Die CRA-Panik ist real: Warum manche Teams gelassen bleiben — und andere das Gefühl haben zu ertrinken
„Die CRA-Panik ist real: Warum manche Teams gelassen bleiben — und andere das Gefühl haben zu ertrinken"
Der Moment, in dem allen klar wird, dass sie nicht bereit sind
Es gibt eine ganz bestimmte Art von Stille, die ein Team erfasst, wenn jemand fragt: „Also… wo fangen wir überhaupt an?" Genau das ist die Stimmung, die frühe Gespräche über den Cyber Resilience Act umgibt. Keine Panik im lauten, chaotischen Sinn – sondern eine leisere, beunruhigendere Erkenntnis, dass die Uhr bereits läuft und niemand die Landkarte besitzt.
Jemand brachte es unverblümt auf den Punkt: „Wir haben eine offizielle Zeitleiste gestartet… aber niemand weiß eigentlich, wo man anfangen soll." Diese Aussage trifft, weil es nicht um Faulheit oder Unfähigkeit geht. Es geht um Mehrdeutigkeit. Der Scope fühlt sich unscharf an. Die Anforderungen wirken verstreut. Und Ownership? Das ist das eigentliche Gespenst im Raum. Jeder geht davon aus, dass jemand anderes sich darum kümmert.
Erst der Scope, sonst ist man schon verloren
Erstaunlich viele Teams hängen nicht an Sicherheitskontrollen fest – sie hängen schon davor fest. Die erste Mauer ist existenziell: Betrifft uns das überhaupt? Eine Stimme brachte es perfekt auf den Punkt: „Der schwierigste Teil war mit Abstand Scope und Ownership."
Das klingt einfach, bis man tiefer eintaucht. Was zählt als „Produkt"? Welche der 22 Anforderungen sind wirklich relevant? Und wer entscheidet das? Das sind keine technischen Fragen – das sind organisatorische. Ein anderer Kommentar brach es auf eine Überlebenstaktik herunter: „Sind wir überhaupt im Scope?" von „Was müssen wir umsetzen?" trennen.
Allein diese Verschiebung scheint Fortschritt freizuschalten. Ohne sie geraten Teams in verfrühte Compliance-Arbeit oder, schlimmer, in Analyse-Lähmung. Es ist, als würde man versuchen, ein Haus zu renovieren, bevor man bestätigt hat, dass man es überhaupt besitzt.
Die versteckten Kosten: Beweisen, nicht Bauen
Hier wird es unangenehm. Beim CRA geht es nicht wirklich darum, sichere Systeme zu bauen – das tun die meisten Teams zumindest in gewissem Maße bereits. Es geht darum, es zu beweisen. Immer wieder.
Eine Sichtweise bringt es auf den Punkt: „Es sind nicht die Kontrollen, die wehtun… es ist die Tatsache, dass der CRA voraussetzt, dass bereits jemand produktübergreifende Verantwortlichkeit, Evidence-Kontinuität und Lifecycle-Denken besitzt."
Das ist die Trennlinie. Teams, die auf Shipping optimiert sind, müssen plötzlich auf Dokumentation, Rückverfolgbarkeit und Auditierbarkeit optimieren. Und das sind sehr unterschiedliche Muskeln. Eine andere Stimme formulierte es noch schärfer: „Beim CRA geht es im Kern darum, wiederholt, über Zeit hinweg, zu beweisen."
Für Unternehmen ohne diese Struktur ist die Arbeit nicht additiv – sie ist rekonstruktiv. Man fügt nicht nur Compliance hinzu; man baut neu auf, wie Entscheidungen nachverfolgt, begründet und überprüft werden.
Große Unternehmen zucken mit den Schultern, kleine Teams schwitzen
Nicht jeder reagiert gleich, und dieser Kontrast ist auffällig. Manche Teams behandeln den CRA wie eine Routinekontrolle. Andere sehen ihn als existenzielle Bedrohung.
