Cyber Resilience Act: klare Antworten für Ihre Maschinen

Der CRA enthält keine Liste von Produktarten. Er kennt nur ein Kriterium: Das Produkt enthält Software oder elektronische Hardware, die Daten verarbeitet, und sein bestimmungsgemäßer Zweck oder seine vernünftigerweise vorhersehbare Verwendung schließt eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz ein (Artikel 2 Absatz 1). Eine Maschine mit SPS, HMI, einem Antrieb am Feldbus oder einer Serviceschnittstelle erfüllt dieses Kriterium. Maschinen gehören nicht zu den Ausnahmen in Artikel 2. Die Maschine unterliegt zudem weiterhin der Maschinenverordnung (EU) 2023/1230. Beide Verordnungen gelten also nebeneinander (FAQ der Kommission 2.4.2 EN).

Der CRA spricht von Datenverbindungen, nicht vom Internet. Eine physische Verbindung umfasst Kabel, optische Verbindungen und Funk. Eine logische Verbindung umfasst jede Softwareschnittstelle (Artikel 3 Nummern 8 und 9). Die FAQ der Kommission zum CRA nennen als Beispiele für eine direkte physische Verbindung einen industriellen Feldbus wie PROFIBUS, der einen Sensor mit einer SPS verbindet, und ein USB-Kabel (FAQ der Kommission 1.3 EN). Ein isoliertes Netz senkt das Risiko in Ihrer Bewertung der Cybersicherheitsrisiken. Es nimmt die Maschine aber nicht aus dem Anwendungsbereich heraus.

Eine rein mechanische oder elektromechanische Maschine mit Relais und ohne programmierbares Element ist kein Produkt mit digitalen Elementen (Artikel 3 Nummer 1). Sobald Sie eine SPS, eine Kleinsteuerung, einen Antrieb mit Firmware oder ein HMI einbauen, fällt die Maschine unter den CRA, wenn dieses Element Daten austauschen kann.

Sie bringen die Maschine unter Ihrem Namen in den Verkehr. Damit sind Sie Hersteller der gesamten Maschine als Produkt mit digitalen Elementen (Artikel 3 Nummer 13). SPS und HMI sind Komponenten. Bei ihrer Integration müssen Sie die gebotene Sorgfalt walten lassen (Artikel 13 Absatz 5). Schwachstellen behandeln Sie für die Maschine als Ganzes, einschließlich ihrer Komponenten (FAQ der Kommission 4.3.6 EN). Werden diese Komponenten selbst nach dem CRA in den Verkehr gebracht, können Sie sich auf die Pflichten ihrer Hersteller stützen, etwa auf die Pflicht, einen Patch bereitzustellen.

Das EU-Produktrecht gilt für jedes einzelne Produkt, unabhängig davon, ob es als Einzelstück oder in Serie hergestellt wurde (Leitfaden für die Umsetzung der Produktvorschriften der EU 2022 („Blue Guide“), Abschnitte 2.2 und 2.3). Einzelanfertigungen erhalten eine Erleichterung: Bei einem maßgeschneiderten Produkt mit digitalen Elementen, das für einen bestimmten gewerblichen Nutzer auf einen bestimmten Zweck zugeschnitten ist, können Sie und Ihr Kunde ausdrücklich vereinbaren, von zwei Anforderungen abzuweichen. Gemeint sind die sichere Standardkonfiguration und die kostenlosen Sicherheitsaktualisierungen (Anhang I, Erwägungsgrund 64). Alle anderen Pflichten bleiben bestehen. Siehe Frage 6.3.

Ein Inverkehrbringen findet nicht statt, wenn ein Produkt für den Eigengebrauch hergestellt wird (FAQ der Kommission 1.5 EN, mit Verweis auf den Blue Guide). Zwei Einschränkungen: Die Maschinenverordnung gilt weiterhin für Maschinen, die für den Eigengebrauch in Betrieb genommen werden. Und eine Maschine, die eine Konzerngesellschaft baut und an eine Schwestergesellschaft verkauft, kann als in den Verkehr gebracht gelten, weil die Übertragung zwischen zwei juristischen Personen stattfindet.

Der CRA erfasst ein Software- oder Hardwareprodukt „und dessen Datenfernverarbeitungslösungen“ (Artikel 3 Nummer 1). Datenfernverarbeitung fällt in den Anwendungsbereich, wenn die Software dafür von Ihnen selbst oder unter Ihrer Verantwortung konzipiert und entwickelt wurde und die Maschine ohne sie eine ihrer Funktionen nicht erfüllen könnte (Artikel 3 Nummer 2). Ihre eigene Plattform, die Rezepte, Konfigurationen oder Updates an die Maschine sendet, ist der typische Fall. Ein Fernwartungsdienst eines Drittanbieters, den Sie nur einkaufen und nutzen, ist nicht Ihre Datenfernverarbeitung. Das Gateway, das Sie in die Maschine einbauen, bleibt aber eine ihrer Komponenten. Die Leitlinien der Kommission behandeln mehrere Anwendungsfälle der Datenfernverarbeitung (Leitlinien der Kommission C(2026) 5252 EN).

Router, Switches und Betriebssysteme sind in Anhang III als wichtige Produkte mit digitalen Elementen aufgeführt. Die Integration eines solchen Produkts „führt für sich genommen nicht dazu, dass das Produkt, in das es integriert ist, den Konformitätsbewertungsverfahren gemäß Artikel 32 Absätze 2 und 3 unterliegt“ (Artikel 7 Absatz 1). Die Klasse der Maschine richtet sich nach ihrer Kernfunktion (FAQ der Kommission 3.2 EN). Die Berufsgenossenschaft Holz und Metall (BGHM) kommt für SPS, Antriebe und Netzwerkschnittstellen zum selben Ergebnis (FAQ der BGHM). Die meisten Maschinen fallen in keine Klasse und nutzen die Selbstbewertung, also die interne Kontrolle (Modul A). Die technischen Beschreibungen der einzelnen Kategorien stehen in der Durchführungsverordnung (EU) 2025/2392.

Es kommt darauf an, ob das Exemplar bereits auf dem EU-Markt ist. Jedes einzelne Produkt wird nur einmal in der gesamten EU in den Verkehr gebracht (Blue Guide 2022, Abschnitt 2.3). Eine Gebrauchtmaschine, die bereits auf dem EU-Markt ist, wird beim Weiterverkauf nicht erneut in den Verkehr gebracht. Eine Gebrauchtmaschine, die erstmals in die EU eingeführt wird, wird zu diesem Zeitpunkt in den Verkehr gebracht. Geschieht das ab dem 11. Dezember 2027, muss sie die Anforderungen des CRA erfüllen. Eine Überholung, die Funktionen oder Sicherheitseigenschaften ändert, kann eine wesentliche Änderung sein. Siehe Abschnitt 3.

Seit dem 11. September 2026 gilt die Meldepflicht nach Artikel 14. Ab dem 20. Januar 2027 gilt die Maschinenverordnung. Ab dem 11. Dezember 2027 gilt der übrige CRA (Artikel 71 Absatz 2). Daneben gibt es zwei weitere Termine: Kapitel IV über die Notifizierung von Konformitätsbewertungsstellen gilt seit dem 11. Juni 2026. Die neue Produkthaftungsrichtlinie gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden.

Die Meldepflicht gilt also schon heute für alle Maschinen im Feld. Die Produktanforderungen gelten fünfzehn Monate später, am 11. Dezember 2027. Sie gelten nur für Exemplare, die ab diesem Tag in den Verkehr gebracht oder nach diesem Tag wesentlich geändert werden.

Für Deutschland: Der CRA und die Maschinenverordnung gelten unmittelbar. Das CRA-Durchführungsgesetz benennt nur Behörden und regelt das Bußgeldverfahren. Der Bundestag hat es am 15. Oktober 2026 beschlossen, verkündet ist es noch nicht (DE.1). Das Maschinenverordnung-Durchführungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Seine Kernvorschriften, etwa zu Sprache und Geldbußen, gelten erst ab dem 20. Januar 2027 (§ 12).

Maschinen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den Anforderungen des CRA nur, wenn sie nach diesem Zeitpunkt wesentlich geändert werden (Artikel 69 Absatz 2). Sie behalten ihre CE-Kennzeichnung (FAQ der BGHM). Die Meldepflicht nach Artikel 14 gilt aber für alle, auch für Maschinen, die vor Jahren ausgeliefert wurden (Artikel 69 Absatz 3).

Dass ein Typ schon seit 2025 verkauft wird, ändert nichts für ein Exemplar, das 2028 in den Verkehr gebracht wird (FAQ der Kommission 7.2 EN, Blue Guide 2022, Abschnitt 2.3). Der Blue Guide ist eindeutig: „Daher muss jedes einzelne Produkt eines Produktmodells oder einer Produktart, das nach dem Inkrafttreten neuer Anforderungen in Verkehr gebracht wird, diese erfüllen, auch wenn die Bereitstellung des Produktmodells oder der Produktart vor dem Inkrafttreten neuer Harmonisierungsrechtsvorschriften der Union mit neuen obligatorischen Anforderungen erfolgte.“

In der Regel zählt der Tag, an dem die fertige Maschine erstmals an den Kunden übertragen wird, nicht das Auftragsdatum. Übertragen heißt: Eigentum, Besitz oder ein sonstiges Recht geht über. Eine physische Übergabe ist nicht nötig. „Ein Angebot oder eine Vereinbarung, das bzw. die vor Beendigung der Herstellungsphase gemacht bzw. geschlossen wurde, kann nicht als Inverkehrbringen angesehen werden“ (Blue Guide 2022, Abschnitt 2.3). Bei einer Anlage, die Sie beim Kunden fertigstellen und in Betrieb nehmen, endet die Herstellung erst dort. Dann zählt dieses spätere Datum. Eine Rechnung oder eine Eigentumsübertragung für eine unfertige Maschine vor dem 11. Dezember 2027 hilft nicht.

Exemplare, die bereits in den Verkehr gebracht wurden, zum Beispiel durch Verkauf an einen Händler oder Vertriebspartner, dürfen auch nach diesem Datum verkauft werden, ohne dass Sie sie nachrüsten müssen (FAQ der Kommission 7.2 und 7.5 EN). Exemplare in Ihrem eigenen Lager, die Sie noch an niemanden abgegeben haben, sind nicht in den Verkehr gebracht. Ab dem 11. Dezember 2027 dürfen Sie sie nur in den Verkehr bringen, wenn sie die Anforderungen erfüllen.

Kein Termin des CRA selbst hat sich verschoben, und die Verordnung sieht keine Schonfrist vor. Bewegung gibt es nur bei Vorschlägen im Umfeld. Die Kommission hat am 7. Juli 2026 den Entwurf einer Änderung des Normungsauftrags M/606 mit neuen Lieferfristen notifiziert. Am 16. Oktober 2026 war er noch nicht angenommen (unser Normen-Tracker EN). Der Vorschlag für den Digital-Omnibus vom 19. November 2025 würde eine zentrale Meldestelle für Sicherheitsvorfälle schaffen, die die ENISA betreibt. Beschlossen ist er noch nicht. Heute ist die einheitliche Meldeplattform der ENISA (Single Reporting Platform) EN der einzige Kanal für Meldungen nach dem CRA.

