Cyber Resilience Act: Anforderungen, Risiken und Umsetzungspraxis. Interview mit Florian Jörgens von Vorwerk

Business Circle: Sehr geehrter Herr Jörgens, in Ihrem letzten Beitrag haben Sie betont, dass Unternehmen stärker proaktiv in Cyber-Sicherheit investieren müssen, anstatt erst nach einem Vorfall zu reagieren. Mit NIS2, dem Cyber Resilience Act und weiteren EU-Vorgaben kommen zahlreiche neue Regulierungen hinzu. Werden Unternehmen sicherer oder gehen einfach nur immer mehr Ressourcen für regulatorische Vorgaben drauf?

Florian Jörgens: Beides ist möglich. Regulierung kann ein wirkungsvoller Katalysator für mehr Cyber-Sicherheit sein, weil sie Verbindlichkeit schafft, Verantwortlichkeiten bis auf die Leitungsebene hebt und Investitionen erleichtert. Themen wie Risikomanagement, Lieferkettensicherheit, Incident Response oder Schwachstellenmanagement sind keine regulatorischen Selbstzwecke, sondern erhöhen die Widerstandsfähigkeit eines Unternehmens. Problematisch wird es, wenn Unternehmen die Vorgaben primär als Dokumentations- und Auditaufgabe behandeln. Dann entstehen zwar Richtlinien, Kontrollkataloge und umfangreiche Nachweise, ohne dass sich die tatsächliche Sicherheit entsprechend verbessert. Entscheidend ist deshalb, regulatorische Anforderungen nicht in voneinander getrennten Projekten umzusetzen. NIS2, CRA und weitere Vorgaben weisen in vielen Bereichen erhebliche Überschneidungen auf. Unternehmen sollten daraus ein gemeinsames, risikobasiertes Steuerungsmodell entwickeln. Wenn das gelingt, führen regulatorische Investitionen zu einer messbaren Verbesserung der Cyber-Resilienz und nicht nur zu Compliance.

BC: Der Cyber Resilience Act verfolgt das Ziel, Security-by-Design über den gesamten Produktlebenszyklus zu etablieren. Das klingt gut, aber wie realistisch ist diese Vorstellung in einem international tätigen Industrieunternehmen mit komplexen Lieferketten und tausenden Komponenten?

Jörgens: Das Ziel ist realistisch, aber nicht in dem Sinne, dass jedes Produkt und jede Komponente von heute auf morgen vollständig transparent und sicher sein werden. Gerade Industrieunternehmen verfügen über historisch gewachsene Produktlandschaften, lange Entwicklungszyklen, zahlreiche Varianten und internationale Lieferketten. Teilweise kommen Komponenten von Lieferanten, die selbst wiederum von weiteren Zulieferern abhängig sind. Security-by-Design muss deshalb als langfristiges Betriebsmodell verstanden werden.

Sicherheitsanforderungen müssen bereits bei der Produktidee und der Architektur berücksichtigt, während der Entwicklung überprüft und bis zum Ende des Supportzeitraums weiterverfolgt werden. Das setzt zunächst Transparenz voraus:

• Welche Produkte fallen in den Anwendungsbereich?

• Welche Software und Komponenten sind darin enthalten?

• Wer trägt die Verantwortung und wie lange soll das Produkt unterstützt werden?

Bei tausenden Komponenten ist zudem eine risikobasierte Priorisierung unverzichtbar. Nicht jede Komponente birgt dasselbe Risiko und benötigt dieselbe Prüftiefe. Entscheidend sind unter anderem ihre Funktion, Vernetzung, Angriffsfläche und Kritikalität. Der CRA wird daher nicht allein durch zusätzliche technische Kontrollen umgesetzt werden können, sondern erfordert Veränderungen in Entwicklungsmodellen, Lieferantenbeziehungen, Produktentscheidungen und letztlich auch in der Unternehmenskultur.

BC: Der CRA verlangt unter anderem Schwachstellenmanagement und Sicherheitsupdates über den gesamten Produktlebenszyklus. Wie lässt sich das in der Zusammenarbeit zwischen Entwicklung, IT, Legal, Einkauf und Compliance am besten abbilden?

