Veröffentlicht Juli 29, 2026 ·Allgemein· 5 Min. Lesezeit

Cyber Resilience Act: Die 5 wichtigsten Fragen für die Beschaffung von IoT-Hardware

Ab September 2026 greifen die ersten CRA-Pflichten, ab Dezember 2027 gilt die Verordnung vollständig.

Wir liefern Antworten auf die 5 wichtigsten Fragen.

Viele Unternehmen richten sich beim Cyber Resilience Act (CRA) auf Dezember 2027 aus. Der erste echte Stichtag liegt allerdings deutlich früher: Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an ENISA und das zuständige CSRIT melden. Die volle Anwendbarkeit folgt am 11. Dezember 2027.

Für alle, die Router, Gateways, Telematik-Plattformen, Module oder Funksensoren beschaffen und in eigene Anwendungen integrieren, bedeutet dies eine Umstellung mit Vorlauf, allerdings ohne viel Puffer. Folgende fünf Fragen hören wir derzeit besonders häufig:

Frage 1: Fällt mein Produkt unter den CRA?

Wenn das Produkt eine Datenverbindung hat und digitale Elemente enthält, lautet die Antwort: ja. Für unser Portfolio heißt das: Industrie-, Bahn- und Fahrzeugrouter, IoT- und LoRaWAN-Gateways und programmierbare Telematik-Plattformen fallen unter den Cyber Resilience Act (kurz: CRA), aber es können auch IoT-Sensoren sowie Embedded Module betroffen sein.

Innerhalb dessen unterscheidet die Verordnung nach Risikoklassen – mit deutlichen Auswirkungen auf den Aufwand:

Router und u.U. IoT-Gateways sind als „wichtige Produkte Klasse I“ (Anhang III) eingestuft. Selbstbewertung ist nur möglich, wenn der Hersteller eine harmonisierte Norm vollständig anwendet. Da CEN/CENELEC und ETSI diese Normen noch erarbeiten, führt der Weg aktuell fast immer über eine benannte Stelle. Kapazitätsengpässe bei Prüfstellen sind ab 2027 wahrscheinlich. Ein Punkt, den Sie in Roadmap-Gesprächen mit Ihren Router-Herstellern früh adressieren sollten.
Module, Gateways, Telematik-Plattformen und Funksensoren (LoRaWAN, NB-IoT und vergleichbare) fallen in der Regel in die Standardkategorie mit Selbstbewertung nach Modul A, d.h. ein deutlich schlankeres Verfahren.
Zwei häufige Missverständnisse lohnen die Klarstellung: Erstens Telematik-Geräte, „Sitzen doch im Fahrzeug, gilt da nicht die KFZ-Ausnahme?“ Hier lautet die Antwort: Nein. Die Ausnahme erfasst die Typgenehmigung von Fahrzeugen selbst, nicht Nachrüst-Telematik. Zweitens Smart-Meter-Gateways: Sie sind in Anhang IV als kritische Produkte gelistet, das betrifft aber ausschließlich diese spezielle Kategorie nach EU-Elektrizitätsbinnenmarkt-Richtlinie, nicht die IoT- oder LoRaWAN-Gateways aus unserem Portfolio.

Frage 2: Welche Fristen gelten und was passiert mit Bestandsware?

Auch hier gelten die zwei Stichtage: Der 11. September 2026 für die Meldepflichten bei Schwachstellen sowie Sicherheitsvorfällen und der 11. Dezember 2027 für die vollständige Konformität. Ab diesem Datum dürfen nur noch Produkte in Verkehr gebracht werden, die alle CRA-Anforderungen erfüllen.
Der Bestandsschutz greift pro einzelner Produkteinheit, nicht pro Modell oder Serie. Liefert de Hersteller einen Sensor am 10. Dezember 2027 aus, gilt der Bestandsschutz. Dieselbe Baureihe am Folgetag muss vollständig konform sein. Für die Beschaffung heißt das: Bestellungen und Lieferzeiten so planen, dass Neubauten und Ersatzteile nach dem Stichtag zuverlässig aus konformer Produktion kommen.

Frage 3: Wie lange gibt es Sicherheitsupdates und wer meldet Schwachstellen?

Der CRA verpflichtet Hersteller, Sicherheitsupdates über den erwarteten Nutzungszeitraum bereitzustellen, was bedeutet für mindestens fünf Jahre. Für IoT-Anwendungen mit Laufzeiten von acht bis fünfzehn Jahren ist das eng bemessen. Fragen Sie also konkret pro Produktkategorie nach.

