Der CRA für Embedded- und Firmware-Teams
Der Cyber Resilience Act gilt für Geräte mit digitalen Elementen, aber Firmware braucht Hersteller-SBOM plus aus Binary abgeleitetes Inventar, Ehrlichkeit zu HEX-/verschlüsselten Images und einen Neubau-Pfad bei langer Supportlaufzeit.
Generische CRA-Leitfäden setzen eine einfache Software-Lieferkette voraus. Embedded- und IoT-Produkte brechen diese Annahme: Die Firmware ist cross-kompiliert, kann Paketmetadaten fehlen lassen, läuft auf Hardware, die Sie jahrelang unterstützen, und aktualisiert over the air. Was sich ändert.
Warum Embedded-CRA-Konformität anders ist
Hersteller-SBOM vs. was in der Binary steckt
Yocto-/Buildroot-/Android-ähnliche Images liefern oft ein unvollständiges Herstellerdokument. Ein Inventar aus dem Image abzuleiten und zu vergleichen schließt die Lücke, die die Marktüberwachung interessiert.
Bare-Metal- und verschlüsselte Images
Intel HEX, S-Record und verschlüsselte Images können ein leeres abgeleitetes SBOM ergeben. Der ehrliche Weg ist ein Hersteller-SBOM aus dem Build-System, und das vor der Analyse zu sagen, nicht danach.
Lange Supportfenster
Sicherheitsupdates sind für den Unterstützungszeitraum vorgeschrieben, mindestens fünf Jahre. Sie brauchen einen Neubau-Pfad, wenn Jahre später ein Patch nötig ist.
Artikel 14 bei ausgelieferter Firmware
Ab dem 11. Sep. 2026 müssen Sie wissen, ob ein aktiv ausgenutztes CVE in einem bereits in Verkehr befindlichen Produkt auftaucht, und wann Sie Kenntnis erlangt haben.
Wo alloy-it ansetzt
alloy-it behandelt Produkte und Releases als CRA-Bezugseinheit: Upload des Hersteller-SBOM, aus Firmware abgeleitetes Inventar auf Abruf, Vergleich, kontinuierliches erneutes Scannen, Triage, Kenntnis nach Artikel 14 und Nachweispakete. Blueprints schließen den Reproduce-Zweig, wenn Sie ein betroffenes Release Jahre in den Unterstützungszeitraum hinein neu bauen müssen.
Es ist keine vollständige Rechtskonformitäts- oder CE-Kennzeichnungslösung und reicht nichts bei ENISA ein. Die CRA-Konformitäts-Checkliste ansehen →
CRA-Konformitätshub
CRA-Überblick für Embedded und Firmware
Was der Cyber Resilience Act verlangt, die Fristen und wie Hersteller von Produkten mit digitalen Elementen konform werden.
CRA-SBOM-Anforderungen
Format, Umfang und Regeln je Version für ein CRA-konformes Produkt-Software Bill of Materials.
CRA-Konformitäts-Checkliste
Eine praktische Checkliste, die jede CRA-Pflicht darauf abbildet, was Ihr Team tun muss.
Schwachstellenbehandlung und Artikel 14
24h-/72h-/14-Tage-Meldung, KEV/EUVD, Kenntnisuhr und was Sep. 2026 tatsächlich verlangt.
Build-Umgebungs-SBOM
Toolchain und Build-Zeit-Abhängigkeiten für technische Dokumentation: nützliche Tiefe, aber nicht das, was die Meldung im Sep. 2026 verlangt.
Diese Seite bietet allgemeine Informationen zum EU Cyber Resilience Act und ist keine Rechtsberatung. Die Verordnung und ihre harmonisierten Normen entwickeln sich weiter: konsultieren Sie die offiziellen Quellen von EU, ENISA und BSI sowie qualifizierten Rechtsbeistand für Ihr konkretes Produkt. alloy-it hilft bei Produktinventar, SBOM-Überwachung, Triage, Nachweisen zu Artikel 14 und dem Neubau-Pfad; es ist keine CE-Kennzeichnungssoftware, keine notifizierte Stelle und reicht keine Berichte bei ENISA oder nationalen CSIRTs ein.
CRA-Betrieb auf Ihrer Firmware führen
Produktinventar, Hersteller- vs. abgeleitetes SBOM, Triage und Bereitschaft für Artikel 14, kostenlos starten.