Für Deutschland: Das deutsche Gesetz verschiebt keine EU-Frist. Der Bundestag hat nur das nationale Inkrafttreten angepasst, weil der 11. Juni und der 11. September 2026 verstrichen waren (BT-Drs. 21/8622). Die Meldepflichten nach Artikel 14 CRA gelten trotzdem seit dem 11. September 2026 (BSI).

Ja, wenn die Maschine digitale Elemente enthält. Nach den FAQ der Kommission zum CRA lässt sich die Erfüllung der Cybersicherheitsanforderungen der einen Verordnung nicht automatisch so werten, dass auch die der anderen vollständig erfüllt sind (FAQ der Kommission 2.4.2 EN). Die Maschinenverordnung dient der Maschinensicherheit: Ihr Anhang III verlangt in den Abschnitten 1.1.9 und 1.2.1 Schutz gegen Korrumpierung sowie sichere und zuverlässige Steuerungen (Verordnung (EU) 2023/1230). Der CRA regelt den Schutz von Daten und Funktionen sowie die Behandlung von Schwachstellen während des Unterstützungszeitraums. Die Konformitätsbewertungsverfahren beider Verordnungen sind einzuhalten (FAQ der Kommission 2.4.3 EN). Sie stellen eine einzige EU-Konformitätserklärung aus, die beide Rechtsakte nennt (Artikel 28 Absatz 3).

Für Deutschland: Für den CRA wird das BSI Marktüberwachungsbehörde. Für die Maschinenverordnung sind es die Behörden der Länder (BAuA). Das BSI muss mit ihnen zusammenarbeiten (§ 65 Abs. 2 BSIG n. F., BT-Drs. 21/6134). Mehr in DE.2.

Nach dem CRA ist eine Änderung wesentlich, wenn sie sich auf die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I auswirkt oder zu einer Änderung des bestimmungsgemäßen Zwecks führt, für den das Produkt geprüft wurde (Artikel 3 Nummer 30). Nach der Maschinenverordnung liegt eine wesentliche Veränderung nur vor, wenn der Hersteller sie nicht vorgesehen oder geplant hat, sie die Sicherheit beeinträchtigt, weil eine neue Gefährdung entsteht oder sich ein bestehendes Risiko erhöht, und sie zusätzliche Schutzeinrichtungen oder andere Schutzmaßnahmen erfordert (Artikel 3 Nummer 16 der Verordnung (EU) 2023/1230). Derselbe Umbau kann nach der einen Verordnung wesentlich sein und nach der anderen nicht. Ab dem 11. Dezember 2027 müssen Sie bei einer wesentlichen Veränderung nach der Maschinenverordnung auch den CRA berücksichtigen, um die Konformität zu erklären (FAQ der BGHM).

Eine Maschine, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurde, unterliegt dem CRA, wenn sie nach diesem Zeitpunkt wesentlich geändert wird (Artikel 69 Absatz 2). Ein anderes Unternehmen als der ursprüngliche Hersteller, das eine Maschine wesentlich ändert und auf dem Markt bereitstellt, gilt als Hersteller. Es unterliegt den Pflichten der Artikel 13 und 14 „für den Teil des Produkts mit digitalen Elementen, der von der wesentlichen Änderung betroffen ist, oder, wenn sich die wesentliche Änderung auf die Cybersicherheit des Produkts mit digitalen Elementen insgesamt auswirkt, für das gesamte Produkt“ (Artikel 22 Absatz 2). Diese Begrenzung auf den betroffenen Teil gilt für Dritte, die eine Maschine ändern und bereitstellen. Wenn Sie der ursprüngliche Hersteller sind, sollten Sie mit Pflichten für die gesamte Maschine rechnen, es sei denn, ein Beispiel aus den Leitlinien passt eindeutig auf Ihren Fall (Leitlinien der Kommission C(2026) 5252 EN). Der VDMA vertritt die Auffassung, dass Umbauten durch den ursprünglichen Maschinenhersteller nicht als wesentliche Änderung gelten sollten (VDMA). Das ist eine Verbandsposition, keine geklärte Rechtslage.

Eine reine Sicherheitsaktualisierung (Security-Update) in der Regel nicht. Ein Funktionsupdate kann es sein. Das Beispiel der Kommission: Ein Update zur Fehlerbehebung für ein 2027 verkauftes Produkt bringt es nicht unter den CRA. Ein späteres Update, das neue Funktionen hinzufügt und die Zweckbestimmung ändert, dagegen schon (FAQ der Kommission 1.4 EN). Die Leitlinien ergänzen: Entscheidend ist die Auswirkung auf das Risiko im Vergleich zur ursprünglichen Bewertung der Cybersicherheitsrisiken, nicht der Umfang der Änderung (Leitlinien der Kommission C(2026) 5252 EN). Eine Funktion, die Sie bereits bewertet und deaktiviert ausgeliefert haben, können Sie später freischalten, ohne dass eine wesentliche Änderung vorliegt.

Der CRA gilt nicht für Ersatzteile, die identische Komponenten ersetzen und nach denselben Spezifikationen hergestellt werden (Artikel 2 Absatz 6). Beide Bedingungen müssen erfüllt sein: gleiche Komponente und gleiche Spezifikationen. Ein Ersatzteil desselben Modells mit anderer Firmware kann an der zweiten Bedingung scheitern. Erwägungsgrund 29 nennt Ersatzteile für Produkte, die vor dem Geltungsbeginn des CRA bereitgestellt wurden, und Ersatzteile, die bereits ein Konformitätsbewertungsverfahren nach dem CRA durchlaufen haben. Ein nicht identisches Ersatzteil, etwa ein neueres SPS-Modell, ist ein eigenständiges Produkt. Es muss die Anforderungen erfüllen, wenn es ab dem 11. Dezember 2027 in den Verkehr gebracht wird (FAQ der BGHM). Sein Einbau allein ist noch keine wesentliche Änderung der Maschine, solange Zweck und Risiko gleich bleiben.

Software ist ein Produkt im Sinne des CRA. Neue Software, die mehr leistet, als Fehler zu beheben, und separat für bestehende Maschinen verkauft wird, ist ein neues Produkt, das in den Verkehr gebracht wird. Ihr Unterstützungszeitraum beginnt an diesem Tag (FAQ der BGHM). Upgrade-Kits mit nicht identischen Komponenten sind ebenfalls neue Produkte. Es spielt keine Rolle, ob Ihr Serviceteam oder der Kunde sie einbaut. Entscheidend ist, wer sie in den Verkehr bringt.

Nach Artikel 12 Absatz 1 des CRA gilt ein Produkt im Anwendungsbereich des CRA, das zugleich ein Hochrisiko-KI-System ist, als mit den Cybersicherheitsanforderungen gemäß Artikel 15 der KI-Verordnung konform, wenn es Anhang I Teile I und II erfüllt und die EU-Konformitätserklärung das geforderte Schutzniveau nachweist. Genauigkeit und Robustheit sind davon nicht erfasst. Die Verordnung (EU) 2026/1744 wiederholt diese Verknüpfung in der KI-Verordnung. Sie beauftragt die Kommission außerdem, KI-Sicherheitsanforderungen durch delegierte Rechtsakte in die Maschinenverordnung aufzunehmen. Diese Rechtsakte sollen ab dem 2. August 2028 gelten.

Alle zehn stehen in Artikel 13 und seinen Anhängen.

1. Bewerten Sie die Cybersicherheitsrisiken und dokumentieren Sie die Bewertung.
2. Konstruieren Sie die Maschine so, dass sie die zutreffenden Produktanforderungen aus Anhang I Teil I erfüllt.
3. Lassen Sie bei zugekauften Komponenten die gebotene Sorgfalt walten, auch bei Open-Source-Software.
4. Erstellen Sie eine Software-Stückliste (SBOM), mindestens für die obersten Abhängigkeiten.
5. Legen Sie einen Unterstützungszeitraum fest und behandeln Sie Schwachstellen in diesem Zeitraum (Anhang I Teil II).
6. Richten Sie eine zentrale Anlaufstelle ein und legen Sie eine Strategie für die koordinierte Offenlegung von Schwachstellen fest.
7. Erstellen Sie die technische Dokumentation nach Anhang VII.
8. Führen Sie die Konformitätsbewertung durch, meist als Selbstbewertung im Rahmen der internen Kontrolle (Modul A).
9. Stellen Sie die EU-Konformitätserklärung aus und bringen Sie die CE-Kennzeichnung an.
10. Legen Sie der Maschine die Informationen und Anleitungen für den Nutzer nach Anhang II bei.

Die Meldepflicht nach Artikel 14 kommt hinzu und gilt bereits.

Sie ist eine Analyse der Cybersicherheitsrisiken der Maschine auf der Grundlage ihrer Zweckbestimmung, ihrer vernünftigerweise vorhersehbaren Verwendung und ihrer Einsatzbedingungen, „wie der Betriebsumgebung oder der zu schützenden Anlagen“, unter Berücksichtigung der voraussichtlichen Nutzungsdauer (Artikel 13 Absatz 3). Sie muss angeben, welche Anforderungen aus Anhang I gelten und wie Sie sie umsetzen (Artikel 13 Absatz 3). Für die nicht anwendbaren Anforderungen müssen Sie eine Begründung liefern (Artikel 13 Absatz 4). Der CRA schreibt keine Methode vor (FAQ der Kommission 4.1.2 EN). Im Maschinenbau ist eine Analyse von Zonen und Conduits (Kommunikationskanälen) nach IEC 62443-3-2 ein üblicher Ausgangspunkt. Sie können sie zusammen mit der Risikobeurteilung nach der Maschinenverordnung durchführen. Jede Dokumentation muss aber zeigen, wie sie die Anforderungen ihrer eigenen Verordnung abdeckt.

Nein, nur die, die auf der Grundlage Ihrer Bewertung der Cybersicherheitsrisiken zutreffen. Für die übrigen müssen Sie eine Begründung liefern (Artikel 13 Absatz 4, FAQ der Kommission 4.1.3 EN). Diese Auswahl betrifft die Produktanforderungen in Teil I Nummer 2. Die Anforderungen an die Behandlung von Schwachstellen in Anhang I Teil II gelten immer. Die Liste in Anhang I Teil I umfasst folgende Punkte: keine bekannten ausnutzbaren Schwachstellen, sichere Standardkonfiguration, Sicherheitsaktualisierungen, Schutz vor unbefugtem Zugriff, Vertraulichkeit, Integrität, Datenminimierung, Verfügbarkeit, Auswirkungen auf andere Geräte, Angriffsflächen, Eindämmung der Ausnutzung, Protokollierung sicherheitsrelevanter Ereignisse und sichere Löschung von Daten. Lässt sich ein altes Feldbusprotokoll nicht absichern, erlaubt Erwägungsgrund 55, dem Risiko mit anderen Mitteln zu begegnen. Sie können etwa die Zweckbestimmung auf vertrauenswürdige Umgebungen beschränken und den Nutzer darüber informieren.

