Was muss ein Maschinenbauer für den Cyber Resilience Act tun?
Der Cyber Resilience Act (CRA) gilt ab 11. Dezember 2027 für alle Produkte mit digitalen Elementen - also für jede Maschine mit Software, Netzwerkverbindung oder Fernzugriff. Maschinenbauer müssen Cybersecurity nachweisbar umsetzen: technische Dokumentation, Schwachstellenmanagement und Meldepflichten. Wer bis dahin nicht compliant ist, verliert die CE-Kennzeichnung und darf nicht mehr in den EU-Markt liefern.
Ab Dezember 2027 gelten neue Regeln für jeden Maschinenbauer, der Produkte mit digitalen Elementen in die EU liefert. Der Cyber Resilience Act ist keine Empfehlung - er ist Pflicht.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die am 10. Dezember 2024 in Kraft getreten ist. Sie verpflichtet Hersteller von Produkten mit digitalen Elementen - also Maschinen, Steuerungen, Software und vernetzte Geräte - zur nachweisbaren Erfüllung von Cybersicherheitsanforderungen.
Die Verordnung gilt in drei Stufen:
- →Ab 11. September 2026: Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle - diese Frist läuft in wenigen Wochen an.
- →Ab 11. Dezember 2026: Ziel der EU-Kommission ist eine ausreichende Kapazität notifizierter Stellen für Konformitätsbewertungen.
- →Ab 11. Dezember 2027: Vollständige Compliance-Pflicht. Produkte ohne CRA-Konformität verlieren die CE-Kennzeichnung und dürfen nicht mehr in den EU-Markt.
Die Meldepflicht beginnt am 11. September 2026 - nicht erst 2027. Wer noch nicht vorbereitet ist, hat weniger Zeit als gedacht.
Wen betrifft der CRA konkret?
Betroffen sind alle Hersteller, die Produkte mit digitalen Elementen in der EU vermarkten. Für Maschinenbauer bedeutet das: Jede Maschine mit eingebetteter Software, Netzwerkverbindung, Fernzugriff oder Updatefunktion fällt unter den CRA.
Konkrete Beispiele aus dem Maschinenbau:
- →CNC-Maschinen mit Steuerungssoftware und Fernwartungszugang
- →Verpackungsmaschinen mit SPS und Netzwerkanbindung
- →Prüfanlagen mit digitalen Schnittstellen
- →Jede Maschine, die OPC UA, MQTT oder REST-APIs nutzt
Auch Maschinenbauer, die Maschinen außerhalb der EU herstellen und in die EU exportieren, fallen unter die Verordnung.
Was muss ein Maschinenbauer konkret umsetzen?
Der CRA definiert fünf Kernpflichten für Hersteller:
1. Risikoanalyse und sichere Produktentwicklung
Maschinenbauer müssen Cybersicherheitsrisiken systematisch bewerten - bereits in der Produktentwicklung. Secure-by-Design ist keine Option, sondern Pflicht. Das bedeutet: Bedrohungsmodellierung, Penetrationstests, Dokumentation von Sicherheitsentscheidungen.
2. Technische Dokumentation
Für jedes betroffene Produkt muss eine vollständige technische Dokumentation vorliegen: verwendete Komponenten und Abhängigkeiten (Software-Bill of Materials, SBOM), bekannte Schwachstellen, getroffene Sicherheitsmaßnahmen, Updateprozesse.
3. Schwachstellenmanagement über die gesamte Lebensdauer
Hersteller sind verpflichtet, Schwachstellen aktiv zu überwachen und Sicherheitsupdates bereitzustellen - mindestens fünf Jahre lang nach Markteinführung. Bekannte Schwachstellen müssen innerhalb definierter Fristen gemeldet und behoben werden.
4. Meldepflichten
Ab 11. September 2026: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen innerhalb von 24 Stunden an die ENISA-Meldeplattform gemeldet werden. Eine vollständige Meldung folgt innerhalb von 72 Stunden.
5. Konformitätserklärung und CE-Kennzeichnung
Produkte müssen eine EU-Konformitätserklärung tragen, die die CRA-Compliance nachweist. Für Produkte der Klasse I und II ist eine externe Konformitätsbewertung durch eine notifizierte Stelle erforderlich.
Was bedeutet das für die installierte Basis?
Eine häufig übersehene Anforderung: Der CRA gilt nicht nur für neue Produkte - er erfasst auch Maschinen, die bereits im Feld sind und weiterhin mit Updates versorgt werden. Maschinenbauer müssen also auch ihre bestehende installierte Basis im Blick behalten.
Konkret bedeutet das:
- →Welche Maschinen im Feld haben Netzwerkverbindungen?
- →Welche Schwachstellen sind bekannt und noch nicht behoben?
- →Wie werden Updates an Kunden ausgerollt - und wer bestätigt den Eingang?
