CRA assessment support

Der Cyber Resilience Act ist im Jahr 2024 in Kraft getreten, wobei die Verpflichtungen schrittweise wirksam werden.

Zu den wichtigsten Meilensteinen zählen:

• 11. September 2026: Verpflichtende Anforderungen zur Behandlung und Meldung von Sicherheitslücken
• 11. Dezember 2027: Vollständige Anwendung der CRA‑Anforderungen für Produkte mit digitalen Elementen
• 11. Juni 2028: Ende der Übergangsfrist für Geräte, die nach der RED‑Richtlinie zertifiziert wurden

Dies bedeutet, dass Unternehmen ihre Entwicklungs‑, Wartungs‑ und Betriebsprozesse frühzeitig anpassen müssen, um Verzögerungen, Sanktionen oder eine eingeschränkte Marktzulassung zu vermeiden.

Eine frühzeitige Vorbereitung ist entscheidend – insbesondere bei Embedded‑Plattformen mit langen Produktlebenszyklen.

End‑to‑End‑Unterstützung für den Cyber Resilience Act

DAVE Embedded System bietet eine durchgängige CRA‑Unterstützung und kombiniert technisches Know‑how, passende Tools und langfristigen Support für Embedded‑Produkte.

Unser Ansatz ist praxisnah, engineering‑getrieben und vollständig auf die Anforderungen industrieller und Embedded‑Umgebungen abgestimmt.

Security Assessment

Wir beginnen mit einer CRA‑orientierten Sicherheitsbewertung Ihres Produkts, einschließlich:

• Analyse der Systemarchitektur und Angriffsflächen
• Überprüfung der Software‑ und Hardware‑Komponenten
• Bestimmung der CRA‑Anwendbarkeit und Produktklassifizierung
• Gap‑Analyse im Vergleich zu den wesentlichen CRA‑Anforderungen

Das Ergebnis ist eine klare Roadmap mit definierten Anforderungen und priorisierten Maßnahmen.

Security by Design

DAVE unterstützt die Integration von Security‑by‑Design‑Prinzipien direkt in die Embedded‑Architektur von Beginn an.

Typische Leistungen umfassen:

• Secure Boot und Root of Trust
• Hardware‑Sicherheitsfunktionen (TPM, HSM, Secure Elements)
• Sichere Schlüsselspeicherung und kryptografische Beschleunigung
• Hardening von Bootloader, Kernel und Userspace
• Design sicherer OTA‑Update‑Mechanismen
• Geräteidentität und Authentifizierungsmechanismen

Durch die Abstimmung von Hardware‑ und Software‑Sicherheit reduzieren wir Angriffsflächen und langfristige Wartungskosten.

Vulnerability Monitor

Der CRA verlangt eine kontinuierliche Überwachung von Sicherheitslücken sowie angemessene Reaktionsmechanismen.

DAVE bietet ein strukturiertes Vulnerability Monitoring für Embedded‑Plattformen, darunter:

• Verfolgung bekannter Schwachstellen in Hardware‑ und Software‑Komponenten
• Risikobewertung und Priorisierung für die spezifische Systemkonfiguration
• Unterstützung bei der Planung geeigneter Gegenmaßnahmen

So wird sichergestellt, dass Sicherheit nicht mit der Produkteinführung endet.

SBOM‑ / HWBOM‑Monitoring

Die Überwachung von SBOM und HWBOM ist eine zentrale Anforderung des CRA.

Wir unterstützen:

• Erstellung, Pflege und Schwachstellenscans der Software Bill of Materials (SBOM)
• Erstellung, Pflege und Schwachstellenscans der Hardware Bill of Materials (HWBOM)
• Zuordnung von Schwachstellen zu konkreten Komponenten und Versionen
• Lebenszyklusorientierte Updates über mehrere Produktreleases hinweg

Dies ermöglicht eine schnelle Auswirkungsanalyse und eine transparente Compliance‑Dokumentation.

BSP Maintenance

Die langfristige Wartung eines sicheren Board Support Package (BSP) zählt zu den größten Herausforderungen des CRA.

DAVE bietet langfristige BSP‑Maintenance, einschließlich:

• Updates von Kernel, Bootloader und Distribution
• Stabile und regelmäßige Update‑Streams über den gesamten Produktlebenszyklus
• Herstellerunabhängige Wartungsstrategien

Wir stellen sicher, dass Ihre Plattformen über Jahre hinweg sicher und konform bleiben, nicht nur zum Marktstart.

Automatic Testing and Publishing

Zur Unterstützung sicherer und reproduzierbarer Releases integriert DAVE:

• Automatisierte Build‑Pipelines
• Sicherheitsorientierte Regressionstests
• Prüfungen von Abhängigkeiten und Schwachstellen
• Kontrollierte Workflows zur Image‑Erzeugung und ‑Veröffentlichung
• Automatisierte Tests auf realer Hardware (Hardware‑in‑the‑Loop)

Automatisierung reduziert menschliche Fehler, beschleunigt Compliance‑Prozesse und sorgt für Konsistenz zwischen Releases.

Reporting und Dokumentation

Der CRA legt großen Wert auf technische Dokumentation und nachvollziehbare Nachweise.

DAVE unterstützt bei der Erstellung und Pflege von:

• CRA‑konformer technischer Dokumentation
• Sicherheitsarchitekturbeschreibungen
• Prozessen zur Behandlung von Sicherheitslücken
• Update‑ und Support‑Richtlinien
• Audit‑fähigen Compliance‑Berichten

Diese Dokumentation richtet sich nicht nur an Aufsichtsbehörden, sondern auch an Kunden, Partner und interne Stakeholder.