Cyber Resilience
Act im
Maschinenbau.
Der EU Cyber Resilience Act macht Cybersecurity zur Herstellerpflicht — auch für Maschinenbauer. Was bisher optional war, wird verbindlich: Security by Design, SBOM, Vulnerability Management und sichere Update-Prozesse.
Andreas Schönfeld
Geschäftsführer & DevOps-Berater, Comquent GmbH
18+ Jahre Erfahrung in DevOps, CI/CD und Industrial Automation
Stand: 12. Juni 2026 · Konformitätsbewertungsstellen seit 11. Juni 2026 aktiv · Nächste Stufe: 24-h-Meldepflicht ab 11. Sep. 2026
Seit dem 11. Juni 2026 ist die erste verbindliche CRA-Stufe in Kraft: Die Konformitätsbewertungsstellen haben ihre Arbeit aufgenommen — Hersteller können die Drittprüfung für kritische Produkte (Klasse I/II) jetzt beantragen. Wer Maschinensteuerungen, HMIs oder Edge-Gateways in der EU in Verkehr bringt, sollte die Produktklassifizierung und Gap-Analyse jetzt abschließen, bevor ab 11. September 2026 die 24-Stunden-Meldepflicht greift.
Der EU Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen zu Cybersicherheit über den gesamten Produktlebenszyklus — von der SPS-Steuerung bis zum Edge-Gateway. Er gilt gestaffelt in drei Stufen: Seit 11. Juni 2026 sind die Konformitätsbewertungsstellen aktiv — die Drittprüfung für kritische Produkte ist möglich. Ab 11. September 2026 greifen die Meldepflichten — aktiv ausgenutzte Schwachstellen müssen binnen 24 Stunden an die ENISA gemeldet werden. Ab Dezember 2027 ist volle CRA-Konformität Pflicht; Produkte ohne CE-Kennzeichnung dürfen dann nicht mehr in der EU in Verkehr gebracht werden.
Paradigmen-
wechsel für
den Maschinenbau.
Maschinenbauer denken in Mechanik, Antriebstechnik und Steuerungslogik. Cybersecurity war bisher ein Thema der IT-Abteilung — wenn überhaupt. Das ändert sich grundlegend. Welche konkreten Herausforderungen im Maschinenbau mit SPS dabei entstehen, zeigt unser Anwendungsfall.
Der EU Cyber Resilience Act (CRA), seit September 2024 in Kraft, verpflichtet Hersteller digitaler Produkte zu Cybersecurity über den gesamten Lebenszyklus. Das betrifft jede Maschine mit Software: SPS-Steuerung, HMI, Edge-Gateway.
Ohne CE.
Kein EU-Markt.
Ab Dezember 2027 dürfen Produkte mit digitalen Elementen ohne CRA-Konformität nicht mehr in der EU in Verkehr gebracht werden. Ohne Konformitätserklärung keine CE-Kennzeichnung — ohne CE kein Marktzugang.
- — Bußgelder bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes
- — Marktüberwachungsbehörden können Rückruf anordnen
- — Ab 11. Sep. 2026 gelten die Meldepflichten: 24 h für Schwachstellen, 72 h für Vorfälle
Die Uhr
tickt bereits.
Der CRA kennt gestaffelte Übergangsfristen.
CRA in Kraft getreten
Veröffentlichung im Amtsblatt der EU (Verordnung 2024/2847). Die 36-monatige Übergangsfrist beginnt.
Konformitätsbewertungsstellen aktiv
Benannte Stellen (Notified Bodies) haben ihre Arbeit aufgenommen und können Produkte der Klasse I und II zertifizieren. Hersteller kritischer Produkte sollten jetzt Bewertungstermine vereinbaren.
Meldepflichten gelten — 24-h-Frist
Hersteller müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die ENISA melden. Sicherheitsvorfälle müssen innerhalb von 72 Stunden gemeldet werden.
Volle Konformität erforderlich
Alle CRA-Anforderungen müssen erfüllt sein. Produkte ohne CE-Kennzeichnung dürfen nicht mehr in der EU in Verkehr gebracht werden. Bußgelder bis zu 15 Mio. EUR oder 2,5 % des Jahresumsatzes.
CRA, NIS2 oder Maschinenverordnung —
was gilt für wen?
Der CRA reguliert Produkte, NIS2 reguliert Organisationen, die neue Maschinenverordnung reguliert die Maschine als Gesamtsystem. Ein Maschinenbauer mit vernetzten Maschinen ist in der Regel von allen drei betroffen — mit unterschiedlichen Pflichten und Fristen. Wer die Anforderungen zusammen denkt, vermeidet doppelte Prozesse: SBOM, Vulnerability Management und sichere Update-Mechanismen zahlen auf alle drei Regelwerke ein.
