CRA für Consumer-IoT: EN 303 645 und Smart-Home-Sicherheit

Consumer-IoT-Produkte wie Smart-Speaker, vernetzte Kameras, Wearables und Smart-Home-Geräte stehen im Mittelpunkt der CRA-Compliance. Die meisten fallen in die Standardkategorie, was Selbstbewertung ermöglicht, müssen aber dennoch alle grundlegenden Anforderungen erfüllen. ETSI EN 303 645 bietet eine ausgezeichnete Grundlage für die Compliance.

Dieser Leitfaden behandelt CRA-Compliance für Consumer-IoT-Hersteller.

Zusammenfassung

• Die meisten Consumer-IoT-Produkte sind Standardkategorie (Selbstbewertung erlaubt)
• EN 303 645 bietet eine starke Grundlage, ist aber Stand 22. Mai 2026 keine harmonisierte CRA-Norm
• „Secure by Default“ ist kritisch: keine Standardpasswörter, minimale exponierte Dienste
• 5-Jahres-Supportzeitraum ist große Änderung für viele Verbraucherprodukte
• SBOM auch für eingebettete Geräte erforderlich
• Verbraucherorientierte Dokumentation muss in Landessprache sein

Welche Consumer-IoT-Produkte sind betroffen?

CRA-Geltungsbereich für Consumer IoT

Der CRA gilt für alle „Produkte mit digitalen Elementen“, die auf den EU-Markt gebracht werden. Für Consumer IoT umfasst dies:

Eindeutig im Geltungsbereich:

• Smart-Speaker und Sprachassistenten
• Smart-Home-Hubs und -Controller
• Vernetzte Kameras (Sicherheit, Babyfone, Türklingeln)
• Intelligente Beleuchtungssysteme
• Vernetzte Thermostate und HVAC-Steuerungen
• Intelligente Schlösser und Zugangssysteme
• Wearable-Geräte (Smartwatches, Fitness-Tracker)
• Vernetztes Spielzeug und Spiele
• Intelligente Haushaltsgeräte (Kühlschränke, Waschmaschinen)
• E-Reader und Tablets
• Vernetzte Gesundheits-/Wellness-Geräte (nicht-medizinisch)

Teilweiser Geltungsbereich (möglicherweise zusätzliche Vorschriften):

• Smart-TVs (auch durch RED abgedeckt)
• Vernetzte Medizinprodukte (auch MDR, siehe unseren MDR-Leitfaden)
• Vernetzte Fahrzeuge (Maschinenverordnung, Typgenehmigung)

CRA-Klassifizierung für Consumer IoT

Die meisten Consumer-IoT-Produkte fallen in Standard oder Wichtige Klasse I:

CONSUMER IoT CRA-KLASSIFIZIERUNG

STANDARDKATEGORIE (Selbstbewertung):
- Smart-Speaker OHNE allgemeinen virtuellen Assistenten
- Vernetzte Kameras ohne Sicherheitsfunktion (z. B. einfache Webcam oder Konferenzkamera)
- Intelligente Beleuchtung
- Vernetzte Thermostate
- Fitness-Wearables ohne Gesundheitsüberwachung und nicht für Kinder
- Intelligente Haushaltsgeräte
- Vernetztes Spielzeug ohne soziale Interaktionsfunktionen und ohne Standortverfolgung
- Allgemeine Smart-Home-Geräte
- Smart-Home-Hubs und Heimautomatisierungs-Gateways ohne eigene Sicherheitsfunktionen
- Kindersicherungssoftware

WICHTIGE KLASSE I (Selbstbewertung mit harmonisierten Normen ODER Drittbewertung):
- Smart-Speaker MIT allgemeinem virtuellem Assistenten
- Sicherheitskameras, Babymonitore, Alarmanlagen, intelligente Türschlösser
- Vernetzte Spielzeuge nach Richtlinie 2009/48/EG mit sozialen Interaktionsfunktionen (Sprechen/Filmen) oder Standortverfolgung
- Gesundheitsüberwachende Wearables, die nicht unter MDR/IVDR fallen, sowie Wearables für Kinder
- Verbraucher-VPN-Lösungen
- Passwort-Manager

WICHTIGE KLASSE II (Drittbewertung erforderlich):
- Verbraucher-Firewalls
- Verbraucher-IDS/IPS-Geräte
- (Selten für reine Verbraucherprodukte)

EN 303 645 und CRA-Abstimmung

Was ist EN 303 645?