Jörgens: Die Verantwortung darf nicht vollständig bei einer einzelnen Funktion und insbesondere nicht allein beim CISO liegen. Produktsicherheit ist eine unternehmensweite Aufgabe. Dafür braucht es ein klares Governance-Modell mit definierten Rollen, Entscheidungswegen und Eskalationsmechanismen. Die Entwicklung muss sichere Entwicklungsprozesse etablieren und Schwachstellen technisch bewerten und beheben können. Der Einkauf muss Sicherheitsanforderungen, Informationspflichten, Updatezusagen und Mitwirkungspflichten vertraglich in der Lieferkette verankern. Legal bewertet Haftungs-, Melde- und Vertragsfragen. Compliance sorgt für die systematische Einordnung der regulatorischen Pflichten. Die IT beziehungsweise Informationssicherheit stellt Methoden, Plattformen und Expertise für Erkennung, Bewertung und Reaktion bereit. In der Praxis empfiehlt sich ein zentral koordiniertes Product-Security- beziehungsweise Product-Security-Incident-Response-Team. Dort sollten Informationen über Schwachstellen zusammenlaufen, nach einem einheitlichen Verfahren bewertet und mit klaren Fristen bearbeitet werden. Wichtig ist außerdem ein durchgängiger Informationsfluss also von der Entdeckung einer Schwachstelle über die technische Bewertung und eine mögliche Meldung bis zur Entwicklung, Verteilung und Kommunikation eines Updates. Andernfalls führen selbst sehr gute Einzellösungen der Fachbereiche nicht zum gewünschten Ergebnis.

BC: Künstliche Intelligenz verändert die Cyber-Sicherheit. Wird KI den Verteidigern langfristig einen Vorsprung verschaffen oder verschiebt sie das Kräfteverhältnis eher zugunsten der Hacker?

Jörgens: Kurzfristig sehe ich einen Vorteil auf Seiten der Angreifer, da sie KI schnell und ohne Rücksicht auf regulatorische Vorgaben, Qualitätsstandards oder etablierte Freigabeprozesse einsetzen können. Dadurch lassen sich beispielsweise Phishing-Angriffe skalieren, Schadsoftware schneller anpassen und Angriffe stärker personalisieren. Langfristig wird es jedoch weiterhin ein Katz-und-Maus-Spiel bleiben. Einen dauerhaften Vorsprung wird KI keiner Seite garantieren. Vielmehr erleben wir ein technologisches Wettrüsten, bei dem sich Angriffs- und Verteidigungsmethoden kontinuierlich weiterentwickeln. Der entscheidende Punkt ist nicht die leistungsfähigere KI, sondern wie man damit umgeht und sie wirksam in belastbare Prozesse und Strukturen integriert.

Regulatorische Verantwortlichkeit und operative Handlungsmöglichkeiten passen nicht immer zusammen

BC: Sie wurden für Ihre Arbeit als CISO mehrfach ausgezeichnet und beschäftigen sich seit Jahren wissenschaftlich mit Informationssicherheit. Wo beobachten Sie derzeit die größte Lücke zwischen regulatorischer Theorie und betrieblicher Realität?

