Cyber Resilience Act: 24-Stunden-Meldepflicht für Sicherheitslücken
Veröffentlicht am: 19.09.2026 um 03:00 Uhr | Redaktion boerse-global.de
Die Absicherung der Energieversorgung gegen digitale Angriffe hat sich zu einer zentralen Herausforderung für die nationale Sicherheit entwickelt. Ein bereits im Mai 2025 veröffentlichtes Positionspapier des Bundesamtes für Sicherheit in der Informationstechnik (BSI) verdeutlichte die Tragweite dieser Thematik.
BSI-Präsidentin Claudia Plattner bezeichnete eine großflächige Störung der Energieversorgung in Deutschland und Europa darin als ein Schreckensszenario. Das Amt forderte sektorspezifische, einheitliche Sicherheitsanforderungen, die alle Akteure – vom großen Netzbetreiber bis hin zu dezentralen Anlagen und kleineren Versorgern – gleichermaßen binden sollen.
Schwachstellen in der dezentralen Energieerzeugung
Aktuelle Untersuchungen untermauern die Notwendigkeit dieser Forderungen. Eine Analyse des Unternehmens NTC, über die im September 2026 berichtet wurde, legte erhebliche Sicherheitsmängel bei Komponenten für Photovoltaikanlagen offen.
Im Rahmen einer einjährigen Prüfung von elf Produkten verschiedener Hersteller, darunter sieben Wechselrichter und vier Energiemanagementsysteme, identifizierten die Experten über 50 Befunde. Sieben dieser Schwachstellen wurden als kritisch und sechs als hoch eingestuft.
In vier Fällen gelang es den Testern, die vollständige Kontrolle über die Geräte zu erlangen. Bei fast allen untersuchten Wechselrichtern war es möglich, die Leistungseinspeisung ohne vorherige Anmeldung bis auf null zu reduzieren.
Besonders kritisch wird die Abhängigkeit von Cloud-Systemen weniger Hersteller bewertet. Über solche zentralen Zugänge ließen sich potenziell tausende Anlagen gleichzeitig manipulieren. Als typische Risikomuster nannten die Prüfer schwache Passwörter, identische Zugänge für Wartungszwecke und eine unzureichende Verschlüsselung.
In der Schweiz etwa stammten Ende 2025 rund 80 Prozent der installierten Anlagen von nur vier Anbietern: Huawei, Fronius, Sungrow und Solaredge. Neun der weltweit zehn größten Hersteller von Wechselrichtern haben ihren Sitz in China. Raphael Reischuk, Gründer von NTC, warnte in diesem Zusammenhang vor der Gefahr eines erzwungenen Abschaltens großer Kapazitäten.
Wer die Sicherheit kritischer Infrastrukturen gewährleisten will, muss auch die rechtlichen Rahmenbedingungen der Digitalisierung im Blick behalten. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über die Anforderungen, Pflichten und Fristen der EU-KI-Verordnung. EU AI Act in 5 Schritten verstehen
Forderungen der Netzbetreiber und Energieunternehmen
Angesichts dieser Bedrohungslage mehren sich die Rufe aus der Wirtschaft nach stärkerer politischer Unterstützung. Der Übertragungsnetzbetreiber Tennet wies darauf hin, dass es in den vergangenen Monaten wiederholt zu Angriffen auf das deutsche Stromnetz gekommen sei. Kathrin Günther von Tennet forderte ein grundsätzliches Umdenken beim Schutz kritischer Infrastrukturen.
Auch Vattenfall-Deutschlandchef Robert Zurawski mahnte klare Zuständigkeiten und mehr Rückhalt durch die Politik an. Das Unternehmen entwickelt derzeit unter anderem das Offshore-Windprojekt Nordlicht in der Nordsee, das eine Gesamtleistung von über 1,6 Gigawatt erbringen soll. Seit Februar 2022 wird die Bedrohungslage für solche Infrastrukturen in Nord- und Ostsee als deutlich erhöht eingestuft.
Der regulatorische Rahmen und seine Grenzen
Die Gesetzgebung hat auf die veränderte Sicherheitslage reagiert. Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland in Kraft. Damit stieg die Zahl der vom BSI beaufsichtigten Einrichtungen von zuvor etwa 4.500 auf rund 29.500 an; Schätzungen unter Einbeziehung der Lieferketten gehen von bis zu 40.000 betroffenen Organisationen aus.
Seit dem 11. September 2026 gelten zudem verschärfte Meldepflichten für Schwachstellen gemäß dem Cyber Resilience Act (CRA). Unternehmen müssen erhebliche Vorfälle nun innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden in einem detaillierten Bericht an das BSI melden.
Trotz dieser Verschärfungen bestehen Regulierungslücken. Dies zeigte sich im August 2026 bei einem Ransomware-Angriff der Gruppe Rhysida auf die Berliner Landesverwaltung. Die Angreifer hatten über mehrere Tage Zugriff auf sensible Daten und veröffentlichten Anfang September 2026 nach Ablauf eines Ultimatums rund 1,44 Millionen Dateien im Darknet.
Da Landes- und Kommunalverwaltungen in Berlin nicht unter die NIS2-Regelungen fallen und kein spezifisches Landes-IT-Sicherheitsgesetz existiert, besteht für diese Stellen keine gesetzliche Pflicht zur Angriffserkennung.
Die zunehmende Vernetzung und neue Gesetzgebungen wie der Cyber Resilience Act stellen Unternehmen vor wachsende Herausforderungen beim Schutz ihrer Systeme. Erfahren Sie in diesem kostenlosen Report, welche rechtlichen Pflichten und Bedrohungen im Kontext neuer Technologien jetzt für Sie relevant sind. Jetzt kostenlosen Cyber-Security-Report herunterladen
Ressourcenmangel als strukturelles Risiko
Neben technischen und regulatorischen Hürden stellt der Fachkräftemangel ein erhebliches Risiko dar. Laut der im September 2026 veröffentlichten sechsten Ausgabe der Studie „Cybersicherheit in Zahlen“ von G DATA CyberDefense, Statista und brand eins sehen 76 Prozent der Sicherheitsverantwortlichen negative Auswirkungen des Personalmangels auf die IT-Sicherheit. 44 Prozent sprechen sogar von einer starken Beeinträchtigung.
Gleichzeitig steigen die wirtschaftlichen Schäden massiv an. Schätzungen zufolge könnten die Kosten der weltweiten Cyberkriminalität bis zum Jahr 2030 auf 16.9 Billionen Euro anwachsen. In Deutschland lag die Aufklärungsquote bei Cybercrime-Delikten im Jahr 2025 bei lediglich 31 Prozent.
Vor diesem Hintergrund gewinnen Managed Security Services an Bedeutung. Unternehmen wie telent oder die Partner Consistec und Ads-Tec bieten spezialisierte Lösungen für die Überwachung von Netzwerken und die Erkennung von Angriffen in Echtzeit an, um den steigenden gesetzlichen Anforderungen und der komplexen Bedrohungslage zu begegnen.
