Cyber Resilience Act: was bedeutet die CRA für Immobilien?

Wie viele Geräte in einem modernen Büro sind eigentlich mit einem Netzwerk verbunden? Denken Sie an Zugangskontrolle, Kameras, Klimaanlagen, Sensoren, Ladesäulen, Beleuchtung, Aufzüge, Besprechungsräume, Router, WLAN und Gebäudeleitsysteme. Was früher einzelne Installationen waren, ist heute ein zusammenhängendes Ganzes aus Software, Daten und Verbindungen.

Wir machen Gebäude immer intelligenter. Damit entsteht eine neue Frage, die wenig mit Steinen oder Quadratmetern zu tun hat: Wie digital sicher sind all diese Systeme eigentlich? Und weiß jemand, welche digitalen Produkte genau Teil des Gebäudes sind?

Auf europäischer Ebene kommt hier eine neue Regelung hinzu: die Cyber Resilience Act, kurz CRA. Dieser Artikel erklärt, was dieses Gesetz beinhaltet und warum es, auch wenn es sich auf Produkte und nicht auf Gebäude richtet, immer relevanter für Immobilien wird. Es ist ausdrücklich keine Rechtsberatung und keine Behauptung, dass jedes Gebäude unter alle Verpflichtungen fällt.

Was ist die Cyber Resilience Act?

Die Cyber Resilience Act ist eine europäische Regelung für die Cybersicherheit von Hardware- und Softwareprodukten mit digitalen Elementen. Der Grundgedanke ist einfach: Digitale Produkte müssen nicht nur funktionieren, sondern auch sicher entwickelt, gewartet und unterstützt werden. Die CRA stellt daher Anforderungen über den gesamten Lebenszyklus eines Produkts.

Die Verordnung legt Verantwortlichkeiten bei Herstellern fest. Diese müssen unter anderem sicher entwickeln, Schwachstellen beheben und Sicherheitsupdates bereitstellen. Um diese Begriffe verständlich zu halten, folgt hier eine kurze Erklärung.

• Cybersicherheit: digitaler Schutz.
• Schwachstelle: eine schwache Stelle in Software oder Hardware.
• Security-by-Design: digitale Sicherheit wird bereits ab der Entwurfsphase berücksichtigt.
• Sicherheitsupdate: ein Software-Update, mit dem ein Sicherheitsproblem gelöst wird.
• Produkt mit digitalen Elementen: Hardware oder Software, die direkt oder indirekt digital verbunden sein kann.
• CE-Kennzeichnung: eine Kennzeichnung, mit der ein Hersteller angibt, dass ein Produkt den geltenden europäischen Anforderungen entspricht.

Die CRA richtet sich also auf das Produkt, nicht auf das Gebäude, in dem dieses Produkt zum Einsatz kommt. Trotzdem ist diese Trennung weniger scharf, als sie scheint, und genau das macht das Gesetz für Immobilien interessant. Offizielle Informationen finden Sie bei der Europäischen Kommission und dem niederländischen NCSC.

Warum ist die CRA relevant für Immobilien?

Die CRA betrifft digitale Produkte. Moderne Gebäude enthalten immer mehr solcher Produkte. Dadurch wird die Cyberresilienz von Technologie indirekt immer relevanter für die Qualität und Verwaltung von Immobilien, auch wenn ein Gebäude als solches nicht unter das Gesetz fällt.

Ein Gebäude bestand früher vor allem aus Stein, Stahl und Installationen. Ein modernes Gebäude besteht immer mehr aus Stein, Installationen, Software, Sensoren, Netzwerken und Daten. Oder einfacher gesagt: Ein Gebäude erhält zunehmend eine digitale Ebene. Eine Zugangstür kann digital sein, ein Thermostat verbunden, eine Kamera hängt am Netzwerk und eine Ladesäule enthält Software.

Damit entsteht eine Immobilienfrage, die bis vor kurzem nicht gestellt wurde: Wer weiß eigentlich, welche digitalen Produkte Teil des Gebäudes sind und wie sicher und aktuell diese Produkte sind? Diese Frage berührt das breitere Thema der Cybersicherheit in Immobilien, das lange außerhalb des Blickfelds des Immobilienmarktes lag.

Mehr vernetzte Technologie in einem Gebäude bedeutet nicht automatisch mehr Qualität. Es bedeutet vor allem mehr digitale Abhängigkeit, die jemand weiterhin verwalten muss.