ETSI EN 303 645 „Cyber Security for Consumer Internet of Things: Baseline Requirements“ ist der führende Standard für Consumer-IoT-Sicherheit. 2020 veröffentlicht, ist er als Consumer-IoT-Basis weit verbreitet. Stand 22. Mai 2026 ist er nicht als harmonisierte CRA-Norm gelistet.

EN 303 645 Struktur:

• 13 Anforderungskategorien
• 66 verpflichtende Bestimmungen (für Baseline-Compliance)
• Zusätzliche Empfehlungen
• Begleitende Testspezifikation (TS 103 701)

EN 303 645 ↔ CRA-Zuordnung

EN 303 645 als Compliance-Grundlage

Aktueller Status: Harmonisierte CRA-Normen werden unter Mandat M/606 entwickelt. Bis zur Zitierung im Amtsblatt bleibt EN 303 645 unterstützende Evidenz, kein CRA-Konformitätsvermutungsweg.

Was EN 303 645 bietet:

• Umfassende Sicherheitsgrundlage
• Prüfbare Bestimmungen (TS 103 701)
• Branchenanerkennung
• Bestehende Zertifizierungsprogramme

Was CRA über EN 303 645 hinaus hinzufügt:

• SBOM-Anforderungen
• ENISA-Schwachstellenmeldung (24h/72h)
• CE-Kennzeichnungsverfahren
• Formelle Konformitätserklärung
• Technische Dokumentation
• Marktüberwachungskoordination

EN 303 645 → CRA COMPLIANCE-ANSATZ

WENN Sie EN 303 645-Compliance haben:
→ Starke technische Grundlage erreicht
→ Bewertungsnachweise für CRA-Technische-Datei nutzen
→ SBOM-Generierung hinzufügen
→ ENISA-Meldung implementieren
→ CE-Kennzeichnungsdokumentation vorbereiten

WENN Sie bei Null starten:
→ EN 303 645 als technisches Ziel nutzen
→ CRA-Ergänzungen von Anfang an einplanen
→ EN 303 645-Zertifizierung in Betracht ziehen

Kernforderungen im Detail

Keine Standardpasswörter (Kritisch)

EN 303 645 Bestimmung 5.1-1: „Wo Passwörter verwendet werden und in einem anderen Zustand als dem 'Werkseinstellungs'-Zustand, müssen alle Consumer-IoT-Gerätepasswörter pro Gerät eindeutig oder vom Benutzer definiert sein.“

CRA-Abstimmung: Dies ist „Secure by Default“ in der Praxis.

Implementierung:

PASSWORT-ANSÄTZE FÜR CONSUMER IoT

OPTION 1: Eindeutiges Werkspasswort
- Generieren eines eindeutigen Passworts pro Gerät
- Aufdruck auf Gerät/Verpackung
- Im Secure Element speichern, falls vorhanden

OPTION 2: Benutzerdefiniert bei Einrichtung
- Passworterstellung während Einrichtung erzwingen
- Passwortkomplexität durchsetzen
- Keine "Überspringen"-Option

OPTION 3: Passwortlose Authentifizierung
- Bluetooth/WiFi-Pairing-Codes
- App-basierte Authentifizierung
- Biometrie, wo angemessen

VERMEIDEN:
✗ Universelle Standardpasswörter ("admin/admin")
✗ Vorhersehbare Passwörter (Seriennummer)
✗ Optionale Passworteinstellung
✗ Leicht zu erratende Muster

Schwachstellen-Offenlegung

EN 303 645 Bestimmung 5.2-1: „Der Hersteller muss als Teil einer Schwachstellen-Offenlegungsrichtlinie einen öffentlichen Kontaktpunkt bereitstellen...“

CRA-Erweiterung: CRA erfordert nicht nur Annahme von Offenlegungen, sondern aktive Meldung an ENISA.