Ein Kommentar hielt sich nicht zurück: „Dafür bezahlen wir große Summen an eine der Big Four… damit die das in schicke Folien packen." Da schwingt etwas Sarkasmus mit, aber auch Wahrheit. Große Organisationen haben bereits Governance-Ebenen, Audit-Prozesse und Budgets, um das Chaos abzufedern.
Kleinere Teams? Eine andere Geschichte. Eine erfahrene Stimme erklärte, dass Audit-Kosten und Unsicherheit sie am härtesten treffen, besonders wenn die Margen knapp sind. Das Ergebnis ist ein brutaler Kompromiss: „Man hat begrenzte Ressourcen… Auditoren stellen sicher, dass man die Häkchen gesetzt hat, aber die Fähigkeit, echte Risiken tatsächlich zu priorisieren, wird eingeschränkt."
Das ist das Paradox. Eine Regulierung, die Sicherheit verbessern soll, könnte Teams in manchen Fällen eher zu Compliance-Theater treiben als zu sinnvollem Schutz.
Die Lücke der „langweiligen Verantwortung"
Darunter zieht sich ein wiederkehrendes Thema: Reife. Nicht im technischen Sinne, sondern in operativer Disziplin.
Eine der bodenständigsten Einschätzungen bringt es auf den Punkt: „Die eigentliche Trennlinie… ist, ob ein Unternehmen bereits weiß, wie man ‚langweilige Verantwortung' im großen Maßstab operationalisiert."
Diese Formulierung bleibt haften. Langweilige Verantwortung ist nicht glamourös. Es sind Ownership-Charts, Evidence-Trails, Versionshistorien und Audit-Vorbereitung, die Monate beginnt, bevor jemand danach fragt. Teams, die schon so leben, zucken beim CRA kaum zusammen. Für sie ist es Bestätigungsarbeit.
Für alle anderen fühlt es sich an, als würde man gebeten, rückwirkend Jahre von Entscheidungen zu belegen, die nie dokumentiert wurden. Und genau dort wird aus Stress etwas Schwereres.
Eine dritte Perspektive: Vielleicht ist es nicht nur schlecht
Inmitten der Frustration gibt es auch einen leiseren, optimistischeren Strang. Manche sehen diesen Moment als Zwangsmechanismus – einen Schub hin zu besseren Praktiken, die es ohnehin schon hätte geben sollen.
Es gibt auch einen Hinweis darauf, dass Tooling, selbst experimentelles, die Last erleichtern könnte. Ein Kommentar erwähnte das Potenzial von Automatisierung, Audit-Kosten zu senken, indem sie erste Entwürfe von Evidence generiert. Nicht perfekt, nicht endgültig, aber genug, um repetitiver Arbeit die Schärfe zu nehmen.
Andere bauen bereits leichtgewichtige Tools, nur um die erste Frage zu beantworten – den Scope –, weil selbst diese Klarheit Wochen an Verwirrung sparen kann.
Das ist keine Wunderwaffe, aber es deutet auf eine Verschiebung hin: Statt die Regulierung frontal zu bekämpfen, passen sich manche Teams still um sie herum an.
Warum fühlt es sich also für alle so unterschiedlich an?
Weil es das auch ist. Für manche ist der CRA eine Checkliste. Für andere ein Spiegel, der alles zeigt, was sie nie formalisiert haben.
Deshalb sagte jemand, es könne sich anfühlen wie „für manche Teams ein Nicht-Ereignis und für andere existenziell". Und das ist vielleicht die ehrlichste Zusammenfassung von allen.
Die Regulierung selbst ist nicht wahnsinnig komplex. Die eigentliche Herausforderung ist alles, was sie bereits voraussetzt: Ownership, Kontinuität, Verantwortlichkeit. Sind diese Bausteine vorhanden, validiert man nur. Sind sie es nicht, baut man unter Druck neu auf.
Und das ist der Teil, den einem am Anfang niemand wirklich sagt.