--- title: "Cyber Resilience Act im Maschinenbau: Fristen, Meldepflicht | Edge SDN" description: "Was der CRA von Maschinenbauern verlangt: 24-Stunden-Meldepflicht seit dem 11. September 2026, auch für Bestandsmaschinen. SBOM und Updates ab Dezember 2027." url: https://www.edge-sdn.com/de/regulierung/cyber-resilience-act/ last_updated: 2026-11-01 --- Verordnung (EU) 2024/2847 # Cyber Resilience Act: Pflichten und Fristen Aktualisiert am 1. November 2026. Eine Zusammenfassung, keine Rechtsberatung. Prüfen Sie für Ihren Fall immer den amtlichen Text. [Read in English](https://www.edge-sdn.com/regulations/cyber-resilience-act/) · [Leggi in italiano](https://www.edge-sdn.com/it/regolamenti/cyber-resilience-act/) Was verlangt der CRA von einem Hersteller? Nach der Cyberresilienz-Verordnung muss jedes Produkt mit digitalen Elementen, das in der EU verkauft wird, von Grund auf sicher sein. Seit dem 11. September 2026 muss der Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden melden, auch bei bereits verkauften Produkten. Für Produkte, die ab dem 11. Dezember 2027 in den Verkehr gebracht werden, kommen eine Software-Stückliste (SBOM), die Behandlung von Schwachstellen und kostenlose Sicherheitsaktualisierungen für den gesamten Unterstützungszeitraum hinzu. Die Meldepflicht gilt[Artikel 71 Absatz 2](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) Der CRA gilt vollständig[Artikel 71 Absatz 2](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) Frühwarnung bei einer aktiv ausgenutzten Schwachstelle[Artikel 14 Absatz 2 Buchstabe a](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) Höchstbetrag der Geldbuße oder 2,5 % des weltweiten Jahresumsatzes, falls höher[Artikel 64 Absatz 2](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F64) Wer betroffen ist ## Alle, die Produkte mit digitalen Elementen auf den EU-Markt bringen Hersteller, Einführer (Importeure) und Händler von Hardware und Software, die mit einem Gerät oder einem Netz verbunden werden. Die meisten Pflichten trägt der Hersteller. Seit dem 11. September 2026 ## Meldung einer aktiv ausgenutzten Schwachstelle in drei Schritten Dieselben Fristen gelten für einen schwerwiegenden Sicherheitsvorfall, mit dem Abschlussbericht innerhalb eines Monats nach der Meldung. Die Meldungen gehen über die einheitliche Meldeplattform an das nationale CSIRT und an die ENISA. 1. **Frühwarnung innerhalb von 24 Stunden**Ab dem Zeitpunkt, an dem Sie davon Kenntnis erlangen. 2. **Meldung innerhalb von 72 Stunden**Das Produkt, die Art der Ausnutzung und die Maßnahmen, die Nutzer ergreifen können. 3. **Abschlussbericht innerhalb von 14 Tagen**Nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht. [Artikel 14 Absätze 2 und 4](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) [Artikel 14 Absatz 8](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) [Artikel 69 Absatz 3](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F69) Ab dem 11. Dezember 2027 ## Grundlegende Anforderungen für jedes neue Produkt - Keine bekannten ausnutzbaren Schwachstellen, wenn das Produkt auf dem Markt bereitgestellt wird [Anhang I Teil I Nummer 2 Buchstabe a](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - Eine SBOM in einem gängigen maschinenlesbaren Format, mindestens mit den obersten Abhängigkeiten [Anhang I Teil II Nummer 1](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - Behandlung von Schwachstellen über den gesamten Unterstützungszeitraum, mindestens fünf Jahre [Artikel 13 Absatz 8](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F13) - Sicherheitsaktualisierungen unverzüglich und kostenlos, sofern für ein maßgeschneidertes Produkt nichts anderes vereinbart ist [Anhang I Teil II Nummer 8](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - Eine Strategie für die koordinierte Offenlegung von Schwachstellen [Anhang I Teil II Nummer 5](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - Aufbewahrung von technischer Dokumentation und EU-Konformitätserklärung: mindestens zehn Jahre oder der Unterstützungszeitraum, falls länger [Artikel 13 Absatz 13](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F13) **Was der CRA nicht verlangt** Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, müssen diese Anforderungen nur erfüllen, wenn sie danach wesentlich geändert werden ([Artikel 69 Absatz 2](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F69)). Die Meldepflicht