Implementierung:

CONSUMER IoT SCHWACHSTELLENBEHANDLUNG

ÖFFENTLICHER KONTAKT:
- security@firma.com
- Security.txt-Datei unter /.well-known/security.txt
- Dedizierte Sicherheitsseite auf Website

OFFENLEGUNGSRICHTLINIE:
- Berichte von Sicherheitsforschern annehmen
- Innerhalb von 5 Werktagen bestätigen
- Status-Updates bereitstellen
- Offenlegungs-Timing koordinieren
- Forscher würdigen (falls gewünscht)

ENISA-MELDUNG (CRA-spezifisch, Art. 14):
Spur (a) - Aktiv ausgenutzte Schwachstelle:
- Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden
- Schwachstellenmeldung innerhalb von 72 Stunden nach Bekanntwerden
- Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme

Spur (b) - Schwerer Vorfall (mit Auswirkung auf die Sicherheit des Produkts):
- Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden
- Vorfallsmeldung innerhalb von 72 Stunden nach Bekanntwerden
- Abschlussbericht innerhalb eines Monats nach der Vorfallsmeldung

ENISA Single Reporting Platform für beide Spuren nutzen.

Software-Updates

EN 303 645 Bestimmungen 5.3: Software-Update-Fähigkeit ist verpflichtend.

Kernforderungen:

SOFTWARE-UPDATE-ANFORDERUNGEN

UPDATE-MECHANISMUS (5.3.3):
[ ] Sichere Bereitstellung (signierte Updates)
[ ] Integritätsverifizierung
[ ] Rollback-Schutz
[ ] Benutzerbenachrichtigung

UPDATE-SUPPORT (5.3.1):
[ ] Definierter Supportzeitraum
[ ] Veröffentlichtes Support-Enddatum
[ ] Mindestens erwartete Produktlebensdauer
[ ] CRA: Mindestens 5 Jahre

AUTOMATISCHE UPDATES (5.3.6):
[ ] Konfigurierbares Auto-Update
[ ] Benutzer-Einwilligungsmechanismus
[ ] Minimale Unterbrechung
[ ] Update-Status-Sichtbarkeit

Sichere Kommunikation

EN 303 645 Bestimmung 5.4: Sensible Daten während der Übertragung verschlüsseln.

Implementierung:

KOMMUNIKATIONSSICHERHEIT

TRANSPORT-VERSCHLÜSSELUNG:
- TLS 1.2+ für alle Cloud-Kommunikation
- Starke Cipher-Suites
- Zertifikatsvalidierung
- Kein Fallback auf unverschlüsselt

LOKALE KOMMUNIKATION:
- Lokalen Netzwerkverkehr verschlüsseln, wo möglich
- Sichere Pairing-Mechanismen
- Geschützte Setup-/Konfigurationsabläufe

VERMEIDEN:
✗ Plain HTTP für sensible Daten
✗ Selbstsignierte Zertifikate ohne Pinning
✗ Schwache Cipher-Aushandlung
✗ Hartcodierte Credentials in Kommunikation

SBOM für Consumer IoT

Embedded-Device-Herausforderungen

Consumer-IoT-Geräte laufen oft auf eingeschränkter Hardware:

Typische Komponenten:

• Echtzeit-OS oder Embedded Linux
• Netzwerk-Stacks (lwIP, etc.)
• Protokoll-Bibliotheken (MQTT, CoAP)
• Krypto-Bibliotheken
• Drittanbieter-SDKs (Cloud-Konnektivität)
• Anwendungscode

SBOM-Strategie:

CONSUMER IoT SBOM-ANSATZ

MINIMALE TIEFE:
1. Betriebssystem/RTOS
2. Haupt-Framework/SDK
3. Netzwerk-/Protokoll-Bibliotheken
4. Krypto-Bibliotheken
5. Cloud-Konnektivitäts-SDK
6. Wichtige Drittanbieter-Komponenten

FORMAT:
- CycloneDX oder SPDX
- Versionsinformationen einschließen
- PURL einschließen, wo verfügbar
- Proprietäre Komponenten dokumentieren

PRAKTISCHE TIPPS:
- Aus Build-System extrahieren
- SBOM-Generierung in CI/CD automatisieren
- SBOM bei jedem Firmware-Release aktualisieren
- Tooling in Betracht ziehen (Syft, Trivy, etc.)

