Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) – Verordnung (EU) 2024/2847 – legt erstmals EU-weit verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest. Gemeint sind Hard- und Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden kann. Wie die Maschinenverordnung ist der CRA eine Verordnung: Er gilt unmittelbar in allen Mitgliedstaaten.
Das Ziel: Produkte sollen von Anfang an sicher entwickelt werden („Security by Design“), mit sicheren Voreinstellungen ausgeliefert werden und über ihren Supportzeitraum Sicherheitsupdates erhalten.
Ist meine Maschine betroffen?
Sehr wahrscheinlich, sobald sie digitale Elemente mit Verbindungsmöglichkeit enthält. Typische Beispiele im Maschinenbau:
- Steuerungen und HMIs mit Ethernet-, Feldbus- oder Funkschnittstelle,
- Fernwartungs- und Remote-Service-Zugänge,
- Maschinen mit Cloud-Anbindung, Datenerfassung oder App-Steuerung,
- mitgelieferte Software – etwa Konfigurations-, Visualisierungs- oder Diagnosetools.
Nicht erfasst sind unter anderem reine SaaS-Angebote ohne Bezug zu einem Produkt sowie Bereiche mit eigenen Spezialregeln (z. B. Medizinprodukte, Kraftfahrzeuge). Ob und in welcher Klasse Ihr Produkt fällt – Standardprodukt, „wichtiges“ oder „kritisches“ Produkt –, bestimmt das Konformitätsbewertungsverfahren.
Die Fristen im Überblick
| Datum | Was gilt |
|---|---|
| 10.12.2024 | Inkrafttreten des CRA |
| 11.06.2026 | Bestimmungen zu Konformitätsbewertungsstellen |
| 11.09.2026 | Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle – auch für Produkte, die schon vor 2027 in Verkehr gebracht wurden |
| 11.12.2027 | Alle übrigen Pflichten – Produkte dürfen nur noch CRA-konform in Verkehr gebracht werden |
Schon jetzt relevant: Die Meldepflichten gelten seit dem 11. September 2026. Hersteller müssen eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (Meldung) über die zentrale Meldeplattform der ENISA melden; ein Abschlussbericht folgt.
Die wichtigsten Pflichten für Hersteller
- Risikobewertung zur Cybersicherheit über den gesamten Produktlebenszyklus – dokumentiert in den technischen Unterlagen.
- Grundlegende Cybersicherheitsanforderungen erfüllen, u. a. sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, Schutz der Datenintegrität und Minimierung der Angriffsfläche.
- Schwachstellenmanagement: Schwachstellen identifizieren, dokumentieren und zeitnah per Sicherheitsupdate beheben; eine Anlaufstelle für Meldungen bereitstellen.
- Software-Stückliste (SBOM) der verwendeten Komponenten führen.
- Supportzeitraum festlegen – in der Regel mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht kürzer ist – und angeben.
- Informationen für Nutzer bereitstellen: sichere Installation und Inbetriebnahme, Updates, Supportende, Kontakt für Schwachstellenmeldungen.
- Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung – die CE-Kennzeichnung deckt künftig auch den CRA ab.
Zusammenspiel mit der Maschinenverordnung
Die Maschinenverordnung (EU) 2023/1230 verlangt ab dem 20. Januar 2027 ebenfalls Schutz gegen Korrumpierung: Eine Verbindung zu anderen Geräten oder Fernzugriffe dürfen nicht zu gefährlichen Situationen führen, sicherheitsrelevante Software und Daten sind zu schützen. Der CRA ergänzt das um allgemeine Cybersicherheit, Updates und Meldepflichten.
In der Praxis bedeutet das: Für eine vernetzte Maschine müssen beide Regelwerke in Risikobeurteilung, technischen Unterlagen und Betriebsanleitung berücksichtigt werden. Wer seine Dokumentation strukturiert und versioniert führt, hat es deutlich leichter, beide Nachweise konsistent zu halten.
Was das für die Dokumentation bedeutet
Der CRA erzeugt neue Inhalte, die in Dokumentation und Anleitung gehören – und die sich mit jedem Update ändern können:
- Sicherheitshinweise zu Installation, Netzwerkanbindung und Fernzugriff in der Betriebsanleitung
- Angabe des Supportzeitraums und der Kontaktstelle für Schwachstellenmeldungen
- Versionsbezogene Informationen: Welche Software-Version ist auf welcher Maschine installiert?
- SBOM und Cyber-Risikobewertung als Teil der technischen Unterlagen
- Aktualisierte Anleitungen nach sicherheitsrelevanten Updates – dauerhaft abrufbar
Genau hier hilft eine Dokumentation, die aus den Produktdaten erzeugt wird und jede Maschine ihrer Revision zuordnet: Sicherheitshinweise kommen als Bausteine aus der Vorlage, Änderungen fließen automatisch in alle Sprachfassungen, und im Online-Katalog sieht jeder Kunde genau den Stand seiner Maschine.
Fahrplan: In 6 Schritten zum CRA
- Bestandsaufnahme: Welche Produkte enthalten digitale Elemente mit Verbindung?
- Einstufen: Standard-, wichtiges oder kritisches Produkt? Daraus folgt das Bewertungsverfahren.
- Meldeprozess aufsetzen: Verantwortliche, 24-/72-Stunden-Ablauf, Zugang zur ENISA-Plattform – gilt bereits.
- Entwicklung anpassen: Security by Design, SBOM, Update-Mechanismus, Supportzeitraum.
- Dokumentation erweitern: Risikobewertung, technische Unterlagen, Nutzerinformationen.
- Konformität erklären: Bewertung, EU-Konformitätserklärung, CE-Kennzeichnung bis 11.12.2027.
Hinweis: Dieser Artikel bietet einen Überblick und ersetzt keine Rechtsberatung. Maßgeblich ist der Text der Verordnung (EU) 2024/2847.
Wie gut sind Sie vorbereitet?
Machen Sie den kostenlosen MVO-Readiness-Check: 10 Fragen, 3 Minuten, sofort Ihr Ergebnis.