Was ändern CRA und Data Act für unser vernetztes Produkt?
Seit dem 11. September 2026 müssen Sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, auch für Produkte, die schon im Feld sind (CRA, Art. 14 und 69 Abs. 3). Für jedes Gerät, das ab dem 11. Dezember 2027 in Verkehr gebracht wird, gilt der CRA ganz: Sicherheitsupdates über einen Supportzeitraum von mindestens fünf Jahren, kürzer nur, wenn das Produkt voraussichtlich kürzer genutzt wird, und sein Ende steht beim Verkauf fest. Ein vernetztes Produkt, das nach dem 12. September 2026 in Verkehr gebracht wird, muss außerdem so entworfen sein, dass seine Daten dem Nutzer standardmäßig zugänglich sind (Data Act, Art. 3). Im Audit bereiten wir jede Anforderung technisch so vor, dass Ihre Rechtsabteilung sie entscheiden kann, und ordnen sie einer der sechs Entscheidungen zu.
Unser Produkt ist schon im Feld. Ist es zu spät?
Nein, aber die Fragen verschieben sich. Bei der installierten Basis geht es darum, welche Geräte ein Update überhaupt erreicht, wer signiert und welche Enddaten im Stack schon feststehen; bei der nächsten Generation um die sechs Entscheidungen vor dem Start. Das Audit trennt beides.
Wir wollen weg von unserer IoT-Plattform. Wie gehen wir vor?
Zuerst die Bestandsaufnahme: welche Geräte und Generationen im Feld sind, was die alte Plattform für sie tut und welche Verträge und Enddaten gelten. Dann die neue Plattform anhand der sechs Entscheidungen auswählen, bevor ein Vertrag unterschrieben ist. Die Migration selbst wird über die alte Plattform ausgeliefert, solange sie läuft, mit einem Rückweg für Geräte, die erst Monate später wieder online sind. Eine solche Migration habe ich selbst geführt.
Wann ist ein Redesign nötig?
Wenn die Architektur eine Pflicht nicht mehr erfüllt oder ein Enddatum nicht übersteht: ein abgekündigtes Modul, ein abgeschaltetes Netz, Updates ohne Signatur und Rückweg, ein Supportzeitraum, den die Komponenten nicht hergeben, oder Betriebskosten, die mit jeder Einheit steigen. Das Audit zeigt, was sich im Bestand noch lösen lässt und was erst die nächste Generation leistet.
Wie wählen wir eine IoT- oder OTA-Plattform aus?
Mit der Geräteseite zuerst: Anforderungen an die funktionale Sicherheit, Rückweg und Wiederherstellung binden die Wahl der Plattform stärker als umgekehrt. Danach ein Lastenheft entlang der sechs Entscheidungen und eine Abnahme durch jemanden, der am Auftrag nichts verdient. Fragen Sie jeden Anbieter, wo der Signaturschlüssel liegt.
Wir haben schon eine IoT-Plattform. Lohnt sich das trotzdem?
Häufig gerade dann: ob das Geschäftsmodell auf der Plattform Geld verdient und ob Sie in drei Jahren noch wechseln könnten.
Ist das nicht nur Technik-Beratung?
Ich stelle die technischen Fragen, weil sie kommerzielle Folgen haben. Eine IoT-Plattform habe ich kommerziell verantwortet, mit P&L, Team und Kunden.
Wie hängt das mit Agentic AI zusammen?
Ein Agent braucht, was ein vernetztes Produkt braucht: eine Person, die ihn verantwortet, einen Rückweg nach jeder Änderung und einen Ausstieg, wenn ein Anbieter wegfällt. Seinen Kontext bekommt er aus den Daten und der Anlagensemantik dieses Fundaments.
Welche Bindungen haben Sie heute an Bosch?
Keine: kein Wettbewerbsverbot, keine laufenden Verträge, keine Provision. Was ich bei Bosch erfahren habe, bleibt vertraulich.
Arbeiten Sie auch außerhalb Europas?
EU-weit mit Basis in Gevelsberg und Athen. Außerhalb Europas selektiv und über bestehende Beziehungen zu OEMs und Plattformanbietern.
