Cyber Resilience Act im Maschinenbau: Fristen, Pflichten und was die Steuerung betrifft

Der Cyber Resilience Act im Maschinenbau betrifft jede Maschine und jede Komponente mit digitalen Elementen, die in der EU in Verkehr gebracht wird: Steuerungen, Panels, Antriebe mit Netzwerkanschluss, Fernwartungsrouter und die Software darauf. Die Verordnung (EU) 2024/2847 ist am 10. Dezember 2024 in Kraft getreten. Seit dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle, ab dem 11. Dezember 2027 gelten alle Anforderungen.

Das BSI führt diese Meilensteine auf seiner CRA-Seite auf, ebenso die EU-Kommission. Der VDMA weist in einem Beitrag darauf hin, dass die Meldepflicht nach Artikel 14 seit September 2026 auch für Bestandsprodukte gilt, die bereits auf dem Markt sind.

Cyber Resilience Act Maschinenbau: die Fristen

Die Pflichten im Überblick

Der Verordnungstext richtet sich an Hersteller, Importeure und Händler. Für Maschinenbauer als Hersteller sind diese Punkte zentral:

• Security by Design: Produkte müssen nach einer Cybersicherheits-Risikobewertung entwickelt werden, mit sicheren Voreinstellungen und Schutz vor unbefugtem Zugriff.
• Schwachstellenmanagement: Schwachstellen erkennen, dokumentieren und durch Sicherheitsupdates beheben, inklusive Software-Stückliste (SBOM).
• Unterstützungszeitraum: in der Regel mindestens fünf Jahre, in denen Sicherheitsupdates bereitgestellt werden.
• Meldepflichten: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht 14 Tage nach Verfügbarkeit einer Korrektur.
• Sanktionen: Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Das BSI hat mit der Technischen Richtlinie TR-03183 Vorgaben unter anderem zur SBOM veröffentlicht. Die Konformität mit dem CRA wird über die CE-Kennzeichnung ausgewiesen, also über denselben Weg wie bei der Maschinenverordnung.

Was das für Steuerung und Software bedeutet

Eine Maschine besteht aus vielen Produkten mit digitalen Elementen. Die SPS, das Panel und der Antrieb haben ihre eigenen Hersteller, die für diese Produkte CRA-pflichtig sind. Ihre Pflicht als Maschinenbauer betrifft die Maschine als Ganzes und Ihre eigene Software darauf. Der VDMA hat in einem Beitrag zum CRA betont, dass dies auch für integrierte Software gilt.

Konkret heißt das für Ihre Steuerungstechnik: Sie brauchen eine Übersicht, welche Komponenten mit welcher Firmware in jeder Maschine stecken, und einen Prozess, Sicherheitsmeldungen der Komponentenhersteller auszuwerten. Ihr eigenes SPS-Programm, Ihre HMI-Applikation und Ihre Fernwartungslösung sind Teil des Produkts. Default-Passwörter, offene Dienste auf der Steuerung und unverschlüsselte Fernzugänge sind nach dem CRA nicht mehr vertretbar.

CRA und Maschinenverordnung gemeinsam denken

Maschinen mit digitalen Elementen müssen beide Regelwerke erfüllen. Erwägungsgrund 53 des CRA stellt einen Zusammenhang her: Wer die CRA-Anforderungen erfüllt, kann damit den Nachweis für die Cybersicherheitsanforderungen der Maschinenverordnung in Anhang III, Abschnitte 1.1.9 und 1.2.1, erleichtern. Es lohnt sich also, die Risikobeurteilung nach Maschinenverordnung und die Cybersicherheits-Risikobewertung nach CRA zusammenzuführen, statt zwei getrennte Dokumente zu pflegen.

Der VDMA begleitet die Umsetzung mit FAQ, einer Richtlinie zum Schwachstellenmanagement und Positionen zu offenen Auslegungsfragen, etwa wann ein Umbau durch den Originalhersteller als wesentliche Änderung gilt. Für die technische Umsetzung werden derzeit harmonisierte Normen erarbeitet. Die IEC 62443 bleibt für die industrielle Steuerungstechnik der wichtigste Bezugspunkt. Mehr dazu in unserem Beitrag IEC 62443 Zonen und Conduits.

Was Betreiber künftig fragen werden

Viele Ihrer Kunden fallen unter das deutsche NIS2-Umsetzungsgesetz und müssen ihre Lieferkette in das Risikomanagement einbeziehen. Das bedeutet: Einkauf und IT-Sicherheit der Betreiber werden Maschinenbauer künftig systematisch nach Sicherheitseigenschaften fragen. Typische Fragen sind, wie lange Sicherheitsupdates geliefert werden, wie Schwachstellen gemeldet werden, ob eine SBOM vorliegt und welche Ports und Dienste die Maschine im Netzwerk öffnet.

Wer diese Fragen mit einem standardisierten Datenblatt beantworten kann, verkürzt Ausschreibungen und hebt sich vom Wettbewerb ab. Der CRA verlangt diese Informationen ohnehin. Es ist also sinnvoll, sie so aufzubereiten, dass Vertrieb und Service sie ohne Rückfrage an die Entwicklung weitergeben können. Was die Betreiberseite bei NIS2 beachten muss, beschreiben wir im Beitrag NIS2 und OT-Sicherheit.

Ein Beispiel: die Fernwartung

Nehmen Sie den Fernwartungszugang, den viele Maschinenbauer standardmäßig mitliefern. Unter dem CRA wird er Teil Ihres Produkts. Fragen, die Sie beantworten sollten: Ist der Zugang standardmäßig aus und wird vom Betreiber freigegeben? Sind Verbindungen verschlüsselt und protokolliert? Hat jeder Servicetechniker ein eigenes Konto, oder teilen sich alle ein Passwort? Wie werden Schwachstellen im Router selbst behoben? Wer diese Fragen sauber beantwortet, erfüllt gleichzeitig wesentliche Anforderungen aus Maschinenverordnung, CRA und den NIS2-Erwartungen der Betreiber.

Ähnliche Fragen stellen sich bei Webservern auf Steuerungen und Panels, bei OPC-UA-Servern und bei USB-Schnittstellen am Bedienpult. Gehen Sie jede Schnittstelle Ihrer Maschine einmal systematisch durch: Wofür wird sie gebraucht, ist sie standardmäßig aktiv, wie ist sie geschützt, und wer darf sie freischalten? Das Ergebnis ist eine kurze Tabelle, die Sie sowohl für die Risikobeurteilung als auch für die Kundendokumentation verwenden können.

Vergessen Sie dabei nicht die Werkseinstellungen bei Auslieferung. Der CRA verlangt sichere Voreinstellungen. Eine Maschine, die mit aktiviertem Webserver ohne Passwort ausgeliefert wird, weil das bei der Inbetriebnahme praktisch war, erfüllt diese Anforderung nicht.

Wie Wartens unterstützt

Wartens unterstützt Maschinenbauer bei der Cybersecurity-Risikobeurteilung der Maschinensteuerung, bei Software-Stücklisten für die Steuerungsebene und beim Aufbau von Update-Prozessen. Die CE-Kennzeichnung und Konformitätsbewertung verantworten Sie gemeinsam mit Ihrem CE-Partner, mit dem wir zusammenarbeiten. Mehr dazu unter Automatisierungs-Engineering und im Beitrag Maschinenverordnung 2027.

Nächster Schritt: Senden Sie uns die Komponentenliste eines Maschinentyps. Wir erstellen daraus einen Entwurf für die Software-Stückliste der Steuerungsebene und zeigen offene Punkte. Kontakt.