Ab Ende 2027: nur noch CRA-konforme Produkte auf den EU-Markt. Sind Sie bereit?

Ihre Organisation hat derzeit noch keine klare Struktur für das Thema Sicherheit. Das ist bei vielen Herstellern so – bisher war es schlicht nicht nötig. Ab 2027 wird das jedoch zum Problem: Der CRA verlangt eine benannte Verantwortlichkeit und nachvollziehbare Prozesse. Ohne diese können Sie keine Konformität nachweisen.

Was Sie angehen sollten:

1. Klare Verantwortung schaffen: Benennen Sie eine Person oder ein Team, das zentral für Sicherheitsthemen zuständig ist – als Anlaufstelle für Kundenmeldungen, Vulnerability Reports und interne Koordination. Ohne diese zentrale Stelle versanden Sicherheitsthemen zwischen Abteilungen. Zeitrahmen: 1-2 Monate.

2. Lieferketten-Sicherheit aufbauen: Wenn Sie externe Komponenten oder Open-Source-Software einsetzen, sind Sie trotzdem verantwortlich. Beginnen Sie damit, alle eingesetzten Komponenten zu inventarisieren und auf bekannte Schwachstellen zu prüfen. Zeitrahmen: 3-6 Monate für ein systematisches Vorgehen.

Wie MaibornWolff Ihnen hilft:

Wir haben bei über 30 Herstellern Security-Organisationen aufgebaut und wissen, welche Prozesse realistisch sind und welche zu Bürokratie werden. Wir helfen Ihnen:

• Die richtige Organisationsstruktur zu finden – passend zu Ihrer Unternehmensgröße
• Einen pragmatischen Prozess für Supply-Chain-Checks aufzusetzen
• Verantwortlichkeiten so zu definieren, dass sie im Alltag funktionieren

Sie haben erste Verantwortlichkeiten definiert oder prüfen externe Komponenten zumindest teilweise. Das ist ein guter Anfang. Aber der CRA verlangt ein durchgehendes, dokumentiertes System – keine Einzelmaßnahmen. Zertifizierer werden fragen: „Wer ist verantwortlich? Wie ist der Prozess dokumentiert? Wie stellen Sie sicher, dass Zulieferer-Komponenten sicher sind?'

Was Sie jetzt angehen müssen:

1. Verantwortung zentralisieren und formalisieren: Wenn die Zuständigkeit verteilt ist, entstehen Lücken. Definieren Sie eine zentrale Anlaufstelle mit klarem Mandat, dokumentierten Eskalationswegen und regelmäßigem Reporting. Zeitrahmen: 1-2 Monate.

2. Supply-Chain-Checks systematisieren: „Manchmal checken' reicht nicht. Sie brauchen einen wiederholbaren Prozess: Welche Komponenten werden geprüft? Wie oft? Was passiert, wenn eine Schwachstelle gefunden wird? Zeitrahmen: 2-4 Monate.

Wie MaibornWolff Ihnen hilft:

• Organisationsberatung: Wie strukturieren Sie Security-Verantwortung, ohne einen riesigen Apparat aufzubauen?
• Supply-Chain Security Assessment: Wie sicher sind Ihre Zulieferer wirklich? Welche Risiken haben Sie übersehen?
• Prozess-Design: Wir helfen Ihnen, Prozesse aufzusetzen, die im Alltag funktionieren – nicht nur auf dem Papier

Sie haben eine klare Verantwortungsstruktur und prüfen externe Komponenten systematisch. Das ist vorbildlich und bringt Sie in eine starke Ausgangsposition für die CRA-Konformität.

Was Sie jetzt angehen sollten:

1. Dokumentation sicherstellen: Der CRA verlangt, dass Sie Ihre Organisationsstruktur und Supply-Chain-Prozesse nachweisbar dokumentieren – 10 Jahre lang. Stellen Sie sicher, dass alles schriftlich festgehalten ist: Verantwortlichkeiten, Prüfprozesse, Ergebnisse. Zeitrahmen: 1-2 Monate.

2. Lieferkette proaktiv absichern: Gehen Sie über das reine Prüfen hinaus. Stellen Sie vertragliche Anforderungen an Zulieferer, fordern Sie SBOMs ein und etablieren Sie ein kontinuierliches Monitoring. Zeitrahmen: laufend.

