Cybersecurity-Konformität für vernetzte Geräte
RED-Cybersicherheit nach EN 18031, Cyber Resilience Act, SBOM und Schwachstellenmanagement – wir bringen Ihr vernetztes Produkt regelkonform in den EU-Markt und halten es dort.
Seit dem 1. August 2025 sind Cybersicherheitsanforderungen für funkfähige Geräte verbindlich, und ab dem 11. September 2026 greifen die ersten Pflichten des Cyber Resilience Act. Für Hersteller vernetzter Produkte heißt das: Security ist keine Kür mehr, sondern Voraussetzung für die CE-Kennzeichnung – und damit für den Marktzugang.
Wir entwickeln Embedded-Systeme, die genau diese Anforderungen von Anfang an erfüllen, statt sie am Ende nachzurüsten. Denn nachträglich ist Security teuer: Ein Gerät ohne sicheren Bootvorgang oder ohne Update-Mechanismus lässt sich nicht per Software nachbessern.
RED: Cybersicherheit für Funkanlagen (seit 08/2025 Pflicht)
Die Delegierte Verordnung (EU) 2022/30 aktiviert die Artikel 3 Absatz 3 Buchstaben d, e und f der Funkanlagenrichtlinie (RED, 2014/53/EU). Betroffen ist praktisch jedes Gerät mit WLAN, Bluetooth, Mobilfunk oder anderem Funk, das mit dem Internet verbunden ist – vom IoT-Gateway über den Sensorknoten bis zum Wearable.
Die drei Schutzziele:
- Netzschutz (3.3 d) – das Gerät darf das Netz nicht schädigen und keinen Missbrauch von Netzressourcen ermöglichen
- Schutz personenbezogener Daten (3.3 e) – für Geräte, die personenbezogene, Verkehrs- oder Standortdaten verarbeiten
- Betrugsschutz (3.3 f) – für Geräte, die Geld oder Werte übertragen
Den Nachweis führt man über die harmonisierte Normreihe EN 18031-1/-2/-3, seit Januar 2025 im Amtsblatt gelistet (Durchführungsbeschluss (EU) 2025/138). Achtung: Die Konformitätsvermutung gilt mit Einschränkungen – unter anderem, wenn ein Gerät den Betrieb ohne Passwort erlaubt. Dann führt der Weg über eine benannte Stelle und eine EU-Baumusterprüfung. Genau solche Fallen klären wir vor dem Design, nicht danach.
Cyber Resilience Act: der Zeitplan
Die Verordnung (EU) 2024/2847 gilt für alle „Produkte mit digitalen Elementen“ – Hardware wie Software, unabhängig vom Funk.
| Datum | Was gilt |
|---|---|
| 10.12.2024 | CRA in Kraft, Übergangsphase beginnt |
| 11.09.2026 | Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle |
| 11.12.2027 | Vollständige Anwendung; neue Produkte brauchen Konformitätsbewertung und CE |
Ab dem 11. September 2026 gilt eine dreistufige Meldekette: Frühwarnung innerhalb von 24 Stunden, ausführliche Meldung nach 72 Stunden, Abschlussbericht nach Behebung. Das ist weniger ein technisches als ein organisatorisches Problem – wer im Ernstfall erst herausfinden muss, welche Geräte welche Softwarestände tragen, hält keine 24 Stunden ein.
SBOM: die Stichprobe, die alles entscheidet
Eine Software Bill of Materials listet jede Komponente in Ihrem Produkt samt Version und Herkunft. Wenn morgen eine Schwachstelle in einer verbreiteten Bibliothek bekannt wird, beantwortet die SBOM in Minuten, was sonst Wochen dauert: Welche unserer Produkte sind betroffen, in welchen Ständen, bei welchen Kunden?
Was wir dabei aufbauen:
- SBOM-Erzeugung automatisch im Build (CycloneDX oder SPDX), nicht als einmalige Handarbeit – orientiert an BSI TR-03183
- Abgleich der Komponenten gegen Schwachstellendatenbanken, mit Alarm bei Treffern
- Zuordnung Seriennummer → Softwarestand, damit betroffene Geräte identifizierbar sind
- Update-Weg, der die Korrektur auch ins Feld bringt – signiert und rückfallsicher
Was wir konkret tun
- Gap-Analyse – Wir prüfen Ihr Produkt oder Ihre Produktfamilie gegen RED/EN 18031 und die CRA-Anforderungen und benennen die Lücken samt Aufwand.
- Security-Architektur – Secure Boot, Schlüsselverwaltung, sichere Schnittstellen, Rechte- und Rollenkonzept, Update-Mechanismus.
- Umsetzung in Hard- und Firmware – vom Bootloader über die Funkanbindung bis zur Cloud-Schnittstelle.
- SBOM und Prozesse – Build-Pipeline, Schwachstellenüberwachung, Meldeprozess mit Zuständigkeiten und Vorlagen.
- Dokumentation für die Konformitätsbewertung – Risikobewertung, technische Dokumentation, Supportzeitraum.
Warum mit uns
Wir sind keine reine Prüf- oder Beratungsstelle, sondern entwickeln die Geräte selbst. Das heißt: Wir wissen, was ein Secure-Boot-Konzept auf einem Cortex-M mit begrenztem Flash tatsächlich kostet, und schlagen keine Architektur vor, die im Serienpreis nicht darstellbar ist.
Rechtsstand dieser Seite: September 2026. Quellen: Delegierte Verordnung (EU) 2022/30, Durchführungsbeschluss (EU) 2025/138 (EN 18031-1/-2/-3), Verordnung (EU) 2024/2847 (Cyber Resilience Act). Diese Seite ist eine technische Einordnung und ersetzt keine Rechtsberatung.