Sie brauchen eine Software-Stückliste (SBOM) „in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen“ (Anhang I Teil II Nummer 1). CycloneDX und SPDX sind die üblichen Formate. Das BSI legt in der Technischen Richtlinie TR-03183 detaillierte Vorgaben für SBOMs fest. Die BGHM empfiehlt diese Richtlinie. Sie müssen die SBOM weder veröffentlichen noch an Nutzer weitergeben: „Die Hersteller sollten nicht verpflichtet sein, die Software-Stückliste zu veröffentlichen“ (Erwägungsgrund 77). Stellen Sie sie bereit, müssen die Informationen für den Nutzer angeben, wo sie abrufbar ist (Anhang II Nummer 9). Eine Marktüberwachungsbehörde kann sie auf begründetes Verlangen anfordern (Anhang VII Nummer 8).

Der Unterstützungszeitraum (Supportzeitraum) beträgt mindestens fünf Jahre und ist länger, wenn die Maschine voraussichtlich länger genutzt wird (Artikel 13 Absatz 8). Der CRA nennt industrielle Umgebungen ausdrücklich: „Insbesondere Produkte mit digitalen Elementen, die für die Verwendung in industriellen Umgebungen bestimmt sind, wie etwa industrielle Steuerungssysteme, werden häufig über deutlich längere Zeiträume hinweg verwendet“ (Erwägungsgrund 60). Fünf Jahre sind eine Untergrenze, kein Standardwert (FAQ der Kommission 4.5.1 und 4.5.2 EN). Sie dürfen die Verhältnismäßigkeit, die Unterstützungszeiträume der zugekauften Kernkomponenten und die Verfügbarkeit der Betriebsumgebung berücksichtigen. Das Enddatum müssen Sie zum Zeitpunkt des Kaufs angeben, mindestens mit Monat und Jahr (Artikel 13 Absatz 19). Ihre Gründe halten Sie in der technischen Dokumentation fest.

Die FAQ der Kommission zum CRA nennen als Beispiel eine Charge, die im Januar 2028 verkauft wird und bis Januar 2033 Support erhält. Eine zweite Charge desselben Modells, die 2030 in den Verkehr gebracht wird, braucht einen eigenen Unterstützungszeitraum (FAQ der Kommission 4.5.3 EN).

Das gilt, sofern Sie mit dem gewerblichen Nutzer für ein maßgeschneidertes Produkt nichts anderes vereinbart haben (Anhang I Teil II Nummer 8, Erwägungsgrund 64). Soweit technisch machbar, müssen Sicherheitsaktualisierungen getrennt von Funktionsaktualisierungen bereitgestellt werden (Anhang I Teil II Nummer 2). Neue Funktionen können Sie also weiterhin in Rechnung stellen. Jede Sicherheitsaktualisierung muss nach ihrer Bereitstellung mindestens zehn Jahre lang verfügbar bleiben oder für die verbleibende Dauer des Unterstützungszeitraums, wenn diese länger ist (Artikel 13 Absatz 9).

Die Anforderungen an automatische Aktualisierungen gelten nicht für Produkte mit digitalen Elementen, „bei denen die Nutzer normalerweise keine automatischen Aktualisierungen erwarten würden, einschließlich Produkten mit digitalen Elementen, die für den Einsatz in professionellen IKT-Netzen und insbesondere in kritischen und industriellen Umgebungen bestimmt sind, in denen eine automatische Aktualisierung zu Störungen des Betriebs führen könnte“ (Erwägungsgrund 56, FAQ der Kommission 4.3.3 EN). Sie müssen trotzdem Mechanismen für die sichere Verbreitung von Aktualisierungen bereitstellen und die Nutzer unverzüglich informieren (Anhang I Teil II Nummern 7 und 8).

Sie müssen „im Hinblick auf die Risiken im Zusammenhang mit den Produkten mit digitalen Elementen unverzüglich Schwachstellen behandeln und beheben“ (Anhang I Teil II Nummer 2). Ein Patch ist nur eine mögliche Abhilfe. Andere sind Workarounds, Konfigurationshinweise oder das Abschalten einer Funktion (FAQ der Kommission 4.3.1 EN). Das Beispiel der Kommission: Eine verwundbare Bibliothek, deren Funktionen nie aufgerufen werden, muss unter Umständen nur dokumentiert und mit der nächsten regulären Version entfernt werden. In einer Maschine ist ein verwundbarer Dienst, den kein Netzwerkpfad erreicht, ein ähnlicher Fall. Sie müssen aber nachweisen, dass der Pfad wirklich geschlossen ist.

Den Inhalt regelt Anhang VII: Produktbeschreibung und Softwareversionen, Konzeption und Systemarchitektur, Verfahren zur Behandlung von Schwachstellen mit SBOM und Strategie für die koordinierte Offenlegung, Bewertung der Cybersicherheitsrisiken, Begründung des Unterstützungszeitraums, angewandte Normen oder andere Lösungen, Prüfberichte und die Konformitätserklärung. Bewahren Sie die Dokumentation und die EU-Konformitätserklärung nach dem Inverkehrbringen der Maschine mindestens zehn Jahre lang oder für die Dauer des Unterstützungszeitraums auf, je nachdem, welcher Zeitraum länger ist (Artikel 13 Absatz 13).

Das Minimum steht in Anhang II: Ihre Kontaktdaten, die zentrale Anlaufstelle für Schwachstellen, die Produktidentifikation, Zweckbestimmung und Sicherheitsumfeld, vorhersehbare Risiken, die Art der Unterstützung und das Enddatum des Unterstützungszeitraums, Anleitungen für die sichere Inbetriebnahme, Hinweise, wie Änderungen die Sicherheit beeinflussen, wie Updates installiert werden, die sichere Außerbetriebnahme und bei Komponenten die Informationen, die ein Integrator braucht. Halten Sie die Informationen mindestens zehn Jahre lang oder für die Dauer des Unterstützungszeitraums verfügbar, je nachdem, welcher Zeitraum länger ist (Artikel 13 Absatz 18).

Für Deutschland: Betriebsanleitung, Sicherheitsinformationen und EU-Konformitätserklärung einer Maschine müssen ab dem 20. Januar 2027 auf Deutsch vorliegen (§ 2 MaschinenDG). Für den CRA gibt es keine eigene deutsche Sprachregel. Eine gemeinsame Konformitätserklärung muss aber auf Deutsch vorliegen. Mehr in DE.4.

Sie müssen eine zentrale Anlaufstelle benennen, über die Nutzer Sie mit dem Kommunikationsmittel ihrer Wahl erreichen. Diese Mittel dürfen „nicht auf automatisierte Instrumente beschränkt werden“ (Artikel 13 Absatz 17). Sie müssen eine Kontaktadresse für die Meldung von Schwachstellen veröffentlichen und eine Strategie für die koordinierte Offenlegung von Schwachstellen aufstellen und umsetzen (Anhang I Teil II Nummern 5 und 6). Eine security.txt-Datei nach RFC 9116 EN ist der übliche Weg, die Kontaktadresse auffindbar zu machen.

Eine Größenschwelle gibt es nicht, wohl aber drei Erleichterungen. Kleinstunternehmen und kleine Unternehmen werden ein vereinfachtes Formular für die technische Dokumentation nutzen können, das die Kommission im Wege von Durchführungsrechtsakten festlegen muss (Artikel 33 Absatz 5). Die Gebühren der notifizierten Stellen werden für KMU proportional gesenkt (Artikel 32 Absatz 6). Die Mitgliedstaaten bieten Kleinstunternehmen und kleinen Unternehmen gegebenenfalls Schulungen, einen Kanal für Fragen und Unterstützung bei Tests an und können Reallabore einrichten (Artikel 33).

Zu den Geldbußen: Gegen Kleinstunternehmen und kleine Unternehmen werden keine Geldbußen verhängt, wenn sie die Frühwarnung verspätet abgeben. Abgeben müssen sie sie trotzdem. Artikel 64 Absatz 10 in der Fassung der Berichtigung vom 2. Juli 2025 erfasst auch Absatz 2, in dem die Geldbußen für Verstöße gegen Artikel 14 stehen. Die Meldung innerhalb von 72 Stunden und der Abschlussbericht gelten weiterhin, ebenso die Geldbußen dafür. Die ENISA bietet kostenlose Hilfsmittel an, etwa das Secure by Design and Default Playbook EN.

Für Deutschland: Das BSI stellt die TR-03183 und Informationsblätter zum CRA bereit. Das neue Gesetz sieht Schulungen und ein Reallabor des BSI für KMU vor (§ 67 BSIG n. F., noch nicht verkündet). Kostenlose Erstgespräche bietet die Transferstelle CYBERsicher. Mehr in DE.7.

Zwei Arten von Ereignissen: eine aktiv ausgenutzte Schwachstelle in Ihrer Maschine und ein schwerwiegender Sicherheitsvorfall, der sich auf ihre Sicherheit auswirkt (Artikel 14 Absätze 1 und 3). Sie melden über die einheitliche Meldeplattform der ENISA EN an das als Koordinator benannte CSIRT. Die ENISA erhält die Meldung gleichzeitig.

• Frühwarnung: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem Sie Kenntnis erlangt haben.
• Meldung: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem Sie Kenntnis erlangt haben.
• Abschlussbericht: spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht (Schwachstellen), oder innerhalb eines Monats nach der Meldung (Sicherheitsvorfälle).

Die Pflicht gilt seit dem 11. September 2026 (ENISA-FAQ zur Meldeplattform, Nr. 29 EN). Unsere Schritt-für-Schritt-Anleitung: In 24 Stunden an die ENISA melden EN.

Artikel 14 gilt für jedes Produkt im Anwendungsbereich der Cyberresilienz-Verordnung (CRA), das auf dem Markt ist, auch wenn es vor dem 11. Dezember 2027 in den Verkehr gebracht wurde (Artikel 69 Absatz 3). Die Meldepflicht läuft auch nach dem Ende des Unterstützungszeitraums weiter: Die Behandlung von Schwachstellen endet mit dem Unterstützungszeitraum, die Meldepflicht nicht (Leitlinien der Kommission C(2026) 5252, Randnummer 210). Es gibt eine Erleichterung. Eine Ausnutzung, von der Sie schon vor dem 11. September 2026 wussten, müssen Sie nicht rückwirkend melden (ENISA-FAQ zur Meldeplattform, Nr. 13 EN).

Sie melden nur eine aktiv ausgenutzte Schwachstelle, also eine Schwachstelle, „zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“ (Artikel 3 Nummer 42). Eine veröffentlichte CVE oder ein Proof of Concept ohne Nachweis einer böswilligen Nutzung löst die Pflicht nicht aus. Liegt die Schwachstelle in einer zugekauften Komponente und wird sie aktiv ausgenutzt, melden Sie sie für Ihre Maschine. Der Hersteller der Komponente meldet sie ebenfalls, wenn seine Komponente in den Verkehr gebracht wurde (FAQ der Kommission 5.4 EN). Lässt sich die Schwachstelle in Ihrer Maschine nicht ausnutzen, ist sie in Ihrem Produkt nicht aktiv ausgenutzt, und eine Meldung ist nicht vorgeschrieben. Bei Maschinen, die ab dem 11. Dezember 2027 in den Verkehr gebracht werden, müssen Sie den Hersteller der Komponente trotzdem informieren. Bei älteren Maschinen ist das gute Praxis (Artikel 13 Absatz 6).

