Cybersicherheit wird zu einem verpflichtenden Bestandteil der CE-Konformität

Cybersicherheit wird zu einem immer wichtigeren Bestandteil der Produktentwicklung. Mit dem Cyber Resilience Act (CRA) führt Europa neue Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein.

Seit dem 11. September 2026 sind Hersteller verpflichtet, schwerwiegende Sicherheitsvorfälle zu melden. Ab dem 11. Dezember 2027 wird die Verordnung vollständig anwendbar.

Ein vertrauter Ansatz

Das mag nach einer großen Veränderung klingen, doch der Ansatz ist überraschend vertraut. Genau wie bei EMC, LVD, RED oder der Maschinensicherheit folgt der CRA dem bekannten CE-Konformitätsverfahren: Risikoanalyse, Anwendung von Normen, technische Dokumentation und Konformitätserklärung des Herstellers.

Sie kennen Ihre Maschine oder Ihr Gerät, Ihre Anwender und den Einsatzzweck. Wir unterstützen Sie bei der technischen Umsetzung von Cybersicherheit in Elektronik und Embedded Software. Gemeinsam bringen wir die Expertise mit, die für die Einhaltung des CRA erforderlich ist.

Neu ist, dass Hersteller auch nach der Markteinführung verantwortlich bleiben für die Überwachung von Schwachstellen und die Bereitstellung von Sicherheitsupdates über die erwartete Produktlebensdauer hinweg, mindestens jedoch für fünf Jahre.

Was verlangt der CRA?

Der CRA basiert auf drei Grundprinzipien:

• Security by design Sicherheit von der Elektronik und Firmware bis hin zu Apps und Cloud-Umgebungen;
• Überwachung von Schwachstellen und Bereitstellung von Sicherheitsupdates über den gesamten Produktlebenszyklus hinweg;
• Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle innerhalb von 24 Stunden.

Nahezu jedes Produkt mit einer kabelgebundenen oder drahtlosen Datenverbindung fällt in den Anwendungsbereich des CRA. Für die meisten Produkte kann der Hersteller die Konformitätsbewertung selbst durchführen, ähnlich wie bei EMC- oder LVD-Konformität.

Wichtige Terminen

• 1. August 2025: Die RED-Cybersicherheitsanforderungen (EN 18031) gelten für Funkprodukte.
• 11. September 2026: Die CRA-Meldepflicht für schwerwiegende Vorfälle tritt in Kraft, auch für Produkte, die bereits auf dem Markt sind.
• 20. Januar 2027: Die neue Maschinenverordnung ersetzt die Maschinenrichtlinie.
• 11. Dezember 2027: Der CRA wird vollständig anwendbar.

Ein sinnvoller erster Schritt ist die Einführung eines einfachen Prozesses zum Umgang mit Schwachstellen: Wer nimmt Meldungen entgegen? Wer entscheidet über Maßnahmen? Wer übernimmt die Berichterstattung? Unser CRA-Whitepaper bietet hierfür einen praktischen Einstieg. Download über die Schaltfläche unten.

Überschneidungen zwischen Maschinenverordnung und CRA

Maschinenbauer sollten wissen, dass auch die neue Maschinenverordnung Cybersicherheitsanforderungen enthält. Der Fokus liegt dabei auf: dem Schutz sicherheitsrelevanter Software, der Protokollierung von Änderungen und Eingriffen sowie der Sichtbarkeit der Softwareversion für den Benutzer. Die harmonisierte Norm prEN 50742 befindet sich derzeit noch in der Entwicklung.

Da es erhebliche Überschneidungen zwischen der Maschinenverordnung und dem CRA gibt, können beide Konformitätsprojekte häufig gemeinsam angegangen werden.

Auch bestehende Produkte verdienen Aufmerksamkeit

Bitte beachten Sie: Der CRA gilt auch für bestehende Produkte, die nach Dezember 2027 weiterhin auf den Markt gebracht werden, selbst wenn das Design bereits seit vielen Jahren Teil Ihres Produktportfolios ist. Deshalb ist eine Risikoanalyse des aktuellen Produkts oft der ideale erste Schritt.

In manchen Fällen ist ein Produkt bereits gut vorbereitet. In anderen Fällen sind zusätzliche Maßnahmen erforderlich. Die nachträgliche Integration von Cybersicherheit in ein bestehendes Design sollte nicht unterschätzt werden. Typische Herausforderungen sind:

• Hardware, die Secure Boot nicht unterstützt;
• unzureichende sichere Speichermöglichkeiten;
• zu wenig Speicher für signierte Software-Updates;
• Das Fehlen eines Update-Mechanismus.

Je früher Sie ein klares Bild Ihrer Situation erhalten, desto mehr Handlungsmöglichkeiten bleiben Ihnen.

Ihre Rolle und unsere Rolle

• Als Hersteller bleiben Sie verantwortlich für den vorgesehenen Verwendungszweck, die Benutzer und die Einsatzumgebung,die Risikoanalyse,die technische Dokumentation und die Konformitätserklärung.
   
• Wir unterstützen Sie bei der technischen Umsetzung, unter anderem in folgenden Bereichen:
  • sicheren Hardware- und Softwarearchitekturen, abgestimmt auf Ihre Sicherheitsanforderungen;
  • Sicherheitsfunktionen wie Secure Boot, signierten Updates, Verschlüsselung und Zugriffskontrolle;
  • technischem Input für Ihre Risikoanalyse einschließlich Threat Modeling;
  • einer SBOM (Software Bill of Materials), testbereiten Softwareständen und Unterstützung bei unabhängigen Prüfungen;
  • Sicherheitsupdates nach der Markteinführung.

Frühzeitig starten

Wie bei jedem CE-Konformitätsthema funktioniert auch der CRA am besten, wenn Sie die Initiative selbst ergreifen. Unternehmen, die frühzeitig beginnen, erreichen ihre Ziele in der Regel schneller und behalten den größten Handlungsspielraum.

Ein sinnvoller erster Schritt besteht darin, für jede Produktfamilie die richtigen Experten zusammenzubringen: Ihr eigenes Team, Compliance-Spezialisten und unsere Ingenieure. Gemeinsam analysieren wir das Produkt, prüfen die geltenden Vorschriften und identifizieren mögliche Lücken. So erhalten Sie schnell einen klaren Aktionsplan und wissen genau, wobei wir Sie unterstützen können.

>>> Kontaktieren Sie unser Cybersecurity-Team unter +32 3 620 18 18 oder senden Sie uns eine E-Mail.

Fördermöglichkeiten für KMU

Für KMU stehen finanzielle Fördermittel zur Verfügung. Das europäische Projekt SECURE hat am 1. Oktober 2026 einen zweiten Förderaufruf mit einem Budget von 11,5 Millionen Euro für Kleinst-, kleine und mittlere Unternehmen gestartet, die Unterstützung bei der Umsetzung des CRA benötigen.

Anträge können bis zum 11. Dezember 2026 eingereicht werden. Es lohnt sich auf jeden Fall zu prüfen, ob Ihr Unternehmen und Ihr Projekt förderfähig sind.

Weitere Informationen:

• In unserem Whitepaper "The Rules Are Changing – ‘REDy’ or Not?" (Mai 2025) haben wir die Cybersicherheitsanforderungen für Funkprodukte im Rahmen der RED näher beleuchtet. Download über die Schaltfläche unten.
• Im Whitepaper "CRA: Software Compliance on the Rise, First Steps Toward 2027" (April 2026) haben wir einen Ausblick auf den Cyber Resilience Act gegeben. Download über die Schaltfläche unten.