EU 2024/2847 (CRA) · Meldepflicht nach Artikel 14 gilt seit dem 11. September 2026
Cyberresilienz für vernetzte Produkte
Verwalten Sie Softwarekomponenten, Schwachstellen und Updates Ihrer Embedded-Geräte an einem Ort. Die Nachweise, die der CRA verlangt, entstehen dabei im laufenden Betrieb.
Fahren Sie über eine Platte oder tippen Sie darauf.
Produktsicherheit in vier Modulen
Jedes Modul funktioniert für sich. Zusammen eingesetzt wird die Ausgabe des einen zur Eingabe des nächsten: Eine Komponente in der SBOM, ein Ereignis im Feld und der Patch, der es behebt, landen im selben Datensatz.
01 · Erkennung
Dynamische SBOM-Engine
Öffnet Firmware-Images (SquashFS, uImage/sysupgrade, Disk-Images, ESP32-(ESP-IDF-)Anwendungs-Images und vollständige Flash-Dumps, Archive) und identifiziert die enthaltenen Komponenten. Lässt sich eine Ebene nicht öffnen oder eine Komponente nicht identifizieren, wird die SBOM als unvollständig gekennzeichnet und der Grund angegeben.
- Analyse von Firmware-Images und Paketmanifesten
- Ausgabe in CycloneDX 1.6 und SPDX 2.3
- Abgleich mit OSV und NVD, priorisiert mit CISA KEV und EPSS
- VEX in CSAF 2.0 und OpenVEX; die endgültige Entscheidung trifft Ihr Analyst
02 · Priorisierung
Feldtelemetrie und Frühwarnung
Geräte senden signierte Telemetrie und melden ihre eigenen Sicherheitsereignisse. Schwachstellen werden danach eingestuft, ob ihre Ausnutzung bekannt ist (CISA KEV) und wie wahrscheinlich eine Ausnutzung ist (EPSS). So stehen die dringenden oben.
- Telemetrie, signiert mit dem eigenen Schlüssel jedes Geräts
- Vom Gerät gemeldete Sicherheitsereignisse: Manipulation und Speicherbeschädigung
- Kritische Geräteereignisse legen automatisch einen Bewertungsdatensatz an; ob eine Meldepflicht besteht, entscheidet Ihr Team
- Einstufung von Schwachstellen mit CISA KEV und EPSS
03 · Meldung
CRA-Meldeassistent
Die gesetzlichen Fristen beginnen, sobald der Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erlangt. Die Plattform hält diesen Zeitpunkt fest, berechnet daraus die Fristen für 24 Stunden, 72 Stunden und den Abschlussbericht, warnt Sie vor Ablauf und erstellt den Inhalt jeder Meldung als Entwurf. Sie reichen die Meldung über die einheitliche Meldeplattform der ENISA ein, und die Einreichung wird protokolliert.
- Fristüberwachung mit Warnungen für 24 h, 72 h und den Abschlussbericht
- Entwürfe für Frühwarnung, Meldung, Abschlussbericht und Information der Nutzer (Art. 14 Abs. 8)
- Betroffene Produkte und Firmware-Versionen kommen aus den Datensätzen
- Prüfpfad, der nur ergänzt werden kann
04 · Behebung
Secure-OTA-Manager
Signiert das Update mit einem Schlüssel, der ausschließlich Ihrem Unternehmen gehört. Vor der Installation prüft das Gerät die Signatur, den Image-Hash und den Rollback-Schutz; das Update wird in den inaktiven A/B-Slot geschrieben.
- Prüfung von ECDSA-P-256-Signatur und Hash auf dem Gerät
- A/B-Slots und Rollback-Schutz
- Freigegeben werden kann nur Firmware, die die CRA-Analyse bestanden hat
- Jede Freigabe und jedes Geräteergebnis im Prüfpfad
Branchen, auf die wir uns konzentrieren
Von Netzwerkgeräten bis zu Hausgeräten, von der Industrieautomatisierung bis zu Zählern: Wir erklären Branche für Branche, was der CRA für Hersteller bedeutet, die vernetzte Produkte in der EU verkaufen.
Was mit einer Schwachstelle passiert
Wird eine neue CVE veröffentlicht, geschieht Folgendes, in dieser Reihenfolge.
Abgleichen
Die CVE wird einer Komponente in Ihrer SBOM zugeordnet. Sie sehen, welche Produkte und Firmware-Versionen sie enthalten. Ältere SBOMs werden erneut geprüft, sobald neue Schwachstellendaten eintreffen.
Priorisieren
Die CVE wird mit dem Katalog bekannter ausgenutzter Schwachstellen der CISA (KEV) und mit EPSS abgeglichen. Bekannt ausgenutzte Schwachstellen rücken an den Anfang der Liste.
Melden
Die gesetzliche Frist beginnt, sobald Sie Kenntnis von einer aktiven Ausnutzung erlangen. Die Plattform hält diesen Zeitpunkt fest, berechnet daraus die Fristen und bereitet die Meldungsentwürfe vor. Ihr Team prüft sie und reicht sie über das Portal der ENISA ein.
