EU CRA für Landtechnik und Smart Farming
Planbarer Support, belegbare Meldungen für Landmaschinen, die viele Saisons arbeiten.
Wer Traktoren, Anbaugeräte oder Feldsensoren mit Software und Datenverbindung unter eigenem Namen verkauft, ist nach dem Cyber Resilience Act deren Hersteller. Kunnus hält Einstufung, Komponenten, Schwachstellen und Meldungen für das Portfolio nachweisbar fest.
Autor: Maximilian HeckGeprüft von: Dr. Martin McCafferyStand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Höchste Klasse in dieser Branche
- Wichtiges Produkt, Klasse I
Fallen Traktoren und Anbaugeräte unter den EU CRA oder unter die Typgenehmigung?
Traktoren und Anbaugeräte mit vernetzten Steuergeräten fallen nach Einschätzung von Kunnus unter den EU Cyber Resilience Act, auch wenn sie typgenehmigt sind. Art. 2 Abs. 2 nimmt nur Produkte aus, für die die Medizinprodukte-Verordnungen (EU) 2017/745 und 2017/746 oder die Fahrzeug-Typgenehmigung nach VO (EU) 2019/2144 gelten; die Typgenehmigung land- und forstwirtschaftlicher Fahrzeuge nach VO (EU) Nr. 167/2013 fehlt in dieser Liste. Die EU-Kommissions-Guidance (Abschn. 9.3) nennt für Fahrzeugkomponenten ebenfalls nur VO (EU) 2019/2144 und VO (EU) Nr. 168/2013. Weitere Sektorregeln könnte die Kommission nur per delegiertem Rechtsakt nach Art. 2 Abs. 5 EU CRA berücksichtigen.
Produktklassen
Welche Landtechnik-Produkte fallen unter den EU Cyber Resilience Act?
Landtechnik fällt unter den EU Cyber Resilience Act, sobald ihre bestimmungsgemäße oder vorhersehbare Verwendung eine Datenverbindung zu einem Gerät oder Netz einschließt, ob über Kabel, Funk oder USB (Art. 2 Abs. 1). Die Klasse richtet sich nach der Kernfunktion (Art. 7 Abs. 1): Für Traktoren, Anbaugeräte, Feldroboter und Agrarsensoren führen Anhang III und IV keine Kategorie, sie gehören zur Standardklasse. Klasse I erfasst Netzwerk- und Sicherheitstechnik, die separat verkauft wird. Die Zuordnungen sind eine Einschätzung.
Verteilung in dieser Branche
Produkt auswählen
Traktor mit vernetzten Steuergeräten und Telematikmodul
Warum diese Klasse
Zug- und Feldarbeit ist die Kernfunktion; das Mobilfunkmodem ist darin integriert (Art. 7 Abs. 1 Satz 2 EU CRA).
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| Traktor mit vernetzten Steuergeräten und Telematikmodul | Standardprodukt | Zug- und Feldarbeit ist die Kernfunktion; das Mobilfunkmodem ist darin integriert (Art. 7 Abs. 1 Satz 2 EU CRA). |
| Anbaugerät mit eigenem Steuergerät, etwa Feldspritze oder Sämaschine | Standardprodukt | Das Steuergerät regelt Ausbringmenge oder Saatablage und tauscht dafür Daten mit dem Traktor aus. |
| Autonomer Feldroboter | Standardprodukt | Fährt und arbeitet selbstständig auf dem Feld, gesteuert über Software und Funkverbindung. |
| Bodenfeuchte-Sensor oder Wetterstation mit LoRa- oder NB-IoT-Funk | Standardprodukt | Misst und funkt Feld- oder Wetterdaten; die Funkstrecke begründet den Anwendungsbereich. |
| Halsband- oder Ohrmarkensensor für Nutztiere | Standardprodukt | Erfasst Bewegungs- oder Gesundheitsdaten der Tiere und sendet sie per Funk an den Hof. |
| Hof-Gateway, als Router oder Modem für den Internetzugang vermarktet | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 12 EU CRA. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Elektrische Signale, die nur schalten oder ein Gerät versorgen, begründen nach der EU-Kommissions-Guidance (Abschn. 2.5) keine Datenverbindung; ein Anbaugerät mit reiner Schaltsignal-Ansteuerung liegt damit außerhalb des EU CRA. Farm-Management-Software, die der Betrieb nur im Browser nutzt, ist für sich kein Produkt mit digitalen Elementen (Abschn. 2.2).
Pflichten
Herstellerpflichten in der Landtechnik
- 01
Weiterbau bestehender Plattformen nach aktueller Risikobewertung
Art. 13 Abs. 2 EU CRA; EU-Kommissions-Guidance Abschn. 2.6–2.7
Eine Traktorplattform, die vor dem 11. Dezember 2027 entwickelt wurde und danach weiter gebaut wird, braucht nach der EU-Kommissions-Guidance (Abschn. 2.7) eine aktuelle Risikobewertung nach Art. 13 Abs. 2 EU CRA. Decken die vorhandenen Maßnahmen die bewerteten Risiken ab, stützt der Hersteller die Konformität darauf und muss die Plattform nicht neu konstruieren. Lassen Altkomponenten eine Anforderung nicht voll zu, dokumentiert er diese Grenze und gleicht sie mit zusätzlichen Maßnahmen aus (Abschn. 2.6).