Cyber Resilience Act (CRA)
Produkte mit digitalen Elementen: Steuerungen, HMIs, Edge-Gateways, Software
Hersteller, Importeure und Händler
Meldepflichten ab 11. Sep. 2026, volle Konformität ab Dez. 2027
NIS2-Richtlinie
Organisationen und ihr Betrieb: Risikomanagement, Meldewesen, Lieferkette
Betreiber: wichtige und besonders wichtige Einrichtungen, u. a. Maschinenbau ab 50 Mitarbeitern
Deutsches Umsetzungsgesetz (NIS2UmsuCG) seit Anfang 2026 in Kraft — Pflichten gelten unmittelbar
Neue Maschinenverordnung (EU) 2023/1230
Die Maschine als Gesamtprodukt: Safety, erstmals inklusive Schutz gegen Cyberangriffe auf Sicherheitsfunktionen
Maschinenhersteller
Verbindlich ab 20. Januar 2027, ersetzt die Maschinenrichtlinie 2006/42/EG
Wichtig für die Praxis: NIS2 betrifft Sie als Betreiber — ob Ihr Unternehmen unter die Richtlinie fällt und welche Pflichten dann gelten, klärt unser NIS2-Betroffenheits-Leitfaden. Der CRA betrifft Sie als Hersteller — und die neue Maschinenverordnung verlangt ab Januar 2027 zusätzlich, dass Sicherheitsfunktionen Ihrer Maschinen gegen Manipulation durch Cyberangriffe geschützt sind. Die gute Nachricht: Ein sauber aufgesetzter Secure Development Lifecycle nach IEC 62443 deckt den technischen Kern aller drei Regelwerke ab.
Sechs Pflichten.
Eine Konformität.
Was der Cyber Resilience Act konkret von Herstellern verlangt — und was das für Ihren Entwicklungsprozess bedeutet.
- /01
Security by Design
Impact: HochSicherheit muss von der ersten Zeile Code an in den Entwicklungsprozess integriert werden — nicht nachträglich aufgesetzt.
Threat Modeling, sichere Architektur, Secure Coding Guidelines, regelmäßige Security Reviews während der gesamten Entwicklung.
- /02
Software Bill of Materials (SBOM)
Impact: HochVollständige Dokumentation aller Software-Komponenten — proprietär und Open Source — in jedem Produkt.
Automatisierte SBOM-Generierung bei jedem Build, standardisierte Formate (CycloneDX, SPDX), Nachverfolgbarkeit über den gesamten Lebenszyklus.
- /03
Vulnerability Management
Impact: HochStrukturierte Prozesse zur Identifikation, Bewertung und Behebung von Schwachstellen — über den gesamten Produktlebenszyklus.
Continuous Monitoring gegen CVE-Datenbanken, definierte SLAs für Patch-Bereitstellung, koordinierte Offenlegung (Coordinated Vulnerability Disclosure).
- /04
Update-Management
Impact: HochSichere und zuverlässige Mechanismen für Software-Updates über die gesamte erwartete Produktlebensdauer.
Signierte Updates, Rollback-Fähigkeit, automatische oder manuelle Update-Kanäle, sichere Übertragungswege.
- /05
Incident Reporting (ab 11. September 2026)
Impact: KritischMeldepflicht für aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden und für Sicherheitsvorfälle innerhalb von 72 Stunden an die ENISA.
Frühwarnung innerhalb von 24 h, vollständige Meldung innerhalb von 72 h, Abschlussbericht innerhalb von 14 Tagen. Interne Prozesse für Incident Detection, klare Eskalationswege und vorbereitete Meldeformulare sind Pflicht.
- /06
Technische Dokumentation
Impact: MittelUmfassende Dokumentation der Sicherheitsmaßnahmen, Risikoanalysen und Konformitätsbewertung.
Risikobewertung, Beschreibung der Sicherheitsarchitektur, Testberichte, Gebrauchsanweisungen mit Sicherheitshinweisen.
Drei Klassen.
Drei Verfahren.
Die Einstufung bestimmt, ob Sie selbst bewerten dürfen oder eine externe Prüfstelle benötigen.
Standardprodukte
Die meisten Maschinensteuerungen, HMIs, Sensorik-Software, Edge-Gateways.
Selbstbewertung durch den Hersteller (Modul A). Interne Konformitätskontrolle.
