Cyber Resilience Act für Elektronik Embedded Systems und IoT
Der CRA macht Cybersicherheit zur Produktaufgabe. Solvetronix begleitet Hersteller und OEM von der regulatorischen Einordnung über die technische Umsetzung bis zur nachvollziehbaren Dokumentation. Betreiber kritischer Infrastruktur unterstützen wir bei der Bewertung von Herstellerangaben, Updates und Retrofit-Optionen.
Unsere Leistungen umfassen regulatorische Beratung, technische Analyse und Umsetzung sowie die Nachweise für Ihr Produkt.
CRA Readiness Check anfragenIhr Einstieg
Für Hersteller und OEM
Welche Komponenten stecken in Ihrem Produkt? Wie erreichen Sicherheitsupdates die Geräte im Feld? Welche Nachweise gehören zur Freigabe? Wir verbinden Firmware-Analyse und sichere Entwicklung mit SBOM, Schwachstellenprozess und technischer Dokumentation.
CRA für Ihr Produkt prüfenFür Betreiber kritischer Infrastruktur
Sie benötigen nachvollziehbare Herstellerangaben, planbare Updates und sichere Lösungen für langlebige Anlagen. Wir unterstützen Ihre technische Bewertung von Beschaffung, Weiterbetrieb und Retrofit und klären mit Ihnen die Schnittstelle zwischen Produkt- und Betreiberverantwortung.
Kritische Infrastruktur und NIS2Welche Produkte Sie prüfen sollten
Der CRA erfasst grundsätzlich Hardware- und Softwareprodukte, die auf dem EU-Markt bereitgestellt werden und deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung einschließt. Dazu können Steuerungen, IoT-Geräte, Gateways und separat vermarktete Komponenten gehören. Die Einordnung hängt vom konkreten Produkt und den gesetzlichen Ausnahmen ab.
Ein Internetanschluss ist keine zwingende Voraussetzung. Auch Verbindungen zu anderen Geräten können relevant sein. Bei einem IoT-System sind außerdem Firmware, App und die vom Hersteller verantworteten, für Produktfunktionen notwendigen Backend-Bestandteile gemeinsam abzugrenzen.
Die Fristen
Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach Art. 14 melden. Diese Pflicht erfasst auch zuvor in Verkehr gebrachte Produkte.
Ab 11. Dezember 2027 gelten die Hauptpflichten, insbesondere Sicherheitsanforderungen, Schwachstellenbehandlung, technische Dokumentation und Konformitätsbewertung. Für zuvor in Verkehr gebrachte Produkte ist vor allem zu prüfen, ob sie ab diesem Datum wesentlich geändert werden.
Sieben Themen für Ihre Produktarbeit
Anwendungsbereich und Rollen — Produktgrenze, Marke und Verantwortlichkeiten klären.
Firmware und sichere Entwicklung — Risiken in konkrete technische Maßnahmen übersetzen.
SBOM und Lieferkette — Komponenten mit dem ausgelieferten Stand verknüpfen.
Meldepflichten und PSIRT — technische Befunde fristgerecht entscheidbar machen.
Konformität und CE — Kernfunktion, Bewertungsweg und Nachweise zusammenführen.
Support Updates und Retrofit — die installierte Basis über ihren Lebenszyklus betreuen.
Kritische Infrastruktur und NIS2 — Produktpflichten und sicheren Betrieb verbinden.
Technische Umsetzung und regulatorische Beratung
Solvetronix analysiert das definierte Produkt und den vereinbarten Versionsstand. Wir priorisieren technische Lücken und setzen die vereinbarten Maßnahmen um. Ergebnisse sind je nach Projekt etwa SBOM, Firmware-Testbericht, Update-Architektur und technische Produktdokumentation.
Solvetronix klärt mit Ihnen die regulatorische Einordnung, Rollen und Pflichten, den Konformitätsweg und die Anforderungen an den Meldeprozess. Technische Befunde und regulatorische Bewertung werden auf denselben Produktstand bezogen.
Die Nachweise bleiben mit Hardware-Revision, Firmware und Freigabe verknüpft. Sie erkennen, welcher Befund behoben wurde, welche Einschränkung fortbesteht und wer die nächste Maßnahme entscheidet. Eine gegebenenfalls erforderliche Bewertung durch eine notifizierte Stelle wird gesondert eingeplant.
Häufige Fragen
Welcher Schritt ist für Ihr Produkt sinnvoll
Beschreiben Sie uns Ihr Produkt, den aktuellen Entwicklungs- oder Betriebsstand und die wichtigste offene Frage. Wir klären, welche Informationen für eine erste technische Einschätzung benötigt werden.
CRA Readiness Check anfragenRechtsgrundlagen und Quellen
- CRA Verordnung EU 2024 2847
- EU Kommission CRA Überblick und Fristen
- Kommissionsleitlinien vom 27 Juli 2026
Allgemeine Information und technische Orientierung. Die konkrete Einordnung hängt von Produkt, Rolle und Einsatz ab. Stand 22. Oktober 2026.