gilt für sie trotzdem. ### Erste Schritte - Ihre Produkte und die jeweils enthaltene Software auflisten - Festlegen, wer Hinweise auf Schwachstellen entgegennimmt und wer binnen 24 Stunden meldet - Mit der SBOM für ein erstes Produkt beginnen - Einen Weg einrichten, die Nutzer jedes ausgelieferten Produkts zu erreichen Sie unterschreiben die Konformitätserklärung. Wir bereiten die Nachweise vor: welches ausgelieferte Produkt betroffen ist, was Sie dem Kunden mitteilen und was Sie getan haben. [Demo ansehen](https://www.edge-sdn.com/de/demo/) Auf dem Laufenden bleiben ## Was sich ändert, mit Datum und Quelle Rund um den CRA ändert sich laufend etwas: Leitlinien, Normen, nationale Behörden, die Meldeplattform. Wir veröffentlichen einen kurzen Beitrag, wenn sich ändert, was Maschinenbauer tun müssen, mit Link zum amtlichen Text. [CRA-News für Maschinenbauer EN](https://www.edge-sdn.com/regulations/cyber-resilience-act/news/) [Normen-Tracker zum CRA EN](https://www.edge-sdn.com/regulations/cyber-resilience-act/standards/) Unsere Produkte ## Welche Produkte dabei helfen Dafür entwickelt ### Shield Lifecycle SBOM, Behandlung von Schwachstellen und VEX für jedes ausgelieferte Produkt, Meldungen nach Artikel 14, Sicherheitshinweise an Kunden und Dokumentation. Artikel 13, Artikel 14, Anhang I [Mehr zu Shield Lifecycle](https://www.edge-sdn.com/de/produkte/shield-lifecycle/) Hilft bei einem Teil ### Edge Shield Verkleinert die Angriffsfläche des Produkts. Anhang I Teil I Nummer 2 Buchstabe j [Mehr zu Edge Shield EN](https://www.edge-sdn.com/products/edge-shield/) FAQ ## Fragen zum CRA ### Gilt der CRA auch für Produkte, die ich vor Dezember 2027 verkauft habe? Die Meldepflicht nach Artikel 14 gilt für sie seit dem 11. September 2026. Die übrigen Anforderungen gelten für diese Produkte nur, wenn sie ab dem 11. Dezember 2027 wesentlich geändert werden ([Artikel 69](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F69)). Was das für Bestandsmaschinen heißt: Frage [2.2 unserer FAQ](https://www.edge-sdn.com/de/regulierung/cyber-resilience-act/faq/#q-2-2). ### Ist eine Maschine ein Produkt mit digitalen Elementen? Eine Maschine mit SPS, HMI oder einem Gateway für den Fernzugriff enthält Software und wird mit einem Gerät oder einem Netz verbunden. Damit ist sie ein Produkt mit digitalen Elementen, und ihr Hersteller hat die Pflichten des CRA. Für dieselbe Maschine gilt auch die [Maschinenverordnung](https://www.edge-sdn.com/de/regulierung/maschinenverordnung/). ### Wer erhält die 24-Stunden-Meldung? Das als Koordinator benannte CSIRT des Mitgliedstaats Ihrer Hauptniederlassung und gleichzeitig die ENISA, über die einheitliche Meldeplattform ([Artikel 14](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F14)). Liegt Ihre Hauptniederlassung in Deutschland, ist das CERT-Bund im BSI zuständig ([BSI](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber%5FResilience%5FAct/Single%5FReporting%5FPlatform-CRA/single%5Freporting%5Fplatform-cra%5Fnode.html), Frage [5.6](https://www.edge-sdn.com/de/regulierung/cyber-resilience-act/faq/#q-5-6)). ### Wie lang ist der Unterstützungszeitraum? Mindestens fünf Jahre, es sei denn, das Produkt ist voraussichtlich kürzer in Betrieb. Der Zeitraum muss die voraussichtliche Nutzungsdauer des Produkts widerspiegeln ([Artikel 13 Absatz 8](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F13)). Für Industriemaschinen: Frage [4.5](https://www.edge-sdn.com/de/regulierung/cyber-resilience-act/faq/#q-4-5). ### Kann ein kleines Unternehmen für eine verspätete Meldung eine Geldbuße erhalten? Nicht für eine verspätete 24-Stunden-Frühwarnung. Für Hersteller, die Kleinstunternehmen oder kleine Unternehmen sind, entfällt diese Geldbuße: [Artikel 64 Absatz 10](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F64) erfasst in der Fassung der [Berichtigung vom 2. Juli 2025](https://eur-lex.europa.eu/eli/reg/2024/2847/corrigendum/2025-07-02/oj/deu) auch Absatz 2, in dem die Geldbußen für Verstöße gegen Artikel 14 stehen. Für die 72-Stunden-Meldung und den Abschlussbericht sind Geldbußen weiterhin möglich. [Alle 96 Antworten der CRA-FAQ für Maschinenbauer und Importeure ](https://www.edge-sdn.com/de/regulierung/cyber-resilience-act/faq/) ## Wie gut sind Sie auf den 20. Januar 2027 vorbereitet? Sieben Fragen dazu, wie Sie heute arbeiten. Drei Minuten. Sie erhalten eine Bewertung von 0 bis 10 und sehen, was Ihnen noch fehlt.