Sobald Sie Kenntnis erlangen, also verlässliche Nachweise einer Ausnutzung haben. Die Kommission nennt typische Quellen: die Meldung ungewöhnlicher Aktivitäten durch einen Kunden, einen Threat-Intelligence-Bericht, eine staatliche Stelle, einen ethischen Hacker oder Ihre eigene Telemetrie (FAQ der Kommission 5.1 EN). Der CRA verpflichtet Sie nicht, jeden Kanal zu überwachen. Sie brauchen aber eine zentrale Anlaufstelle und eine Strategie für die koordinierte Offenlegung von Schwachstellen. Über diese Wege erreichen Sie die Hinweise. Bei einem Maschinenbauer ist der typische Weg der Servicetechniker, der einen Angriff auf die Maschine eines Kunden bemerkt.

Eine Person, die Sie auf der Plattform als Assigned Representative (benannter Vertreter) einsetzen. Jede dieser Personen braucht ein persönliches EU-Login-Konto mit Multi-Faktor-Authentifizierung. Mit Ihrem Unternehmen können ein Primary Assigned Representative und bis zu 20 Secondary Assigned Representatives verknüpft werden (ENISA-FAQ zur Meldeplattform, Nr. 9 EN). Die ENISA rät, sich erst zu registrieren, wenn Sie melden müssen: Gibt es das EU-Login-Konto schon, dauert die Registrierung nur wenige Minuten. Die Plattform ist nur auf Englisch verfügbar und hat keine API. Meldungen werden also in der Weboberfläche eingegeben.

An das als Koordinator benannte CSIRT des Mitgliedstaats, in dem Ihre Hauptniederlassung in der Union liegt. Das ist der Mitgliedstaat, in dem die Entscheidungen im Zusammenhang mit der Cybersicherheit Ihrer Produkte überwiegend getroffen werden (Artikel 14 Absatz 7). Lässt sich das nicht bestimmen, zählt der Mitgliedstaat, in dem Sie die Niederlassung mit den meisten Beschäftigten in der Union haben. Wer das falsche CSIRT wählt, riskiert eine ungültige Meldung (ENISA-FAQ zur Meldeplattform, Nr. 18 EN). Die ENISA führt die Liste der als Koordinatoren benannten CSIRTs EN.

Für Deutschland: Liegt Ihre Hauptniederlassung in Deutschland, ist CERT-Bund im BSI das koordinierende CSIRT (BSI, CRA-SRP). Gemeldet wird über die Single Reporting Platform (SRP) der ENISA, auf Englisch. Laut BSI ist eine Registrierung vorab nicht Pflicht und im Bedarfsfall in wenigen Minuten erledigt. Die Frühwarnung muss aber binnen 24 Stunden eingehen, und Sie brauchen ein EU-Login-Konto. Richten Sie Zugang und Vertretungspersonen deshalb vorher ein.

Zuerst zählt der Mitgliedstaat Ihres Bevollmächtigten, der für die meisten Ihrer Produkte handelt. Gibt es keinen, zählt der Mitgliedstaat des Einführers (Importeurs), der die meisten Ihrer Produkte in den Verkehr bringt. Danach der Mitgliedstaat des Händlers, dann der Mitgliedstaat mit den meisten Nutzern Ihrer Produkte (Artikel 14 Absatz 7). Die Pflicht liegt bei Ihnen als Hersteller. Ihr Einführer meldet nicht für Sie.

Ein Sicherheitsvorfall gilt als schwerwiegend, wenn er sich negativ auf die Fähigkeit der Maschine auswirkt oder auswirken kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von sensiblen oder wichtigen Daten oder Funktionen zu schützen. Er gilt auch dann als schwerwiegend, wenn er zur Ausführung von böswilligem Code in der Maschine oder in den Systemen des Nutzers geführt hat oder dazu führen kann (Artikel 14 Absatz 5). Malware im Werk eines Kunden ist nicht automatisch ein schwerwiegender Sicherheitsvorfall Ihrer Maschine. Entscheidend ist, ob sie die Sicherheit Ihres Produkts beeinträchtigt.

Für Deutschland: Ihr NIS-2-Kunde meldet erhebliche Sicherheitsvorfälle selbst, binnen 24 Stunden an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG). Das ist eine eigene Pflicht. Fällt ein Vorfall unter beide Regelungen, ist er nach NIS-2 über das BSI-Portal und nach CRA über die SRP zu melden (BSI).

Sobald Sie Kenntnis erlangt haben, müssen Sie die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Sicherheitsvorfall informieren. Dazu gehören die Maßnahmen, die die Nutzer ergreifen können, gegebenenfalls in einem strukturierten, maschinenlesbaren Format (Artikel 14 Absatz 8). Informieren Sie nicht rechtzeitig, kann das CSIRT das übernehmen. CSAF ist in der Industrieautomatisierung das gängige maschinenlesbare Format für Sicherheitshinweise; BSI und BGHM empfehlen es (BSI zu CSAF).

Verstöße gegen Artikel 14 können mit Geldbußen von bis zu 15 Millionen Euro oder bis zu 2,5 % des gesamten weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Artikel 64 Absatz 2). Die konkreten Vorschriften legen die Mitgliedstaaten fest. Hersteller, die Kleinstunternehmen oder kleine Unternehmen sind, erhalten keine Geldbuße, wenn sie die 24-Stunden-Frühwarnung verspätet abgeben. Abgeben müssen sie sie trotzdem: Artikel 64 Absatz 10 erfasst in der Fassung der Berichtigung vom 2. Juli 2025 auch Absatz 2. Für die 72-Stunden-Meldung und den Abschlussbericht sind Geldbußen weiterhin möglich.

Für Deutschland: Geldbußen nach Artikel 64 Absatz 2 bis 4 CRA wird das BSI verhängen (§ 70 Abs. 1 BSIG n. F., BT-Drs. 21/6134). Die deutschen Bußgeldvorschriften treten am 11. Dezember 2027 in Kraft. Für Maschinen gelten zusätzlich die Geldbußen nach § 9 MaschinenDG. Mehr in DE.3.

Solche Fragen kommen oft schon heute, bevor der CRA gilt. Viele Ihrer Kunden fallen unter die NIS-2-Richtlinie. Sie müssen für die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ sorgen und dabei die Sicherheit der Entwicklungsprozesse ihrer Anbieter berücksichtigen (Artikel 21 Absatz 2 Buchstabe d und Absatz 3 der NIS-2-Richtlinie). In der Praxis verschicken sie Fragebögen. Typische Punkte sind eine Software-Stückliste (SBOM), der Unterstützungszeitraum, die Update- und Patch-Richtlinie, ein Kontakt für Schwachstellen, das Fernwartungskonzept, die Netzwerkanforderungen der Maschine und die Ausrichtung an IEC 62443.

Für Deutschland: Kunden unter NIS-2 müssen die Sicherheit ihrer Lieferkette regeln (§ 30 Abs. 2 Satz 2 Nr. 4 BSIG). Laut BSI müssen sie ihre Zulieferer zu Sicherheitsanforderungen verpflichten (BSI). Ein amtliches Lieferantenregister gibt es nicht. Mehr in DE.5.

Bei Maschinen, die ab dem 11. Dezember 2027 in den Verkehr gebracht werden, muss das Enddatum des Unterstützungszeitraums „zum Zeitpunkt des Kaufs“ klar angegeben sein, mit mindestens Monat und Jahr (Artikel 13 Absatz 19). Am besten steht es im Angebot. Nennen Sie dort außerdem:

• welche Updates kostenlos sind (Sicherheitsaktualisierungen während des Unterstützungszeitraums) und welche kostenpflichtig (neue Funktionen, Einsätze vor Ort)
• wie Updates geliefert werden und wer sie installiert
• was der Kunde bereitstellen muss: Netzwerksegment, Firewall-Regeln, Zugänge für die Fernwartung
• wie die Fernwartung funktioniert und wie der Kunde sie kontrolliert
• die zentrale Anlaufstelle für Schwachstellen
• dass die EU-Konformitätserklärung den CRA und die Maschinenverordnung nennen wird

Die Ausnahme betrifft nur diese beiden Anforderungen. Ein maßgeschneidertes Produkt mit digitalen Elementen ist für einen bestimmten gewerblichen Nutzer auf einen bestimmten Zweck zugeschnitten, und beide Seiten haben ausdrücklich andere Vertragsbedingungen vereinbart (FAQ der Kommission 4.2.5 EN, Erwägungsgrund 64). Die Kommission nennt Produkte, die für die geschlossene oder physisch isolierte Umgebung (Air Gap) eines bestimmten Kunden gebaut werden. Eine Standardmaschine mit einigen Optionen ist nicht maßgeschneidert. Alle anderen Anforderungen gelten weiter, und Sie müssen in der technischen Dokumentation belegen, dass die Maschine maßgeschneidert ist.

Der CRA verpflichtet Sie nicht, Kunden die Software-Stückliste (SBOM) zu geben. Er nennt die Vorteile für Käufer und Betreiber, stellt aber klar (Erwägungsgrund 77): „Die Hersteller sollten nicht verpflichtet sein, die Software-Stückliste zu veröffentlichen.“ Wenn Sie die SBOM weitergeben, steht in den Informationen und Anleitungen für den Nutzer, wo sie zu finden ist (Anhang II Nummer 9). Viele Maschinenbauer stimmen einer Weitergabe unter Geheimhaltung zu, weil die SBOM die Angriffsfläche abbildet. Wenn Sie zustimmen, legen Sie fest: Format (CycloneDX oder SPDX), Detailtiefe, wann Sie eine aktualisierte Fassung schicken und ob Sie auch VEX-Erklärungen liefern.

Die Kosten für das Update selbst tragen Sie bis zum Ende des Unterstützungszeitraums. Sicherheitsaktualisierungen müssen während des Unterstützungszeitraums kostenlos bereitgestellt werden (Anhang I Teil II Nummer 8), und der Unterstützungszeitraum ist nicht die Gewährleistungsfrist. Der CRA macht Sie nicht für die Installation der Updates beim Kunden verantwortlich (FAQ der Kommission 4.3.3 EN). Die Arbeit vor Ort kann daher eine kostenpflichtige Leistung sein. Vereinbaren Sie das im Vertrag und lassen Sie es rechtlich prüfen. Funktionserweiterungen dürfen Sie berechnen. Ist der Austausch einer Komponente die einzige angemessene Abhilfe, ist das eine Korrekturmaßnahme, die Sie nach Artikel 13 Absatz 21 schulden, kein kostenpflichtiges Upgrade.

Für Maschinen, die vor dem 11. Dezember 2027 in den Verkehr gebracht werden, gelten die Produktanforderungen des CRA noch nicht. Die Meldepflicht gilt bereits, und Sie können beschreiben, wie Sie sie erfüllen. Im Amtsblatt der EU ist noch keine Fundstelle einer harmonisierten Norm zum CRA veröffentlicht. Heute kann sich also niemand auf die Konformitätsvermutung berufen (unser Normen-Tracker EN). Vermeiden Sie Begriffe wie „CRA-zertifiziert“. Ein allgemeines CRA-Zertifikat für Maschinen gibt es nicht. Sprechen Sie von der Vorbereitung auf den CRA und zeigen Sie die Nachweise: Bewertung der Cybersicherheitsrisiken, SBOM, Unterstützungszeitraum, Offenlegungsstrategie, Meldeverfahren.