- 02
Zukaufteile prüfen, Schwachstellen zurückmelden
Art. 13 Abs. 5–6 EU CRA
Vor dem Einbau eines zugekauften Telematikmoduls oder Terminals legt der Landtechnik-Hersteller fest, welche Sicherheitseigenschaften das Teil braucht, und prüft sie risikobasiert, zum Beispiel anhand der Lieferantendokumentation (Art. 13 Abs. 5 EU CRA). Schwachstellen, die er im Teil findet, meldet er dessen Hersteller und gibt eine selbst entwickelte Korrektur weiter (Abs. 6).
- 03
Was der Käufer über das Supportende erfährt
Art. 13 Abs. 9 und 19 EU CRA
Beim Kauf einer Landmaschine steht das Ende des Unterstützungszeitraums mindestens mit Monat und Jahr fest (Art. 13 Abs. 19 EU CRA). Ein Sicherheitsupdate bleibt mindestens zehn Jahre nach seiner Veröffentlichung abrufbar, bei längerem Restsupport bis zu dessen Ende (Abs. 9).
- 04
Meldepflicht für Schwachstellen und Vorfälle
Art. 14 Abs. 1–4 EU CRA
Die Frühwarnfrist von 24 Stunden und die Meldefrist von 72 Stunden nach Kenntnis gelten seit dem 11. September 2026 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (Art. 14 Abs. 2 und 4 EU CRA). Beide Meldungen gehen über die einheitliche Meldeplattform gleichzeitig an das koordinierende CSIRT und die ENISA (Abs. 1 und 3).
Angrenzende Regulierung
Wie verhält sich der EU CRA zur Maschinenverordnung bei Landmaschinen?
Maschinenverordnung (EU) 2023/1230
Für eine Landmaschine, die auch unter die Maschinenverordnung fällt, gelten die grundlegenden Anforderungen und die Konformitätsbewertungsverfahren beider Verordnungen (Erwägungsgrund 53 EU CRA). Dass Nachweise zum Schutz gegen Korrumpierung und zur Sicherheit von Steuerungen (Anhang III Abschn. 1.1.9 und 1.2.1 der Maschinenverordnung) beiden Verordnungen dienen, muss der Hersteller nach Erwägungsgrund 53 selbst belegen.
Delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie
Telematik und Feldsensoren mit LoRa-, Mobilfunk- oder WLAN-Funk unterliegen der Delegierten Verordnung neben dem EU CRA, bis die Kommission sie aufhebt oder ändert. Die grundlegenden Anforderungen des Cyber Resilience Act umfassen alle Elemente von Art. 3 Abs. 3 Buchst. d, e und f der Richtlinie 2014/53/EU (Erwägungsgrund 30 EU CRA).
Aus der Praxis
Wo es für Landtechnik-Hersteller schwierig wird
Werkstattzeit in der Saison
Zwischen Aussaat und Ernte arbeiten die Maschinen täglich, und am Feldrand ist das Mobilfunknetz lückenhaft. Sicherheitsupdates müssen in die Wochen passen, in denen ein Betrieb seine Maschinen entbehren kann.
Zulieferer beenden den Support früher
Zulieferer stellen den Support für Telematikmodule ein, während Traktoren mit diesen Modulen weiterlaufen. Bis zum Ende des eigenen Unterstützungszeitraums behandelt der Traktorhersteller die Schwachstellen des Moduls allein.
Fremde Anbaugeräte am ISOBUS
Über ISOBUS arbeitet ein Traktor mit Anbaugeräten anderer Hersteller zusammen. Die Risikobewertung des Traktors muss diese Schnittstelle abdecken; die Software dahinter schreibt und pflegt der Gerätehersteller.
Welche Maschine welchen Stand hat
Spielen Händler Software beim Servicebesuch ein, kennt das Werk den Stand mancher Maschine im Feld nicht. Die Frühwarnung nennt die Mitgliedstaaten, in denen das betroffene Produkt bereitgestellt wurde (Art. 14 Abs. 2 Buchst. a EU CRA); dafür muss der Hersteller wissen, wohin Maschinen mit der betroffenen Version gegangen sind.
Mit Kunnus
Wie Kunnus Landtechnik-Hersteller unterstützt
Kunnus deckt die EU-CRA-Schicht für Maschinen, Anbaugeräte und Sensoren ab. Nachweise nach Maschinenverordnung und Funkanlagenrecht bleiben in Ihrem bestehenden CE-Prozess.
Rechenbeispiel
Rechenbeispiel: zwei Traktor-Baureihen, ein Telematikmodul
Ein Hersteller baut zwei Traktor-Baureihen in je drei Leistungsstufen und verkauft vier Anbaugeräte mit eigenem Steuergerät. Varianten mit gleicher Architektur, gleichem sicherheitsrelevantem Design, gleicher Zweckbestimmung und gleichem Risikoprofil dürfen eine Risikobewertung teilen (EU-Kommissions-Guidance Abschn. 7.4).
