Embedded Software: Definition, CRA-Pflichten und Business-Impact für Schweizer Hersteller

Embedded Software: Das Wichtigste in Kürze

• Embedded Software ist hardwaregebundener Code mit fester Ausführungsumgebung und Echtzeit-Constraints. Sie läuft auf Mikrocontrollern, industriellen Steuerungen oder vernetzten Geräten und ist untrennbar mit der zugrundeliegenden Hardware verkoppelt.
• Der Cyber Resilience Act (Verordnung EU 2024/2847) stuft embedded systems and software als Produkte mit digitalen Elementen ein. Hersteller müssen mit September 2026 aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die ENISA melden und einen dokumentierten Schwachstellen-Disclosure-Prozess vorhalten.
• Schweizer Unternehmen, die Produkte mit eingebetteter Software in die EU liefern, unterliegen dem CRA vollständig. Ab Dezember 2027 drohen bei Verstössen hohe Bussgelder.
• Axisbits entwickelt digitale Produkte mit Senior-Sign-off auf jeder Codezeile, DevOps-gestützten Sicherheits-Checks, optionalem Penetration-Testing und DSG-Compliance. Für KMU, die ihre Softwareprodukte CRA-ready aufstellen müssen, übernimmt Axisbits die technische und strategische Verantwortung von A bis Z.

Was ist Embedded Software?

Embedded Software ist spezialisierter Code, der ausschliesslich für die Steuerung eines bestimmten Hardware-Systems entwickelt wird. Im Unterschied zur klassischen Anwendungssoftware läuft sie auf einem festen Prozessor mit definierten Ressourcen, reagiert auf externe Signale und ist für den Endnutzer in der Regel unsichtbar.

Embedded Software steckt in Geräten, die eine definierte Funktion erfüllen. Beispiele sind Sensorsysteme in Industrie- oder Medizinanlagen (SPS-Steuerungen, SCADA-Komponenten), Automobilelektronik (ECUs, ADAS-Systeme), IIoT-Sensoren und Smart-Home-Geräte.

Der gemeinsame Nenner ist, dass diese Geräte eine definierte Funktion erfüllen, die Software direkt auf die Hardware abgestimmt ist und über den gesamten Produktlebenszyklus läuft.

Wie unterscheidet sich Embedded Software von klassischer Anwendungssoftware?

Welche Anforderungen stellt der Cyber Resilience Act an Embedded Software?

Der Cyber Resilience Act (CRA) verpflichtet Hersteller von Produkten mit digitalen Elementen zu Security-by-Design, kontinuierlichem Schwachstellenmanagement über den gesamten Produktlebenszyklus und zur Bereitstellung kostenloser Sicherheitsupdates über mindestens fünf Jahre.

Wenn du ein vernetztes Gerät mit eingebetteter Software in der EU auf den Markt bringst, musst du eine Konformitätsbewertung durchführen, eine vollständige Software Bill of Materials (SBOM) vorhalten und CE-Kennzeichen nach CRA-Standard erwerben.

Wann greifen welche CRA-Fristen für Hersteller?

Welche technischen Pflichten umfasst Security-by-Design für Embedded Software?

Security-by-Design bedeutet, dass Sicherheitsanforderungen bereits in der Konzeptionsphase verankert werden und nicht erst als nachträgliche Prüfung:

• Software Bill of Materials (SBOM): Vollständige Auflistung aller Softwarekomponenten und Abhängigkeiten, maschinenlesbar und aktuell gehalten.
• Threat Modelling: Dokumentierte Bedrohungsanalyse vor Entwicklungsbeginn, regelmässig aktualisiert.
• Sichere Default-Konfiguration: Keine unsicheren Standardkennwörter, keine unnötig offenen Schnittstellen bei Auslieferung.
• Update-Mechanismus: Kryptografisch abgesicherte Over-the-Air-Updates für den gesamten Produktlebenszyklus.
• Vulnerability-Disclosure-Prozess: Festgelegter interner und externer Kanal für Sicherheitsmeldungen mit vorbestimmten Reaktionsfristen.

