Quellen-Tabelle

Der CRA ist seit dem 10. Dezember 2024 in Kraft; er ist eine EU-Verordnung und damit — anders als die NIS-2-Richtlinie — direkt in allen Mitgliedstaaten anwendbar, ohne dass es einer nationalen Umsetzung bedarf.

Das ist das neue EU-Gesetz für Cybersicherheit bei allen vernetzten Geräten und Software — von der smarten Heizung bis zum Betriebssystem. Es gilt automatisch in ganz Europa, ohne dass Deutschland es extra ins eigene Recht übersetzen muss.

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an das national zuständige CSIRT und an die ENISA melden. Für die Frühwarnung bleiben 24 Stunden, für die vollständige Meldung 72 Stunden, für den Abschlussbericht 14 Tage.

Wichtig für den Masterplan-Punkt "Meldepflichten sind ein zweischneidiges Schwert": Hersteller müssen Sicherheitslücken jetzt sehr schnell an eine zentrale Behördenstelle melden. Das hilft, Lücken schneller zu schließen — schafft aber auch eine zentrale Datenbank aktueller Schwachstellen, die selbst ein attraktives Ziel für Angreifer sein könnte.

Im Berichtszeitraum wurden durchschnittlich täglich 119 neue Schwachstellen in IT-Systemen bekannt — ein Wachstum von rund 24 Prozent gegenüber dem Vorjahr. Insbesondere unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum verwundbar.

Das ist der offizielle deutsche Jahresbericht zur IT-Sicherheitslage — direkt von der zuständigen Bundesbehörde. Wichtig für den Masterplan-Punkt "zentrale Datenspeicher sind Honeypots": Fast täglich zwei neue Sicherheitslücken, Tendenz stark steigend. Genau das Risiko, das entsteht, wenn immer mehr Daten (Vorratsdaten, Vermögensregister, Wallet-Daten) zentral gespeichert werden.

950 angezeigte Ransomware-Fälle im Berichtszeitraum, davon 72 Prozent mit zusätzlichem Datenleak; laut Bitkom-Wirtschaftsschutzstudie 2025 wurden 87 Prozent aller deutschen Unternehmen in den letzten zwölf Monaten Opfer eines Angriffs, Gesamtschaden 289,2 Milliarden Euro.

Konkrete Größenordnung: Fast 9 von 10 deutschen Unternehmen wurden binnen eines Jahres angegriffen — und bei drei von vier Ransomware-Fällen wurden zusätzlich Daten gestohlen und veröffentlicht. Das untermauert sehr konkret, warum "zentral gespeicherte Daten = Risiko" keine abstrakte Behauptung ist.

66% der befragten Softwarehersteller sind laut dem Report nach wie vor nicht mit der Verordnung vertraut — ein Anstieg gegenüber dem Vorjahr, nicht ein Rückgang.

Bemerkenswert kontraintuitiv: Statt sich der näher rückenden Frist anzupassen, ist die Unkenntnis über den CRA sogar noch gestiegen. Das ist ein starker Beleg für das Masterplan-Argument, dass Meldepflichten zwar auf dem Papier gut klingen, in der Praxis aber riesige Umsetzungslücken haben können.

Stand März 2026 ist keine einzige CRA-spezifische benannte Stelle (notified body) notifiziert; nur rund 32% der deutschen Industrieunternehmen sind mit den CRA-Anforderungen vertraut, fast 40% haben bislang keine Vorbereitungen getroffen.

Strukturelles Problem, nicht nur mangelndes Unternehmensbewusstsein: Selbst die Behördeninfrastruktur (Prüfstellen, die Konformität offiziell bestätigen können) war zum Erfassungszeitpunkt noch gar nicht vollständig aufgebaut. Das zeigt, dass die Lücke nicht nur bei den Unternehmen liegt.