Im Tourismus werden immer mehr digitale Produkte eingesetzt – also software‑ oder datenbasierte Angebote, die Reiseplanung, Buchung und das Erlebnis vor Ort unterstützen. Typische digitale Produkte im Tourismus sind zum Beispiel:
- Online‑Buchungsplattformen und -systeme: Webseiten und Apps, über die Gäste Unterkünfte, Events, Touren, Skitickets oder Gutscheine direkt buchen können (z.B. Hotel‑Booking‑Engines, Destination‑Portale).
- Mobile Apps & digitale Gäste‑Karten: Apps mit Karten, Tourenvorschlägen, Veranstaltungskalendern, Aufstiegsrouten oder digitalen Gästekarten (E‑Card) mit Gutscheinen, Rabatten und mobilen Services.
- Virtuelle Reiseführer & Audio‑Guides: Digitalisierte Führungen, z.B. Sprach‑Audio‑Guides, QR‑Code‑Touren oder interaktive Apps, die historische Infos, Hintergrundstories oder Indoor‑Navigation bieten.
- KI‑gestützte Services (Chatbots, Recommender): KI‑Chatbots für Buchungs‑Support, FAQs oder 24/7‑Service, sowie Algorithmen, die personalisierte Ziele, Aktivitäten oder Unterkünfte anhand von Nutzerdaten vorschlagen.
- Augmented‑Reality‑ (AR) & Virtual‑Reality‑(VR)‑Angebote: AR‑Touren in Museen, historischen Stätten oder Wandergebieten sowie VR‑Besichtigungen von Hotels/Zielen als Marketing‑ und Entscheidungs‑Tool vor der Reise.
- Open‑Data‑Plattformen & digitale Karten: Strukturierte Daten (Attraktionen, ÖPNV, Wetter, Events), die als Open Data bereitgestellt und in Karten‑ oder Routing‑Apps genutzt werden.
- IoT‑basierter Hospitality‑Tech: Smarte Zimmer, kontaktloser Check‑in, Gepäck‑Tracking oder digitale Schlüssellösungen, die über Apps und Backend‑Systeme gesteuert werden.
Wichtige Pflichten für Tourismusunternehmen (als Hersteller/Anbieter)
Wenn dein Unternehmen eigene digitale Produkte anbietet (z.B. Buchungssoftware, White‑label‑App, Kiosk‑System, Kartensystem), gelten typische Herstellerpflichten:
- Security‑by‑Design & Risikomanagement
- Risiko‑ und Produktdokumentation
- Konformitätsbewertung & CE‑Kennzeichnung
- Schwachstellen‑Management & Sicherheitsupdates
- Meldepflichten bei Sicherheitsvorfällen
Pflichten für Nutzer
Für reine Nutzer eigener digitaler Produkte (z.B. Hotel‑Gästeapp, Kassensystem, Booking‑Engine von Drittanbietern) enthält der CRA keine direkten Pflichten; diese liegen dann beim jeweiligen Hersteller/Importeur. Trotzdem musst du sorgfältig bei der Beschaffung sein und prüfen, ob CE‑Kennzeichnung, Konformitätserklärung, Hersteller‑Kontaktdaten, Sicherheitsupdates zugesagt sind und Meldungen an den Hersteller weiterleiten, wenn du von Sicherheitslücken oder Vorfällen mit diesen Produkten erfährst.
Wichtige Fristen für Digitalprodukte
- seit 11.12.2024 ist der CRA in Kraft.
- ab 11.09.2026 gibt es Meldepflichten bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen.
- ab 11.12.2027: Vollständige Anforderungen (Risikomanagement, Konformität, CE‑Kennzeichnung) für neue Produkte mit digitalen Elementen.
Unter dem CRA geht es hauptsächlich darum, Cybersicherheit bereits in der Produktentwicklung einzubauen – genau das ist ein klassisches Feld für Siplan.
Wie du dich als Tourismus‑Unternehmen vorbereiten kannst
- Kartierung deiner „Produkte mit digitalen Elementen“: erstelle Listen, welche Systeme/Software ihr herstellt oder wesentlich verändert (z.B. Buchungsplattform, Hotel‑App, Kassen‑System, IoT‑Lösungen). Dabei helfen bestehende Verzeichnisse wie zb DSGVO.
- Klassifizierung (Standard / wichtig / kritisch): Risikobewertung nach CRA‑Kriterien, um zu klären, ob du Selbstbewertung oder zusätzliche Prüfung brauchst.
- Risiko‑ und Schwachstellen‑Management etablieren: Sicherheits‑Risiko‑Assessment, festgelegte Prozesse für Schwachstellenanalyse, Patches und mindestens 5‑jährige Update‑Versorgung.
- Dokumentation & SBOM aufbauen: Technische Unterlagen, Sicherheitskonzept, SBOM aller Software‑Komponenten und Konformitätserklärung inkl. CE‑Kennzeichnung.
- Melde‑ und Eskalationsprozesse klären: Internes Prozedere für Meldung von Sicherheitsvorfällen und Lücken bei eigenen Produkten an ENISA/CSIRT.
Wo Siplan konkret unterstützen kann
Gerade deinem Profil nach wäre Siplan fit, um:
- CRA‑Readiness‑Check durchzuführen: Welche deiner digitalen Tourismus‑Lösungen fallen unter den CRA? Welche Klasse, welche Herstellerrolle?
- Security‑by‑Design‑Prozesse zu definieren: Methoden für Threat‑Modeling, Secure‑Coding‑Guidelines, CI/CD‑Sicherheitsgates, OWASP‑orientierte Prüfungen.
- Vulnerability‑Management & SBOM‑Infrastruktur aufzusetzen: Tools und Prozesse für Schwachstellen‑Monitoring, Patch‑Management, Software‑Bill‑of‑Materials und Dokumentation.
- Compliance‑Dokumentation & Konformitätserklärungen zu erstellen: Technische Dokumente, Sicherheitskonzepte, Risiko‑Assessment‑Berichte und Unterstützung bei der CE‑Konformität.
- Aufbau von Schulungen & Playbooks für dein Team: Schulungen zu CRA‑Pflichten, Incident‑Response‑Playbooks und Schnittstellen zu bestehenden NIS2‑/ISO‑27001‑Prozessen.
Melde Dich, wenn es Gesprächsbedarf gibt!
