CRA-Engineering-Checkliste für vernetzte Geräte
Sechs Bereiche, die jedes Hardware-Team prüfen sollte, bevor die Pflichten des Cyber Resilience Act seine Produkte betreffen. Lesen Sie unten die Zusammenfassung und laden Sie das vollständige PDF mit allen Prüfpunkten herunter.
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Die meisten übrigen Pflichten, einschließlich SBOM und Security-by-Design-Anforderungen, gelten ab dem 11. Dezember 2027. Diese Checkliste übersetzt diese Pflichten in technische Aufgaben.
1. Annahme von Schwachstellenmeldungen
Ein öffentlicher, überwachter Kanal, über den jeder eine Schwachstelle in Ihrem Produkt melden kann.
- Veröffentlichter Ansprechpartner
- Richtlinie zur koordinierten Offenlegung
- Triage-Kriterien
2. Das 24/72-Stunden-Meldeverfahren
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gehen über die Single Reporting Platform an ENISA und das nationale CSIRT.
- Frühwarnung innerhalb von 24 Stunden
- Ausführliche Meldung innerhalb von 72 Stunden
- Abschlussbericht
- Probelauf
3. SBOM
Eine maschinenlesbare Liste aller Komponenten jeder Firmware-Version.
- Im Build erzeugt
- Umfasst Fremd- und Herstellercode
- Mit Monitoring verknüpft
4. Plan für Sicherheitsupdates
Nutzer müssen während des Supportzeitraums Sicherheitsupdates erhalten - mindestens 5 Jahre oder die erwartete Nutzungsdauer, falls kürzer.
- Festgelegter Supportzeitraum
- Sicherer Update-Pfad
- Getrennte Sicherheitskorrekturen
5. Secure Boot und Schlüsselverwaltung
Das Gerät führt nur von Ihnen signierte Firmware aus, und die Schlüssel sind geschützt.
- Vertrauenskette
- Schlüsselablage
- Debug-Schnittstellen
6. Protokollierung und Nachweise
Genug Informationen, um Vorfälle zu erkennen und Entscheidungen zu dokumentieren.
- Sicherheitsrelevante Ereignisse
- Technische Dokumentation
- Entscheidungsprotokoll
Wir liefern technische Lösungen, die Ihr Gerät auf die Anforderungen des Cyber Resilience Act vorbereiten. Wir erbringen keine Rechtsberatung und sind keine Konformitätsbewertungsstelle (CE).
Projekt besprechen
Beschreiben Sie Ihr Projekt und Ihr Ziel. Ein Ingenieur antwortet innerhalb eines Werktags.
Lieber per E-Mail?
[email protected]- Wir antworten innerhalb eines Werktags
- NDA vor technischen Gesprächen