Für Schweizer Industrieunternehmen entsteht damit unmittelbarer Handlungsbedarf, wobei insbesondere kleine und mittlere Unternehmen umfangreiche Anforderungen mit begrenzten Ressourcen umsetzen müssen. Die Arbeit untersucht am Beispiel eines Schweizer Herstellers von Motion-Control-Komponenten, wie Unternehmen die CRA-Anforderungen systematisch analysieren und in konkrete Schritte überführen können.

Als Ergebnis wurde ein vierstufiges, übertragbares Vorgehensmodell erarbeitet. Den Ausgangspunkt bildet eine Bestandsaufnahme aller Produkte mit digitalen Elementen samt Klassifizierung. Es folgt eine Gap-Analyse, die den tatsächlichen Stand der Produkte den Anforderungen gegenüberstellt. Die identifizierten Lücken werden anschliessend in einen priorisierten Massnahmenplan überführt und über eine Nachvollziehbarkeitsmatrix mit den zugrunde liegenden Anforderungen verknüpft. Der vierte Schritt betrifft die dauerhafte Verankerung, denn CRA-Compliance ist keine einmalige Projektaufgabe.

Zentral im Kontext des CRA ist bei der Klassifizierung der Produkte das Kernfunktionsprinzip. Massgeblich für die Einstufung ist nicht der Vernetzungsgrad oder das Schadenspotenzial eines Produkts, sondern ausschliesslich seine Kernfunktion. Diese in der Praxis häufig missverstandene Unterscheidung entscheidet darüber, ob die Konformität durch eine interne Selbstbewertung nachgewiesen werden kann oder eine externe Prüfstelle erforderlich ist. Bewährt hat sich ein dreistufiges Bewertungsvorgehen, das zwischen der Existenz einer Vorgabe, deren Ausgestaltung und deren tatsächlicher Wirksamkeit unterscheidet. Als wirksamstes Priorisierungskriterium erwiesen sich die regulatorischen Fristen. Besonders dringlich sind die Meldepflichten bei Sicherheitsvorfällen und der Aufbau eines Schwachstellenmanagements, da beide unabhängig von der Produktkategorie gelten. Zentral ist zudem die technische Dokumentation, die bei einer Selbstbewertung den einzigen belastbaren Konformitätsnachweis darstellt. Der CRA markiert einen Wendepunkt: Cybersicherheit ist nicht länger optional, sondern Voraussetzung für den Marktzugang.