Mit dem Cyber Resilience Act (CRA) setzt die Europäische Union erstmals einen klaren Rahmen für die Cybersicherheit von Produkten mit digitalen Elementen. Ziel ist es, diese Produkte über ihren gesamten Lebenszyklus hinweg sicherer zu machen – von der Entwicklung bis zum Betrieb.
Was auf den ersten Blick wie ein klassisches Herstellerthema wirkt, hat in der Praxis eine deutlich größere Tragweite. Gerade in der Gebäudeautomation betrifft der CRA nicht nur neue Produkte, sondern verändert auch den Blick auf bestehende Anlagen und deren Zukunftsfähigkeit.
Für Systemintegratoren bedeutet das: Die Anforderungen verschieben sich – weg von rein funktionalen Systemen hin zu langfristig sicheren und betreibbaren Lösungen.
Was hinter dem CRA steckt
Der Cyber Resilience Act definiert verbindliche Anforderungen an die Cybersicherheit von Produkten, die digitale Funktionen enthalten. Dazu gehören unter anderem Verpflichtungen zur Bereitstellung von Sicherheitsupdates, ein strukturierter Umgang mit Schwachstellen sowie klare Prozesse im Falle von Sicherheitsvorfällen.
Die Einführung erfolgt schrittweise. Erste Verpflichtungen greifen ab September 2026, während die vollständigen Anforderungen ab Dezember 2027 gelten. Auch wenn sich die Verordnung primär auf neu in Verkehr gebrachte Produkte bezieht, entsteht bereits heute Handlungsbedarf.
Der Grund dafür liegt weniger in der Regulierung selbst, sondern in deren Auswirkungen auf bestehende Systeme.
Warum die Gebäudeautomation besonders betroffen ist
Moderne Gebäudeautomation ist heute hochgradig vernetzt. DDC Controller, Gateways, Visualisierungssysteme und Feldgeräte kommunizieren miteinander und sind häufig auch mit übergeordneten Systemen oder Remote-Zugängen verbunden.
Das Problem: Viele dieser Systeme wurden zu einer Zeit geplant und installiert, in der Cybersecurity noch keine zentrale Rolle spielte.
Gleichzeitig haben Gebäudeautomationssysteme sehr lange Lebenszyklen. Anlagen, die heute noch problemlos laufen, wurden oft vor zehn oder fünfzehn Jahren konzipiert. Genau hier entsteht die Lücke zwischen damaligen Anforderungen und heutigen Erwartungen.
Der CRA macht diese Lücke sichtbarer – und relevanter.
Bestandsanlagen: formal nicht betroffen, praktisch schon
Rein rechtlich müssen bestehende Anlagen nicht automatisch angepasst werden. Trotzdem zeigt sich in der Praxis ein klarer Trend: Der Druck auf Bestandsanlagen steigt.
Das passiert schleichend. Ersatzteile werden schwerer verfügbar, Support für ältere Komponenten läuft aus und die Integration neuer Systeme wird zunehmend komplex. Gleichzeitig steigen die Anforderungen von IT-Abteilungen, Kunden oder auch Versicherungen in Bezug auf Sicherheit und Nachvollziehbarkeit.
Das Ergebnis: Systeme funktionieren weiterhin – werden aber im Betrieb und in der Wartung immer anspruchsvoller.
„Die Anlage läuft doch noch“ – warum das zu kurz greift
Diese Aussage hört man häufig. Und sie stimmt zunächst auch.
Das eigentliche Problem liegt jedoch nicht im aktuellen Betrieb, sondern in der Frage, wie sich ein System über die nächsten Jahre hinweg entwickeln wird.
Typisch ist ein schleichender Prozess. Updates werden seltener oder entfallen komplett, Wissen über ältere Systeme geht verloren und notwendige Anpassungen werden immer aufwendiger. Nichts davon passiert plötzlich, aber alles zusammen führt zu einer Situation, in der Systeme zwar noch laufen, aber immer schwieriger zu beherrschen sind.
