Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist die erste EU-weite Pflicht zur Cybersecurity für Produkte. Er betrifft nicht nur IT-Hersteller: Jede Maschine mit Steuerung und Netzwerk- oder Datenanschluss ist ein Produkt mit digitalen Elementen. Damit wird der Maschinenbauer zum Hersteller im Sinne des CRA, mit eigenen Pflichten über den gesamten Lebenszyklus. Ein Teil davon gilt bereits.
Die Termine
| Datum | Was gilt ab dann |
|---|---|
| 10. Dezember 2024 | Der CRA tritt in Kraft, die Übergangsfristen beginnen. |
| 11. September 2026 | Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle |
| 20. Januar 2027 | Die Maschinenverordnung (EU) 2023/1230 gilt, inklusive Schutz gegen Manipulation |
| 11. Dezember 2027 | Alle Anforderungen des CRA gelten, die CE-Kennzeichnung umfasst dann auch die Cybersecurity |
Die Meldepflichten gelten schon
Seit 11. September 2026 muss der Hersteller zwei Arten von Ereignissen melden:
- Aktiv ausgenutzte Schwachstellen in seinem Produkt, also Lücken, die nachweislich angegriffen werden
- Schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen
Die Meldung geht über eine zentrale Meldeplattform an das zuständige nationale CSIRT und an die EU-Agentur ENISA. Die Fristen sind kurz:
- Frühwarnung innerhalb von 24 Stunden, nachdem der Hersteller davon erfahren hat
- Meldung innerhalb von 72 Stunden mit ersten Einschätzungen und Gegenmaßnahmen
- Abschlussbericht: bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur verfügbar ist, bei Vorfällen innerhalb eines Monats
Außerdem müssen die betroffenen Nutzer informiert werden, gegebenenfalls mit Hinweisen, wie sie die Auswirkungen begrenzen. Wichtig: Die Meldepflicht gilt auch für Maschinen, die schon vor 2027 ausgeliefert wurden und noch auf dem Markt sind.
Wer innerhalb von 24 Stunden melden muss, braucht einen festen Ablauf: Wer nimmt Hinweise entgegen, wer bewertet sie, wer meldet? Das lässt sich nicht erst im Ernstfall klären.
Was ab Dezember 2027 dazukommt
Ab 11. Dezember 2027 darf eine Maschine mit digitalen Elementen nur noch in Verkehr gebracht werden, wenn sie die grundlegenden Anforderungen aus Anhang I des CRA erfüllt. Die wichtigsten Punkte:
- Security by Design: Risikobeurteilung zur Cybersecurity schon in der Entwicklung, sichere Grundeinstellungen bei Auslieferung, keine bekannten ausnutzbaren Schwachstellen
- Schutz von Zugang und Daten: Authentifizierung, Schutz vor unbefugtem Zugriff, Integrität von Programmen und Konfiguration, möglichst kleine Angriffsfläche
- Schwachstellenmanagement: eine Kontaktstelle für Meldungen, ein Prozess zur koordinierten Offenlegung und eine Software-Stückliste (SBOM) mit den verwendeten Komponenten
- Sicherheitsupdates: Der Hersteller legt einen Unterstützungszeitraum fest, in der Regel mindestens fünf Jahre, und liefert in dieser Zeit Updates
- Dokumentation: technische Unterlagen und Konformitätserklärung, die zehn Jahre aufbewahrt werden
Für die meisten Maschinen reicht eine Konformitätsbewertung durch den Hersteller selbst. Strengere Verfahren gelten für bestimmte „wichtige“ und „kritische“ Produkte, die in den Anhängen III und IV des CRA aufgezählt sind. Ob ein eingebautes Gerät dazu gehört, sollte man im Einzelfall prüfen.
Verstöße gegen die grundlegenden Anforderungen können mit bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden.
Was das konkret für den Maschinenbau heißt
- Zugekaufte Komponenten: Steuerungen, HMIs und Antriebe unterliegen beim jeweiligen Hersteller selbst dem CRA. Der Maschinenbauer muss beim Einbau aber mit der gebotenen Sorgfalt prüfen, dass diese Komponenten die Sicherheit der Maschine nicht gefährden.
- Eigene Software zählt: PLC-Programme, HMI-Projekte, Fernwartungslösungen und eigene Tools gehören zum Produkt. Für sie gelten Schwachstellenmanagement und Update-Pflicht genauso.
- Herstellerhinweise verfolgen: Sicherheitsmeldungen der Komponentenhersteller, zum Beispiel von Siemens ProductCERT, müssen regelmäßig ausgewertet und auf die eigenen Maschinen abgebildet werden. Ohne SBOM ist das kaum möglich.
- Updates zum Kunden bringen: Viele Maschinen stehen ohne Internetzugang in der Fertigung. Es braucht einen praktikablen Weg, Firmware- und Software-Updates sicher einzuspielen, ohne die Produktion unnötig zu stören.
- Zusammenspiel mit der Maschinenverordnung: Wer die CRA-Anforderungen erfüllt, deckt den Manipulationsschutz der Maschinenverordnung weitgehend mit ab. Beides sollte deshalb in einem gemeinsamen Konzept geplant werden, zum Beispiel auf Basis der IEC 62443.
Checkliste: jetzt handeln
- Meldeprozess einrichten: Kontaktstelle für Schwachstellenhinweise festlegen, Zuständigkeiten und Vertretung für die 24-Stunden-Frist klären.
- Produkte erfassen: Welche Maschinentypen und Softwarestände sind auf dem Markt? Welche Komponenten stecken darin?
- SBOM aufbauen: Hardware, Firmware, Bibliotheken und eigene Software je Maschinentyp dokumentieren.
- Sicherheitsmeldungen beobachten: Advisories der Lieferanten abonnieren und einen Ablauf für die Bewertung festlegen.
- Unterstützungszeitraum und Update-Weg festlegen: Wie lange gibt es Updates und wie kommen sie an die Maschine?
- Entwicklung anpassen: Security by Design und sichere Grundeinstellungen in den Maschinenstandard aufnehmen.
- Dokumentation vorbereiten: Technische Unterlagen und Konformitätserklärung auf CRA und Maschinenverordnung ausrichten.
Fazit
Der Cyber Resilience Act macht Cybersecurity zur Herstellerpflicht, auch im Maschinenbau. Die Meldepflichten gelten bereits, und bis Dezember 2027 müssen Schwachstellenmanagement, Updates und Dokumentation stehen. Wer das gemeinsam mit den Anforderungen der neuen Maschinenverordnung angeht, vermeidet doppelte Arbeit und hat einen klaren Standard für alle Maschinen.
Hinweis: Dieser Artikel gibt einen technischen Überblick und ersetzt keine Rechtsberatung. Maßgeblich ist der Text der Verordnung im Amtsblatt der EU.