Embedded-Cybersicherheit und Vorbereitung auf den Cyber Resilience Act
Technische Unterstützung für Hersteller, die ihre Geräte an die EU-Verordnung über Cyberresilienz anpassen müssen: Secure Boot, sichere Updates, SBOM und ein funktionierender Prozess zur Schwachstellenbehandlung.
Was der CRA für Hersteller, Importeure und Händler ändert
Der CRA gilt schrittweise. Die Meldepflichten der Hersteller gelten bereits - auch für Produkte, die früher in Verkehr gebracht wurden. Importeure und Händler haben ab dem 11. Dezember 2027 eigene Prüfpflichten.
Dezember 2024
Verordnung (EU) 2024/2847 tritt in Kraft
Der Cyber Resilience Act wird geltendes Recht, mit gestaffelten Anwendungsterminen.
27. Juli 2026
Leitlinien der Kommission für Hersteller
Die Europäische Kommission veröffentlicht praktische Leitlinien für Hersteller.
11. September 2026
Meldepflichten gelten
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die Single Reporting Platform an ENISA und das zuständige nationale CSIRT melden - auch für Produkte, die vor diesem Datum in Verkehr gebracht wurden.
11. Dezember 2027
Hauptpflichten gelten
Security-by-Design-Anforderungen, SBOM, Schwachstellenbehandlung und CE-Kennzeichnung nach dem CRA gelten für Produkte, die in der EU in Verkehr gebracht werden.
Meldefristen und Sanktionen
- Frühwarnung innerhalb von 24 Stunden nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls.
- Ausführliche Meldung innerhalb von 72 Stunden.
- Abschlussbericht: bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur oder Abhilfemaßnahme; bei Vorfällen spätestens einen Monat nach der Meldung.
- Bußgelder bei Verstößen gegen die Meldepflichten: bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
- Sicherheitsupdates mindestens 5 Jahre lang oder für die erwartete Nutzungsdauer, falls diese kürzer ist.
Unser technischer Leistungsumfang
Secure Boot
Eine Vertrauenskette vom unveränderlichen Code bis zur Anwendung.
Hardware-Krypto und Schlüsselablage
Nutzung der Sicherheitsfunktionen Ihrer MCU oder eines Secure Elements zum Schutz der Schlüssel.
Sichere OTA-Updates
Signierte, geprüfte Updates mit Rollback - gemeinsam mit IoT & Konnektivität entworfen.
SBOM
Software-Stücklisten, im Build für jedes Release erzeugt.
Schwachstellenbehandlung
Annahme, Triage, Behebung und das 24/72-Stunden-Meldeverfahren.
Protokollierung
Sicherheitsrelevante Ereignisse werden aufgezeichnet und stehen für die Vorfallsanalyse bereit.
CRA-Readiness und Gap-Analyse
Eine Gap-Analyse vergleicht Ihr Produkt und Ihre Prozesse mit den technischen Anforderungen des CRA und liefert einen priorisierten Plan.
Was wir tun und was nicht
Wir
- bewerten Firmware, Hardware und Update-Architektur gegen die technischen CRA-Anforderungen
- implementieren Secure Boot, sichere OTA-Updates, SBOM-Erzeugung und Protokollierung
- richten mit Ihrem Team ein Verfahren zur Behandlung und Meldung von Schwachstellen ein
- erstellen technische Dokumentation für Ihre Rechts- und Compliance-Berater
Wir nicht
- Rechtsberatung oder rechtliche Auslegung der Verordnung
- Tätigkeit als Konformitätsbewertungsstelle (CE)
- Zertifizierung von Produkten oder Ausstellung von Konformitätserklärungen
Langfristiger Support
Die CRA-Pflichten gelten für den gesamten Supportzeitraum. Wir können Firmware warten, Komponenten aus der SBOM überwachen und Sicherheitspatches über Jahre nach dem Marktstart bereitstellen. Für Produkte, die bereits auf dem Markt sind, siehe Modernisierung.
Der Cyber Resilience Act im Detail
Wen die Verordnung erfasst, wie sie Produkte einstuft und was ihre grundlegenden Anforderungen für Firmware und Hardware bedeuten. Technische Erläuterungen, keine Rechtsberatung.
FAQ
Projekt besprechen
Beschreiben Sie Ihr Projekt und Ihr Ziel. Ein Ingenieur antwortet innerhalb eines Werktags.
Lieber per E-Mail?
[email protected]- Wir antworten innerhalb eines Werktags
- NDA vor technischen Gesprächen