwischen Wissen und belastbarer Umsetzung klafft eine Lücke – etwa bei der Erstellung von Komponentenverzeichnissen bei Meldekanälen und bei klaren Prozessen für den Ernstfall. 

Die Studie im Überblick 

Alle 100 befragten Unternehmen bieten Produkte mit digitalen Elementen an und fallen damit unter den CRA. Wie aufwendig die Umsetzung wird, hängt jedoch stark vom Produktportfolio ab: 55 % der Unternehmen haben weniger als zehn Produkte mit digitalen Elementen, 33 % zwischen 10 und 99 Produkten und 9 % mehr als 100.

CRA weithin bekannt, fundiertes Wissen fehlt oft

88 % der Befragten sind mit dem CRA mindestens geringfügig vertraut, der Begriff ist in den Unternehmen angekommen. Doch Vertrautheit ist nicht gleich Handlungssicherheit: Die Mehrheit (51 %) verfügt über Arbeitswissen und kennt die wesentlichen Anforderungen. Demgegenüber haben nur 19 % ein fundiertes Verständnis, das eine sichere Einordnung der Anforderungen und Steuerung der Umsetzungsstrategien erlaubt. 

Auffällig ist zudem, wie Verantwortung verteilt wird: 26 % der Unternehmen weisen sie der Geschäftsführung zu, weitere 27 % Schlüsselrollen wie Produktmanagement und Engineering. Diese Verteilung auf etablierte Führungsrollen zeigt, dass Mandat und Budget für die CRA-Compliance gesichert sind und die Priorität auf Führungsebene erkannt wird. Allerdings sind dedizierte Rollen für Produkt-Cybersicherheit bzw. Product Security wie ein Product Security Officer mit 5 % die Ausnahme. Dies birgt das Risiko, dass CRA-Compliance eher strategisches Thema als operative Praxis bleibt. 

Die Umsetzung steht bei vielen noch am Anfang

Trotz bekannter Pflichten steckt die CRA-Umsetzung in vielen Unternehmen noch in den Anfängen. Zwar haben 49 % bereits mit der Umsetzung begonnen, doch 24 % befinden sich noch in der Analysephase und 26 % haben bislang überhaupt nicht gestartet. Nur 3 % schätzen sich als vollständig CRA-konform ein. Die Ergebnisse zeigen, dass zwischen dem Erkennen des Handlungsbedarfs und der Umsetzung in konkrete, belastbare Maßnahmen bei vielen Unternehmen noch ein erheblicher Weg liegt.

Größere Unternehmen sind weiter als der Mittelstand

Unternehmen ab 500 Mitarbeitenden liegen in nahezu allen Themenfeldern vorn: 59 % von ihnen haben die aktive CRA-Umsetzung bereits gestartet, beim Mittelstand sind es 37 %. Auch bei etablierten Entwicklungsprozessen (56 % gegenüber 34 %), bei der Produkteinstufung (46 % gegenüber 25 %) und bei SBOM-Strukturen (56 % gegenüber 41 %) liegen kleinere Unternehmen zurück. Der Mittelstand, in der Stichprobe mit 61 % die Mehrheit der Befragten, steht vor der gleichen regulatorischen Pflicht, jedoch häufig mit weniger Ressourcen und weniger formalisierten Prozessen. Für kleinere und mittlere Hersteller wird der CRA damit zur besonderen Kraftprobe: Sie müssen die gleiche Konformität nachweisen wie Großunternehmen, ohne über deren Strukturen zu verfügen.

CRA-Konformität in der Industrie: Fünf Handlungsfelder für Produkt-Cybersicherheit 

Die Studie zeigt, wo Unternehmen aktuell stehen und wo der größte Nachholbedarf liegt. Bewusstsein für den CRA ist weit verbreitet, belastbare Prozesse und Nachweise fehlen jedoch bei der Mehrheit noch. Daraus lassen sich fünf Handlungsfelder ableiten, die über den Weg zur CRA-Konformität entscheiden:

1. Systematische Einstufung der eigenen Produkte nach CRA-Produktkategorien als Grundlage für Prüfaufwand und Ressourcenplanung
2. Risikobewertung aller betroffenen Produkte, um daraus konkrete technische und organisatorische Anforderungen abzuleiten
3. Tragfähiges SBOM-Management etablieren, inklusive aller Zulieferer
4. CRA-Anforderungen vertraglich und transparent in der Lieferkette verankern (z. B. durch das Teilen der SBOM)
5. Melde- und Reaktionsprozesse für Sicherheitsvorfälle einrichten, mit einer klar erreichbaren externen Schnittstelle

Ohne diese Grundlagen fehlt der Nachweis für die CRA-Konformitätserklärung und damit für die CE-Kennzeichnung. Ein Produkt ohne gültige Konformitätserklärung darf ab den geltenden Fristen nicht mehr in der EU vermarktet werden, unabhängig von Unternehmensgröße oder Branche. Was zunächst nach Compliance-Aufwand aussieht, wird damit zur Voraussetzung für den Marktzugang.

Wer die fünf Handlungsfelder jetzt priorisiert und umsetzt, verschafft sich Vorlauf, statt später unter Zeitdruck nachzuarbeiten und Prüfungen im letzten Moment zu bestehen. Klar verteilte Verantwortlichkeiten und dokumentierte Prozesse zahlen sich dabei doppelt aus: Sie erfüllen nicht nur die CRA-Anforderungen, sondern schaffen auch intern Verlässlichkeit für künftige Sicherheitsvorfälle und für die Entwicklung neuer und sicherer Produkte.

Wie genau sich Awareness, Umsetzungsstand und Reifegrad zwischen Branchen, Rollen und Unternehmensgrößen unterscheiden, zeigt die Studie im Detail.