EU-Verordnung 2024/2847 · Vernetzte Produkte

Sind Ihre vernetzten Produkte 2028 in Europa noch verkaufsfähig?

Der Cyber Resilience Act stellt neue Sicherheitsanforderungen an alle vernetzten Produkte, die in der Europäischen Union verkauft werden. MCDev macht die Software Ihrer Produkte konform: mobile Apps, Firmware-Updates und die zugehörigen Plattformen.

Analyse anfragen

C.01

Eine gesetzliche Pflicht mit festen Fristen

Der Cyber Resilience Act (EU-Verordnung 2024/2847) gilt für alle Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden: vernetzte Geräte, Software, Firmware sowie die Online-Plattformen, die für ihren Betrieb nötig sind. Schweizer Hersteller, die in die EU exportieren, sind direkt betroffen.

Drei Termine sind entscheidend:

  • 11. September 2026: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Frühwarnung innert 24 Stunden, Meldung innert 72 Stunden.
  • 11. Dezember 2027: Nur noch konforme Produkte mit CE-Kennzeichnung dürfen auf dem EU-Markt in Verkehr gebracht werden.
  • Während mindestens 5 Jahren: Hersteller müssen Sicherheitsupdates für ihre Produkte kostenlos bereitstellen.

Auch die Schweiz bereitet eine Gesetzgebung zur Cyberresilienz digitaler Produkte vor, die sich am EU-Recht orientiert.

C.02

Was wir am häufigsten antreffen

Bei Produkten, die ein Gerät, eine mobile App und einen Server kombinieren, tauchen immer wieder dieselben Probleme auf:

  • Eine nicht authentifizierte Bluetooth-Verbindung: Jedes Smartphone in der Nähe kann die Konfiguration des Geräts auslesen oder ändern.
  • Geheime Schlüssel in der App, identisch für die ganze Geräteflotte und in wenigen Minuten auslesbar.
  • Nicht signierte Firmware-Updates: Das Gerät akzeptiert manipulierte Software oder die Rückkehr zu einer verwundbaren Version.
  • Eine unsichtbare Flotte: Der Hersteller weiss nicht, welche Versionen bei seinen Kunden laufen, und damit auch nicht, wer bei einer neuen Schwachstelle betroffen ist.
  • Keine Liste der eingesetzten Softwarekomponenten (SBOM), also keine Warnung, wenn eine Abhängigkeit verwundbar wird.
  • Kein Meldeprozess für Schwachstellen, obwohl die gesetzlichen Fristen in Stunden bemessen sind.
C.03

Ein Vorgehen in drei Schritten

1. Analyse

Wir prüfen die gesamte Softwarekette Ihres Produkts: iOS- und Android-App, Kommunikation mit dem Gerät, Mechanismus für Firmware-Updates, Server und Abhängigkeiten. Sie erhalten einen klaren Bericht: was konform ist, was nicht, und einen priorisierten Massnahmenplan.

2. Umsetzung

Wir setzen die Korrekturen um: authentifiziertes Pairing, vom Gerät geprüfte Berechtigungen, signierte Updates mit Schutz vor Rückstufung, Versionsübersicht über die Geräteflotte, automatische SBOM-Erstellung, Überwachung von Schwachstellen und Meldeprozess. Wir liefern die technische Dokumentation für Ihr Konformitätsdossier.

3. Sicherheitswartung

Wir überwachen Schwachstellen, erstellen Korrekturen und veröffentlichen Updates während der gesamten von der Verordnung verlangten Supportdauer, als Abonnement.

C.04

Wir entwickeln genau solche Produkte

Praktische Erfahrung

Wir haben iOS- und Android-Apps entwickelt und in Betrieb genommen, die Industriegeräte per Bluetooth steuern, mit Firmware-Updates aus der Ferne, Offline-Betrieb und vollständiger Rückverfolgbarkeit aller Aktionen.

Die ganze Kette

Mobile Apps, Backend, Infrastruktur und DevOps in einem einzigen Team.

Hosting in der Schweiz

Wir setzen bevorzugt auf Lösungen mit Hosting in der Schweiz und auf Werkzeuge ohne Abhängigkeit von einem einzelnen Anbieter.

Ein Partner in Ihrer Nähe

Mit Sitz in Savièse im Wallis arbeiten wir mit Herstellern in der ganzen Schweiz.

MCDev übernimmt die technische Arbeit der Konformität. Bei Produkten, die eine Bewertung durch eine Drittstelle erfordern, arbeiten wir mit Ihren Rechts- und Zertifizierungspartnern zusammen.

?

Häufige Fragen

Mein Unternehmen ist in der Schweiz. Bin ich betroffen?

Ja, sobald Sie vernetzte Produkte in der Europäischen Union verkaufen. Die Verordnung gilt für jedes Produkt, das auf dem EU-Markt bereitgestellt wird, unabhängig vom Sitz des Herstellers.

Müssen bereits verkaufte Produkte angepasst werden?

Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen nicht rückwirkend allen Anforderungen. Die Pflicht zur Meldung aktiv ausgenutzter Schwachstellen gilt jedoch bereits, und eine wesentliche Änderung an einem bestehenden Produkt kann es in den Geltungsbereich bringen.

Ist meine App betroffen oder nur das Gerät?

Die Verordnung erfasst das Produkt als Ganzes: das Gerät, seine Firmware sowie die Software und Plattformen, die für seinen Betrieb nötig sind. Die Begleit-App und die Update-Kette stehen deshalb im Zentrum.

Stellen Sie eine Zertifizierung aus?

Nein. Bei den meisten Produkten führt der Hersteller die Konformitätsbewertung selbst durch. Unsere Aufgabe ist es, die Software konform zu machen und Ihnen die technischen Unterlagen für Ihr Dossier zu liefern.

Wie viel Zeit muss ich einplanen?

Die Analyse dauert einige Tage. Die Dauer der Umsetzung hängt vom Zustand Ihres Produkts ab. Angesichts der Frist im Dezember 2027 und der Entwicklungszyklen bei Hardware lohnt es sich, jetzt zu beginnen.

Alle unsere Leistungen ansehen →