Cyber Resilience Act: Wenn die 24-Stunden-Uhr tickt – und warum 4 Megabyte Computer Vision sicherer sind als 119 GB VRAM
Am 25. August 2026 veröffentlichte der IT-Magazin heise eine Fachmeldung mit dem Titel „Umsetzung des Cyber Resilience Act: Deutsche Industrie hat noch Nachholbedarf“. Im Dezember 2027 tritt der Cyber Resilience Act vollständig in Kraft – viele Unternehmen kämpfen noch mit den Vorgaben etwa zu Meldepflichten und SBOMs. Was jedoch weniger Beachtung findet: Schon am 11. September 2026 greift die erste operative Stufe des EU Cyber Resilience Act. Dann gilt für jedes Produkt mit digitalen Elementen die 24-Stunden-Meldepflicht für aktiv ausgenutzte Schwachstellen. Die Strafe bei Nichteinhaltung: bis zu 15 Millionen Euro.
Was bedeutet das für die Praxis? Aus den Open Lab Sessions, die ich in den letzten vier Wochen begleitet habe, geht klar hervor: Jedes „smart“ Gerät, das seine Daten in irgendeine Hersteller-Cloud schickt, ist ab September 2026 eine Meldepflicht mit Beinen. Die stille Wahrheit: Ein Gerät, das keine Daten sendet, kann keine Daten leaken. Parallel dazu läuft die Gegenbewegung: Ende 2024 hat sich die TinyML Foundation in Edge AI Foundation umbenannt. Prognosen zufolge laufen bis 2026 rund eine Milliarde IoT-Geräte mit irgendeiner Form von TinyML. Hersteller wie Texas Instruments (neue MCU-Familien mit integrierter NPU, März 2026) und Nordic Semiconductor (Übernahme von Neuton.AI) bauen KI-Beschleuniger direkt in den Chip.
In meinem eigenen Betrieb zeigt sich dieser Wandel täglich. Ich betreibe einen DGX Spark mit 119 GB VRAM und eine Kamera mit ein paar hundert Kilobyte RAM. Beides ist KI. Der Trick ist zu wissen, welche Entscheidung wo fällt – vom Mikrocontroller bis zur 70B. Eine ESP32-CAM für ein paar Euro fotografiert meinen analogen Wasserzähler im Keller. Ein neuronales Netz erkennt die Ziffern – direkt auf dem Mikrocontroller. Was in Home Assistant ankommt, ist keine Bild. Es ist eine Zahl. Das Bild verlässt den Chip nie, kein Frame geht in eine Cloud. Der Kontext: Am 11. September 2026 greift die erste operative Stufe des EU Cyber Resilience Act – 24-Stunden-Meldepflicht für aktiv ausgenutzte Schwachstellen, bis zu 15 Mio. Euro Strafe. Jedes Cloud-Gerät wird damit zur laufenden Compliance-Verpflichtung. Ein Gerät, das keine Daten sendet, kann keine Daten leaken.
Die wirtschaftliche Dimension dieses Wandels zeigt sich schon bei der Hardware: Der Preisaufschlag beim Raspberry Pi verläuft exakt proportional zum verbauten Arbeitsspeicher. Der ESP32 an meiner Sauna ist fast unverändert. Der 8-GB-Pi ist der, der wehtut. Speicher ist ab sofort eine Architekturentscheidung, keine Bequemlichkeitsfrage. In genau 66 Tagen – am 11. September – tickt für jeden vernetzten Sensor in Europa die 24-Stunden-Uhr des Cyber Resilience Act: aktiv ausgenutzte Schwachstelle melden, sonst bis zu 15 Millionen Euro Strafe. Und die stille Wahrheit dahinter: Jedes „smarte“ Gerät, das seine Daten in irgendeine Hersteller-Cloud schickt, ist ab dann eine Meldepflicht mit Beinen.
Während der Cyber Resilience Act die Cloud-Architektur neu definiert, zeigt mein Energie-System das andere Gesicht der Digitalisierung. Seit 2023 ist unser Haushalt in Kirchseeon vollständig fossilfrei – keine Öl-, Gas- oder Verbrennerheizung, kein Verbrennerfahrzeug. Unsere SolarEdge-Anlage beträgt 30,5 kWp – 131 Module Talesun à 195 W seit Juli 2012 plus 20 Carport-Module à 250 W seit August 2024. Über die Laufzeit bis August 2026 betrug die Gesamterzeugung rund 259 MWh. Ergänzend gibt es Balkonkraftwerke, einen Pavillon mit sechs flexiblen SCHWAIGER-Modulen und im September 2026 den Ausbau auf rund 45,7 kWp Gesamtleistung. Der gesamte Stromfluss wird viertelstündlich erfasst über Shelly-Zähler und den Inexogy CX Smart Meter.
Die Analysewerte des deutschen Strommixes zeigen ein strukturelles Missverhältnis, das dem digitalen Wandel entspricht: Im Sektor Strom mit rund 20 Prozent Endenergieanteil beträgt der Erneuerbare-Anteil 52 Prozent (brutto) – getragen von Kohle und Erdgas. Der Sektor Wärme mit rund 50 Prozentanteil kommt nur auf 17 Prozent Erneuerbare, getragen von Erdgas und Heizöl. Verkehr mit rund 30 Prozentanteil nur auf 7 Prozent Erneuerbare, getragen von Mineralölprodukten. Der Sektor mit dem größten Fortschritt ist der kleinste, die beiden großen hängen zurück. Die fehlenden Trassen im Übertragungsnetz kosten laufend über Redispatch – in Deutschland rund 14.000 km neuer Trassenbedarf bis 2045, Investitionsbedarf rund 320 Milliarden Euro insgesamt (Übertragungs- und Verteilnetz), davon 190 Milliarden im Verteilnetz.
Genau dieses Missverhältnis macht den Cyber Resilience Act für den Mittelstand relevant. Wer auf Cloud-Architektur setzt, muss künftig mit Meldepflichten, Sicherheitsupdates und Haftungsrisiken rechnen. Wer – wie in meinem Haus – auf lokale Intelligenz setzt, umgeht das Problem von Grund auf. Wie These 5 der Open Lab Sessions besagt: „Der einfachste Weg, die CRA-Meldeuhr nie stellen zu müssen, ist, gar keine Cloud-Angriffsfläche zu haben. Datensparsamkeit ist keine Tugend mehr – sie ist Architektur.“
Fünf Jahre von jetzt an wird „schickt Daten in die Cloud“ bei Consumer-Geräten ein Verkaufsnachteil sein, kein Feature – so wie „ohne Zucker“ im Supermarkt. Für den Mittelstand heißt das: Die Frage ist nicht mehr, ob man digitalisiert, sondern wie. Lokale Intelligenz, Datenminimalismus, Design für Sicherheit über den Lebenszyklus – das ist keine ethische Entscheidung mehr, sondern wettbewerbsnotwendig. Wie in meinem Betrieb: Der DGX Spark für die schweren Rechenaufgaben, die ESP32 für das, was lokal passieren muss. Die Zukunft ist hybrid, nicht Cloud-oder-nichts.
Erstellt mit KI-Unterstützung, fachlich geprüft und redaktionell verantwortet von Achim Karpf.
