"Der CRA legt zum ersten Mal klare Regeln für die Cybersicherheit in ganz Europa fest. Das ist wichtig, damit digitale Produkte sicherer werden. Aber wenn die Regeln zu streng ausgelegt werden, könnten viele Firmen damit überfordert sein", erklärt Dirk Binding, DIHK-Bereichsleiter Digitale Wirtschaft.

KMU besonders betroffen – DIHK fordert Verhältnismäßigkeit

Positiv bewertet die DIHK, dass die europäischen Vorgaben weitgehend ohne Ergänzungen in deutsches Recht umgesetzt werden sollen. Insbesondere vor dem Hintergrund, dass viele Unternehmen aktuell Anforderungen aus mehreren Digitalrechtsakten parallel erfüllen müssen, ist eine Begrenzung rechtlicher Vorgaben auf das Allernötigste sinnvoll, um nicht durch noch mehr Komplexität unnötig weitere Kapazitäten in den Unternehmen zu binden. 

"Viele Unternehmen haben keine Fachleute, die sich nur um solche Regeln kümmern. Neue Pflichten wie mehr Meldungen oder Dokumentationen können sie stark belasten. Deshalb müssen die Regeln so umgesetzt werden, dass sie im Alltag der Unternehmen wirklich umsetzbar sind. Sonst geraten viele kleine und mittlere Firmen in Schwierigkeiten", so Dirk Binding.

In der Einführungsphase sowie bei Erstverstößen muss deshalb besonders berücksichtigt werden, dass es zunächst um Umsetzung und Orientierung gehen muss. "Darum brauchen wir klare Prüfungen, ob Maßnahmen wirklich angemessen sind sowie Anhörungen der betroffenen Unternehmen, bevor es zu Strafen oder Eingriffen kommt", mahnt Binding.

Unterstützung und Leitfäden dringend notwendig

Die DIHK fordert umfassende Informations- und Unterstützungsangebote, vor allem für kleine und mittelständische Unternehmen. "Viele Firmen wissen noch nicht einmal, ob der CRA für sie gilt. Manche überlegen sogar wegen des erheblichen Mehraufwandes, Produkte vom Markt zu nehmen. Das zeigt: Ohne gute und frühzeitige Infos wird es für viele unnötig schwer. Deshalb brauchen wir klare Erklärungen und spezifische Leitfäden für jede Branche – spätestens sechs Monate, bevor die neuen Regeln gelten", sagt Dirk Binding.

Download

Die DIHK hat sich Ende März in einer Stellungnahme ausführlich zur Umsetzung der Cyberresilienz-Verordnung geäußert: 

DIHK-Stellungnahme zur Durchführungsverordnung CRA (PDF, 130 KB)