Sie müssen den Unterstützungszeitraum so festlegen, dass er der Zeit entspricht, in der die Maschine voraussichtlich genutzt wird. Industriemaschinen werden oft weit länger als fünf Jahre genutzt (Erwägungsgrund 60). Der CRA erlaubt Ihnen, die Verhältnismäßigkeit und die Unterstützungszeiträume zugekaufter Kernkomponenten zu berücksichtigen (Artikel 13 Absatz 8). Eine vertragliche Zusage über den gesetzlichen Unterstützungszeitraum hinaus ist eine kaufmännische Entscheidung. Sie können sie als Servicevertrag bepreisen.

Die CE-Kennzeichnung bleibt dasselbe Zeichen. Bei Maschinen, die ab dem 11. Dezember 2027 in den Verkehr gebracht werden, zeigt sie auch die Konformität mit dem CRA an. Sie stellen eine einzige EU-Konformitätserklärung aus, die sowohl die Maschinenverordnung als auch den CRA nennt (Artikel 28 Absatz 3, FAQ der BGHM). Den Inhalt der Erklärung regelt Anhang V.

Die Pflichten aus den Artikeln 13 und 14 treffen Sie kraft Gesetzes. Nicht einmal ein Bevollmächtigter kann die Konzeption, die Bewertung der Cybersicherheitsrisiken, die gebotene Sorgfalt oder die Behandlung von Schwachstellen übernehmen (Artikel 18 Absatz 2). Ein Vertrag kann aber die Mitwirkungspflichten des Kunden festlegen: die von Ihnen gelieferten Updates installieren, die Maschine in der von Ihnen vorgegebenen Netzwerkumgebung betreiben, Verdachtsfälle an Ihre Anlaufstelle melden und den Fernwartungszugang zu vereinbarten Bedingungen erlauben. Die Konformität setzt voraus, dass Produkte „ordnungsgemäß installiert, gewartet und bestimmungsgemäß oder unter vernünftigerweise vorhersehbaren Umständen verwendet werden sowie gegebenenfalls die erforderlichen Sicherheitsaktualisierungen installiert wurden“ (Artikel 6).

Die Behandlung von Schwachstellen läuft über den gesamten Unterstützungszeitraum (Artikel 13 Absatz 8), die Meldepflicht über den gesamten Maschinenbestand im Feld (Artikel 69 Absatz 3). In der Praxis übernimmt der Service sechs Aufgaben:

• die tatsächlich installierte Software und Firmware jeder ausgelieferten Maschine kennen
• neue Schwachstellen und Hinweise auf Ausnutzung für diese Komponenten beobachten
• für jede Maschine entscheiden, ob sie angreifbar ist
• Sicherheitsaktualisierungen oder Risikominderungsmaßnahmen und Sicherheitshinweise an die Kunden liefern
• bei jedem Einsatz festhalten, was installiert, geändert oder abgelehnt wurde
• innerhalb von Stunden eskalieren, wenn eine Ausnutzung vermutet wird

Halten Sie die Seriennummer fest (Artikel 13 Absatz 15), dazu die Software-Stückliste (SBOM) im Auslieferungszustand und nach dem letzten Serviceeinsatz sowie die erreichbaren Schnittstellen. Erscheint eine CVE, ordnen Sie sie zuerst den Komponenten zu. Prüfen Sie dann, ob der verwundbare Teil über die Ports und Protokolle dieser Maschine erreichbar ist. Halten Sie das Ergebnis für jede Maschine als VEX-Erklärung fest: betroffen, nicht betroffen, behoben oder in Untersuchung. Verhindert nur eine Einstellung beim Kunden den Zugriff, lautet der korrekte Status „betroffen“ mit Risikominderung, nicht „nicht betroffen“. Unser Anwendungsfall Gleiches Modell, zwei Maschinen, eine angreifbar EN zeigt die Methode Schritt für Schritt.

Sie müssen das Update während des Unterstützungszeitraums unverzüglich und kostenlos bereitstellen. Außerdem müssen Sie den Nutzer informieren (Anhang I Teil II Nummer 8). Für die Installation beim Kunden sind Sie nicht verantwortlich (FAQ der Kommission 4.3.3 EN). Der CRA beurteilt die Konformität unter der Annahme, dass die erforderlichen Sicherheitsaktualisierungen installiert wurden (Artikel 6). Die Haftung für Schäden ist eine eigene Frage; sie richtet sich nach der Produkthaftungsrichtlinie (EU) 2024/2853. Siehe Frage 11.2.

Für Deutschland: Ihr Kunde ist als Arbeitgeber selbst in der Pflicht. Er darf ein Arbeitsmittel erst nach einer Gefährdungsbeurteilung verwenden lassen. Die CE-Kennzeichnung entbindet davon nicht (§ 3 und § 4 BetrSichV). Er muss es instand halten und dabei die Angaben des Herstellers berücksichtigen (§ 10 BetrSichV). Für sicherheitsrelevante MSR-Einrichtungen konkretisiert die TRBS 1115 Teil 1 die nötigen Cybersicherheitsmaßnahmen.

Der CRA verbietet Fernwartung nicht. Er verlangt, dass der Fernzugang risikobasiert ausgelegt wird: Schutz vor unbefugtem Zugriff durch Authentifizierung und Zugriffskontrolle, Integrität von Befehlen und Konfigurationen, Protokollierung der Zugriffe mit einem Opt-out-Mechanismus für den Nutzer und möglichst geringe Angriffsflächen (Anhang I Teil I Nummer 2 Buchstaben d, f, j und l). Auch die Regel der sicheren Standardkonfiguration gilt: Nicht benötigte Schnittstellen sollten standardmäßig nicht offen sein. Ist die Fernwartungsplattform Ihre eigene und braucht die Maschine sie für eine Funktion, gehört sie zum Produkt (Frage 1.7).

Ihre Pflicht zur Behandlung von Schwachstellen endet für diese Einheit. Drei Dinge laufen weiter. Die Meldepflicht bleibt (Leitlinien der Kommission C(2026) 5252, Randnummer 210). Jede bereits bereitgestellte Sicherheitsaktualisierung muss nach ihrer Bereitstellung mindestens zehn Jahre verfügbar bleiben (Artikel 13 Absatz 9). Und die technische Dokumentation ist zehn Jahre nach dem Inverkehrbringen oder für den Unterstützungszeitraum aufzubewahren, je nachdem, welcher Zeitraum länger ist. Soweit technisch machbar, sollte die Maschine den Nutzern anzeigen, dass der Unterstützungszeitraum abgelaufen ist (Artikel 13 Absatz 19). Erwägungsgrund 61 regt außerdem an zu prüfen, ob Sie den Quellcode an Unternehmen weitergeben, die sich verpflichten, die Behandlung von Schwachstellen fortzuführen.

Die Pflicht gilt für die gesamte Maschine. Lässt sich eine Schwachstelle in der nicht mehr unterstützten Komponente nicht angemessen mindern, müssen Sie sie auf anderem Weg beheben, etwa indem Sie die Komponente austauschen oder selbst einen Patch entwickeln (FAQ der Kommission 4.3.7 EN). Eine Netzwerkisolierung, die den verwundbaren Teil unerreichbar macht, ist eine Form der Risikominderung, wenn Ihre Bewertung der Cybersicherheitsrisiken das stützt.

Bestandsmaschinen fallen nicht unter die Produktanforderungen des CRA, solange sie nicht wesentlich geändert werden. Ihre Kunden, die unter die NIS-2-Richtlinie fallen, müssen das Risiko aber trotzdem senken. Die übliche Antwort ist, die Maschine zu isolieren: eine Zellen-Firewall oder ein anderes Segmentierungsgerät zwischen Maschine und Werksnetz, das nur die Datenflüsse zulässt, die die Maschine braucht, und alles andere blockiert. Prüfen Sie zuerst, ob dieser Einbau die Maschine so verändert, dass eine wesentliche Änderung vorliegt (Fragen 3.2 und 3.3). Unser Anwendungsfall Eine Maschine schützen, die sich nicht patchen lässt EN beschreibt die Schritte.

Für die Maschine, wie Sie sie in den Verkehr gebracht haben, ja. Für die Änderungen des Kunden in der Regel nicht. Ihre Pflichten beziehen sich auf die Zweckbestimmung und die vernünftigerweise vorhersehbare Verwendung, die Sie bewertet haben. Eine andere Person als der Hersteller, die eine wesentliche Änderung an einer Maschine vornimmt und sie auf dem Markt bereitstellt, gilt als Hersteller (Artikel 22 Absatz 1). Ein Kunde, der die Maschine nur für den eigenen Gebrauch ändert, stellt sie nicht auf dem Markt bereit. Ihre Informationen und Anleitungen für den Nutzer müssen erklären, wie sich Änderungen auf die Datensicherheit auswirken können (Anhang II Nummer 8 Buchstabe b).

Sie sind Einführer (Importeur), wenn Sie in der Union niedergelassen sind und eine Maschine in den Verkehr bringen, die den Namen oder die Marke eines außerhalb der Union niedergelassenen Herstellers trägt (Artikel 3 Nummer 16). Ab dem 11. Dezember 2027 dürfen Sie nur Maschinen in den Verkehr bringen, die den grundlegenden Cybersicherheitsanforderungen genügen und bei denen auch die vom Hersteller festgelegten Verfahren diesen Anforderungen genügen (Artikel 19 Absatz 1). Bevor Sie eine Einheit in den Verkehr bringen, müssen Sie sicherstellen, dass das Konformitätsbewertungsverfahren durchgeführt wurde und die technische Dokumentation vorliegt. Die Maschine muss die CE-Kennzeichnung tragen, und ihr müssen die EU-Konformitätserklärung sowie die Informationen und Anleitungen für den Nutzer nach Anhang II beiliegen. Und der Hersteller muss seine Pflichten zur Identifizierung des Produkts, zu den Kontaktangaben und zum Unterstützungszeitraum erfüllt haben (Artikel 19 Absatz 2). Das müssen Sie nachweisen können.

Für Deutschland: Die Einfuhrkontrollen führt der Zoll durch (§ 4 Abs. 3 MüG). Bei Verdacht setzt er die Überlassung aus. Ob die Maschine eingeführt werden darf, entscheidet die zuständige Marktüberwachungsbehörde (Zoll).

Die Checkliste beruht auf Artikel 19 und Artikel 13 Absätze 15 bis 20.

