Cyber Resilience Act-Meldepflicht: PHYTEC verbindet Modul, BSP und Device-Lifecycle-Management

Was der CRA verlangt

Die Meldepflicht nach Artikel 14 ist gestaffelt: Frühwarnung binnen 24 Stunden, ergänzende Informationen binnen 72 Stunden, Abschlussbericht spätestens 14 Tage nach Bereitstellung eines Sicherheitsupdates. Sie gilt unabhängig von der Produktklasse und auch für Produkte, die bereits vor Jahren in Verkehr gebracht wurden. Praktisch heißt das: Ein Hersteller muss wissen, welche Software-Komponenten in seinem Produkt stecken, er muss sie im Feld reparieren können und er muss beides belegen können. Wer diese drei Fähigkeiten nicht in der Produktarchitektur verankert hat, kann die Fristen operativ nicht einhalten.

phyHUB: die Betriebsebene über dem Modul

PHYTEC entwickelt und fertigt seit 1985 in Mainz System on Modules und Single Board Computer und liefert dazu gepflegte Board Support Packages auf Basis von Yocto/OpenEmbedded, Linux und Zephyr RTOS. phyHUB ergänzt dieses Fundament um die Betriebsebene: signierte Over-the-Air-Updates mit Staging und Rollback, Fleet- und Asset-Management, Device Health Monitoring sowie einen automatisierten Abgleich bekannter Schwachstellen gegen die SBOM.

Entscheidend ist das Betriebsmodell. phyHUB ist eine von PHYTEC betriebene Multi-Tenant-Plattform – die meisten Hersteller wollen keine Plattform betreiben, sondern ihre Geräte im Griff haben und ihre Pflichten erfüllen. Damit ergänzt PHYTEC das Angebot von ML!PA um eine Stufe, die es dort so nicht gibt: ML!PA liefert L-IoT als Einzelinstallation pro Kunde, die dieser selbst betreibt. Wo eine solche Installation gefordert ist, wenden sich Kunden direkt an ML!PA – auf derselben Plattform, ohne Systemwechsel.

phyHUB ist zugleich der Kanal, über den PHYTEC seine eigenen Pflegeleistungen ausliefert: Software-Lifecycle-Management und CVE-Services sind an die Wartungsinfrastruktur in Mainz angebunden. Was dort an BSP-Pflege, Schwachstellenbewertung und Sicherheitsupdates entsteht, erreicht die Geräteflotte über dieselbe Plattform. Damit endet die Kette nicht bei einem Werkzeug, sondern bei einer Leistung

Der Vertrauensanker entsteht in Mainz

Jede Update-Kette ist nur so belastbar wie der Schlüssel, mit dem sie beginnt. PHYTEC führt Schlüsselerzeugung, Schlüsselhandling, Verschlüsselung und die Provisionierung von Secure Boot in der eigenen Fertigung in Mainz durch – physisch und unter deutschem Recht. Das Modul verlässt das Haus bereits mit seiner Identität. Diese Leistung lässt sich nicht in Software nachbilden.

In den Produkten unserer Kunden gewinnt die Software an Bedeutung – und vor allem deren Pflege. Mit dem Cyber Resilience Act wird diese Pflege ab 2027 zur Marktzugangsvoraussetzung. Wer sein Produkt nicht sicher aktualisieren kann, darf es künftig nicht mehr in Verkehr bringen. Und wer nicht mehr in Verkehr bringt, kauft auch keine Module mehr. L-IoT ist für uns die komplementäre Software-Schicht zu unseren System on Modules: hardware-agnostisch, brownfield-fähig und offen für die Geräte, die unsere Kunden bereits im Feld haben.
– Bodo Huber, Geschäftsführer, PHYTEC Messtechnik GmbH

Wir vermieten keine Plattform, wir liefern eine eigene Installation pro Kunde  – und der kann sie selbst betreiben. Hardwareneutral, vollständig über APIs steuerbar, und wir stehen im laufenden Betrieb nirgends im Datenpfad dazwischen. Wer ein Produkt über zehn Jahre verantwortet, will nicht davon abhängen, ob sein Plattformanbieter das genauso lange tut. Mit PHYTEC erreichen wir jetzt beide Kundengruppen: die, die genau diese Kontrolle brauchen, und die, die den Betrieb lieber  in die Hände des Anbieters ihres Vertrauens legen.
– Tobias Maier, Geschäftsführer, ML!PA Consulting GmbH

Was Kunden konkret gewinnen

• Eine nachvollziehbare Kette vom Modul bis zur signierten OTA-Auslieferung im Feld – auf geeigneten Modulen inklusive Secure Boot.
• Werkzeuge zur Erfüllung der CRA-Pflichten: SBOM-Tracking, signierte Artefakte, Schwachstellenabgleich, Audit Trail. Meldung und Konformitätserklärung bleiben beim Hersteller.
• Kein eigener Plattformbetrieb nötig – auch für Hersteller ohne eigene IT-Abteilung.
• Ein Managementsystem für gemischte Geräteflotten: PHYTEC-Modul oder Fremdhardware, Neuentwicklung oder Bestandsgerät.

Betrieb und Datenverarbeitung

phyHUB wird von der PHYTEC Messtechnik GmbH als Multi-Tenant-Plattform mit Mandantentrennung betrieben. Betriebsplattform ist Microsoft Azure, Region Europe West. Vertragspartner und Auftragsverarbeiter des Kunden ist PHYTEC; ML!PA ist als Unterauftragnehmer eingebunden. Schlüsselerzeugung, Verschlüsselung und Secure-Boot-Provisionierung erfolgen nicht in der Cloud, sondern in der Fertigung in Mainz.

Verfügbarkeit

Erste Referenzintegrationen von PHYTEC-Modulen mit phyHUB stehen ab dem vierten Quartal 2026 zur Verfügung. Einen ersten technischen Ausblick gibt PHYTEC am 22. September 2026 auf dem Elektronik Solution Day in Stuttgart. Live zu sehen ist die Lösung auf der electronica in München (10.–13. November 2026) und auf der SPS in Nürnberg (24.–26. November 2026).