Lieferketten-Überlegungen

Consumer IoT nutzt oft gemeinsame Siliziumanbieter und SDKs:

LIEFERKETTEN-SBOM-MANAGEMENT

SILIZIUMANBIETER-SDK:
- SBOM vom Anbieter anfordern (Espressif, Nordic, etc.)
- Viele bieten jetzt Komponentenlisten
- In Ihre aggregierte SBOM einschließen

CLOUD-PLATTFORM-SDK:
- AWS IoT, Azure IoT, Google Cloud IoT SDKs
- Gut dokumentierte Komponenten
- Haben normalerweise Abhängigkeitsmanifeste

DRITTANBIETER-MODULE:
- WiFi/Bluetooth-Module können Firmware haben
- Komponenteninformationen anfordern
- Dokumentieren, was Sie wissen

EINSCHRÄNKUNGEN DOKUMENTIEREN:
- Komponenten ohne SBOM-Sichtbarkeit notieren
- Lieferketten-Einschränkungen erklären
- Aktualisieren, wenn Informationen verfügbar werden

5-Jahres-Support: Die große Herausforderung

Branchenkontext

Viele Consumer-IoT-Produkte hatten historisch kurze Support-Fenster:

• Budget-Geräte: 1-2 Jahre (oder keine Updates)
• Mittelklasse: 2-3 Jahre
• Premium: 3-5 Jahre

CRA-Anforderung: Mindestens 5 Jahre Sicherheitsupdates ab Marktplatzierung jeder Einheit.

Planung für 5-Jahres-Support

5-JAHRES-SUPPORT-STRATEGIE

KOSTENPLANUNG:
- Sicherheitsüberwachung (laufend)
- Schwachstellen-Reaktionsfähigkeit
- Update-Entwicklung und -Tests
- Update-Bereitstellungsinfrastruktur
- Kundenservice-Ressourcen

TECHNISCHE PLANUNG:
- Stabiler Update-Mechanismus
- OTA-Infrastruktur
- Rollback-Fähigkeit
- Tests über Produktlebensdauer

KOMMERZIELLE PLANUNG:
- Produktpreisgestaltung (Supportkosten einrechnen)
- Supportzeitraum-Kommunikation
- End-of-Support-Prozess
- Kundenmigrationspfad

LEBENSZYKLUSPHASEN:
Jahr 1-2: Aktive Entwicklung, häufige Updates
Jahr 3-4: Wartungsmodus, nur Sicherheitsupdates
Jahr 5:   End-of-Support-Vorbereitung
Jahr 5+:  Support endet, Kundenbenachrichtigung

End-of-Support-Kommunikation

END-OF-SUPPORT-ANFORDERUNGEN

BEIM KAUF:
- Klare Supportzeitraum-Angabe
- Erwartetes Support-Enddatum
- Was "Support" beinhaltet

GEGEN ENDE:
- Vorankündigung (6-12 Monate)
- Erklärung der Auswirkungen
- Upgrade-/Ersatzoptionen

BEI SUPPORT-ENDE:
- Abschlussbenachrichtigung
- Sicherheitsempfehlungen
- Sichere Entsorgungsanleitung

NACH SUPPORT:
- Gerät kann weiter funktionieren
- Keine Sicherheitsupdates
- Kunde trägt Risiko

Verbraucher-Dokumentationsanforderungen

Sprachanforderungen

Verbraucherprodukte, die in EU-Mitgliedstaaten verkauft werden, erfordern Dokumentation in Landessprache:

CONSUMER IoT DOKUMENTATIONSSPRACHEN

ERFORDERLICH PRO MARKT:
- Sicherheitsinformationen: Muss in Landessprache sein
- Einrichtungsanleitung: Sollte in Landessprache sein
- Benutzerhandbuch: Sollte in Landessprache sein

PRAKTISCHER ANSATZ:
- Englisch als Basis
- Lokalisierung für Hauptmärkte (DE, FR, ES, IT, PL, NL)
- Digitale Dokumentation in Betracht ziehen (App, QR-Code)
- Gedruckte Kurzanleitung in mehreren Sprachen

