Cyber Resilience Act für IoT, Embedded & smarte Produkte

Vernetzte Produkte mit digitalen Elementen – vom smarten Türschloss über Router und Wearables bis zur industriellen Steuerung – fallen im Regelfall in den Anwendungsbereich des Cyber Resilience Act (Verordnung (EU) 2024/2847). Maßgeblich ist die direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netz (Art. 2(1), Art. 3(1)). Für Hersteller von IoT- und Embedded-Produkten heißt das: Cybersicherheit wird zur Voraussetzung für die CE-Kennzeichnung und damit für den Marktzugang im EWR. Diese Seite gibt eine technisch-organisatorische Orientierung – keine Rechtsberatung.

Sind Ihre Produkte betroffen?

Als „Produkt mit digitalen Elementen“ (PDE) gilt jedes Software- oder Hardwareprodukt samt zugehöriger Fernverarbeitungslösungen (Art. 3(1)). Auch ein Cloud-/Backend-Bestandteil, ohne den eine Produktfunktion nicht mehr arbeitet und der vom Hersteller bereitgestellt wird, zählt als integraler Teil des PDE (Art. 3(2)). Ausgenommen sind u. a. Medizinprodukte (MDR/IVDR), Kraftfahrzeuge und Produkte unter gleichwertigen Unionsregeln (Art. 2). Eine reine, eigenständige SaaS-/Cloud-Anwendung fällt im Regelfall nicht unter den CRA, sondern unter NIS2 – die Abgrenzung ist an den Rändern jedoch nicht immer eindeutig.

Prüfen Sie Ihre grundsätzliche Betroffenheit über unseren CRA-Betroffenheits-Check.

Produktklassen: Wie streng wird die Konformität bewertet?

Der CRA kennt vier Stufen (Art. 32, Anhänge III/IV). Die Einordnung entscheidet über den Konformitätsweg. Sie ist typischerweise wie folgt zu verstehen – im Zweifel konservativ einstufen und prüfen lassen:

Wichtig: Ein Notified Body ist nur für Klasse II und kritische Produkte zwingend – nicht „alle Produkte brauchen eine benannte Stelle“. Details zur Einstufung finden Sie unter CRA-Produktklassen. Die technischen Kategoriebeschreibungen konkretisiert die Durchführungsverordnung (EU) 2025/2392.

Kernpflichten & Handlungsfelder für IoT-Hersteller

Aus Anhang I und den Herstellerpflichten (Art. 13/14) ergeben sich für vernetzte Produkte insbesondere folgende Handlungsfelder:

• Sichere Standardkonfiguration: Auslieferung mit sicheren Grundeinstellungen (security-by-default), keine fest verdrahteten Standardpasswörter, minimale Angriffsfläche.
• Sichere, kostenlose Updates: Sicherheitsupdates ohne Verzögerung und unentgeltlich bereitstellen; Sicherheits- von Funktionsupdates trennen, wo möglich; abgesicherte Update-Verteilung.
• Support-Zeitraum: in der Regel mindestens 5 Jahre (bzw. kürzere erwartete Nutzungsdauer). Bei langlebigen Embedded-Geräten früh in Roadmap und BOM einplanen.
• Schwachstellenmanagement inkl. SBOM: Schwachstellen und Komponenten identifizieren und dokumentieren – einschließlich einer SBOM in einem gängigen, maschinenlesbaren Format, mindestens für die Top-Level-Abhängigkeiten. Die Verordnung schreibt kein bestimmtes Format vor (CycloneDX, SPDX o. ä. erfüllen dies als anerkannte Formate).
• CVD-Policy: eine verpflichtende Coordinated-Vulnerability-Disclosure-Richtlinie samt Kontaktadresse zur Meldung.
• Technische Dokumentation (Anhang VII) & CE: Architektur, SBOM, CVD-Policy, Update-Verteilung, Risikobewertung mit Bezug zu Anhang I; EU-Konformitätserklärung (Art. 28), CE-Kennzeichnung (Art. 30). Aufbewahrung mindestens 10 Jahre (bzw. Support-Zeitraum).
• Meldepflichten (Art. 14): aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle an CSIRT/ENISA melden – Frühwarnung binnen 24 h, Meldung binnen 72 h, Abschlussbericht binnen 14 Tagen nach verfügbarem Fix (Schwachstellen) bzw. innerhalb eines Monats (Vorfälle).

Zeitplan: Diese Fristen gelten

Empfohlene Roadmap: (1) Produktportfolio klassifizieren und Betroffenheit klären; (2) Gap-Analyse gegen Anhang I; (3) SBOM-Pipeline und CVD-Policy aufsetzen; (4) Update- und Support-Prozesse für ≥5 Jahre etablieren; (5) technische Dokumentation und Konformitätsweg vorbereiten. Wer Funkgeräte heute schon CRA-konform auslegt, bedient das RED-Interim mit und vermeidet die Umstellung 2027.

Hintergrund und Gesamtüberblick: Cyber Resilience Act.