- 1Portfolio2 Baureihen × 3 Leistungsstufen + 4 Anbaugeräte = 10 Produkte
- 2Gemeinsames Teilein zugekauftes Telematikmodul in allen 6 Traktorvarianten
- 3Risikobewertungen6: eine je Baureihe, eine je Anbaugerät
- 4Ausgenutzte Lücke im Telematikmoduleine Frühwarnung für alle 6 Traktorvarianten, die Anbaugeräte bleiben außen vor
- 5Support-Enddaten10, beim Kauf angegeben
Beispielhafte Annahmen. Ob Varianten eine Risikobewertung teilen dürfen, hängt davon ab, ob ihre Unterschiede sicherheitsrelevant sind.
Häufige Fragen
Gilt die Meldepflicht nach Art. 14 EU CRA auch für die Bestandsflotte?+
Die Meldepflicht nach Art. 14 EU CRA erfasst auch Landmaschinen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden; Art. 69 Abs. 3 nimmt sie ausdrücklich vom Bestandsschutz aus. Bei einer aktiv ausgenutzten Schwachstelle folgt der Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist (Art. 14 Abs. 2 Buchst. c).
Macht eine Nachrüstung aus einer Altmaschine ein EU-CRA-Produkt?+
Eine Altmaschine wird durch eine Nachrüstung zum EU-CRA-Produkt, wenn diese als wesentliche Änderung gilt (Art. 69 Abs. 2 EU CRA). Maßstab ist nach der EU-Kommissions-Guidance (Abschn. 4.3) die Wirkung auf das Risikoprofil, etwa ein geänderter Verwendungszweck oder neue, nicht bewertete Risiken; Sicherheitsupdates bleiben in der Regel darunter. Wer als Händler oder Nachrüster eine fremde Maschine wesentlich ändert, wird Hersteller, bei Eingriffen in eine Komponente nur für den geänderten Teil (Abschn. 4.4).
Welches Konformitätsverfahren gilt für Steuergeräte von Landmaschinen?+
Steuergeräte, Terminals und Feldsensoren der Standardklasse bewertet der Hersteller selbst im internen Kontrollverfahren nach Modul A (Art. 32 Abs. 1 Buchst. a, Anhang VIII Teil I EU CRA), ohne notifizierte Stelle. Ein Hof-Gateway der Klasse I darf Modul A nur nutzen, wenn eine harmonisierte Norm, eine gemeinsame Spezifikation oder ein europäisches Zertifizierungsschema vollständig angewendet wurde (Art. 32 Abs. 2). Andernfalls führt der Weg über Modul B und C oder über Modul H.
Wie lang muss der Unterstützungszeitraum für eine Landmaschine sein?+
Der Unterstützungszeitraum einer Landmaschine beträgt mindestens fünf Jahre und folgt darüber hinaus der erwarteten Nutzungsdauer (Art. 13 Abs. 8 EU CRA; EU-Kommissions-Guidance Kap. 5). Maßgeblich sind unter anderem die berechtigten Erwartungen der Nutzer und die Supportzeiträume zugekaufter Komponenten mit Kernfunktionen. Die Begründung für den gewählten Zeitraum steht in der technischen Dokumentation (Anhang VII Nr. 4).
Dürfen Sicherheitsupdates per SD-Karte oder beim Servicebesuch eingespielt werden?+
Sicherheitsupdates können nach Einschätzung von Kunnus auch per USB-Stick, SD-Karte oder Servicetool der Werkstatt auf die Maschine kommen, wenn der Übertragungsweg geschützt ist. Anhang I Teil II Nr. 7 EU CRA verlangt sichere Verteilmechanismen, bei Sicherheitsupdates gegebenenfalls automatische, und legt dafür keinen bestimmten Kanal fest. Verfügbare Sicherheitsupdates werden unverzüglich und kostenlos verbreitet (Nr. 8), soweit technisch machbar getrennt von Funktionsupdates (Nr. 2).
Gehört die Farm-Cloud hinter einem Sensor zum Produkt?+
Eine Farm-Cloud gehört zum Sensorprodukt, wenn sie Datenfernverarbeitung nach Art. 3 Nr. 2 EU CRA ist: Sie verarbeitet aus der Ferne, ihre Software stammt vom Hersteller oder entsteht unter seiner Verantwortung, und der Sensor braucht sie für eine seiner Funktionen. Das schließt Software auf fremder Infrastruktur ein, wie die EU-Kommissions-Guidance am smarten Thermostat zeigt (Abschn. 8.3). Die tragenden Cloud-Module gehen dann in Risikobewertung und technische Dokumentation des Sensors ein (Abschn. 8.2).
Welche Klasse haben Ihre Maschinen und Sensoren?
In wenigen Minuten gibt das EU-CRA-Assessment eine erste Einschätzung der Produktklasse und zeigt, welche Pflichten als Nächstes anstehen.
Weiterlesen
Weitere Branchen
EU-CRA-Compliance in anderen Branchen
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Branche, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.