Genau hier setzt der CRA indirekt an, indem Themen wie Updatefähigkeit, sichere Kommunikation und Lifecycle-Management stärker in den Fokus rücken.
Die zentrale Frage verändert sich dadurch:
Nicht mehr „Funktioniert das System heute?“ sondern
„Bleibt es in Zukunft beherrschbar und sicher?“
Die Rolle der Systemintegratoren verändert sich
Mit dieser Entwicklung verändert sich auch die Erwartungshaltung gegenüber Systemintegratoren.
Kunden suchen zunehmend Orientierung. Sie wollen wissen, ob ihre Systeme noch zukunftssicher sind, welche Risiken bestehen und wie eine sinnvolle Weiterentwicklung aussehen kann.
Das verschiebt die Rolle des Integrators. Neben der technischen Umsetzung gewinnt die Beratung an Bedeutung. Es geht darum, Zusammenhänge zu erklären, Optionen aufzuzeigen und gemeinsam mit dem Kunden einen langfristigen Weg zu definieren.
Genau hier entsteht echter Mehrwert.
Controls Retrofit als Brücke in die Zukunft
Eine der naheliegendsten Antworten auf diese Entwicklung ist das Controls Retrofit – also die gezielte Modernisierung von DDC Controllern und angrenzenden Systemkomponenten.
Dabei geht es nicht um einen radikalen Austausch, sondern um einen strukturierten Ansatz. Bestehende Systeme werden analysiert, kritische Komponenten identifiziert und schrittweise ersetzt oder modernisiert.
Der große Vorteil liegt in der Planbarkeit. Statt auf Ausfälle oder äußeren Druck reagieren zu müssen, können Maßnahmen gezielt vorbereitet und umgesetzt werden. Gleichzeitig verbessert sich die Wartbarkeit, die Integration wird einfacher und die Grundlage für zukünftige Anforderungen wird geschaffen.
Warum sich frühes Handeln auszahlt
Wer zu lange wartet, verliert Handlungsspielraum. Entscheidungen müssen dann unter Zeitdruck getroffen werden, oft verbunden mit höheren Kosten und begrenzten Optionen.
Ein frühzeitiger Blick auf die eigene Systemlandschaft schafft dagegen Klarheit. Er ermöglicht es, Prioritäten zu setzen, Budgets zu planen und Modernisierung sinnvoll zu strukturieren.
Der CRA ist dabei kein Auslöser für sofortiges Handeln, sondern eher ein Anlass, sich rechtzeitig mit dem Thema auseinanderzusetzen.
Ein sinnvoller Einstieg: die eigene Anlage verstehen
Der erste Schritt ist meist einfacher als gedacht. Eine strukturierte Bestandsaufnahme zeigt schnell, wo man steht. Welche DDC Controller sind im Einsatz? Wie sieht der aktuelle Softwarestand aus? Gibt es noch regelmäßige Updates? Und wie klar ist eigentlich die Ersatzteilstrategie?
Schon diese Fragen liefern häufig wertvolle Erkenntnisse. Auf dieser Basis lässt sich ableiten, ob und in welchem Umfang Handlungsbedarf besteht.
Fazit: Der CRA als Impuls für bessere Systeme
Der Cyber Resilience Act ist mehr als nur eine regulatorische Vorgabe. Er steht für einen grundlegenden Wandel im Umgang mit digitalen Systemen.
In der Gebäudeautomation bedeutet das vor allem eines:
Langfristige Sicherheit, Wartbarkeit und Planbarkeit rücken stärker in den Fokus.
Für Systemintegratoren eröffnet sich damit die Chance, ihre Rolle weiterzuentwickeln – hin zu einem Partner, der nicht nur Systeme betreibt, sondern deren Zukunft aktiv gestaltet.
Am Ende geht es nicht nur um Compliance.
Es geht darum, Systeme so aufzustellen, dass sie auch morgen noch zuverlässig funktionieren.