- — SPS-Programme
- — HMI-Anwendungen
- — Condition Monitoring
- — Standard-Edge-Gateways
Wichtige Produkte (Klasse I)
Produkte mit höherem Risikoprofil, z. B. Netzwerkkomponenten, Firewalls, industrielle Betriebssysteme.
Selbstbewertung nur mit harmonisierten Standards möglich, sonst Drittprüfung erforderlich.
- — Industrielle Firewalls
- — VPN-Gateways
- — Netzwerk-Management
- — Identity-Management
Kritische Produkte (Klasse II)
Hochrisiko-Produkte: industrielle Intrusion-Detection-Systeme, Hardware-Security-Module.
Obligatorische Drittprüfung durch eine benannte Stelle (Notified Body).
- — Industrielle IDS/IPS
- — HSM (Hardware Security Modules)
- — Smart-Card-Systeme
- — Sichere Elemente
Der CRA wurde für IT gemacht.
Die OT folgt eigenen Regeln.
Die Umsetzung im Maschinenbau bringt spezifische Herausforderungen, die reine Software-Unternehmen nicht haben.
- /01
Lange Produktlebenszyklen
Maschinen laufen 15–30 Jahre. Der CRA verlangt Security-Updates über die gesamte erwartete Lebensdauer — mindestens 5 Jahre.
ImplikationSie brauchen eine langfristige Update-Strategie, die über einzelne Projekte hinausgeht.
- /02
Legacy-Software in neuen Produkten
Bestehender Steuerungscode wird oft über Generationen weiterverwendet. Der CRA gilt für alle neu in Verkehr gebrachten Produkte — auch mit alter Software.
ImplikationLegacy-Code muss auf Schwachstellen geprüft und in die SBOM aufgenommen werden.
- /03
Heterogene Komponentenlandschaft
Eine Maschine enthält Software von Dutzenden Zulieferern: SPS-Hersteller, Antriebstechnik, HMI, Sensorik.
ImplikationSie müssen SBOMs von Zulieferern einfordern und in Ihre eigene Dokumentation integrieren.
- /04
OT-Protokolle ohne Security
Viele industrielle Protokolle (Modbus, PROFINET, EtherCAT) wurden nie für Security designt.
ImplikationKompensatorische Maßnahmen dokumentieren: Netzwerksegmentierung, Gateways, Monitoring.
- /05
Fehlende Security-Kompetenz
Maschinenbau-Teams denken in Safety (Maschinensicherheit), nicht in Cybersecurity. Die Disziplinen sind historisch getrennt.
ImplikationSchulungen und klare Verantwortlichkeiten: Product Security Officer, Security Champions im Team.
Nicht alles auf einmal.
Pragmatisch starten.
Von der Bestandsaufnahme zur CRA-Grundkonformität in 12 Wochen.
Bestandsaufnahme
- — Produktportfolio kategorisieren (Standard vs. kritisch)
- — Bestehende Software-Komponenten inventarisieren
- — Zulieferer-Abhängigkeiten identifizieren
- — Gap-Analyse: Ist-Stand vs. CRA-Anforderungen
- — Verantwortlichkeiten klären (Product Security Officer)
Fundament aufbauen
- — SBOM-Generierung in Build-Prozess integrieren
- — Vulnerability Scanning für alle Abhängigkeiten einrichten
- — Secure Coding Guidelines definieren
- — Incident-Response-Prozess aufsetzen
- — Zulieferer-Anforderungen kommunizieren
Prozesse etablieren
- — Security by Design in den Entwicklungsprozess integrieren
- — Automatisierte Security-Tests in CI/CD-Pipeline
- — Update-Mechanismus für Produkte im Feld implementieren
- — Technische Dokumentation erstellen
- — Konformitätsbewertung vorbereiten
Optimieren & Nachweisen
- — Continuous Monitoring und Vulnerability Management
- — Regelmäßige Security-Audits und Penetrationstests
- — Schulungsprogramm für Entwicklungsteams
- — Zulieferer-SBOMs regelmäßig aktualisieren
- — CE-Kennzeichnung und Konformitätserklärung
Diese Woche
starten.
Fünf Maßnahmen, die Sie sofort umsetzen können — und die Sie dem CRA-Ziel messbar näher bringen.
- /01
SBOM-Generierung automatisieren
Aufwand: NiedrigIntegrieren Sie Syft oder CycloneDX in Ihren Build-Prozess. Bei jedem Build wird automatisch eine vollständige Komponentenliste erzeugt. Aufwand: wenige Stunden.
- /02
Dependency Scanning einschalten
Aufwand: NiedrigTrivy oder OWASP Dependency-Check gegen CVE-Datenbanken laufen lassen. Sie wissen sofort, welche bekannten Schwachstellen in Ihren Abhängigkeiten stecken.