Was zu dokumentieren ist

CONSUMER IoT BENUTZERDOKUMENTATION

SICHERHEITSINFORMATIONEN:
[ ] Ersteinrichtungs-Sicherheit (Passwort, Pairing)
[ ] Update-Einstellungen und Empfehlungen
[ ] Datenschutzeinstellungen
[ ] Datenerfassungserklärung
[ ] Supportzeitraum und Kontakt

SICHERHEITSHINWEISE:
[ ] Elektrische Sicherheit
[ ] Bestimmungsgemäße Verwendung
[ ] Gefahrenwarnungen
[ ] Kindersicherheit (falls relevant)

COMPLIANCE-INFORMATIONEN:
[ ] CE-Kennzeichnung sichtbar auf Produkt
[ ] Konformitätserklärung-Verweis
[ ] Hersteller-Kontaktinformationen
[ ] Support-/Sicherheitskontakt

Konformitätsbewertung für Consumer IoT

Selbstbewertung (Modul A)

Die meisten Consumer-IoT-Produkte können Selbstbewertung nutzen:

MODUL A FÜR CONSUMER IoT

WAS SIE TUN:
1. Interne Risikobewertung durchführen
2. Wesentliche Anforderungen umsetzen
3. Technische Dokumentation vorbereiten
4. Gegen Anforderungen testen
5. EU-Konformitätserklärung ausfüllen
6. CE-Kennzeichnung anbringen

KEINE NOTIFIZIERTE STELLE ERFORDERLICH:
- Standardkategorie-Produkte
- Wichtige Klasse I mit harmonisierten Normen

TECHNISCHE DATEI INHALT:
- Produktbeschreibung
- Risikobewertung
- Konstruktionsdokumentation
- Testberichte (intern oder externes Labor)
- EN 303 645-Bewertung (falls beansprucht)
- SBOM
- Benutzerdokumentation

EN 303 645-Zertifizierung nutzen

Wenn Sie EN 303 645-Zertifizierung anstreben:

EN 303 645 ZERTIFIZIERUNG → CRA

ZERTIFIZIERUNGSSTELLEN:
- CTIA (US)
- TÜV (EU)
- BSI Kitemark (UK)
- Verschiedene ETSI-konforme Labore

VORTEILE:
- Drittanbieter-Verifizierung
- Marketingwert ("zertifiziert sicher")
- Evidenz für die technische Dokumentation, aber keine CRA-Konformitätsvermutung ohne formelle Zitierung einer harmonisierten CRA-Norm
- Nachweise für technische Datei

FÜR CRA ZUSÄTZLICH ERFORDERLICH:
- SBOM (nicht durch EN 303 645 abgedeckt)
- ENISA-Meldeprozess
- Formelle EU-Konformitätserklärung
- CE-Kennzeichnungsprozess

Branchenspezifische Anleitung

Smart-Speaker und Sprachassistenten

SMART-SPEAKER CRA-COMPLIANCE

KLASSIFIZIERUNG: Wichtige Klasse I (Anhang III Klasse I Punkt 16), wenn das Gerät einen allgemeinen virtuellen Assistenten enthält. Ein Lautsprecher ohne allgemeinen Assistenten bleibt Standardkategorie.

KERNFORDERUNGEN:
- Sprachdatenschutz
- Sichere Cloud-Kommunikation
- Stumm-/Privatsphärenmodus (Secure by Default)
- Update-Mechanismus
- Kontosicherheit

DATENSCHUTZ-ÜBERLEGUNGEN:
- Always-on-Listening minimieren
- Klare Anzeige, wenn Gerät zuhört
- Benutzerdatenzugang und -löschung
- DSGVO-Abstimmung

Vernetzte Kameras

VERNETZTE KAMERA CRA-COMPLIANCE

KLASSIFIZIERUNG: Wichtige Klasse I (Anhang III Klasse I Punkt 17) für Sicherheitskameras, Babymonitore und Alarmanlagen. Eine einfache Webcam oder Konferenzkamera ohne Sicherheitsfunktion bleibt Standardkategorie.

