Cyber Resilience Act: Neue Anforderungen an Banken neben DORA

Die Verordnung ist bereits in Kraft und wird stufenweise anwendbar. Kapitel IV über notifizierende Behörden und Konformitätsbewertungsstellen gilt seit dem 11. Juni 2026. Ab dem 11. September 2026 greifen die Meldepflichten nach Artikel 14. Die übrigen Anforderungen gelten generell ab dem 11. Dezember 2027. Besonders relevant ist, dass die Meldepflichten nach Artikel 14 auch Produkte erfassen, die bereits vor diesem Zeitpunkt in Verkehr gebracht wurden. Angesichts immer komplexerer Produkte, langer Entwicklungszyklen und teilweise tief gestaffelter Lieferketten ist daher eine frühzeitige Vorbereitung erforderlich.

DORA und der Cyber Resilience Act verfolgen unterschiedliche, aber inhaltlich eng miteinander verbundene Ansätze. Während DORA die Verfahren und Prozesse für die digitale operationale Resilienz von Finanzunternehmen regelt, setzt der CRA auf der Produktebene an und verpflichtet Hersteller, Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus hinweg cybersicher zu gestalten.

Für Banken bedeutet das: CRA-Konformität ergänzt DORA, ersetzt sie aber nicht. Auch bei CRA-konformen und CE-gekennzeichneten Produkten müssen Institute weiterhin unter anderem Anbieter- und Drittparteienrisiken, vertragliche Regelungen, Konzentrationsrisiken, Exit-Strategien und die laufende Überwachung nach DORA eigenständig bewerten.

Besonders relevant sind die Schnittstellen im Meldewesen. Wird nach dem CRA eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall gemeldet, muss die Bank zusätzlich prüfen, ob ein meldepflichtiger IKT-bezogener Vorfall nach DORA vorliegt. Die CRA-Meldung des Herstellers ersetzt die DORA-Meldepflicht des Finanzunternehmens nicht. Daher sollten die engen CRA-Meldefristen und Eskalationswege in bestehende DORA-Prozesse integriert werden.

Für Hersteller enthält der Cyber Resilience Act Anforderungen, die über den organisationsbezogenen DORA-Rahmen hinausgehen. Zu den wesentlichen Pflichten gehören:

• sichere Konzeption und Entwicklung, dokumentierte Cyberrisikobewertungen sowie angemessene Schutzmaßnahmen bereits bei Auslieferung,

• ein Schwachstellenmanagement, einschließlich Sicherheitsprüfungen, koordinierter Offenlegung, sicherer Updates und der Berücksichtigung von Drittkomponenten sowie Open-Source-Software,

• technische Dokumentation, Software-Stückliste, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung.

Die Sicherheitsverantwortung endet nicht mit dem Inverkehrbringen. Hersteller müssen Schwachstellen während des festgelegten Unterstützungszeitraums wirksam behandeln und Sicherheitsaktualisierungen grundsätzlich unentgeltlich bereitstellen. Der Unterstützungszeitraum beträgt regelmäßig mindestens fünf Jahre, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist.

Banken fallen nicht allein aufgrund ihrer Tätigkeit als Finanzunternehmen unter den Cyber Resilience Act. Relevant wird der CRA insbesondere, wenn Institute digitale Produkte selbst entwickeln, entwickeln lassen, unter eigenem Namen vermarkten, importieren, vertreiben oder wesentlich verändern. Dies kann etwa Banking-Apps, Authentifizierungsanwendungen, Sicherheitstoken oder Kartenlesegeräte betreffen. Bei Apps sind gegebenenfalls auch notwendige Backend-Funktionen einzubeziehen.

Viele Institute stehen deshalb vor der Frage, ob und in welcher Rolle sie überhaupt unmittelbar vom CRA betroffen sind. Eine pauschale Antwort greift zu kurz, da die Einordnung von den angebotenen Produkten, Entwicklungsmodellen, Vertriebswegen und konzerninternen Verantwortlichkeiten abhängt. Für eine erste Bewertung sind insbesondere drei Fragen entscheidend:

• Ist unser Institut vom Cyber Resilience Act direkt betroffen und wenn ja, in welcher Rolle? 
• Welche eigenen Anwendungen, Banking-Apps oder sonstigen digitalen Lösungen sind als Produkte mit digitalen Elementen zu bewerten? 

• Welche zusätzlichen Maßnahmen sind neben den bestehenden DORA-Strukturen konkret umzusetzen? 

   

Severn stellt hierzu in Kürze einen CRA-Quick-Check bereit. Die strukturierte Vorab-Analyse unterstützt Institute dabei, ihre Betroffenheit und mögliche Rolle als Hersteller, Einführer oder Händler frühzeitig einzuordnen.

Darauf aufbauend folgt ein praxisorientierter CRA-Anforderungskatalog, der die regulatorischen Vorgaben in konkrete Handlungsfelder übersetzt und die Frage beantwortet: Was ist für unser Institut tatsächlich zu tun?

Ergänzend zeigt ein Abgleich zwischen CRA und DORA, welche Anforderungen bereits durch DORA adressiert werden und welcher zusätzliche Handlungsbedarf durch den CRA entsteht. Dabei werden insbesondere die Prozessperspektive von DORA und die Produktperspektive des CRA sowie wesentliche Überschneidungen und Unterschiede betrachtet.

In einem weiteren Beitrag zeigen wir, wie diese drei Bausteine zusammenspielen und sich daraus ein belastbarer Umsetzungsfahrplan ableiten lässt. Bis dahin gilt: Nicht jede Bank ist automatisch nach dem CRA verpflichtet, aber jedes Institut sollte seine Rolle rechtzeitig und strukturiert prüfen.

Wir unterstützen Banken dabei, ihre CRA-Rolle einzuordnen, Schnittstellen zu DORA zu bewerten und bestehende Prozesse gezielt, um die produktbezogenen Anforderungen zu ergänzen.

Angesichts der kurzen verbleibenden Umsetzungsfrist sprechen Sie uns bitte gerne auch persönlich an, wenn Sie den konkreten Handlungsbedarf Ihres Instituts bestimmen und die Umsetzung frühzeitig und prüfungsfest vorbereiten möchten.