CYBER RESILIENCE ACT SUMMIT: Strategien und Lösungen

Auf dem Programm des sehr gut besuchten Cyber Resilience Act Summit am 13. und 14. Oktober 2025 im Science Conference Center Munich standen praxisnahe Trainings und hochkarätige Vorträge zu den zentralen Herausforderungen und Chancen des CRA im Mittelpunkt.

Einig waren sich die über 130 Teilnehmer, Referenten und Aussteller des Cyber Resilience Act Summit, dass nicht mehr allzu viel Zeit bleibt – denn bereits im Dezember 2024 trat der CRA in der EU in Kraft, als verpflichtende Verordnung für alle Mitgliedsstaaten und alle Hersteller, Händler und Importeure digitaler Produkte, die nicht bereits durch andere Gesetze reguliert sind (wie beispielsweise Medizinprodukte). Ab September 2026 gilt eine Berichtspflicht für Vorfälle mit Cyberattacken auf solche Produkte, und von 2027 an wird die CRA-Verordnung dann im vollen Umfang angewendet.

Mit Blick auf diesen engen Fahrplan steigt auf der einen Seite die Zahl der betroffenen Marktteilnehmer, die sich dieses Themas annehmen, sowie andererseits die Unruhe bei denjenigen, die sich nicht sicher sind, wie sie anfangen und was konkret sie tun sollen. Das war bei den Teilnehmern des CRA-Summit in Fragen und Diskussionsbeiträgen deutlich zu spüren.

Praxis, Netzwerk, Durchblick

Entsprechend reichten die Vorträge von einem Überblick über den Terminplan mit den konkreten Anforderungen bis hin zu praktisch handhabbaren wertvollen Empfehlungen, wie diese Maßnahmen aufgesetzt und abgearbeitet werden sollten – beispielsweise durch Dr. Thorsten Koch vom Fraunhofer IEM und abschließend zusammenfassend durch Ralf Wagner von TQ Systems. Darüber hinaus wurden Vorschläge und Erfahrungen präsentiert, wie sich Anforderungen durch Design- und Architekturentwürfe sowie die Auslegung der Hardware realisieren lassen.

Kontrovers wurden Fragen zur Behandlung von Cybersicherheit in Open Source-Produkten diskutiert und brillant durch Prof. Dirk Riehle von der FAU Erlangen-Nürnberg geklärt. Spannend war auch die Sicht von Sergei Biberdorf auf die Terminsituation mit einem Einblick in die aktuelle Arbeit europäischer Normenkommissionen. Sergei Biberdorf arbeitet für den TÜV Rheinland, der auch die Rolle einer Benannten Stelle für die Zertifizierung gemäß der CRA-Richtlinie anstrebt.

CRA-Konformität hängt natürlich stark von der Software ab, ist aber auch ein Hardware-Thema. Hier gibt es gute Nachrichten, denn in puncto Hardware sind die nötigen Lösungen für CRA-Konformität schon vorhanden: Auf der Bausteinebene gibt es beispielsweise Secure Elements, die entweder als Einzel-ICs oder in Mikrocontroller integriert zur Verfügung stehen, so dass für cybersichere Embedded-Systeme sowohl Einchip- als auch Zweichip-MCU-Lösungen möglich sind. Auf der Embedded-Ebene können Anwender zudem auf cybersichere Speicherlösungen zurückgreifen, die sich in neue und bestehende Systeme integrieren lassen.

Ohnehin gibt es erstaunlich viele Möglichkeiten, Legacy-Systeme cybersecure zu machen: Netzwerkinstallationen auf Basis von RS-485 etwa lassen sich schrittweise in cybersichere Single-Pair-Ethernet-Installationen mit IoT-Fähigkeit umwandeln, wie Dr. Karsten Walther von Perinet anhand des Beispiels Modbus verdeutlichte. Und auch CAN-Systeme können nachträglich cybersecure gemacht werden, und zwar mit oder ohne kryptografische Methoden – wie es funktioniert, erläuterte Christian Keydel von der Embedded Systems Academy.

Bereits am ersten Tag des CRA Summit gab Dr. Detlef Houdeau von Infineon in seinem Training einen fundierten Überblick zur aktuellen CRA-Situation und teilte die Sicht eines Halbleiterherstellers und der Distribution auf das Thema und seine Herausforderungen. Im Anschluss vermittelte Dr. Karsten Walther im zweiten Training verständliche & anwendbare Mechanismen für den Lifecycle eines netzwerkfähigen Sensors mit Fokus auf Security.

Herzlichen Dank an alle Teilnehmer, Referenten und Partner für das Engagement, die Expertise und die Offenheit im Dialog. Und das Thema bleibt spannend – kein Wunder also, dass eine große Anzahl von Teilnehmern schon jetzt Interesse am nächsten CRA Summit am 7. und 8. Juli 2026 im SCCM Garching zeigte.

Zielgruppe

Der Markt&Technik Cyber Resilience Act Summit richtet sich an:

•         Entwickler von Embedded Systemen
•         Entscheider im Bereich Hard- und Softwareauswahl
•         Prüfspezialisten und Qualitätssischerer
•         Projektleiter
•         Produktverantwortliche