Unser Weg zum CRA: Ab dem 11. September gelten die Meldepflichten

Datum : 11. September 2026

Unser Weg zum CRA: Ab dem 11. September gelten die Meldepflichten

Ab heute gelten die Meldepflichten des Cyber Resilience Acts (CRA). Hersteller müssen aktiv ausgenutzte Schwachstellen in ihren Produkten melden. Das gilt nicht nur für Produkte die ab heute neu in Verkehr gebracht werden, sondern auch für Geräte die schon im Einsatz sind. Heute ist der Zeitpunkt, an dem der CRA für viele zum ersten Mal konkret wird. Für uns ist es der passende Zeitpunkt, mit dieser Serie zu starten.

Worum es in dieser Serie geht

Zwölf Monate lang erscheint an dieser Stelle jeden Monat eine Folge darüber, wie wir bei DH electronics mit dem Cyber Resilience Act umgehen. Kein weiterer Erklärtext zur Verordnung, davon gibt es inzwischen reichlich, und einiges ist bereits veraltet, weil die Auslegung der Verordnung noch immer in Bewegung ist.

Wir zeigen stattdessen unseren eigenen Weg: was wir längst tun, woran wir gerade arbeiten und was wir uns vorgenommen haben. Auch die Themen, an denen wir intern noch diskutieren, gehören dazu. Erzählt wird zunächst aus drei Blickwinkeln: aus Sicht der Hardware- und Software-Entwicklung sowie der Geschäftsführung. Weitere Aspekte kommen dazu, wo sie das Bild vervollständigen. Denn der CRA denkt in Lieferketten, und genau dort wird es anspruchsvoll: Im eigenen Haus ist eine gemeinsame Leseart schnell gefunden, zwischen Lieferanten und Kunden treffen dagegen sehr unterschiedliche Auslegungen aufeinander. Wir legen hier bewusst unsere eigenen Gedanken und Entscheidungen offen, weil sich viele von uns die dieselben Fragen stellen. Sind wir überhaupt betroffen? Was gilt ab wann? Und vor allem: Wie ist dieser Text korrekt zu interpretieren? Auf längst nicht jede dieser Fragen haben wir eine finale Antwort. Aber wir haben einen Standpunkt, und diesen möchten wir offen kommunizieren. Denn nur so können unsere Kunden und Partner unseren Weg verstehen und mitgehen.  Wir freuen uns über euer Feedback und eure Fragen dazu. 

Was bei uns bereits Praxis ist

Vieles, was der CRA von Herstellern verlangt, gehört bei uns seit Jahren zum Produkt, lange bevor es die CRA-Verordnung gab. Wir pflegen unser System on Module (SOM) und die zugehörigen Referenz-Designs über die Produkt-Lebensdauer. Unsere Update-Zyklen sind fest getaktet: jährlich ein Linux-Kernel-Update, alle zwei Jahre eine neue Yocto-LTS-Version. Innerhalb des laufenden LTS-Zyklus liefern wir Minor-Updates und Patches auf der jeweiligen Kernel- und Yocto-Version nach. Seit 2019 setzen wir konsequent auf Mainline Linux, die früheren großen Update-Sprünge mit dem damit verbundenen Aufwand sind seither Geschichte. Unsere Kunden bekommen vollen Zugriff auf den Board-Support-Package Quellcode, damit sie alles nachvollziehen und ggf. selbst weiterarbeiten können. Das ist keine CRA-Vorbereitung gewesen. Das war die Antwort auf die Frage: Wie hält man ein Industrieprodukt über mindestens zehn Jahre aktuell, ohne dass es beim Kunden zum Risiko wird?

Was sich mit dem CRA für uns ändert

Aus interner Praxis wird eine Pflicht mit Fristen und Nachweisen. Das ist der wesentliche Unterschied. Dazu kommt eine Einordnung, die in unserem SOM-Markt oft überrascht: Wir sind im Sinne des CRA, Hersteller, nicht Komponentenlieferant. Die Verordnung unterscheidet nicht zwischen Produkt und Komponente und auch nicht zwischen B2B und B2C. Hersteller ist, wer ein Produkt auf dem EU-Markt bereitstellt. Gemeint ist die Bereitstellung, nicht die Fertigung im Sinne von Produktion. Wer daraus schließt, als Zulieferer nicht betroffen zu sein, liegt falsch. Dies gilt auch für unsere Kunden, die auf Basis unserer SOMs ein eigenes Gerät in Verkehr bringen: sie sind für dieses Gerät selbst Hersteller mit eigenen Pflichten. Was das für die Zusammenarbeit mit unseren Kunden bedeutet, wird ebenfalls ein eigenes Thema in dieser Serie.

Woran wir gerade arbeiten

• Die Auslegung der Verordnung mit ihren Artikeln und Anhängen im Hinblick auf unsere Produkte. Der Text umfasst über achtzig Seiten und ist für Nicht-Juristen an vielen Stellen mehrdeutig.
• Die Bemessung des Unterstützungszeitraums und was der CRA für Produkt-Abkündigungen bedeutet. Beides gehört zusammen, denn beides bestimmt, wie lange ein Produkt unterstützt werden muss, nachdem man es nicht mehr liefert. Beim sogenannten Unterstützungszeitraum lässt der CRA nicht freie Wahl: dieser muss sich aus der voraussichtlichen Nutzungsdauer des Produkts ableiten und begründet sein. Wer sich stattdessen auf das gesetzliche Mindestmaß von fünf Jahren zurückzieht, wird der Bemessungsregel damit in vielen Fällen nicht gerecht und steht im Zweifelsfall auf dünnem Eis.
• Die Frage, wo bzw. wie wir uns bei all den Themen positionieren beschäftigt uns nach wie vor. Der CRA verändert nicht nur interne Abläufe, sondern auch, was Kunden von einem Lieferanten erwarten dürfen. 

Welchen Anspruch wir bei all den Themen an uns selbst stellen und welcher Weg für uns der Beste ist, beschäftigt uns noch immer. Wir wollen dennoch „unseren Weg zum CRA“ transparent nach außen tragen und alle mitnehmen, die vor denselben Fragen stehen.

Was wir uns vorgenommen haben

Unser Anspruch ist nicht, einen CRA-Minimal-Ansatz zu wählen. Wir wollen die Prozesse dahinter so aufsetzen, dass sie über den gesamten Produkt-Lebenszyklus tragen - automatisierte CVE- und SBOM-Abläufe, und eine Dokumentation, die unsere Entscheidungen nachvollziehbar hält von der Risikobetrachtung über die getroffenen Maßnahmen bis zur Bemessung des Unterstützungszeitraums. Denn der CRA verlangt nicht allein die Umsetzung geeigneter Maßnahmen, sondern auch deren Nachweis gegenüber der zuständigen Behörde. Wir wollen unsere Kunden in die Lage versetzen, ihre eigene Rolle auszufüllen, statt sie mit einem Stapel Dokumente allein zu lassen.

Wie es uns auf unserer CRA-Reise Schritt für Schritt ergeht, das lest ihr hier von jetzt an jeden Monat.

Alle Folgen erscheinen in unserem Newsbereich und im monatlichen Newsletter.