Eine Analyse der bestehenden Softwarearchitektur im Rahmen eines Software-Audits sorgt zusätzlich dafür, eventuell vorhandene Compliance-Lücken zu erkennen.

Welche Folgen hat der CRA für Schweizer Hersteller von Embedded Software?

Schweizer Unternehmen, die Produkte mit eingebetteter Software in die EU vertreiben, unterliegen dem CRA vollständig, auch ohne EU-Niederlassung. Der CRA greift am Ort des Inverkehrbringens. Daraus ergeben sich direkte Konsequenzen zu Haftung, Lizenzmodellen und Bevollmächtigungen.

• Produkthaftung: Sicherheitslücken, die der Hersteller hätte kennen und beheben müssen, können zu Rückrufen, Vertriebsverboten und Bussgeldern bis zu 15 Mio. EUR oder 2,5 % des globalen Jahresumsatzes führen.
• Lizenzmodelle: Die Update-Pflicht über mindestens fünf Jahre zwingt viele Anbieter weg vom Einmalkauf hin zu Wartungsverträgen oder Abo-Modellen, da laufende Security-Patches kalkulierbar finanziert werden müssen.
• Schweizer KMU ohne EU-Niederlassung müssen bis Dezember 2027 einen bevollmächtigten EU-Vertreter benennen, der gegenüber EU-Marktüberwachungsbehörden als Ansprechpartner fungiert und Meldungen über die ENISA Single Reporting Platform koordiniert.

Wie bereite ich mein Unternehmen auf CRA-konforme Embedded Software vor?

Deinen Weg zu konformer Embedded Software beginnst du mit einem Produktscreening, stellst die Sicherheit ab dem ersten Moment der Entwicklung sicher, planst die Updateprozesse und beauftragst einen EU-Vertreter.

• Produktscreening: Ermittle, welche deiner Produkte unter den CRA fallen. Vernetzte Geräte mit Softwarekomponente sind fast immer betroffen.
• Security-by-Design: Integriere Threat Modelling und SBOM ab der ersten Entwicklungsphase. Deine IT-Strategie gibt den Rahmen vor, in dem Sicherheitsanforderungen dann priorisiert werden.
• Update-Prozesse: Plane kryptografisch abgesicherte Over-the-Air-Updates und einen internen Vulnerability-Disclosure-Prozess ein. Systemarchitekturen, die Clean-Architecture-Prinzipien folgen, vereinfachen spätere Sicherheits-Patches erheblich.
• EU-Vertreter mandatieren: Plane mit einer EU-Niederlassung oder beauftrage einen externen bevollmächtigten Vertreter.

Embedded Software EU-konform vertreiben mit Axisbits

Für Schweizer Hersteller, die Produkte mit eingebetteter Software in die EU liefern, geht kein Weg am Cyber Resilience Act vorbei. Die entscheidende Frage ist, ob dein Software-Team intern die Kapazität und das Security-Know-how hat, diese Anforderungen über den gesamten Produktlebenszyklus zuverlässig zu halten. Axisbits kann dir dabei helfen:

• Senior-Sign-off auf jeder Codezeile: Eine verantwortliche Adresse für deinen gesamten Code.
• ISO 27001 Zertifizierung und DSG-Compliance, optionaler Penetration-Test bei jedem Ship-Zyklus.
• Voller Code-Besitz: Der Code gehört vollständig dir und die gesamte Architektur ist dokumentiert, übergabefähig und nicht an uns gebunden.

Buche deinen kostenlosen Kennenlern-Call! In 30 Minuten klären wir gemeinsam, wie wir deine Embedded Software EU- und Weltmarkt-fähig machen. Du bekommst eine ehrliche Einschätzung zu Entwicklungszeit und -kosten, ohne Sales-Druck.

{{fs-btn-cta}}