Wie MaibornWolff Ihnen hilft:

• Certification Readiness Review: Wir prüfen, ob Ihre Dokumentation den Anforderungen standhält
• Supply-Chain Security Assessment: Tiefenanalyse Ihrer Zulieferer-Landschaft auf versteckte Risiken
• Langfristige Begleitung: Neue Zulieferer, neue Komponenten, neue Anforderungen – wir bleiben an Ihrer Seite

Sicherheit wird in Ihrer Entwicklung derzeit noch nicht systematisch mitgedacht – und es gibt keinen formalisierten Prozess für den Umgang mit Sicherheitslücken. Das ist ein kritischer Punkt: Viele teure Feldausfälle und PR-Probleme entstehen genau hier. Der CRA macht Security-by-Design und ein Vulnerability-Management zur Pflicht.

Was Sie angehen sollten:

1. Security-by-Design einführen: Sicherheit muss vor dem ersten Code-Commit beginnen. Starten Sie mit Threat Modeling vor dem Design, führen Sie Security Code Reviews ein und machen Sie Penetration Tests vor jedem Release zum Standard. Zeitrahmen: 4-6 Monate zur Implementierung, dann kontinuierlich.

2. Vulnerability-Management aufbauen: Sie brauchen einen klaren Prozess: Wer nimmt Sicherheitsmeldungen entgegen? Wie schnell wird gepatcht? Wie werden Kunden informiert? Ab September 2026 müssen Sie entdeckte Sicherheitslücken innerhalb von 24 Stunden melden. Zeitrahmen: 3-4 Monate.

Wie MaibornWolff Ihnen hilft:

Wir haben Security-by-Design bei zahlreichen Herstellern eingeführt – bei Unternehmen wie Miele, STIHL und KUKA. Wir wissen, wie man Sicherheit in den Entwicklungsprozess einbaut, ohne ihn zu verlangsamen:

• Pragmatisches Threat Modeling, das Entwickler nicht ausbremst
• Security-Review-Prozesse, die in bestehende CI/CD-Pipelines passen
• Vulnerability-Management-Prozesse, die realistisch und umsetzbar sind

Sie haben erste Sicherheitsmaßnahmen in Ihrer Entwicklung – Reviews, vielleicht auch Tests. Und bei Sicherheitslücken reagieren Sie, wenn auch nicht immer systematisch. Das ist eine solide Basis. Aber der CRA verlangt durchgängige, dokumentierte Prozesse – kein Ad-hoc-Vorgehen.

Was Sie jetzt angehen müssen:

1. Security-by-Design durchgehend machen: Nicht nur bei einzelnen Produkten, sondern bei allen. Threat Modeling vor dem Design, Security Code Review, Penetration Tests vor Release – es sollte System sein, nicht Einzelfall. Zeitrahmen: 2-4 Monate zur Systematisierung.

2. Vulnerability-Management formalisieren: „Wir fixen Probleme ad-hoc' reicht nicht. Sie brauchen einen dokumentierten Prozess mit klaren Fristen, Eskalationswegen und Kommunikationsregeln. Kunden müssen informiert werden, bevor Sie öffentlich kommunizieren. Zeitrahmen: 2-3 Monate.

Wie MaibornWolff Ihnen hilft:

• DevOps-Expertise: Wie bauen Sie Security in den Entwicklungsprozess ein, ohne ihn zu verlangsamen?
• Architektur-Review: Wo sind noch Lücken? Was funktioniert gut?
• Team-Enablement: Ihre Entwickler sollen verstehen, warum das wichtig ist – nicht nur umsetzen

Sie haben Security-by-Design etabliert und einen strukturierten Vulnerability-Management-Prozess. Threat Modeling, Code Reviews, Penetration Tests, schnelle Patch-Zyklen und proaktive Kundenkommunikation – das ist Top-Niveau. Jetzt geht es um Dokumentation und Skalierung.

Was Sie jetzt angehen sollten:

1. Nachweise dokumentieren: Der Zertifizierer wird fragen: „Wie haben Sie Threat Modeling gemacht? Welche Tests sind gelaufen? Wie schnell haben Sie gepatcht?' Stellen Sie sicher, dass alle Prozesse und Ergebnisse nachvollziehbar dokumentiert sind – 10 Jahre lang. Zeitrahmen: 1-2 Monate.

2. Prozesse skalieren: Funktionieren Ihre Prozesse auch bei neuen Produktlinien, wachsenden Teams oder steigenden Meldungszahlen? Planen Sie jetzt für Wachstum. Zeitrahmen: laufend.

Wie MaibornWolff Ihnen hilft:

• Certification Readiness Review: Wir spielen den Zertifizierer – hält Ihre Dokumentation stand?
• Prozess-Optimierung: Wo können Sie noch effizienter werden, ohne Sicherheit einzubüßen?
• Langfristige Begleitung: Neue Produkte, neue Bedrohungen, neue Standards – wir entwickeln Ihre Prozesse mit Ihnen weiter

Ihre Geräte können derzeit keine automatischen Security-Updates empfangen – oder der Support-Zeitraum ist zu kurz. Das ist ab 2027 ein Marktzugangs-Blocker: Ohne OTA-Fähigkeit und mindestens 5 Jahre Update-Support können Sie betroffene Produkte nicht mehr in der EU verkaufen.