Zweiter Punkt: der Prozess für die koordinierte Offenlegung von Schwachstellen (CVD). Jeder Hersteller braucht einen dokumentierten, öffentlich auffindbaren Meldeweg. Meldet jemand eine Schwachstelle, sollten Sie informiert werden, ohne selbst nachhaken zu müssen.

Ein zunehmend wichtiges Werkzeug in diesem Zusammenhang ist die Software Bill of Materials (SBOM), ein maschinenlesbares Inventar aller Software-Komponenten eines Produkts, üblicherweise im SPDX- oder CycloneDX-Format. Der CRA verpflichtet Hersteller in Anhang I Teil II zur SBOM-Erstellung, mindestens auf Ebene der Top-Level-Abhängigkeiten. Wird später eine Schwachstelle in einer weit verbreiteten Bibliothek bekannt (Beispiel: Log4Shell), können Sie damit selbst prüfen, welche Ihrer Geräte betroffen sind, ohne auf die Rückmeldung jedes Herstellers zu warten. Eine Veröffentlichungspflicht besteht nicht; SBOMs werden auf Anfrage bereitgestellt und für zehn Jahre aufbewahrt.

Frage 4: Welche CRA-Dokumente liefert m2m Germany?

Für Ihre eigene Compliance-Dokumentation, für Audits und gegenüber Ihren Endkunden benötigen Sie pro Produkt folgende zentrale Dokumente:

EU-Konformitätserklärung,
technische Dokumentation (Produktbeschreibung, Risikoanalyse, Sicherheitsmaßnahmen, SBOM) und
Nutzerhandbuch mit Vorgaben zur sicheren Konfiguration.

Ziel ist es, die verfügbaren Unterlagen gebündelt und den jeweiligen Produkten zugeordnet zur Verfügung zu stellen, sobald diese von den Herstellern vorliegen. Dadurch könnte eine zentrale Informationsquelle geschaffen werden, ohne dass Sie einzelne Herstellerportale durchsuchen müssen.
Ergänzend könnte eine Übersicht bereitgestellt werden, aus der hervorgeht, welche Dokumente je Artikel bereits verfügbar sind. Fehlende Unterlagen würden, soweit verfügbar, entsprechend ergänzt.

Zusätzlich muss geklärt werden, wo die Herstellerpflicht endet und Ihre als Integrator beginnt: Der Hersteller dokumentiert das Produkt, Sie dokumentieren die konkrete Einbausituation, die Netzsegmentierung und die Konfiguration Ihrer Endanwendung. Das erspart Diskussionen im späteren Audit.

Frage 5: Wer haftet in der Lieferkette und wo unterstützt m2m Germany konkret?

Der CRA verteilt Pflichten unterschiedlich auf Hersteller, Importeure, Distributoren und Betreiber. Der entscheidende Punkt für viele unserer Kunden: Wer eine Komponente in ein Endprodukt integriert und unter eigenem Namen verkauft, wird im CRA-Sinne selbst zum „Hersteller“, mit allen Pflichten zur Konformitätsbewertung, Dokumentation und Meldung.

Ein typisches Beispiel: eine programmierbare Linux-Telematik-Plattform, auf der Sie Ihre eigene (Flottenmanagement)-Anwendung entwickeln und unter Ihrer Marke ausliefern. Der Plattform-Hersteller ist CRA-Hersteller für die Basis, Sie werden CRA-Hersteller für das Endprodukt.

Konkret sehen wir unsere Rolle so: Bei Routern, Gateways, Telematik-Plattformen und Funksensoren sind wir Value Added Distributor, d.h. sobald die geforderten Unterlagen von den Herstellern vorliegen, werden wir sie ebenfalls zur Verfügung stellen.

Bei Modulen können wir dank unseres Herstellernetzwerks weiter gehen und Sie aktiv dabei begleiten, gemeinsam mit dem passenden Zulieferer den Weg zur CRA-Konformität einzuschlagen, von der Auswahl geeigneter Bauteile bis zur Bündelung von Anforderungen gegenüber dem Hersteller.

Die Vorbereitungen laufen jetzt!

Der CRA ist kein Projekt für Dezember 2027! Die operativen Vorbereitungen laufen jetzt. Wenn Sie diese Fragen für Ihr Portfolio durchgehen möchten, sprechen Sie uns an. Wir übersetzen die Hersteller-Informationen in eine Form, mit der Ihre Beschaffung und Ihre Compliance direkt arbeiten können.

Kontaktieren Sie uns

Disclaimer:

Dieser Guide ersetzt keine Rechtsberatung. Für Ihre spezifische Situation empfehlen wir die Prüfung durch qualifizierte Fachjuristen oder eine Konformitätsbewertungsstelle.