• EU-Konformitätserklärung, die den CRA und die Maschinenverordnung nennt, in einer zulässigen Sprache
• CE-Kennzeichnung auf der Maschine
• Angabe des angewandten Konformitätsbewertungsverfahrens (Modul A, B+C oder H) und gegebenenfalls die Bescheinigung der notifizierten Stelle
• Schriftliche Zusage, dass die technische Dokumentation vorliegt und den Behörden auf Verlangen in einer für sie verständlichen Sprache übermittelt wird
• Informationen und Anleitungen für den Nutzer nach Anhang II in den Sprachen Ihrer Märkte, einschließlich des Enddatums des Unterstützungszeitraums
• Typen-, Chargen- oder Seriennummer auf jeder Maschine
• Name des Herstellers, Postanschrift und elektronische Kontaktmöglichkeit auf der Maschine oder in ihren Unterlagen
• Zentrale Anlaufstelle und Strategie für die koordinierte Offenlegung von Schwachstellen
• Wie der Hersteller die Meldepflicht nach Artikel 14 erfüllt und an welches CSIRT er meldet
• Wie Sie über Schwachstellen und Updates für die von Ihnen in den Verkehr gebrachten Einheiten informiert werden

Die Meldung nach Artikel 14 ist eine Pflicht des Herstellers. Als Einführer (Importeur) müssen Sie den Hersteller unverzüglich informieren, sobald Sie von einer Schwachstelle Kenntnis erhalten. Birgt die Maschine ein erhebliches Cybersicherheitsrisiko, müssen Sie außerdem unverzüglich die Marktüberwachungsbehörden unterrichten (Artikel 19 Absatz 5). Stellt der Hersteller seine Betriebstätigkeit ein und kann er seine Pflichten nicht mehr erfüllen, müssen Sie die Behörden und, soweit möglich, die Nutzer unterrichten (Artikel 19 Absatz 8). Verkaufen Sie unter Ihrer eigenen Marke, liegt die Meldepflicht bei Ihnen (Frage 8.5).

Für Deutschland: Das BSI wird CRA-Marktüberwachungsbehörde. Es kann prüfen, Nachbesserungen fordern, Bußgelder verhängen und Produkte vom Markt nehmen (BSI). § 65 BSIG n. F. tritt am 11. Dezember 2027 in Kraft. Die Aufgabenzuweisung als Marktüberwachungsbehörde (§ 3 Abs. 1 Satz 2 Nr. 30 BSIG n. F.) gilt schon ab dem Tag nach der Verkündung. Mehr in DE.2.

Mindestens zehn Jahre ab dem Inverkehrbringen der Maschine oder für den Unterstützungszeitraum, je nachdem, welcher Zeitraum länger ist. Sie halten ein Exemplar der EU-Konformitätserklärung bereit und sorgen dafür, dass Sie den Behörden die technische Dokumentation auf Verlangen vorlegen können (Artikel 19 Absatz 6). Ihr Name und Ihre Kontaktangaben müssen auf der Maschine, ihrer Verpackung oder in den beigefügten Unterlagen stehen (Artikel 19 Absatz 4).

Ein Einführer oder Händler, der eine Maschine unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder eine wesentliche Änderung vornimmt, gilt als Hersteller und unterliegt den Pflichten der Artikel 13 und 14 (Artikel 21). Dazu gehören die Bewertung der Cybersicherheitsrisiken, die Software-Stückliste (SBOM), die Behandlung von Schwachstellen während des Unterstützungszeitraums und die Meldung binnen 24 Stunden. Für eine White-Label-Maschine brauchen Sie einen Vertrag mit dem eigentlichen Hersteller, der Ihnen den nötigen technischen Zugang sichert.

Grundlage ist der schriftliche Auftrag (Artikel 18). Der Bevollmächtigte muss mindestens die EU-Konformitätserklärung und die technische Dokumentation für die Behörden bereithalten, auf begründetes Verlangen Informationen vorlegen und bei Korrekturmaßnahmen mit den Behörden zusammenarbeiten. Die Konzeption, die Bewertung der Cybersicherheitsrisiken, die gebotene Sorgfalt oder die Behandlung von Schwachstellen kann er nicht übernehmen (Artikel 18 Absatz 2). Ein Bevollmächtigter ist kein Einführer: Ihre eigenen Pflichten nach Artikel 19 bleiben bestehen.

Bevor Sie eine Maschine auf dem Markt bereitstellen, prüfen Sie, ob sie die CE-Kennzeichnung trägt und ob Hersteller und Einführer die vorgeschriebenen Unterlagen geliefert haben, darunter die Informationen und Anleitungen für den Nutzer, das Enddatum des Unterstützungszeitraums und ihre Kontaktangaben (Artikel 20 Absatz 2). Haben Sie Grund zu der Annahme, dass die Maschine nicht konform ist, verkaufen Sie sie nicht. Geben Sie Schwachstellen, von denen Sie erfahren, an den Hersteller weiter. Maschinen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, müssen Sie nicht nachträglich konform machen (FAQ der Kommission 7.5 EN).

Eine Einheit, die vor dem 11. Dezember 2027 in der EU in den Verkehr gebracht wurde, muss die Produktanforderungen des CRA nicht erfüllen, es sei denn, sie wird später wesentlich geändert (Artikel 69 Absatz 2). Bei eingeführten Produkten richtet sich das Datum meist nach der Zollabfertigung. Der Leitfaden für die Umsetzung der Produktvorschriften der EU 2022 („Blue Guide“) nennt als Beispiel einen Drucker, der an einen spanischen Einführer geliefert wird: Er gilt an dem Tag als in Verkehr gebracht, an dem er in den zollrechtlich freien Verkehr überführt wird (Blue Guide 2022, Abschnitte 2.5 und 2.12). Überführung in den zollrechtlich freien Verkehr und Inverkehrbringen fallen nicht immer zusammen, etwa bei Direktverkäufen an Nutzer in der EU. Prüfen Sie deshalb jede Lieferung. Einheiten, die am 11. Dezember 2027 noch unterwegs sind oder in einem Zolllager stehen, müssen den Anforderungen genügen, wenn sie in den Verkehr gebracht werden. Die Meldepflicht des Herstellers gilt für alle.

Verstöße gegen die Pflichten der Einführer und Händler nach den Artikeln 18 bis 23 können mit Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Artikel 64 Absatz 3). Ein Einführer, der nach Artikel 21 als Hersteller gilt, unterliegt dem Bußgeldrahmen für Hersteller: 15 Millionen Euro oder 2,5 %.

Der CRA verlangt keine Komponenten mit CE-Kennzeichnung. Sie dürfen Komponenten integrieren, die vor dem Geltungsbeginn des CRA in den Verkehr gebracht wurden, Komponenten, die nie in den Verkehr gebracht wurden, und freie und quelloffene Software (Open Source). Voraussetzung ist, dass Sie die gebotene Sorgfalt walten lassen, damit diese Komponenten Ihre Maschine nicht beeinträchtigen (Artikel 13 Absatz 5, FAQ der Kommission 4.4.3 und 7.3 EN). Der VDMA berichtet, dass dies nach dem Anwendungsbereich die häufigste Frage seiner Mitglieder ist, mit derselben Antwort (VDMA-Podcast). Komponenten mit CE-Kennzeichnung erleichtern Ihnen die Arbeit, weil Sie sich auf die Behandlung von Schwachstellen durch deren Hersteller stützen können.

Ihr Umfang richtet sich nach dem Risiko der Komponente (FAQ der Kommission 4.4.2 EN). Die Kommission nennt unter anderem diese Maßnahmen: die CE-Kennzeichnung prüfen, die bisherigen Sicherheitsaktualisierungen prüfen, bekannte Schwachstellen in öffentlichen Datenbanken recherchieren, die Software-Stückliste (SBOM) der Komponente auswerten, ihren Unterstützungszeitraum prüfen, kontrollieren, ob ihre Zweckbestimmung zu Ihrer Verwendung passt, und das Sicherheitsniveau des Lieferanten bewerten. Bei Teilen mit hohem Risiko kommen zusätzliche Tests hinzu, etwa Penetrationstests oder Firmware-Analysen.

Eine gute Anfrage deckt diese Punkte ab.

• Unterstützungszeitraum und Supportende für genau dieses Modell und diese Firmware
• Software-Stückliste (SBOM) in CycloneDX oder SPDX oder die Bedingungen, unter denen Sie sie erhalten
• Strategie für die koordinierte Offenlegung von Schwachstellen, Sicherheitskontakt und Weg der Veröffentlichung von Sicherheitshinweisen (möglichst CSAF)
• Bisherige Sicherheitsaktualisierungen der letzten Jahre
• Informationen für die Integration nach Anhang II Nummer 8 Buchstabe f: was Sie brauchen, um die Komponente in Ihrer Maschine sicher zu halten
• Pläne zur CRA-Konformität und die zugrunde gelegten Normen, etwa IEC 62443-4-1 und -4-2

Der VDMA veröffentlicht eine Handlungsempfehlung für eine Lieferantenselbstauskunft zum CRA (VDMA, Lieferantenselbstauskunft).

Wurde die SPS unter dem CRA in den Verkehr gebracht, muss ihr Hersteller die Schwachstelle behandeln. Darauf können Sie sich stützen, zum Beispiel auf seinen Patch. Für Ihre Maschine behandeln Sie die Schwachstelle trotzdem selbst: Sie informieren die Nutzer, stellen Maßnahmen zur Risikominderung bereit und aktualisieren die Dokumentation (FAQ der Kommission 4.3.6 EN). Ist die Komponente älter oder hilft ihr Hersteller nicht, müssen Sie eine andere Abhilfe finden, etwa die Funktion deaktivieren, die Komponente austauschen oder sie isolieren. Stellen Sie eine Schwachstelle in einer Komponente fest, müssen Sie sie der Person oder Einrichtung melden, die die Komponente herstellt oder wartet. Eine Korrektur, die Sie selbst entwickeln, geben Sie an diese Person oder Einrichtung weiter (Artikel 13 Absatz 6).

Open-Source-Komponenten sind zulässig, wenn Sie die gebotene Sorgfalt walten lassen (FAQ der Kommission 4.4.4 EN). Diese Komponenten gehören in Ihre Software-Stückliste (SBOM) und in Ihre Schwachstellenüberwachung. Korrekturen, die Sie entwickeln, müssen Sie an die Personen oder Stellen weitergeben, die das Projekt warten (Maintainer) (Artikel 13 Absatz 6). Open-Source-Projekte, die nicht im Rahmen einer Geschäftstätigkeit bereitgestellt werden, fallen selbst nicht unter den CRA. Verwalter quelloffener Software (Open-Source-Stewards) haben ab dem 11. Dezember 2027 geringere Pflichten (Artikel 24).

Eine einzeln verkaufte Komponente ist ein Produkt mit digitalen Elementen mit eigenen Pflichten nach dem CRA (Artikel 3 Nummer 1). Verkaufen Sie sie nur als identisches Ersatzteil für eine Maschine, greift die Ausnahme für Ersatzteile (Artikel 2 Absatz 6). Wenn Sie Komponenten an andere Maschinenbauer liefern, werden diese Ihnen die Fragen aus Frage 9.3 stellen.

Voraussetzung: Ihre Bewertung der Cybersicherheitsrisiken ergibt kein besonderes Risiko, und die fertige Maschine erfüllt als Ganzes die Anforderungen. Die Kommission akzeptiert Komponenten ohne CE-Kennzeichnung, wenn Sie die gebotene Sorgfalt walten lassen (Leitlinien der Kommission C(2026) 5252 EN). In der Übergangszeit können Sie die CE-Kennzeichnung der Komponenten nicht prüfen. Ihrer Sorgfaltspflicht müssen Sie dann auf andere Weise nachkommen (Erwägungsgrund 35, FAQ der Kommission 7.3 EN).