- /03
Zulieferer ansprechen
Aufwand: NiedrigFordern Sie SBOMs und Vulnerability-Informationen von Ihren Software-Zulieferern ein. Je früher Sie starten, desto besser — die Lieferkette braucht Zeit.
- /04
Incident-Response-Prozess definieren
Aufwand: MittelWer wird informiert, wenn eine Schwachstelle entdeckt wird? Wer meldet an die ENISA? Halten Sie den Prozess schriftlich fest — auch wenn er zunächst einfach ist.
- /05
Product Security Officer benennen
Aufwand: NiedrigEine Person im Unternehmen muss die CRA-Konformität verantworten. Das muss kein Vollzeitjob sein — aber eine klare Zuständigkeit ist entscheidend.
Schon DevOps?
Halber Weg geschafft.
Wer bereits Industrial DevOps praktiziert, hat einen großen Teil der CRA-Anforderungen bereits abgedeckt. CI/CD-Pipelines liefern die Infrastruktur für automatisierte SBOM-Generierung, Vulnerability Scanning und signierte Builds. Wie man ein vollständiges DevSecOps-Konzept für industrielle Umgebungen aufbaut, beschreibt unsere Leistungsseite.
Versionierung mit Git, automatisierte Tests, reproduzierbare Builds — all das sind sowohl DevOps-Best-Practices als auch CRA-Anforderungen. Der Unterschied: Der CRA macht sie zur Pflicht und verlangt den Nachweis.
Industrial DevOps ist damit nicht nur ein Effizienz-Hebel, sondern der schnellste Weg zur CRA-Konformität. Wer heute in CI/CD-Pipelines und automatisierte Prozesse investiert, baut gleichzeitig die Grundlage für die regulatorische Compliance von morgen.
Wer SBOM-Generierung, Vulnerability-Reports und signierte Artefakte nicht aus Plugins zusammenstückeln will, schaut auf IndustrialFlow: signierte CycloneDX/SPDX-SBOMs pro Build, automatische Trivy-/Container-Scans, VEX-Annotations und CRA-konforme Vulnerability-Reports — out-of-the-box, Jenkins-kompatibel, in 90 Tagen produktiv.
Der CRA ist kein IT-Problem.
Er ist ein Produktthema.
Der Cyber Resilience Act verändert die Spielregeln im Maschinenbau. Cybersecurity ist keine optionale Eigenschaft mehr, sondern eine regulatorische Pflicht — auf einer Stufe mit Maschinensicherheit und CE-Konformität.
Die Herausforderung ist real: lange Produktlebenszyklen, heterogene Komponentenlandschaften, fehlende Security-Kompetenz in OT-Teams. Aber die Lösung ist greifbar: Mit einem strukturierten Ansatz, pragmatischen Quick Wins und Industrial DevOps als technischem Fundament ist CRA-Konformität keine Raketenwissenschaft. Die technischen Details zur IEC-62443-konformen DevSecOps-Implementierung finden Sie in unserem Vertiefungsartikel.
Warten Sie nicht auf Dezember 2027. Die Meldepflichten gelten ab 11. September 2026 — mit einer 24-Stunden-Frist für Schwachstellen. Die Konformitätsbewertungsstellen sind seit 11. Juni 2026 aktiv. Und wer KI in Maschinen oder Produktion einsetzt, hat mit dem EU AI Act ab 2. August 2026 bereits den nächsten Stichtag vor sich.
Was Kunden
wirklich fragen.
- Q.01
- Was ist der EU Cyber Resilience Act (CRA)?
- Der Cyber Resilience Act ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen festlegt — von Konsumentenelektronik bis zu Industriesteuerungen. Er verpflichtet Hersteller zu Security by Design, SBOM-Dokumentation, Vulnerability Management und regelmäßigen Sicherheitsupdates über den gesamten Produktlebenszyklus.
- Q.02
- Ab wann gilt der CRA für Maschinenbauer?
- Der CRA hat drei Stufen: Seit 11. Juni 2026 sind die Konformitätsbewertungsstellen aktiv. Ab 11. September 2026 gelten die Meldepflichten — aktiv ausgenutzte Schwachstellen müssen innerhalb von 24 Stunden an die ENISA gemeldet werden. Ab Dezember 2027 müssen alle Anforderungen vollständig erfüllt sein.
- Q.03
- Was ist eine SBOM und warum wird sie Pflicht?
- Eine Software Bill of Materials (SBOM) ist eine maschinenlesbare Liste aller Software-Komponenten in einem Produkt — proprietär und Open Source. Der CRA macht die SBOM zur Pflicht, damit Hersteller und Betreiber bekannte Schwachstellen in ihren Abhängigkeiten schnell identifizieren und beheben können.
