Von RED zu CRA: Cybersecurity in der Praxis

Für Funkprodukte ist Cybersecurity bereits heute Teil der CE-Kennzeichnung. Seit dem 1. August 2025 muss jedes Funkprodukt, das auf dem EU-Markt in Verkehr gebracht wird, die Cybersecurity-Anforderungen der RED erfüllen, in der Regel durch Anwendung der harmonisierten Norm EN 18031. Dies gilt auch für bestehende Produktdesigns, die weiterhin verkauft werden.

Die Rollenverteilung entspricht dabei anderen CE-Themen. Als Hersteller geben Sie die Richtung vor und treffen die Entscheidungen. Wir bringen unsere Expertise in die technische Umsetzung ein. Zwei Praxisbeispiele zeigen, wie dies konkret aussieht.

Wie setzen wir Cybersicherheit gemeinsam mit unseren Kunden in die Praxis um?

Beispiel 1: Bestimmen, was relevant ist, und bestehende Lücken schließen

Ein Kunde trat mit einem klaren Ziel an uns heran: Sein Wi-Fi-Produkt sollte die Cybersecurity-Anforderungen der RED erfüllen.

Der erste Schritt war eine Risikoanalyse, um festzustellen, welche der Artikel 3.3(d), (e) und (f) anwendbar sind. Für diese Bewertung stellten wir sämtliche technischen Informationen zum Produkt bereit. Die fundierte Schlussfolgerung lautete, dass ausschließlich Artikel 3.3(d), der Schutz des Netzes, relevant ist. Dadurch konnte sich das restliche Projekt vollständig auf EN 18031-1 konzentrieren.

Anschließend haben wir die Norm gemeinsam mit dem Kunden Anforderung für Anforderung durchgearbeitet, um festzustellen, welche Anforderungen bereits erfüllt werden und welche Maßnahmen noch erforderlich sind. Wir haben die identifizierten Lücken geschlossen und die technische Grundlage für die Dokumentation geliefert. Das Konformitätsdossier wird derzeit von einer unabhängigen benannten Stelle geprüft.

Beispiel 2: Der Kunde führt, wir liefern

Ein Hersteller von Industrieprodukten steuerte den Konformitätsprozess selbst und bezog frühzeitig einen unabhängigen Gutachter ein.

Wir lieferten alle technischen Informationen darüber, wie die Sicherheitsmaßnahmen im Produkt umgesetzt wurden. Auf Grundlage der Feststellungen des Gutachters verstärkten wir anschließend die Produktsicherheit weiter. Die enge Zusammenarbeit zwischen Kunde, Gutachter und unseren Ingenieuren sorgte dafür, dass das Projekt planmäßig verlief.

Technische Bausteine

Unabhängig davon, welchen Weg ein Kunde wählt, bleibt die technische Grundlage häufig dieselbe. Zu den typischen Bausteinen, die wir implementieren und dokumentieren, gehören:

• Secure boot: Das Gerät startet ausschließlich Firmware, deren Echtheit nachweisbar ist.
• Sichere Updates: Es kann nur autorisierte und verifizierte Firmware installiert werden.
• Geschützter Flash-Speicher: Firmware und sensible Daten werden vor Auslesen und Manipulation geschützt.
• Abhängigkeitsprüfung: Softwarekomponenten von Drittanbietern werden auf bekannte Schwachstellen überprüft.

Ein Vorsprung auf dem Weg zum CRA

Da die RED-Cybersecurity-Anforderungen inzwischen gelten, starten Unternehmen, die bereits Risikoanalysen auf Basis von EN 18031 durchgeführt, Sicherheitsmaßnahmen implementiert und die erforderliche Dokumentation erstellt haben, nicht bei null in die CRA-Vorbereitung.

Da der Entwurf der CRA-Produktnorm (prEN 40000-1-4) weitgehend auf EN 18031 basiert, kann ein großer Teil dieser Arbeiten wiederverwendet und bis zur CRA-Konformität im Dezember 2027 weiter ausgebaut werden.

Was wir gelernt haben

• Mit der richtigen Fragestellung beginnen. Eine fundierte Risikoanalyse bestimmt, welche Anforderungen tatsächlich gelten, und vermeidet unnötigen Aufwand.
• Sie geben die Richtung vor, wir setzen um. Sie kennen das Produkt und dessen Anwendung. Wir kennen Elektronik und Firmware. Gemeinsam schließen wir Sicherheitslücken schnell und effizient.
• Externe Experten frühzeitig einbinden. Viele Partner können beim Aufbau der erforderlichen Richtlinien, Prozesse und Produktbewertungen unterstützen. Feststellungen während der Entwicklungsphase lassen sich deutlich einfacher beheben als kurz vor der Markteinführung. Für KMU kann der SECURE-Förderaufruf außerdem helfen, einen Teil der Kosten zu decken.
• Die Bereitschaft zur Umsetzung macht den Unterschied. In jedem Projekt war die proaktive Einstellung des Kunden ein entscheidender Erfolgsfaktor.

>>> Deshalb empfehlen wir Unternehmen, nicht bis 2027 zu warten, sondern bereits heute zu bewerten, welche Auswirkungen die Cybersecurity-Anforderungen auf ihre Produkte haben werden.

Bereit für den nächsten Schritt?

Ob Sie aktuell an der RED-Konformität arbeiten oder sich auf den Cyber Resilience Act vorbereiten möchten: Eine erste Analyse Ihres Produktportfolios ist häufig der wertvollste Ausgangspunkt.

Gemeinsam ermitteln wir welche Anforderungen gelten, welche Risiken besondere Aufmerksamkeit erfordern, und welche technischen Maßnahmen notwendig sind, um Ihre Produkte zukunftssicher zu machen.

>>> Kontaktieren Sie unser Cybersecurity-Team unter +32 3 620 18 18 oder per E-Mail.

Möchten Sie mehr erfahren?

• In unserem Whitepaper "The rules are changing – 'REDy' or not?" (Mai 2025) haben wir die Cybersicherheitsanforderungen für Funkprodukte gemäß der RED-Richtlinie näher beleuchtet. Laden Sie es über die untenstehende Schaltfläche herunter.
   
• Im Whitepaper "CRA: Software Compliance on the Rise, First Steps Toward 2027" (April 2026) haben wir einen Ausblick auf den Cyber Resilience Act gegeben. Laden Sie es über die untenstehende Schaltfläche herunter.