Mit Stand 16. Oktober 2026 ist im Amtsblatt noch keine Fundstelle einer CRA-Norm veröffentlicht. Kein Produkt kann sich daher auf die Konformitätsvermutung nach Artikel 27 berufen (Seite der Kommission zu harmonisierten Normen EN). Die ersten horizontalen Normen stehen kurz bevor. EN 40000-1-2 (Grundsätze, Risikomanagement und Lebenszyklus) und EN 40000-1-1 (Begriffe) haben die förmliche Schlussabstimmung durchlaufen. Die Ratifizierung ist für November 2026 geplant (Arbeitsprogramm CEN-CENELEC JTC 13 EN). Als Nächstes folgt die Norm zur Behandlung von Schwachstellen, prEN 40000-1-3. Die allgemeinen Sicherheitsanforderungen, prEN 40000-1-4, werden für 2027 erwartet. Unser Normen-Tracker EN verfolgt sie alle.

IEC 62443 ist der Rahmen, der Maschinenbauern am nächsten liegt. IEC 62443-4-1 (sicherer Entwicklungslebenszyklus) und -4-2 (Anforderungen an Komponenten) passen gut zu vielen Anforderungen des CRA. CRA-bezogene Änderungen an EN IEC 62443-4-1 und -4-2 befinden sich im Genehmigungsverfahren. Ihre Fundstellen werden aber voraussichtlich nicht im Amtsblatt veröffentlicht. Die OT-Sicherheitsprofile des CLC/TC 65X (Reihe prEN 50770, auf Basis von IEC 62443) sind noch im Entwurfsstadium. Nutzen Sie IEC 62443, um Ihre Arbeit und Ihre Nachweise zu strukturieren. Ordnen Sie sie dann in der technischen Dokumentation ausdrücklich jeder Anforderung aus Anhang I zu (Anhang VII Nummer 5).

Eine Maschine ist meist weder ein wichtiges noch ein kritisches Produkt. Sie können daher die interne Kontrolle (Modul A) nutzen (Artikel 32 Absatz 1). Eine notifizierte Stelle brauchen Sie für wichtige Produkte der Klasse I, wenn Sie keine harmonisierte Norm vollständig anwenden, für Produkte der Klasse II und für kritische Produkte (Artikel 32 Absätze 2 bis 4). Das betrifft nur das Verfahren nach dem CRA. Maschinen aus Anhang I der Maschinenverordnung können nach dieser Verordnung trotzdem eine notifizierte Stelle erfordern. Das CRA-Verfahren wird wichtig, wenn Sie auch Komponenten wie Industrierouter, Switches oder Firewalls als eigene Produkte verkaufen. Konformitätsbewertungsstellen können seit dem 11. Juni 2026 notifiziert werden. Die Kommission erklärte aber am 31. Juli 2026, dass die NANDO-Datenbank CRA-Stellen aufführen wird, sobald solche verfügbar sind (Kommission, CRA-Konformitätsbewertung EN).

Für Deutschland: Notifizierende Behörde für den CRA wird das BSI (§ 66 BSIG n. F., tritt am Tag nach der Verkündung in Kraft). In der Regel braucht eine Prüfstelle eine Akkreditierung durch die DAkkS. Vor dem Antrag auf Akkreditierung ist ein Informationsgespräch mit dem BSI Pflicht (BSI, Notifizierung CRA).

Die 17 vertikalen ETSI-Entwürfe der Reihe EN 304 6xx sind seit Sommer 2026 in der öffentlichen Umfrage (Pressemitteilung vom 13. August 2026) (ETSI EN). Für Maschinenbauer am wichtigsten sind die Entwürfe zu Routern und Switches (EN 304 627), Firewalls und Angriffserkennung (EN 304 636), Netzwerkschnittstellen (EN 304 625), Betriebssystemen (EN 304 626) und Hypervisoren (EN 304 635). Sie gelten für die Hersteller dieser Komponenten, nicht für Ihre Maschine. Fragen Sie Ihre Lieferanten, an welchen Entwürfen sie sich ausrichten.

Der Bundestag hat das deutsche CRA-Gesetz am 15. Oktober 2026 beschlossen, mit dem BSI als Marktüberwachungsbehörde; verkündet ist es noch nicht (siehe DE.1 und DE.2). Auf begründetes Verlangen müssen Sie alle Informationen und Unterlagen übermitteln, die für den Nachweis der Konformität erforderlich sind, und zwar in einer für die Behörde leicht verständlichen Sprache (Artikel 13 Absatz 22). Ein solches Verlangen kann auf eine gemeldete Schwachstelle, eine Beschwerde oder eine Routinekontrolle folgen.

Die drei Stufen stehen als Höchstbeträge in Artikel 64 festgelegt. Die Einzelheiten regeln die Mitgliedstaaten.

Bei der Festsetzung der Geldbuße müssen die Behörden die Größe des Unternehmens berücksichtigen, insbesondere bei Kleinstunternehmen sowie kleinen und mittleren Unternehmen (Artikel 64 Absatz 5). Geldbußen können zusätzlich zu einer angeordneten Rücknahme vom Markt oder einem Rückruf verhängt werden.

Die neue Produkthaftungsrichtlinie behandelt Software als Produkt. Sie gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden (Richtlinie (EU) 2024/2853, Artikel 2, in der Fassung der Berichtigung vom 7. Mai 2026). Laut FAQ der Kommission zum CRA haftet der Hersteller weiterhin für Fehler, die durch ein Update oder Upgrade entstehen, und für Fehler, die entstehen, weil ein Update oder Upgrade fehlt (FAQ der Kommission 2.3.1 EN). Voraussetzung ist, dass der Fehler nachgewiesen ist und die Bereitstellung des Updates der Kontrolle des Herstellers unterlag (Artikel 11 Absatz 2). Bei der Beurteilung der Fehlerhaftigkeit werden auch sicherheitsrelevante Cybersicherheitsanforderungen berücksichtigt. Ein fehlendes Sicherheitsupdate kann daher zur Haftungsfrage werden, nicht nur zur CRA-Frage. Bei Maschinen, die an Unternehmen verkauft werden, betreffen Ansprüche nach der Richtlinie vor allem Personenschäden. Schäden an Sachen, die ausschließlich für berufliche Zwecke verwendet werden, und die Vernichtung oder Beschädigung von Daten, die für berufliche Zwecke verwendet werden, ersetzt die Richtlinie nicht. Vertragsrecht und nationales Recht gelten aber weiter.

Für Deutschland: Das neue Produkthaftungsgesetz ist am 27. Oktober 2026 verkündet worden (BGBl. 2026 I Nr. 321). Es tritt im Wesentlichen am 9. Dezember 2026 in Kraft und zählt Software als Produkt. Mehr in DE.6.

Wissen Sie während des Unterstützungszeitraums, dass eine Maschine nicht konform ist, müssen Sie Korrekturmaßnahmen ergreifen oder die Maschine vom Markt nehmen oder zurückrufen (Artikel 13 Absatz 21). Die Kommission erwartet Rückrufe nur in Ausnahmefällen, typischerweise bei einer schwerwiegenden Hardware-Schwachstelle, die sich weder beheben noch mindern lässt (FAQ der Kommission 4.3.4 EN). Die Marktüberwachungsbehörden können dieselben Maßnahmen nach den Artikeln 54 bis 58 anordnen.

Die NIS-2-Richtlinie erfasst mittlere und große Unternehmen in den aufgeführten Sektoren. Der Maschinenbau (NACE C28) gehört dazu, im Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ in Anhang II der Richtlinie (EU) 2022/2555. Bei NIS-2 geht es um die Sicherheit der Systeme Ihres eigenen Unternehmens und um die Meldung von Sicherheitsvorfällen, die Ihre Dienste beeinträchtigen. Beim CRA geht es um die Produkte, die Sie verkaufen. Ein Maschinenbauer kann beiden unterliegen. In Deutschland setzt das NIS-2-Umsetzungsgesetz die Richtlinie um (siehe DE.5). Unsere NIS-2-Seite EN fasst zusammen, wer erfasst ist.

Die beiden Verordnungen haben getrennte Anforderungen. Sie teilen sich aber die CE-Kennzeichnung und eine einzige EU-Konformitätserklärung (Artikel 28 Absatz 3). Eine Schwachstelle, die Sicherheitsfunktionen korrumpieren kann, berührt auch die Abschnitte 1.1.9 und 1.2.1 in Anhang III der Maschinenverordnung (Verordnung (EU) 2023/1230). Unsere Seite zu Abschnitt 1.1.9 EN erklärt diese Pflichten.

1. Benennen Sie eine verantwortliche Person für die Cybersicherheit Ihrer Produkte und eine Stellvertretung. Legen Sie für beide EU-Login-Konten für die einheitliche Meldeplattform an.
2. Schreiben Sie das Meldeverfahren auf einer Seite auf: Wer nimmt Hinweise entgegen, wer entscheidet, wer meldet innerhalb von 24 Stunden, auch am Wochenende.
3. Veröffentlichen Sie eine zentrale Anlaufstelle für Schwachstellen und eine kurze Strategie für die koordinierte Offenlegung von Schwachstellen, mit einer security.txt-Datei auf Ihrer Website.
4. Erfassen Sie die vernetzten Maschinen im Feld mit Seriennummern, Hauptkomponenten und Softwareständen.
5. Analysieren Sie jede Maschinenfamilie: Schnittstellen, Fernwartung, Backends, die Sie betreiben, und Komponenten, die wichtige Produkte sind.
6. Fordern Sie bei Ihren Lieferanten von SPS, HMI, Antrieben, Industrie-PCs und Fernwartungslösungen Software-Stücklisten (SBOMs), Unterstützungszeiträume und Kanäle für Sicherheitshinweise an.
7. Legen Sie je Maschinenfamilie einen vorläufigen Unterstützungszeitraum fest und begründen Sie ihn.
8. Nehmen Sie eine Klausel zu Cybersicherheit und Support in Ihre Angebots- und Vertragsvorlagen auf.
9. Stellen Sie ein Standard-Sicherheitspaket für Kundenfragebögen zusammen.
10. Wählen Sie eine Maschinenfamilie, die nach dem 11. Dezember 2027 ausgeliefert wird, und führen Sie damit ein vollständiges Pilotprojekt durch: Bewertung der Cybersicherheitsrisiken, Abgleich mit Anhang I, SBOM, Gliederung der technischen Dokumentation.

Kostenlose Selbsteinschätzung: Unser Check 2027 stellt sieben Fragen zu Maschinenverordnung und CRA und zeigt Ihnen, wo Sie stehen.

Der CRA gilt in Deutschland unmittelbar. Das deutsche Gesetz benennt nur die Behörden und regelt das Bußgeldverfahren. Neue Pflichten für Hersteller schafft es nicht (BT-Drs. 21/6134, Abschnitt E).

