Macht der Cyber Resilience Act Penetrationstests zur Pflicht?

Nein — und trotzdem kommt kaum ein Hersteller ohne strukturierte Sicherheitstests aus. Warum beides gleichzeitig stimmt, und welche Frage wirklich zählt.

„Schreibt der Cyber Resilience Act jetzt Penetrationstests vor?“ — diese Frage bekommen wir seit Monaten. Die ehrliche Antwort ist: Nein. Und trotzdem führt für die meisten Hersteller kein Weg an strukturierten Sicherheitstests vorbei. Beides stimmt gleichzeitig — und genau in diesem scheinbaren Widerspruch liegt der Punkt, den viele Unternehmen 2026 noch unterschätzen.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist bewusst methodenneutral. Er nennt keine konkrete Testtechnik — weder „Penetrationstest“ noch „Fuzzing“ noch „DAST“ tauchen als vorgeschriebene Verfahren im verbindlichen Verordnungstext auf. Was er verlangt, ist der Nachweis, dass ein Produkt wirksam getestet wurde. Und den liefert keine […]

Out-of-Band-Management-Systeme gehören in modernen Rechenzentren zur Grundausstattung. Sie erlauben es Administratoren, Server auch dann zu verwalten, wenn das eigentliche Betriebssystem längst nicht mehr reagiert – vom Neustart über Firmware-Updates bis hin zur kompletten Neuinstallation. Jeder Hersteller setzt dabei auf sein eigenes Ökosystem, HP auf „HO Integrated Lights-Out“ (HP iLO), Dell auf „integrated Dell Remote Access Controller“ (iDRAC), und Cisco auf den Cisco Integrated Management Controller (Cisco IMC). Letzteres kommt dabei auf den weit verbreiteten Cisco UCS C-Series Rack-Servern und S-Series Storage-Servern zum Einsatz.

Gerade diese Systeme sind aus Angreifersicht besonders attraktiv: Wer den Management-Controller kontrolliert, sitzt faktisch „unterhalb“ des Betriebssystems. Der IMC kann das BIOS aktualisieren, SecureBoot konfigurieren und damit direkt mit den auf dem Server laufenden Betriebssystemen interagieren. So gesehen, ein Betriebssystem für das Betriebssystem. […]

Die Anforderungen an die Informationssicherheit steigen. Mit Regelungen wie BSIG, ITSiG / ITSiG 2.0, BSIKritisV, ISO 27001 und seit Neuem NIS2 rückt die Frage in den Mittelpunkt: Wie beweise ich, dass meine Sicherheitsmaßnahmen wirksam sind?
Genau hier kommen Penetrationstests ins Spiel. Sie sind nicht nur technisches Pflichtprogramm, sondern ein entscheidender Baustein für Compliance, Risikomanagement und Revisionssicherheit.
Auch die praktische Unterstützung von Pentestern bei der Implementierung und der Pflege eines ISMS  ist oft Gold wert.

Warum klassische Risikoanalysen allein nicht mehr reichen

KRITIS, NIS2 und ISO 27001 verlangen eine risikobasierte Herangehensweise. Doch theoretische Matrixbewertungen können nur begrenzt abbilden, wie Angreifer tatsächlich vorgehen würden.
Pentests schließen diese Lücke: Sie zeigen reale Schwachstellen, priorisieren Risiken anhand tatsächlicher Ausnutzbarkeit und liefern harte Daten, die Auditoren anerkennen.

Ergebnis: Eine Risikoanalyse, die sich nicht auf Annahmen stützt, […]