Was Sie angehen sollten:

1. Over-the-Air Updates aufbauen: Das ist nicht optional. Kunden müssen Security-Patches automatisch erhalten können, mit Kontrolle über den Installationszeitpunkt und Rollback-Möglichkeit. Ohne OTA-Infrastruktur gibt es keinen EU-Marktzugang. Zeitrahmen: 6-12 Monate.

2. Support-Zeitraum definieren und absichern: Der CRA fordert mindestens 5 Jahre Security-Updates nach Markteinführung. Planen Sie jetzt, wie Sie diesen Zeitraum technisch und organisatorisch abdecken. Zeitrahmen: 2-3 Monate für die Strategie, dann laufend.

Wenn Sie diese Handlungsfelder jetzt angehen, bekommen Sie gleichzeitig massive Nebeneffekte:

• Support-Kosten sinken um 30–40%, weil Kunden automatisch Updates erhalten
• Feldausfälle gehen gegen Null, weil Sie schnell reagieren können
• Verkaufsargument 'Security First' – Ihre Geräte sind sicherer als die der Konkurrenz
• Schnellere Time-to-Market, weil automatisierte Prozesse redundante manuelle Arbeit eliminieren

Wie MaibornWolff Ihnen hilft:

Wir haben OTA-Infrastrukturen bei zahlreichen Herstellern aufgebaut und wissen:

• Wie Sie OTA skalieren, ohne bestehende Infrastrukturen zu sprengen
• Welche Architektur für Ihre Gerätelandschaft funktioniert
• Wie lange es wirklich dauert und wieviel es kostet

Sie haben erste Update-Mechanismen – vielleicht funktioniert OTA teilweise, oder der Support-Zeitraum deckt einen Teil der Anforderungen ab. Das ist gut. Aber der CRA verlangt vollautomatische Updates mit Rollback-Möglichkeit und mindestens 5 Jahre Support. Wenn nur einige Ihrer Geräte OTA-fähig sind, bleiben die Anforderungen unerfüllt.

Was Sie jetzt angehen müssen:

1. OTA durchgehend machen: Nicht nur bei neuen Modellen, sondern bei allen Produkten, die nach 2027 verkauft werden. Kunden brauchen Kontrolle über den Installationszeitpunkt und Rollback-Möglichkeit. Zeitrahmen: 3-6 Monate für die Erweiterung.

2. Support-Zeitraum auf CRA-Niveau bringen: Unter 5 Jahren liegt man unter dem CRA-Minimum. Planen Sie die technische und organisatorische Absicherung für den geforderten Zeitraum. Zeitrahmen: 2-3 Monate für die Strategie.

Wie MaibornWolff Ihnen hilft:

• OTA-Architektur-Review: Was funktioniert schon? Wo sind Lücken? Was muss erweitert werden?
• Skalierungsstrategie: Wie bringen Sie OTA auf alle Produkte, ohne die bestehende Infrastruktur zu sprengen?
• Langfristplanung: 5+ Jahre Support erfordert nachhaltige Architektur-Entscheidungen – wir helfen Ihnen, die richtigen zu treffen

Ihre Geräte erhalten vollautomatische Security-Updates mit Rollback-Möglichkeit und Sie supporten Ihre Produkte mindestens 5 Jahre. Das erfüllt die CRA-Anforderungen und ist gleichzeitig ein starkes Verkaufsargument.

Was Sie jetzt angehen sollten:

1. Update-Prozesse dokumentieren: Der Zertifizierer wird fragen: „Wie funktioniert Ihr Update-Mechanismus? Wie stellen Sie die Integrität sicher? Was passiert bei einem fehlgeschlagenen Update?' Dokumentieren Sie alles nachvollziehbar. Zeitrahmen: 1-2 Monate.

2. Update-Fähigkeit als Differenzierung nutzen: „5-Jahre Updates garantiert', „Vollautomatische Security-Patches' – das verkauft. Nutzen Sie Ihre Stärke im Marketing. Zeitrahmen: 1-2 Monate Vorbereitung.