Vom Smart Building zum cyberresilienten Gebäude

Der Immobilienmarkt spricht viel über Smart Buildings, IoT, KI, Gebäudedaten, intelligente Sensoren und Automatisierung. Doch mehr vernetzte Technologie bedeutet auch mehr digitale Abhängigkeit. Ein Smart Building ist deshalb nicht automatisch ein digital gutes Gebäude.

Die Systeme in einem solchen Gebäude müssen auch sicher sein, gewartet werden, Updates erhalten, verwaltbar und nachvollziehbar sein. Ein Gebäude wird nicht intelligenter, indem man einfach Technologie hinzufügt. Es wird intelligenter, wenn diese Technologie sicher, verwaltbar und verständlich eingesetzt wird. Das passt zur Idee, dass IT-Infrastruktur das Fundament eines Smart Buildings bildet.

Security-by-Design, mit einer Immobilienmetapher

Bei einem Gebäude denken wir bereits während des Entwurfs an Brandschutz. Wir bauen nicht erst das Gebäude und überlegen uns danach, wo die Notausgänge hinkommen sollen. Digitale Sicherheit sollte nach demselben Prinzip funktionieren.

Nicht: Gebäude bauen, Technologie installieren, später Sicherheit regeln. Sondern: entwerfen, digitale Infrastruktur bestimmen, Sicherheit mitdenken, installieren, verwalten und warten. Digitale Sicherheit sollte nicht nachträglich auf ein Gebäude aufgeklebt werden, genauso wenig wie ein Notausgang das tut.

Ein digitales Produkt endet nicht mit der Übergabe

Dies ist ein grundlegender Unterschied zwischen traditionellen Bauprodukten und digitalen Produkten. Ein Stahlträger verändert sich nach dem Einbau nicht mehr. Ein digitales Produkt schon: Es können Schwachstellen entdeckt werden, Software-Updates erscheinen, Sicherheitsupdates notwendig werden und neue Bedrohungen entstehen.

Deshalb ist nicht nur wichtig, was installiert wurde, sondern auch, wer es sicher hält und wie lange es unterstützt wird. Das NCSC gibt an, dass der Unterstützungszeitraum grundsätzlich die erwartete Nutzungsdauer eines Produkts umfasst, mit einer Untergrenze, und dass bei entdeckten Schwachstellen kostenlose Sicherheitsupdates bereitgestellt werden müssen. Prüfen Sie die genauen Bedingungen stets bei der offiziellen Quelle.

Ein Gebäude kann Jahrzehnte bestehen. Digitale Produkte oft deutlich kürzer. Das schafft ein Spannungsfeld: Was passiert, wenn das Gebäude noch 30 Jahre bestehen soll, ein digitales System aber nach wenigen Jahren nicht mehr unterstützt wird? Dies berührt Asset Management, technische Verwaltung und die Mehrjahresplanung im Instandhaltungsplan.

Wer ist verantwortlich für digitale Sicherheit?

In einem Mietobjekt kann ein digitales System im Besitz oder in der Verwaltung des Vermieters, des Mieters, des Verwalters, eines IT-Anbieters, eines Installateurs, eines Telekommunikationsanbieters oder eines Smart-Building-Anbieters liegen. Wer das System installiert, ist eine Frage. Wer es danach digital sicher hält, eine andere.

Denken Sie an Updates, Passwörter, Zugriffsrechte, Monitoring, Vorfälle, Austausch und Support. Diese digitale Abgrenzung wird immer wichtiger und hängt eng mit der Frage zusammen, wer verantwortlich ist für die IT-Infrastruktur in einem Gebäude.

Diese Verantwortungsfrage stellt sich auch bei Immobilientransaktionen. Bei einer Miet- oder Kauftransaktion fragen wir nach dem Energielabel, den Installationen, der Instandhaltung, dem technischen Zustand und den Servicekosten. Fragen wir aber auch, welche vernetzten Systeme vorhanden sind, welche Software darauf läuft, ob diese Systeme noch unterstützt werden und wer bei einer Schwachstelle verantwortlich ist? Das sind Fragen, die laut IT-Label immer relevanter werden bei der Digital Due Diligence.

CRA, NIS2 und das IT-Label: was ist der Unterschied?

