Cybersicherheits-Risikoanalyse für Embedded-Hersteller
- Rechtsgrundlage
- Art. 13 Abs. 2, Anhang I Teil I CRA
- Frist
- Frist: 11. Dezember 2027
Was Sie wissen müssen
Cybersicherheits-Risikoanalyse im Embedded-Hersteller: Was der CRA konkret fordert, typische Herausforderungen und erste Schritte — branchenspezifisch erklärt.
Cybersicherheits-Risikoanalyse nach CRA
Die Cybersicherheits-Risikoanalyse ist das Herzstück der CRA-Konformität. Sie identifiziert Bedrohungen, bewertet Risiken und definiert Schutzmaßnahmen — und muss über den gesamten Produktlebenszyklus aktuell gehalten werden.
Konkrete Anforderungen nach CRA:
- Identifikation aller Bedrohungsszenarien (Threat Modeling)
- Bewertung von Eintrittswahrscheinlichkeit und Schadensauswirkung
- Ableitung konkreter Schutzmaßnahmen je Bedrohung
- Dokumentation als Teil der technischen Dokumentation
- Aktualisierung bei Produktänderungen und neuen Bedrohungen
Warum ist Cybersicherheits-Risikoanalyse für Embedded-Hersteller besonders relevant?
Embedded-Systeme haben eine besondere Risikolandschaft: physischer Zugang (JTAG-Debug-Ports, UART-Konsolen), geringe Rechenressourcen für Kryptografie und lange Laufzeiten ohne Updates. Eine CRA-Risikoanalyse muss auch physische Angriffsvektoren bewerten — insbesondere wenn Geräte im Feld ohne physischen Schutz betrieben werden.
Typische Herausforderung
Ressourcenbeschränkte Embedded-Systeme können nicht alle Kryptografie-Anforderungen des CRA erfüllen (z. B. TLS 1.3 auf 8-Bit-Mikrocontrollern). Die Risikoanalyse muss begründen, welche Schutzmaßnahmen angemessen und machbar sind.
Besonderheiten im Embedded-Hersteller
- Physische Angriffsvektoren (JTAG, UART) müssen in Risikoanalyse bewertet werden
- OTA-Update-Mechanismus ist für viele Embedded-Produkte eine neue Anforderung
- Als Komponente verbaut: Pflichten liegen beim Komponentenhersteller UND beim Gerätehersteller
Erste Schritte zur Umsetzung
- 1
Systemgrenzen und Schnittstellen definieren (Angriffsoberfläche)
- 2
Threat Modeling durchführen (z. B. STRIDE-Methodik)
- 3
Risiken bewerten (Wahrscheinlichkeit × Auswirkung)
- 4
Schutzmaßnahmen festlegen und umsetzen (Anhang I Teil I CRA)
- 5
Risikoanalyse dokumentieren und in technische Dokumentation einbinden
- 6
Review-Prozess etablieren (mindestens bei Produktänderungen)
Weiterlernen
Vertiefende Artikel
Nächster Schritt
Wissen allein schützt nicht. Prüfen Sie jetzt, welche CRA-Klasse Ihr Produkt betrifft — kostenlos, in unter 3 Minuten.