Cyber Resilience Act im Maschinenbau: Pflichten, Fristen, Praxis

Die Fristen

Datum	Was gilt	Grundlage
10.12.2024	Inkrafttreten	Art. 71 CRA
11.09.2026	Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle	Art. 14 CRA
20.01.2027	Maschinenverordnung gilt — mit eigenen Cybersicherheits-Anforderungen	Anhang III Nr. 1.1.9, 1.2.1
11.12.2027	CRA gilt vollständig	Art. 71 CRA

Ist meine Maschine betroffen?

Der CRA erfasst Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt. Eine Maschine mit SPS und Ethernet, USB-Schnittstelle oder Fernwartungszugang fällt typischerweise darunter. Eine rein mechanische Maschine ohne Software nicht.

Art. 2 Abs. 1 CRAArt. 3 Nr. 1 CRA

Was der Hersteller tun muss

Pflicht	Was das praktisch heißt	Grundlage
Cybersicherheits-Risikobewertung	Dokumentiert, Teil der technischen Dokumentation, über den Unterstützungszeitraum aktuell gehalten	Art. 13 CRA
Grundlegende Anforderungen	Sichere Voreinstellungen, Zugriffsschutz, Schutz der Daten, Protokollierung, sichere Updates	Anhang I Teil I
Umgang mit Schwachstellen	Komponenten erfassen (SBOM in maschinenlesbarem Format), Schwachstellen beheben, Sicherheitsupdates bereitstellen	Anhang I Teil II
Unterstützungszeitraum	In der Regel mindestens fünf Jahre; das Enddatum muss für den Käufer erkennbar sein	Art. 13 CRA
Meldungen	Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht; betroffene Nutzer informieren	Art. 14 CRA
Erklärung und CE	EU-Konformitätserklärung nach Anhang V CRA — zusammen mit der Maschinenverordnung in einer einzigen Erklärung	Art. 28 CRA Art. 21 Abs. 3

Der CRA ersetzt die Maschinenverordnung nicht — er kommt dazu. Wer beide getrennt dokumentiert, schreibt vieles zweimal.

Erwägungsgrund 53 CRA · Anhang III Nr. 1.1.9, 1.2.1 Verordnung (EU) 2023/1230

Wo sich CRA und Maschinenverordnung überschneiden

Die Maschinenverordnung verlangt Schutz gegen Korrumpierung und Steuerungen, die vorhersehbaren böswilligen Versuchen Dritter standhalten. Erwägungsgrund 53 des CRA hält fest, dass die Erfüllung seiner Anforderungen den Nachweis dieser Maschinen-Anforderungen erleichtern kann — die Synergie muss der Hersteller aber belegen. In der Praxis heißt das: ein Nachweis, zwei Verordnungen, sauber zugeordnet.

Reihenfolge für die Praxis

Produkte einordnen. Welche Maschinen haben Software und eine Datenverbindung?
Meldeweg festlegen. Wer meldet binnen 24 Stunden, und wie erreichen Sie die Betreiber Ihrer Maschinen? Diese Pflicht gilt schon.
Komponenten erfassen. SBOM für Steuerung, Firmware und Software.
Risikobewertung dokumentieren — und mit der Risikobeurteilung nach Maschinenverordnung verknüpfen.
Unterstützungszeitraum festlegen und auf Typenschild, Zielseite oder Anleitung angeben.
Eine gemeinsame Erklärung für beide Verordnungen vorbereiten.

Verstöße gegen die grundlegenden Anforderungen und die Herstellerpflichten können mit Geldbußen bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden.

Art. 64 CRA

CRA und Maschinenverordnung in einem Register

Anforderungszeilen mit Artikelverweis für beide Verordnungen, SBOM mit CycloneDX-Export, Cyber-Risikoregister und Meldefristen-Rechner.

Testakte anlegen Meldefristen berechnen