Jörgens: Die größte Lücke sehe ich zwischen dem regulatorischen Anspruch einer durchgängigen Steuerbarkeit und der tatsächlichen Transparenz in Unternehmen. Regulatorische Vorgaben setzen häufig voraus, dass Organisationen ihre Produkte, Komponenten, Abhängigkeiten, Lieferanten und Verantwortlichkeiten vollständig kennen. In der Praxis sind diese Informationen jedoch oft über unterschiedliche Systeme und Fachbereiche verteilt, unvollständig oder nicht aktuell. Besonders sichtbar wird das beim Produkt- und Schwachstellenmanagement. Eine Schwachstelle technisch zu identifizieren ist nur der erste Schritt. Danach muss geklärt werden, welche Produkte und Versionen betroffen sind, welche Kunden informiert werden müssen, wer ein Update entwickelt, wie es sicher verteilt werden kann und welche regulatorischen Meldepflichten bestehen. Bei älteren Produkten und langen industriellen Lebenszyklen wird dies zusätzlich durch veraltete Technologien und begrenzte Updatefähigkeit erschwert. Hinzu kommt, dass regulatorische Verantwortlichkeit und operative Handlungsmöglichkeiten nicht immer zusammenpassen. Einer Funktion wird formal Verantwortung zugewiesen, sie verfügt aber möglicherweise nicht über die erforderlichen Daten, Budgets oder Entscheidungsrechte. Regulierung beschreibt häufig sehr klar, was erreicht werden soll. Die eigentliche Herausforderung liegt jedoch im Wie: in der Übersetzung in Prozesse, Systeme, Rollen und tägliche Entscheidungen.

BC: Auch aus Ihrer Perspektive als Hochschuldozent: Wenn Sie einem neu bestellten CISO oder Head of Information Security in einem Industrieunternehmen drei erste Schritte für die Vorbereitung auf den Cyber Resilience Act nennen müssten, welche wären das?

Jörgens: Das wären diese:

1. Transparenz herstellen. Dazu gehören eine strukturierte Bestandsaufnahme des Produktportfolios, eine belastbare Bewertung des CRA-Anwendungsbereichs sowie die Identifikation relevanter Komponenten, Abhängigkeiten und Supportzeiträume. Ohne zu wissen, welche Produkte betroffen sind und welche Bestandteile sie enthalten, ist keine seriöse Vorbereitung möglich.

2. Organisationsweite Gap-Analyse mit klarer Governance. Dabei sollten nicht nur technische Kontrollen betrachtet werden, sondern der vollständige Produktlebenszyklus von Produktstrategie, Entwicklung und Beschaffung bis zu Betrieb, Schwachstellenmanagement und End-of-Support. Anschließend müssen Rollen und Verantwortlichkeiten zwischen Entwicklung, Product Security, Cyber-Security, Einkauf, Legal und Compliance verbindlich festgelegt werden.

3. Operativen Kernprozesse etablieren und erproben. Dazu zählen insbesondere Secure Development, die kontinuierliche Behandlung von Schwachstellen, koordinierte Offenlegung, regulatorische Meldungen, Patch- und Updateprozesse sowie die Kommunikation mit Kunden und Behörden. Diese Abläufe sollten nicht nur dokumentiert, sondern anhand realistischer Szenarien getestet werden.

BC: Zum Schluss etwas Persönliches: Wir gehen jetzt schon lange ein Stück gemeinsamen Weges. Was motiviert Sie, Ihr Wissen immer wieder weiterzugeben und worauf freuen Sie sich bei der PriSec besonders?

Jörgens: Ich bin ein großer Fan von Austausch und Netzwerken. Besonders gerne verbinde ich Menschen, die vor einer Herausforderung stehen, mit Menschen, die bereits eine Lösung oder wertvolle Erfahrungen haben. Gerade die Cyber-Sicherheit lebt vom Austausch, denn Bedrohungen, Technologien und regulatorische Anforderungen entwickeln sich zu schnell für isolierte Lösungen. Auch als Hochschuldozent erlebe ich, wie sehr gute Fragen und unterschiedliche Perspektiven das eigene Denken bereichern. Mit der PriSec verbindet mich inzwischen ein längerer gemeinsamer Weg. Ich freue mich deshalb besonders auf die persönlichen Begegnungen und offenen Diskussionen. Die Verbindung von Datenschutz, Recht, Compliance und Cyber-Sicherheit steht für genau das, was Unternehmen heute brauchen, nämlich weniger Silodenken und mehr gemeinsame, praxistaugliche Lösungen.

BC: Lieber Herr Jörgens, vielen Dank für das tolle Feedback und das offene und praxisnahe Gespräch. Wir freuen uns sehr, Sie bald wieder bei der PriSec begrüßen zu dürfen.

‍