Cyber Resilience Act (CRA): Leitfaden für die Schweizer Industrie

In Kürze

Export-Garantie: Ohne CRA-Konformität verlieren Schweizer Maschinenbauer ihre CE-Kennzeichnung.
Sicherheit über den Lebenszyklus: Hersteller haften künftig über die gesamte Nutzungsdauer für die Cybersicherheit ihrer Produkte.
Schweizer Qualitätsmerkmal: Wer den CRA frühzeitig umsetzt, macht „Digital Trust“ zum neuen Markenzeichen für „Swiss Made
Networking im Praxiszirkel: Der enorme Zulauf bei Next Industries zeigt den akuten Handlungsbedarf der Industrie.
Globaler Standard: Der CRA setzt weltweite Massstäbe, denen auch die USA und das UK folgen werden.

Cyber Resilience Act: Überlebensfrage oder Wettbewerbsvorteil?

Die Ära, in der Cybersicherheit bei physischen Produkten ein „Nice-to-have“ war, ist endgültig vorbei. Mit dem Cyber Resilience Act (CRA) hat die EU eine Verordnung verabschiedet, die die Spielregeln für den globalen Markt verändert. Obwohl die Schweiz kein EU-Mitglied ist, schlägt der CRA im Alpenraum ein wie ein Blitz.

Warum? Weil für die Schweizer Exportindustrie – insbesondere die hochspezialisierte Werkzeugmaschinenindustrie – kein Weg an den neuen CE-Kennzeichnungen vorbeiführt. Diejenigen, die bereits in die EU exportieren, sind schon längst informiert – nur die Umsetzung schlägt nun ein wie ein Blitz.

Was ist der Cyber Resilience Act?

Der CRA (Verordnung 2024/2847) ist das weltweit erste Gesetz, das verbindliche Cybersicherheitsstandards für Produkte mit digitalen Elementen festlegt. Das umfasst fast alles: von der vernetzten Schleifmaschine bis hin zur Steuerungssoftware.

Inkrafttreten: Dezember 2024.
Fristen: Die volle Anwendungspflicht greift gestaffelt ab 2026/2027.
Ziel: Sicherheit über den gesamten Lebenszyklus (Security by Design & Default) sowie eine Meldepflicht für ausgenutzte Schwachstellen innerhalb von 24 Stunden.

Fokus Schweiz: Der Werkplatz unter Zugzwang

Für Schweizer Traditionsunternehmen wie Gleason, Reishauer, Klingelnberg, United Grinding, Tornos, Starrag, Bystronic, Kellenberger, Feintool, URMA oder Hatebur ist der CRA weit mehr als eine bürokratische Hürde. Er ist eine operative Herausforderung. Warum die Schweizer Industrie jetzt handeln muss:

Marktzugang EU: Ohne CRA-Konformität keine CE-Kennzeichnung. Ohne CE-Kennzeichnung kein Export in den wichtigsten Absatzmarkt.
Lieferketten-Druck: Grosskunden fordern zunehmend den Nachweis der Cyber-Resilienz. Wer nicht liefert, fliegt aus der Supply Chain.
Haftungsrisiken: Die Geschäftsleitung steht künftig stärker in der Verantwortung für die Produktsicherheit.

Vernetzung als Schlüssel: Next Industries & der Praxiszirkel

In der Schweiz hat sich mit Next Industries eine entscheidende Plattform etabliert. Der dortige Praxiszirkel CRA zeigt, wie gross der Wissensdurst ist: Die Industrie „überrennt“ diese Formate förmlich. Während Beratungsriesen wie Deloitte oder bbv hier bereits Akzente setzen, ist es für spezialisierte Beratungen wie Wavestone entscheidend, genau hier Präsenz zu zeigen – etwa durch Experten wie Daniel Nussbaumer und Derya Alkan, um die Brücke zwischen technischer Compliance und strategischer Resilienz zu schlagen.

Der globale Blick: Auswirkungen über die EU-Grenzen hinaus

Der CRA wirkt wie der „Brussels Effect“: Er setzt Standards, denen der Rest der Welt folgen muss, um kompatibel zu bleiben.

Deutschland

Als grösster Maschinenbauer der EU trifft der CRA Deutschland am härtesten. Deutsche KMU kämpfen bereits mit der Umsetzung der NIS2-Richtlinie; der CRA kommt nun als technischer Standard für Produkte obendrauf.

Frankreich

Frankreich treibt die Souveränität digitaler Infrastrukturen massiv voran. Französische Unternehmen nutzen den CRA oft als Differenzierungsmerkmal für „Trusted Electronics“.

UK

Nach dem Brexit hat das UK mit dem PSTI (Product Security and Telecommunications Infrastructure Act) eigene Regeln. Dennoch müssen britische Exporteure den CRA eins-zu-eins erfüllen, was zu einer faktischen Doppelregulierung führt.

USA

US-Hersteller, die auf dem EU-Markt agieren, müssen ihre Software-Stücklisten (SBOM) drastisch professionalisieren. Der CRA beeinflusst bereits die Diskussionen um das US-Cyber Trust Mark.

Strategische Empfehlung: Vom Compliance-Check zur Marktführerschaft

Der CRA sollte nicht als reines Compliance-Thema betrachtet werden. Für Schweizer Präzisionshersteller bietet er die Chance, „Cyber-Sicherheit made in Switzerland“ als neues Qualitätsmerkmal zu etablieren.

Was jetzt zu tun ist:

Bestandsaufnahme: Welche Produkte fallen unter welche Risikoklasse (Standard, Klasse I, Klasse II)?
Ecosystem-Building: Engagement in Gremien wie dem Praxiszirkel von Next Industries, um von Best Practices zu profitieren und Wettbewerbern das nicht allein das Feld zu überlassen.
Lifecycle-Management: Prozesse implementieren, die Schwachstellenmanagement nicht nur bei Auslieferung, sondern über 5-10 Jahre garantieren.

Fazit | Cyber Resilience Act (CRA)

Der Cyber Resilience Act ist keine Option, sondern eine Existenzbedingung. Unternehmen, die jetzt investieren, sichern sich nicht nur den Zugang zum EU-Markt, sondern bauen einen uneinholbaren Vertrauensvorsprung bei ihren Kunden auf.

Cyber Resilience Act (CRA): Der neue Security-Standard für die Schweizer Industrie