Wie MaibornWolff Ihnen hilft:

• Certification Readiness Review: Hält Ihre Update-Dokumentation der Prüfung stand?
• Optimierung: Gibt es noch Effizienzpotenzial in Ihrer OTA-Infrastruktur?
• Langfristige Begleitung: Neue Geräte, neue Plattformen, wachsende Flotten – wir skalieren mit Ihnen

Ihre Geräte haben derzeit noch keine moderne Hardware-Sicherheitsarchitektur. Kein Secure Boot, kein TPM/HSM, keine Echtzeit-Erkennung von Manipulation. Das wurde lange nicht vorausgesetzt – aber ab 2027 ist es Pflicht. Ohne sichere Hardware-Ebene können Sie nicht sicher updaten, keine Daten schützen und keine CRA-Konformität erreichen.

Was Sie angehen sollten:

1. Hardware-Sicherheit implementieren: Secure Boot und TPM/HSM sind die Basis. Ihre Geräte müssen erkennen können, ob der richtige Code darauf läuft – und diesen auch bei physischem Zugriff schützen. Das ist die Grundlage für alles andere. Zeitrahmen: 6-9 Monate.

2. Runtime-Monitoring aufbauen: Ihre Geräte müssen erkennen können, wenn sie manipuliert werden – idealerweise in Echtzeit. Ohne diese Fähigkeit fliegen Angriffe im Feld unter dem Radar. Zeitrahmen: 4-6 Monate.

Wie MaibornWolff Ihnen hilft:

Wir haben Hardware-Sicherheitsarchitekturen bei zahlreichen Herstellern implementiert und wissen:

• Welche Hardware-Komponenten funktionieren und welche nicht
• Wie Sie Secure Boot und TPM in bestehende Geräte-Architekturen integrieren
• Welche Monitoring-Ansätze für Ihre Geräteklasse realistisch sind
• Wie lange es wirklich dauert und wieviel es kostet

Sie haben bei einzelnen Geräten oder neueren Modellen bereits Hardware-Sicherheitsmaßnahmen umgesetzt – vielleicht Secure Boot oder erste Monitoring-Ansätze. Aber wenn nur neue Modelle TPM haben oder nur teilweise überwacht wird, bleiben CRA-Anforderungen unerfüllt. Zertifizierer werden diese Lücken sehen.

Was Sie jetzt angehen müssen:

1. Hardware-Sicherheit auf alle Produkte ausweiten: Nicht nur bei den neuesten Modellen – alle Produkte, die nach 2027 verkauft werden, müssen Secure Boot und Hardware-Sicherheits-Chips haben. Planen Sie die Ausweitung jetzt. Zeitrahmen: 4-8 Monate.

2. Echtzeit-Monitoring etablieren: 'Wir schauen nach Problemen, aber nicht in Echtzeit' reicht nicht. Geräte müssen Manipulation erkennen und darauf reagieren können. Zeitrahmen: 3-6 Monate.

Wie MaibornWolff Ihnen hilft:

• Architektur-Review: Welche Geräte haben Lücken? Was muss nachgerüstet werden? Was kann über Software gelöst werden?
• Hardware-Security-Strategie: Wie bringen Sie alle Produkte auf CRA-Niveau, ohne jedes Gerät neu zu designen?
• Monitoring-Konzept: Welche Echtzeit-Überwachung ist für Ihre Geräteklasse realistisch und wirtschaftlich?

Ihre Geräte verfügen über Secure Boot, Hardware-Sicherheits-Chips und Echtzeit-Monitoring. Code-Integrität wird geprüft, Manipulation wird erkannt und es wird darauf reagiert. Das ist Top-Niveau in der Industrie und ein echter Wettbewerbsvorteil.

Was Sie jetzt angehen sollten:

1. Sicherheitsarchitektur dokumentieren: Der Zertifizierer wird fragen: „Welche Hardware-Sicherheitsmaßnahmen setzen Sie ein? Wie funktioniert Secure Boot? Was passiert bei erkannter Manipulation?' Dokumentieren Sie Ihre Architektur nachvollziehbar. Zeitrahmen: 1-2 Monate.

2. Hardware-Sicherheit als Differenzierung nutzen: „Certified CRA-Compliant', „Security-First Architecture' – Ihre Geräte sind sicherer als die der Konkurrenz. Nutzen Sie das im Vertrieb. Zeitrahmen: 1-2 Monate Vorbereitung.

Wie MaibornWolff Ihnen hilft:

• Certification Readiness Review: Wir prüfen, ob Ihre Hardware-Sicherheitsdokumentation den Anforderungen standhält
• Zukunftssicherung: Neue Angriffsvektoren, neue Hardware-Generationen – wie bleibt Ihre Architektur aktuell?
• Langfristige Begleitung: Neue Produkte, neue Standards – wir entwickeln Ihre Sicherheitsarchitektur mit Ihnen weiter