- Q.04
- Welche Strafen drohen bei Nichteinhaltung des CRA?
- Bei Verstößen gegen die wesentlichen Cybersicherheitsanforderungen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Zusätzlich können Marktüberwachungsbehörden den Rückruf von Produkten anordnen oder den Marktzugang verweigern.
- Q.05
- Betrifft der CRA auch bestehende Maschinen im Feld?
- Der CRA gilt für Produkte, die nach Dezember 2027 neu in Verkehr gebracht werden — bestehende Maschinen im Feld sind nicht betroffen. Allerdings müssen Hersteller für bereits ausgelieferte Produkte Sicherheitsupdates bereitstellen, wenn diese unter den CRA-Zeitraum fallen.
- Q.06
- In welche Produktkategorie fallen typische Maschinensteuerungen?
- Die meisten Maschinensteuerungen, HMIs und Edge-Gateways fallen in die Kategorie „Standardprodukte" und können per Selbstbewertung konform erklärt werden. Industrielle Firewalls, VPN-Gateways und Netzwerkkomponenten fallen unter Klasse I oder II und erfordern gegebenenfalls eine Drittprüfung.
- Q.07
- Wie hängen CRA und IEC 62443 zusammen?
- Die IEC 62443 ist die wichtigste harmonisierte Norm für industrielle Cybersicherheit und wird voraussichtlich als Referenzstandard für die CRA-Konformität anerkannt. Wer die IEC 62443-4-1 (Product Security Development Lifecycle) bereits umsetzt, erfüllt einen Großteil der CRA-Anforderungen.
- Q.08
- Wie hilft Industrial DevOps bei der CRA-Konformität?
- Industrial DevOps liefert die technische Infrastruktur für CRA-Konformität: CI/CD-Pipelines automatisieren SBOM-Generierung, Vulnerability Scanning und signierte Builds. Versionskontrolle, automatisierte Tests und reproduzierbare Builds sind sowohl DevOps-Best-Practices als auch CRA-Anforderungen.
- Q.09
- Was ist der Unterschied zwischen CRA und NIS2?
- Der CRA reguliert Produkte, NIS2 reguliert Organisationen. Der Cyber Resilience Act verpflichtet Hersteller, Produkte mit digitalen Elementen über den gesamten Lebenszyklus abzusichern. NIS2 verpflichtet Betreiber, ihr Unternehmen abzusichern — Risikomanagement, Meldeprozesse, Lieferkette. Ein Maschinenbauer kann von beiden betroffen sein: als Hersteller vernetzter Maschinen vom CRA, als Unternehmen ab 50 Mitarbeitern in einem regulierten Sektor von NIS2.
- Q.10
- Gilt der CRA auch für Open-Source-Software?
- Nicht-kommerzielle Open-Source-Software ist vom CRA ausgenommen. Sobald Open-Source-Komponenten aber in einem kommerziellen Produkt stecken — etwa ein Linux-basiertes HMI oder eine Edge-Runtime —, trägt der Hersteller des Produkts die volle Verantwortung: Die Komponenten müssen in der SBOM dokumentiert und auf Schwachstellen überwacht werden. Für Open-Source-Stiftungen gilt ein eigenes, abgemildertes Regime als „Open-Source-Steward".
- Q.11
- Müssen auch Importeure und Händler den CRA erfüllen?
- Ja. Importeure dürfen nur CRA-konforme Produkte in der EU in Verkehr bringen und müssen prüfen, dass der Hersteller die Konformitätsbewertung durchgeführt hat. Händler müssen kontrollieren, dass CE-Kennzeichnung und Konformitätserklärung vorliegen. Wer ein Produkt unter eigener Marke verkauft oder wesentlich verändert, übernimmt die vollen Herstellerpflichten.
Verwandte Artikel
DevSecOps in der Industrie: IEC 62443
OT-Security und Cybersicherheit in CI/CD-Pipelines integrieren.
Industrial DevOps: Der komplette Leitfaden
Was ist Industrial DevOps? CI/CD für cyber-physische Systeme und Industrie 4.0.
CI/CD für SPS: TIA-Portal mit Jenkins
SPS-Programmierung automatisieren mit Jenkins, Git-Versionierung und PLCSim-Tests.
Erstgespräch.
Kostenlos.
90 Tage zum Ergebnis.
Wir klären gemeinsam, wie Sie in 90 Tagen die ersten messbaren Industrial-DevOps-Erfolge erzielen.
Industrie · Automotive · Finance