KERNFORDERUNGEN:
- Starke Authentifizierung
- Verschlüsselte Videostreams
- Lokale Speichersicherheit
- Cloud-Speichersicherheit
- Privatsphären-Maskierungsfunktionen

BESONDERE ÜBERLEGUNGEN:
- Videodaten sind hochsensibel
- Physischer Zugriffsschutz
- Gast-/Familienzugangsverwaltung
- Aufnahmebenachrichtigungsanforderungen

Smart-Home-Hubs

SMART-HOME-HUB CRA-COMPLIANCE

KLASSIFIZIERUNG: Standardkategorie, sofern der Hub keine eigenen Sicherheitsfunktionen bietet (intelligente Türschlösser, Sicherheitskameras, Alarmanlagen), die ihn unter Anhang III Klasse I Punkt 17 bringen.

KERNFORDERUNGEN:
- Protokollsicherheit (Zigbee, Z-Wave, Thread, Matter)
- Sicheres Geräte-Onboarding
- Zugangskontrolle für verbundene Geräte
- Lokale vs. Cloud-Verarbeitung
- Update-Mechanismus für Hub und Protokolle

BESONDERE ÜBERLEGUNGEN:
- Hub ist Angriffsfläche für alle verbundenen Geräte
- Matter/Thread-Sicherheitsabstimmung
- Backup-/Wiederherstellungsfähigkeit

Wearables

WEARABLE-GERÄT CRA-COMPLIANCE

KLASSIFIZIERUNG: Wichtige Klasse I (Anhang III Klasse I Punkt 19) für gesundheitsüberwachende Wearables, die nicht unter MDR/IVDR fallen, sowie für alle Wearables für Kinder. Fitness-Wearables ohne Gesundheitsüberwachung und nicht für Kinder bleiben Standardkategorie.

KERNFORDERUNGEN:
- Bluetooth-Pairing-Sicherheit
- Gesundheitsdatenschutz
- Telefon-App-Sicherheit
- Begrenzte Angriffsfläche
- Batteriebewusste Sicherheit

BESONDERE ÜBERLEGUNGEN:
- Größenbeschränkungen beeinflussen Sicherheitsfunktionen
- Begleit-App ist Teil des Produkts
- Gesundheitsdaten können zusätzliche Vorschriften haben

Vernetztes Spielzeug

VERNETZTES SPIELZEUG CRA-COMPLIANCE

KLASSIFIZIERUNG: Wichtige Klasse I (Anhang III Klasse I Punkt 18) für vernetzte Spielzeuge nach Richtlinie 2009/48/EG mit sozialen Interaktionsfunktionen (Sprechen oder Filmen) oder Standortverfolgung. Vernetzte Spielzeuge ohne diese Merkmale bleiben Standardkategorie.

KERNFORDERUNGEN:
- Kinderdatenschutz (COPPA-ähnlich)
- Elternkontrollen
- Sichere Standardeinstellungen
- Einfaches Sicherheitsmodell
- Angemessene Inhaltsfilterung

BESONDERE ÜBERLEGUNGEN:
- Kinder als Hauptnutzer
- Sprach-/Videofunktionen erfordern besondere Sorgfalt
- Physische Sicherheit + Cybersicherheit
- Klare Elternanleitung

Praktische Compliance-Roadmap

Phase 1: Bewertung (Jetzt - Mitte 2026)

CONSUMER IoT BEWERTUNG

PRODUKTINVENTAR:
[ ] Alle Produkte mit digitalen Elementen auflisten
[ ] Nach CRA-Kategorien klassifizieren
[ ] Produkte mit kurzem aktuellem Support identifizieren

GAP-ANALYSE:
[ ] Aktuell vs. EN 303 645-Bestimmungen
[ ] SBOM-Fähigkeit
[ ] Update-Infrastruktur
[ ] Supportzeitraum-Verpflichtung

PLANUNG:
[ ] EN 303 645-Compliance-Pfad
[ ] SBOM-Generierungs-Tooling
[ ] Supportzeitraum-Verlängerungskosten

Phase 2: Vorbereitung (Mitte 2026 - Sept. 2026)