Der Bundestag hat das „Gesetz zur Durchführung der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung)“ am 15. Oktober 2026 angenommen. Grundlage war die Beschlussempfehlung des Innenausschusses (BT-Drs. 21/8622). Das BSI nennt es CRA-Durchführungsgesetz (CRA-DG).

Am 29. Oktober 2026 fehlt noch der zweite Durchgang im Bundesrat. Das DIP des Bundestags führt das Gesetz als nicht zustimmungsbedürftig. Die nächste Plenarsitzung des Bundesrates ist am 20. November 2026. Eine Tagesordnung dafür gibt es noch nicht. Ruft der Bundesrat den Vermittlungsausschuss nicht an, folgen Ausfertigung und Verkündung.

Der Bundestag hat das Inkrafttreten geändert. Die ursprünglichen Termine 11. Juni und 11. September 2026 waren verstrichen. Am Tag nach der Verkündung treten jetzt die Aufgabenzuweisungen an das BSI als Marktüberwachungsbehörde, als notifizierende Behörde und als CSIRT in Kraft (§ 3 Abs. 1 Satz 2 Nr. 30 und 31, § 5 Abs. 3 Satz 2 Nr. 6 BSIG n. F.). Dasselbe gilt für § 66 zur Notifizierung. Alles andere tritt am 11. Dezember 2027 in Kraft, darunter § 65 (Marktüberwachung), § 67 (Unterstützung) und die Bußgeldvorschriften der §§ 69 und 70 (BT-Drs. 21/8622, Artikel 4).

CRA. Das BSI wird die nationale Marktüberwachungsbehörde (§ 65 Abs. 1 BSIG n. F., BT-Drs. 21/6134). Es kann Produkte stichprobenartig oder gezielt prüfen, Nachbesserungen fordern, Geldbußen verhängen und Produkte vom Markt nehmen (BSI, 16.10.2026).

Maschinenverordnung. Hier prüfen die Marktüberwachungsbehörden der Länder (BAuA, Zuständigkeiten der Bundesländer). Sie kontrollieren anhand von Stichproben (§ 4 MaschinenDG). Meldungen an die EU-Kommission laufen über die BAuA (§§ 5 bis 8 MaschinenDG).

Das BSI arbeitet mit den Landesbehörden zusammen und teilt ihnen Feststellungen mit (§ 65 Abs. 2 BSIG n. F.).

Einfuhr. Für Kontrollen von Produkten aus Drittstaaten sind die Zollbehörden zuständig (§ 4 Abs. 3 MüG). Lieferungen aus einem anderen EU-Staat laufen nicht über den Zoll. Bei Verdacht setzt der Zoll die Überlassung aus. Die Marktüberwachungsbehörde entscheidet, ob die Ware eingeführt werden darf (Zoll).

CRA. Die Höchstbeträge stehen direkt in Artikel 64 CRA: bis 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes (Absatz 2), bis 10 Millionen Euro oder 2 % (Absatz 3) und bis 5 Millionen Euro oder 1 % (Absatz 4). Es gilt der höhere Betrag.

Das deutsche Gesetz regelt nur das Verfahren. Es verweist auf das Gesetz über Ordnungswidrigkeiten. § 17 OWiG, auch in Verbindung mit § 30 Abs. 3, und § 30 Abs. 1 und 2 OWiG gelten nicht, weil das Sanktionenrecht des CRA insoweit abschließend und vorrangig ist (§ 69 Abs. 1 BSIG n. F., BT-Drs. 21/6134). Zuständige Verwaltungsbehörde ist das BSI (§ 70 Abs. 1 BSIG n. F.). Diese Vorschriften treten am 11. Dezember 2027 in Kraft.

Für Kleinstunternehmen und kleine Unternehmen gibt es keine deutsche Sonderregel. Es gilt Artikel 64 Absatz 10 CRA: keine Geldbuße, wenn sie die Frühwarnung nach Ablauf der 24 Stunden abgeben. Abgeben müssen sie sie trotzdem. Seit der Berichtigung vom 2. Juli 2025 gilt das auch für Absatz 2, in dem die Geldbußen für Verstöße gegen Artikel 14 stehen.

Maschinenverordnung. Das MaschinenDG sieht bis 100.000 Euro vor, etwa bei fehlenden Korrekturmaßnahmen. In den übrigen Fällen sind es bis 10.000 Euro (§ 9 Abs. 2). Wer einen der 100.000-Euro-Verstöße vorsätzlich beharrlich wiederholt oder dadurch Leben, Gesundheit oder fremde Sachen von bedeutendem Wert gefährdet, macht sich strafbar. Es drohen bis zu einem Jahr Freiheitsstrafe oder Geldstrafe (§ 10). Diese Regeln gelten ab dem 20. Januar 2027 (§ 12).

Maschinenverordnung. Die Maschinenverordnung überlässt die Sprache den Mitgliedstaaten. Deutschland verlangt Deutsch für die Betriebsanleitung, die Sicherheitsinformationen und die EU-Konformitätserklärung. Das gilt auch für den Hinweis, wo die digitale Anleitung zu finden ist. Bei unvollständigen Maschinen gilt es für Montageanleitung und EU-Einbauerklärung (§ 2 MaschinenDG). Die Pflicht gilt ab dem 20. Januar 2027 (§ 12).

CRA. Informationen und Anleitungen nach Anhang II müssen in einer Sprache abgefasst sein, die Nutzer und Marktüberwachungsbehörden leicht verstehen (Artikel 13 Absatz 18 CRA). Die EU-Konformitätserklärung ist in den Sprachen abzufassen, die der Mitgliedstaat vorschreibt (Artikel 28 Absatz 2). Das deutsche CRA-Gesetz enthält keine eigene Sprachregel (BT-Drs. 21/6134).

Fällt Ihre Maschine unter beide Verordnungen, stellen Sie eine einzige EU-Konformitätserklärung aus (Artikel 28 Absatz 3 CRA). Diese muss dann ab dem 20. Januar 2027 nach § 2 Abs. 1 Satz 1 Nr. 3 MaschinenDG auf Deutsch vorliegen.

Meldungen über die CRA Single Reporting Platform sind auf Englisch zu verfassen (BSI).

Das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ (NIS-2-Umsetzungsgesetz) ist am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301, BSIG). Die Bundesregierung schätzte rund 30.000 betroffene Einrichtungen (BT-Drs. 21/1501).

Besonders wichtige und wichtige Einrichtungen müssen Risikomanagementmaßnahmen treffen. Dazu gehören die Sicherheit der Lieferkette und Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Schwachstellenmanagement (§ 30 Abs. 2 Satz 2 Nr. 4 und 5 BSIG). Laut BSI müssen diese Einrichtungen ihre Zulieferer zu entsprechenden Sicherheitsanforderungen verpflichten (BSI, Sichere Lieferkette). Das BSI empfiehlt Verträge zu Risikomanagement, Vorfallbewältigung und Patchmanagement.

Ein amtliches Lieferantenregister gibt es in Deutschland nicht. Das BSIG verpflichtet Zulieferer nicht direkt. Ihre Pflichten ergeben sich aus dem Vertrag.

Prüfen Sie auch Ihr eigenes Haus. Maschinenbau (NACE C 28) steht in Anlage 2 Nr. 5.4 BSIG. Ein Maschinenbauer ist deshalb in der Regel eine wichtige Einrichtung, wenn er mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme (§ 28 Abs. 2 Nr. 3 BSIG). Partner- und verbundene Unternehmen zählen dabei nach der KMU-Empfehlung 2003/361/EG grundsätzlich mit (§ 28 Abs. 4 BSIG). Auch ein kleiner Maschinenbauer in einer Gruppe kann deshalb betroffen sein. Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als Einrichtung gelten, beim BSI registrieren. Wer schon seit Dezember 2025 erfasst ist, hat die Frist verpasst und muss sofort nachregistrieren (§ 33 BSIG).

Das „Gesetz zur Modernisierung des Produkthaftungsrechts und zur Änderung weiterer Vorschriften“ vom 22. Oktober 2026 ist verkündet (BGBl. 2026 I Nr. 321 vom 27.10.2026). Es setzt die Richtlinie (EU) 2024/2853 um. Das neue Produkthaftungsgesetz tritt im Wesentlichen am 9. Dezember 2026 in Kraft (DIP).

Für Produkte, die vor dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden, gilt das alte Gesetz weiter (§ 23 ProdHaftG, BGBl. 2026 I Nr. 321).

Software ist jetzt ein Produkt. Ersetzt werden Personenschäden sowie Schäden an Sachen und Daten, die nicht beruflich genutzt werden. Schäden an Sachen, die ausschließlich beruflich genutzt werden, deckt das Gesetz nicht (§ 1 Abs. 1 ProdHaftG). Bei Maschinen geht es deshalb vor allem um Personenschäden. Ausgenommen ist freie und Open-Source-Software außerhalb einer Geschäftstätigkeit (§ 2 Abs. 1 Nr. 3 ProdHaftG). Bei der Frage, ob ein Produkt fehlerhaft ist, zählen auch sicherheitsrelevante Cybersicherheitsanforderungen (§ 7 Nr. 5). Behält der Hersteller die Kontrolle über das Produkt, etwa weil er Software-Updates bereitstellen kann (§ 8 Abs. 2), entfällt der Einwand, der Fehler sei erst später entstanden. Das gilt, wenn der Fehler auf Software, Updates, fehlende Sicherheitsupdates, einen verbundenen Dienst oder eine wesentliche Änderung zurückgeht (§ 9 Abs. 2 Satz 2).

EU. Die Leitlinien der Kommission C(2026) 5252 EN enthalten 67 ausgearbeitete Beispiele und wurden mit Blick auf KMU geschrieben. Die FAQ der Kommission EN beantworten die meisten Fragen zum Anwendungsbereich. Die ENISA veröffentlicht das Secure by Design and Default Playbook EN und betreibt einen Helpdesk für die Meldeplattform. Die Mitgliedstaaten richten gegebenenfalls einen speziellen Kommunikationskanal für Kleinstunternehmen und kleine Unternehmen ein (Artikel 33).

BSI. Die CRA-Seiten erklären Pflichten und Fristen. Die Technische Richtlinie TR-03183 beschreibt Anforderungen, SBOM und den Umgang mit Schwachstellenmeldungen. Für maschinenlesbare Sicherheitshinweise beschreibt das BSI CSAF. Zur Meldeplattform gibt es eine Anleitung mit Video (CRA-SRP).

Das neue Gesetz verpflichtet das BSI, Wirtschaftsakteure und besonders KMU zu unterstützen. Vorgesehen sind Schulungen und ein Reallabor für Cyberresilienz (§ 67 BSIG n. F., BT-Drs. 21/6134). Nach dem Beschluss des Bundestags tritt diese Regel am 11. Dezember 2027 in Kraft.

Berufsgenossenschaft. Die BGHM beantwortet Fragen zu CRA und Maschinen (BGHM, FAQs Cyber-Resilience-Act).

Mittelstand. Die Transferstelle CYBERsicher bietet KMU kostenlose Checks und Erstgespräche.

Verband und Normung. Der VDMA veröffentlicht Praxismaterial zum CRA, teils nur für Mitglieder. Die Normenreihe IEC 62443 begleitet national das DKE/UK 931.1; dort können sich Unternehmen beteiligen.