Diese Begriffe werden leicht verwechselt, haben aber unterschiedliche Funktionen. Kurz zusammengefasst: Die CRA betrachtet das Produkt, NIS2 betrachtet die Organisation und das IT-Label macht die digitale Immobilienebene verständlich. Sie können sich berühren, sind aber nicht dasselbe.

Die CRA betrachtet vor allem Produkte mit digitalen Elementen, die auf den europäischen Markt gebracht werden. Die NIS2-Richtlinie, in den Niederlanden ausgearbeitet im Cybersicherheitsgesetz, betrachtet die digitale Resilienz von Organisationen und wesentlichen oder wichtigen Diensten. Das IT-Label betrachtet das digitale Übergabeniveau und die digitale Qualität von Immobilien. Mehr über die organisatorische Seite lesen Sie in unserem Artikel über das Cybersicherheitsgesetz und die digitale Gebäudeebene.

Wichtig zu betonen: Ein IT-Label beweist nicht, dass ein Gebäude CRA-konform ist, und ist keine gesetzliche CRA-Zertifizierung. Die CRA und das IT-Label haben unterschiedliche Funktionen, berühren aber dieselbe Entwicklung: Digitale Qualität wird immer weniger unverbindlich.

Wichtige Termine der Cyber Resilience Act

Die Einführung der CRA verläuft in Phasen. Organisationen und Hersteller können sich dadurch schrittweise vorbereiten, aber die ersten konkreten Verpflichtungen rücken schneller näher, als oft angenommen wird.

1. 10. Dezember 2024: Die CRA ist in Kraft getreten.
2. 11. September 2026: Die Melde- und Berichtspflichten für Hersteller gelten ab diesem Zeitpunkt.
3. 11. Dezember 2027: Die CRA wird vollständig anwendbar.

Diese Termine stammen aus offiziellen europäischen Angaben. Nutzen Sie bei Entscheidungen stets die aktuellsten offiziellen Quellen, wie die Europäische Kommission, das NCSC und die niederländische Aufsichtsbehörde für digitale Infrastruktur, um sie zu überprüfen.

Warum das jetzt relevant ist

Der 11. September 2026 macht dieses Thema aktuell. Ab diesem Zeitpunkt gelten die Meldepflichten. Das ist ein guter Moment, um der Immobilienbranche eine breitere Frage zu stellen: Wissen wir eigentlich, welche digital vernetzten Produkte unsere Gebäude enthalten? Und wissen wir, wer verantwortlich ist, wenn darin eine Schwachstelle entdeckt wird?

Cybersicherheit wird Teil der Immobilienqualität

Früher war Cybersicherheit vor allem eine Sache der IT-Abteilung. Doch wenn Gebäude von digitalen Systemen abhängig werden, berührt Cybersicherheit auch Geschäftskontinuität, Sicherheit, Nutzererfahrung, Verwaltung, Instandhaltung, Vermietbarkeit und Zukunftsfähigkeit.

Cybersicherheit verschiebt sich damit langsam von einer reinen IT-Frage zu einem Bestandteil der Immobilienqualität. Das bedeutet nicht, dass jeder Immobilienprofi zum Cybersicherheitsspezialisten werden muss. Genau umgekehrt: Komplexe digitale Informationen müssen für Immobilien verständlich gemacht werden. Das passt zur Vorstellung, dass digitale Infrastruktur zu einem Werttreiber von Immobilien wird.

Ein digitaler Gebäudepass sollte deshalb nicht nur angeben, welche Technologie vorhanden ist, sondern auch Einblick geben können in Systemtyp, Anbieter, Konnektivität, Verwaltung, Verantwortlichkeit, Support, Lebensdauer und Austauschbarkeit. So wird sichtbar, was jetzt noch unsichtbar ist.

Wie digital resilient ist Ihr Gebäude?

Die Frage "Entspricht mein Gebäude der CRA?" greift rechtlich zu kurz, weil sich das Gesetz auf Produkte richtet. Bessere Fragen sind: Welche digitalen Produkte befinden sich eigentlich in meinem Gebäude, wer verwaltet sie, wer hält sie sicher und wie lange werden sie unterstützt? Die folgenden Fragen helfen dabei.