Patchen
Die korrigierte Version wird signiert und den Geräten bereitgestellt. Jedes Gerät prüft Signatur und Version und meldet das Ergebnis. Jeder Schritt wird im Prüfpfad festgehalten.
Sicherheit in drei Schichten
Ein Schildkrötenpanzer besteht unten aus Knochen und oben aus Hornplatten. Genauso haben wir unsere Architektur aufgebaut, Schicht für Schicht von der Hardware bis zur Cloud.
Der Zeitplan läuft
Die Verordnung erfasst die meisten Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen. Die Meldepflichten gelten bereits. Ab dem 11. Dezember 2027 sind alle grundlegenden Anforderungen verbindlich.
24 Stunden
Frist für die Frühwarnung bei einer aktiv ausgenutzten Schwachstelle
10 Jahre
Mindestaufbewahrungsdauer der technischen Dokumentation
15 Mio. €
oder 2,5 % des weltweiten Jahresumsatzes. Höchstbetrag der Geldbuße bei Verstößen gegen die grundlegenden Anforderungen
SBOM-Scanner
Ziehen Sie Ihre Lock-Datei oder Ihr Yocto-Manifest hinein und erhalten Sie die Komponentenliste und bekannte Schwachstellen. Die Datei wird in Ihrem Browser gelesen. Nur Paketname und Version verlassen Ihren Computer.
Unterstützte Dateien
- Embedded
- Yocto *.manifest, Yocto license.manifest, Buildroot manifest.csv
- JavaScript
- package-lock.json, package.json, yarn.lock, pnpm-lock.yaml
- Python
- requirements.txt, Pipfile.lock, poetry.lock
- Java, Rust, Go, PHP
- pom.xml, Cargo.lock, go.mod, composer.lock
- Vorhandene SBOM
- CycloneDX JSON (bom.json, *.cdx.json), SPDX 2.x JSON (manifest.spdx.json, *.spdx.json)
Häufige Fragen
Nein. Die Dateien werden in Ihrem Browser in einem Web Worker ausgewertet. Ist die Schwachstellenprüfung eingeschaltet, werden nur Paketname, Version und Ökosystem an OSV.dev gesendet. Die Datei selbst verlässt Ihren Computer nie.
Nein. Die SBOM ist ein Teil der Anforderungen an die Behandlung von Schwachstellen in Anhang I. Der CRA verlangt außerdem, Schwachstellen zu beheben, aktive Ausnutzung zu melden, Updates sicher zu verteilen und die technische Dokumentation aufzubewahren.
Seit dem 11. September 2026. Erlangen Sie Kenntnis von einer aktiv ausgenutzten Schwachstelle, haben Sie 24 Stunden für die Frühwarnung und 72 Stunden für die Meldung. Der Abschlussbericht ist spätestens 14 Tage nach Verfügbarkeit einer Korrektur fällig.
Nein. Die Normenreihe EN 18031 wurde für die Cybersicherheitsanforderungen der Funkanlagenrichtlinie (RED) geschrieben. Für den CRA werden eigene harmonisierte Normen erarbeitet. Siehe den Leitfaden zu EN 18031.
Wir sind für Embedded-Hardware gebaut. Wir analysieren das Firmware-Image selbst, nicht nur Quellmanifeste. Unser C-SDK läuft auf Mikrocontrollern. SBOM, Meldungen nach Artikel 14 und signierte OTA-Updates teilen sich denselben Datensatz.
Die meisten Produkte mit digitalen Elementen fallen in die Standardkategorie. Router, Modems, intelligente Türschlösser und Sicherheitskameras gehören zur Klasse I. Unser kurzer Klassencheck zeigt die wahrscheinliche Klasse; Beispiele nach Einsatzbereich finden Sie auf unseren Branchenseiten.
Wir beginnen mit einem technischen Gespräch und führen dann einen kostenlosen CRA-Vorabscan einer Firmware Ihrer Wahl durch. Danach planen wir einen Pilot, dessen Umfang und Erfolgskriterien vorab schriftlich vereinbart werden. Siehe das Pilotprogramm.
Sprechen wir über Ihr Produkt
Beschreiben Sie kurz Ihr Produkt und wie Ihre Geräte angebunden sind. Einer unserer Ingenieure liest Ihre Nachricht und meldet sich bei Ihnen.
- info@tegmensoft.com.tr
- Adresse
- Teknopol Istanbul
- linkedin.com/company/tegmensoft
Programme, an denen wir teilnehmen
Infrastruktur
© 2026 NVIDIA, the NVIDIA logo, and NVIDIA Inception are trademarks and/or registered trademarks of NVIDIA Corporation in the U.S. and other countries.
Amazon Web Services, AWS und das Powered-by-AWS-Logo sind Marken von Amazon.com, Inc. oder seinen verbundenen Unternehmen. Claude und Anthropic sind Marken von Anthropic PBC. Programmmitgliedschaften bedeuten keine Befürwortung von TegmenSoft oder seinen Produkten durch die jeweiligen Unternehmen.