VORBEREITUNGSPHASE

TECHNISCH:
[ ] EN 303 645-Bestimmungen umsetzen
[ ] SBOM-Generierung zum Build hinzufügen
[ ] Schwachstellenbehandlung etablieren
[ ] ENISA-Meldefähigkeit vorbereiten

DOKUMENTATION:
[ ] Technische-Datei-Vorlagen
[ ] Benutzerdokumentations-Updates
[ ] Mehrsprachige Vorbereitung

KOMMERZIELL:
[ ] Supportzeitraum-Definitionen
[ ] Preisüberprüfung
[ ] Kundenkommunikationsplan

Phase 3: Compliance (Sept. 2026 - Dez. 2027)

COMPLIANCE-PHASE

SEPTEMBER 2026:
[ ] Schwachstellenmeldung operativ
[ ] ENISA SRP-Registrierung

BIS 2027:
[ ] Konformitätsbewertungen abschließen
[ ] Alle Produktlinien aktualisieren
[ ] Dokumentation finalisieren
[ ] EN 303 645-Zertifizierung (optional)

DEZEMBER 2027:
[ ] Alle Produkte CRA-konform
[ ] CE-Kennzeichnung angebracht
[ ] Kundenkommunikation abgeschlossen

Checkliste für Consumer IoT

CONSUMER IoT CRA-CHECKLISTE

PRODUKTSICHERHEIT:
[ ] Keine Standardpasswörter (eindeutig oder benutzerdefiniert)
[ ] Verschlüsselte Kommunikation (TLS 1.2+)
[ ] Sicherer Update-Mechanismus
[ ] Minimale Angriffsfläche
[ ] Secure-by-Default-Einstellungen

EN 303 645-ABSTIMMUNG:
[ ] Alle 66 Bestimmungen überprüft
[ ] Verpflichtende Bestimmungen implementiert
[ ] Compliance-Nachweise dokumentiert
[ ] Zertifizierung in Betracht gezogen

SBOM:
[ ] SBOM-Generierung im Build-Prozess
[ ] Alle Hauptkomponenten identifiziert
[ ] Lieferkettenkomponenten eingeschlossen
[ ] Regelmäßige SBOM-Updates

SCHWACHSTELLENBEHANDLUNG:
[ ] Öffentlicher Sicherheitskontakt
[ ] Schwachstellen-Offenlegungsrichtlinie
[ ] ENISA-Meldefähigkeit
[ ] Patch-Entwicklungsprozess

DOKUMENTATION:
[ ] Technische Datei vorbereitet
[ ] Benutzerdokumentation aktualisiert
[ ] Mehrsprachige Unterstützung
[ ] Supportzeitraum angegeben

SUPPORTZEITRAUM:
[ ] 5-Jahres-Mindestverpflichtung
[ ] Update-Infrastruktur geplant
[ ] End-of-Support-Prozess definiert
[ ] Kostenmodell nachhaltig

Wie CRA Evidence hilft

CRA Evidence unterstützt Consumer-IoT-Hersteller:

• EN 303 645-Zuordnung: Compliance gegen Normbestimmungen verfolgen
• SBOM-Management: SBOMs für eingebettete Geräte generieren und verwalten
• Mehrprodukt-Support: Produktfamilien effizient verwalten
• Schwachstellen-Tracking: Verbraucherfreundliches Schwachstellenmanagement
• Dokumentation: Technische-Datei-Generierung und -Verwaltung

Starten Sie Ihre CRA-Compliance unter craevidence.com.

Verwandte Artikel

• CRA-Produktklassifizierung: Default vs. Wichtig vs. Kritisch -- Verstehen Sie, wie Ihr IoT-Produkt unter dem CRA klassifiziert wird.
• SBOM für CRA-Compliance: Vollständiger Leitfaden zur Software Bill of Materials -- Erfahren Sie, wie Sie SBOMs für eingebettete IoT-Geräte erstellen und verwalten.
• CRA und Smart Cameras: Sicherheit und Compliance vernetzter Kameras -- Detaillierter Einblick in CRA-Anforderungen für vernetzte Kameras und Videogeräte.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Compliance-Anleitung konsultieren Sie qualifizierten Rechtsberater.