1. Welche vernetzten digitalen Systeme sind vorhanden?
2. Welche Systeme sind mit dem Internet oder dem internen Netzwerk verbunden?
3. Wer sind die Anbieter?
4. Wer verwaltet die Systeme?
5. Wer installiert Sicherheitsupdates?
6. Wie lange werden die Produkte unterstützt?
7. Was passiert, wenn der Support endet?
8. Wer ist verantwortlich bei einer Schwachstelle?
9. Ist klar, welche Systeme miteinander kommunizieren?
10. Ist diese Information zentral festgehalten?

Können Sie mehrere Fragen nicht beantworten, ist das vielleicht das wichtigste Ergebnis dieser Checkliste. Die Erkenntnis, dass die Information fehlt, ist oft wertvoller als die einzelnen Antworten.

Häufig gestellte Fragen

Was ist die Cyber Resilience Act?

Die Cyber Resilience Act (CRA) ist eine europäische Regelung für die Cybersicherheit von Hardware- und Softwareprodukten mit digitalen Elementen. Das Gesetz verpflichtet Hersteller unter anderem zu sicherer Entwicklung und zur Behebung von Schwachstellen über den Lebenszyklus eines Produkts.

Wann tritt die CRA in Kraft?

Die CRA ist am 10. Dezember 2024 in Kraft getreten. Die Melde- und Berichtspflichten gelten ab dem 11. September 2026 und die Verordnung wird ab dem 11. Dezember 2027 vollständig anwendbar. Prüfen Sie diese Termine stets bei offiziellen Quellen.

Gilt die CRA für Immobilien?

Die CRA richtet sich auf Produkte mit digitalen Elementen, nicht direkt auf Gebäude. Weil moderne Gebäude immer mehr solcher Produkte enthalten, wird Einblick in Cybersicherheit und Lebensdauer immer relevanter für Immobilien.

Welche Produkte fallen unter die CRA?

Unter die CRA fallen Hardware- und Softwareprodukte mit digitalen Elementen, die auf den europäischen Markt gebracht werden und direkt oder indirekt verbunden sein können. Denken Sie an Software, Router, Kameras, Sensoren und andere vernetzte Geräte.

Was bedeutet die CRA für Smart Buildings?

Ein Smart Building enthält viele vernetzte Systeme, die unter die CRA fallen können. Das macht es wichtig zu wissen, welche Systeme vorhanden sind, wer sie verwaltet und wie lange sie weiterhin Sicherheitsupdates erhalten.

Was ist Security-by-Design?

Security-by-Design bedeutet, dass digitale Sicherheit bereits ab der Entwurfsphase berücksichtigt wird, statt nachträglich hinzugefügt zu werden. Vergleichen Sie es mit Brandschutz: Notausgänge werden während des Entwurfs bedacht, nicht erst nach dem Bau.

Was ist der Unterschied zwischen CRA und NIS2?

Die CRA betrachtet Produkte mit digitalen Elementen. NIS2, in den Niederlanden das Cybersicherheitsgesetz, betrachtet die digitale Resilienz von Organisationen und Diensten. Die Rahmenwerke können sich berühren, haben aber einen unterschiedlichen Ausgangspunkt.

Welche Rolle kann das IT-Label bei Cybersicherheit in Immobilien spielen?

Das IT-Label ist keine CRA-Zertifizierung und kein Nachweis der Konformität. Es macht das digitale Übergabeniveau und die digitale Infrastruktur von Immobilien sichtbar, einschließlich Themen wie Konnektivität, Redundanz und Cybersicherheit, und hilft, die richtigen Fragen früher im Prozess zu stellen.

So gehen Sie den nächsten Schritt

Wir machen Gebäude intelligenter, vernetzter, datengetriebener und automatisierter. Dadurch müssen wir sie auch sicherer, transparenter und besser verwaltbar machen. Die Zukunft von Immobilien handelt nicht nur davon, wie viel Technologie ein Gebäude besitzt, sondern auch davon, wie sicher und zukunftsfähig diese Technologie ist.

Beginnen Sie deshalb nicht mit dem Gesetz, sondern mit Einblick. Erfassen Sie, welche vernetzten Systeme Ihr Gebäude enthält, wer sie verwaltet und wie lange sie unterstützt werden. Möchten Sie diese digitale Realität in verständliche Immobiliensprache und ein klares Übergabeniveau übersetzt sehen, dann schauen Sie sich an, wie das IT-Label funktioniert und welche Informationen eine Klassifizierung liefert. So machen Sie sichtbar, was jetzt noch unsichtbar ist.