Cyber Resilience Act für Maschinenbauer – Meldepflicht, Supportzeitraum und Nutzerinformationen

Nach der Maschinenverordnung kommt der nächste Stichtag: Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, legt Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen fest. Für Maschinenbauer ist das kein Randthema – fast jede moderne Maschine hat eine Steuerung, eine Netzwerkschnittstelle, Fernwartung oder einen USB-Anschluss für Updates.

Ein Teil des CRA gilt bereits: Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Dieser Ratgeber zeigt, was wann gilt und was Sie jetzt vorbereiten sollten.

Für welche Maschinen gilt der CRA?

Der CRA gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte, logische oder physische Datenverbindung zu einem Gerät oder Netz einschließt (Art. 2). Das betrifft:

• Maschinen mit Steuerung und Netzwerkanschluss, Fernwartung oder Cloud-Anbindung,
• Maschinen, deren Software sich per Update-Schnittstelle oder Datenträger ändern lässt,
• zugekaufte Komponenten wie Steuerungen, Bedienpanels, Router oder Antriebe mit Datenverbindung – hier ist zunächst deren Hersteller verantwortlich.

Maschinen sind nicht ausgenommen. Der CRA gilt zusätzlich zur Maschinenverordnung: Die Maschinenverordnung verlangt unter anderem Schutz gegen Korrumpierung und sichere Steuerungen, der CRA regelt die Cybersicherheit des Produkts über seinen gesamten Lebenszyklus.

Seit 11. September 2026: Meldepflicht für Schwachstellen und Vorfälle

Erfährt ein Hersteller von einer aktiv ausgenutzten Schwachstelle in seinem Produkt oder von einem schwerwiegenden Sicherheitsvorfall, der die Sicherheit des Produkts beeinträchtigt, muss er melden – über die Single Reporting Platform von ENISA an das zuständige CSIRT (Art. 14). Die Pflicht gilt auch für Produkte, die vor dem Stichtag in Verkehr gebracht wurden.

Zusätzlich müssen Sie die betroffenen Nutzer informieren – über die Schwachstelle oder den Vorfall und, falls nötig, über Maßnahmen zur Risikominderung.

Ab 11. Dezember 2027: alle Herstellerpflichten

Ab diesem Datum dürfen Produkte mit digitalen Elementen nur noch in Verkehr gebracht werden, wenn sie die grundlegenden Cybersicherheitsanforderungen nach Anhang I erfüllen und die CE-Kennzeichnung auch den CRA abdeckt. Für Maschinenbauer heißt das vor allem:

• Sicher entwickeln und ausliefern: sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, möglichst kleine Angriffsfläche, Schutz von Daten.
• Schwachstellen behandeln: Software-Stückliste (SBOM) führen, Schwachstellen ohne Verzögerung beheben, Sicherheitsupdates kostenlos bereitstellen und behobene Schwachstellen veröffentlichen.
• Zentrale Anlaufstelle: eine Kontaktadresse für Schwachstellenmeldungen und eine Richtlinie zur koordinierten Offenlegung.
• Supportzeitraum festlegen und Sicherheitsupdates in diesem Zeitraum liefern.
• Nutzerinformationen nach Anhang II bereitstellen.

Für die meisten Produkte genügt eine interne Konformitätsbewertung. Für „wichtige“ und „kritische“ Produkte nach Anhang III und IV gelten strengere Verfahren – das betrifft vor allem zugekaufte Komponenten wie Router, Firewalls oder bestimmte Mikrocontroller. Verstöße gegen die grundlegenden Anforderungen und die Pflichten aus Art. 13 und 14 können mit bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden.

Supportzeitraum: mindestens fünf Jahre, Enddatum beim Kauf

Der Hersteller legt den Supportzeitraum so fest, dass er der erwarteten Nutzungsdauer entspricht – in der Regel mindestens fünf Jahre (Art. 13). Für Maschinen, die oft 15 Jahre und länger laufen, wird man ihn eher länger ansetzen. Wichtig für die Dokumentation:

• Das Enddatum des Supportzeitraums, mindestens mit Monat und Jahr, muss beim Kauf klar erkennbar sein.
• Jedes Sicherheitsupdate bleibt nach Veröffentlichung mindestens zehn Jahre oder für den restlichen Supportzeitraum verfügbar, je nachdem, was länger ist.

Nutzerinformationen nach Anhang II

Der CRA verlangt eigene Informationen und Anweisungen für die Nutzer. Sie dürfen in Papierform oder elektronisch bereitgestellt werden und müssen mindestens zehn Jahre nach dem Inverkehrbringen oder für den Supportzeitraum verfügbar bleiben – je nachdem, was länger ist. Anhang II nennt unter anderem:

Das passt zu dem, was Sie für die Maschinenverordnung ohnehin aufbauen: eine digitale Betriebsanleitung am QR-Code, die mindestens zehn Jahre verfügbar bleibt.

Was Maschinenbauer jetzt tun sollten

• Prüfen, welche Maschinentypen und Komponenten Produkte mit digitalen Elementen sind.
• Meldeprozess für aktiv ausgenutzte Schwachstellen festlegen: Wer entscheidet, wer meldet, wer ist im Urlaub Vertretung?
• Zugang zur Single Reporting Platform von ENISA einrichten.
• Zentrale Adresse für Sicherheitsmeldungen einrichten und eine Richtlinie zur koordinierten Offenlegung veröffentlichen.
• Supportzeitraum je Maschinentyp festlegen und für Kunden sichtbar machen.
• Von Zulieferern CRA-Informationen und SBOM für Steuerungen und Komponenten anfordern.
• Weg festlegen, wie Kunden über Sicherheitsupdates und Schwachstellen informiert werden.
• Nutzerinformationen nach Anhang II in die Dokumentation aufnehmen.

Rechtlich verbindlich ist der Text im Amtsblatt der EU. Dieser Ratgeber ist eine allgemeine Information und keine Rechtsberatung.

So setzen Sie das mit ManualPass um

Mit Security & Support zeigt die Scan-Seite jeder Maschine mit digitalen Elementen den Supportzeitraum, Ihren Sicherheitskontakt, die Offenlegungsrichtlinie und alle veröffentlichten Sicherheitshinweise. Sicherheitsforscher und Kunden melden Schwachstellen über ein Formular direkt an Sie; markieren Sie eine Meldung als aktiv ausgenutzt, überwacht ManualPass die Fristen von 24 und 72 Stunden und erinnert per E-Mail. Mit Sicherheitsmitteilungen informieren Sie alle, die den QR-Code scannen, und Ihre Betreiber per E-Mail – mit Lesebestätigung. Die Nutzerinformationen nach Anhang II legen Sie als Dokument neben Betriebsanleitung und EU-Konformitätserklärung ab.

Dieser Beitrag gibt den Stand vom 07.10.2026 wieder und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2023/1230 im Amtsblatt der EU sowie der nationalen Durchführungsvorschriften.