- →Wer dokumentiert Sicherheitsvorfälle an Feldmaschinen?
Ohne eine strukturierte Verbindung zur installierten Basis - zu den Maschinen im Betrieb beim Kunden - ist CRA-Compliance für die bestehende Basis kaum managebar.
Wie hilft Transaction-Network bei der CRA-Compliance?
Transaction-Network bietet ein eigenständiges CRA-Compliance-Modul - ohne Plattformbindung, ohne Systemwechsel. Es adressiert genau die operativen Anforderungen des CRA:
- →Schwachstellenmanagement: Systematische Erfassung, Bewertung und Nachverfolgung bekannter Schwachstellen in der installierten Basis
- →Dokumentation: Lückenlose Nachweisführung für Audits und Konformitätserklärungen
- →Meldeprozesse: Strukturierte Abläufe für die Meldung von Vorfällen ab September 2026
- →Update-Tracking: Nachweis, welche Maschinen welche Sicherheitsupdates erhalten haben
Das Modul ist eigenständig nutzbar - ab 500 Euro pro Monat, ohne dass die gesamte Transaction-Network-Infrastruktur eingeführt werden muss. Es kann als erster Schritt stehen und später in die vollständige Service-Infrastruktur integriert werden.
Entwickelt in Zusammenarbeit mit SEKAS GmbH, einem spezialisierten Partner für Software- und Systemengineering mit Fokus auf sicherheitsrelevante Systeme.
Was passiert, wenn ein Maschinenbauer nicht compliant ist?
Die Konsequenzen sind konkret:
- →Produkte verlieren die CE-Kennzeichnung
- →Lieferung in den EU-Markt ist nicht mehr erlaubt
- →Marktaufsichtsbehörden können Produkte vom Markt nehmen
- →Bußgelder: bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes
Für Maschinenbauer mit langen Entwicklungszyklen ist die Zeit knapp. Wer jetzt mit der Vorbereitung beginnt, hat noch genügend Vorlauf. Wer wartet, riskiert, dass die Kapazitäten notifizierter Stellen für Konformitätsbewertungen ausgeschöpft sind.
Häufige Fragen zum Cyber Resilience Act
Gilt der CRA auch für Maschinen, die bereits verkauft wurden?
Ja, eingeschränkt. Der CRA gilt für Produkte, die ab Dezember 2027 in den EU-Markt gebracht werden. Für bereits verkaufte Maschinen gilt die Pflicht zur Schwachstellenbehebung und Meldung - solange der Hersteller Updates bereitstellt. Maschinen, die vor 2027 verkauft wurden und danach keine Updates mehr erhalten, fallen nicht unter die Vollpflicht.
Was ist eine Software-Bill of Materials (SBOM) - und brauche ich das?
Eine SBOM ist eine vollständige Liste aller Softwarekomponenten und Abhängigkeiten eines Produkts - vergleichbar mit einer Zutatenliste. Der CRA verlangt sie als Teil der technischen Dokumentation. Maschinenbauer müssen wissen, welche Open-Source-Bibliotheken, Firmware-Komponenten und Drittanbieter-Software in ihrer Maschine stecken - und welche davon bekannte Schwachstellen haben.
Müssen kleine Maschinenbauer dasselbe umsetzen wie große?
Die Anforderungen gelten grundsätzlich für alle Hersteller - unabhängig von der Unternehmensgröße. Kleinstunternehmen (unter 10 Mitarbeiter, unter 2 Mio. Euro Umsatz) erhalten vereinfachte Verfahren für die Konformitätsbewertung. Aber die inhaltlichen Anforderungen - Schwachstellenmanagement, Dokumentation, Meldepflichten - gelten für alle.
Kann ich das CRA-Modul von Transaction-Network nutzen, ohne den Rest der Plattform einzuführen?
Ja. Das CRA-Compliance-Modul ist eigenständig nutzbar - ab 500 Euro pro Monat, ohne Plattformbindung. Es kann als erster Schritt genutzt werden und später in die vollständige Service-Infrastruktur integriert werden. Für Maschinenbauer, die zunächst nur die CRA-Anforderungen absichern wollen, ist das der direkteste Weg.
Wie lange dauert die CRA-Vorbereitung für einen typischen Maschinenbauer?
Das hängt von der Ausgangssituation ab. Für Produkte der Klasse I und II - also wichtige Produkte mit höherem Risiko - plant man: 3 bis 6 Monate für technische Dokumentation und SBOM, 2 bis 4 Monate für externe Konformitätsbewertung. Wer im August 2026 beginnt, hat für die Meldepflichten ab September 2026 kaum noch Vorlauf. Für die vollständige Compliance bis Dezember 2027 ist jetzt der letzte sinnvolle Startzeitpunkt.
