Mit dem Cyber Resilience Act schafft die Europäische Union erstmals verbindliche Sicherheitsanforderungen für digitale Produkte. Für Wohnungsunternehmen bedeutet dies weit mehr als neue Vorgaben für Hersteller: Cybersicherheit entwickelt sich zu einem festen Bestandteil der Betreiberverantwortung.
Das Gebäude ist längst Teil des Internets
Noch vor wenigen Jahren arbeiteten die meisten technischen Anlagen eines Wohngebäudes weitgehend autark. Heute kommunizieren Wärmepumpen, Gebäudeleittechnik, Aufzüge, Smart Meter, Zutrittskontrollen und weitere Systeme über Netzwerke und Cloud-Dienste. Diese Entwicklung erhöht Effizienz, Komfort und Transparenz – sie vergrößert aber zugleich die digitale Angriffsfläche.
Wo früher vor allem mechanische oder elektrische Defekte drohten, können heute ungepatchte Software, kompromittierte Fernwartungszugänge oder unsichere Schnittstellen den Betrieb technischer Anlagen beeinträchtigen. Gebäude entwickeln sich damit zu cyber-physischen Systemen, deren Sicherheit nicht mehr allein von baulichen oder technischen Maßnahmen abhängt, sondern zunehmend auch von ihrer digitalen Widerstandsfähigkeit.
Warum Europa handelt
Mit dem Cyber Resilience Act (Verordnung (EU) 2024/2847) verfolgt die Europäische Union das Ziel, die Cybersicherheit digitaler Produkte bereits während ihrer Entwicklung zu stärken. Hersteller müssen Risiken bewerten, Sicherheitsfunktionen berücksichtigen, Schwachstellen behandeln und während eines definierten Zeitraums Sicherheitsupdates bereitstellen. Bestimmte Meldepflichten gelten bereits ab dem 11. September 2026, die wesentlichen Anforderungen werden ab dem 11. Dezember 2027 anwendbar.
Die Verordnung richtet sich primär an Hersteller, Importeure und Händler. Dennoch wird sie die Wohnungswirtschaft nachhaltig verändern, weil Beschaffung, Planung und Betrieb digitaler Gebäudetechnik künftig stärker an nachweisbaren Sicherheitsmerkmalen ausgerichtet werden.
Vom Produkt zum System
Ein modernes Gebäude besteht nicht mehr aus voneinander unabhängigen Anlagen. Gebäudeautomation verbindet Heizungs- und Lüftungstechnik, Photovoltaik, Batteriespeicher, Ladeinfrastruktur, Aufzüge, Zutrittskontrolle und weitere Gewerke zu einem vernetzten Gesamtsystem. Dadurch entstehen neue Abhängigkeiten: Eine kompromittierte Komponente kann Auswirkungen auf weitere Systeme haben.
Deshalb reicht es künftig nicht mehr aus, einzelne Produkte isoliert zu bewerten. Entscheidend wird die Sicherheit der gesamten Systemarchitektur. Der CRA stärkt die Sicherheit auf Produktebene; die Verantwortung für Planung, Integration und sicheren Betrieb bleibt jedoch bei den beteiligten Akteuren.
Betreiberverantwortung bekommt eine digitale Dimension
Der CRA begründet keine allgemeine Betreiberhaftung für Cyberangriffe. Gleichwohl steigen die Erwartungen an professionelle Betreiber. Schon bei der Beschaffung sollten Fragen nach Supportlaufzeiten, Sicherheitsupdates, Authentifizierung, Verschlüsselung und Schwachstellenmanagement selbstverständlich werden.
Cybersicherheit entwickelt sich damit zu einem festen Bestandteil des technischen Risikomanagements – vergleichbar mit Wartung, Prüfung und Dokumentation im Brandschutz.
Cybersicherheit und Brandschutz wachsen zusammen
Brandschutzanlagen sind heute häufig digital vernetzt. Brandmeldeanlagen, ferninspizierbare Rauchwarnmelder, Sprachalarmierung oder sicherheitsrelevante Gebäudeautomation nutzen IP-basierte Kommunikation und Fernwartung. Damit entstehen neue Risiken, die zusätzlich zu den klassischen brandschutztechnischen Anforderungen berücksichtigt werden müssen.
Der CRA ersetzt bestehende Normen und Zulassungen sicherheitsrelevanter Anlagen nicht. Er ergänzt sie dort, wo digitale Produkte in seinen Anwendungsbereich fallen, um verbindliche Anforderungen an ihre Cyberresilienz.
Beschaffung wird strategisch
Leistungsverzeichnisse sollten künftig neben technischen Leistungsdaten auch Anforderungen an Updatefähigkeit, Supportdauer, sichere Fernwartung, Dokumentation und Schwachstellenmanagement enthalten. Ebenso wichtig ist eine vollständige Dokumentation installierter Hard- und Softwareversionen, um Risiken bewerten und Updates nachvollziehbar steuern zu können.
Was jetzt zu tun ist
Wohnungsunternehmen sollten die Übergangszeit bis 2027 aktiv nutzen. Ein vollständiges Verzeichnis aller digital vernetzten Anlagen bildet die Grundlage jeder Cyberstrategie. Darauf aufbauend sollten Ausschreibungen, Wartungsverträge und interne Prozesse überprüft sowie IT und technisches Gebäudemanagement enger verzahnt werden. Schulungen der Mitarbeitenden runden den organisatorischen Ansatz ab.
