EU CRA für Maschinenbau und Automatisierung
Baureihen im Blick, von der Auslieferung bis zum letzten Sicherheitsupdate.
Wer SPS, Bedienpanel und Fernwartung zu einer eigenen Maschine verbindet, ist nach dem Cyber Resilience Act Hersteller dieser Maschine und trägt die Pflichten über den Supportzeitraum der Baureihe.
Autor: Maximilian HeckGeprüft von: Dr. Martin McCafferyStand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Höchste Klasse in dieser Branche
- Wichtiges Produkt, Klasse II
Welche Anforderungen stellt der EU Cyber Resilience Act an Maschinenbauer?
Der EU Cyber Resilience Act behandelt einen Maschinenbauer, der eine Maschine mit SPS, Bedienpanel oder Fernwartung unter eigenem Namen vermarktet, als Hersteller dieser Maschine (Art. 3 Nr. 13 EU CRA). Als Hersteller bewertet der Maschinenbauer die Cybersicherheitsrisiken der Maschine samt zugekaufter Komponenten, konstruiert sie nach den grundlegenden Anforderungen aus Anhang I, behandelt Schwachstellen über einen festgelegten Supportzeitraum und stellt die EU-Konformitätserklärung aus. Die Meldepflichten nach Art. 14 EU CRA gelten seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027.
Produktklassen
Welche Produktklasse hat eine Maschine mit SPS nach Anhang III des EU CRA?
Anhang III des EU Cyber Resilience Act enthält keine Kategorie für Maschinen, speicherprogrammierbare Steuerungen, Bedienpanels oder CNC-Systeme; eine Maschine mit SPS ist deshalb in der Regel ein Produkt der Standardklasse. Eingestuft wird nach der Kernfunktionalität, sodass ein verbauter Router oder eine verbaute Firewall die Klasse der Maschine nicht ändert (Art. 7 Abs. 1 EU CRA, EU-Kommissions-Guidance Kap. 6). Die Klassen I und II betreffen Komponenten, die ein Maschinenbauer als eigenes Produkt verkauft.
Verteilung in dieser Branche
Produkt auswählen
CNC-Bearbeitungszentrum oder Werkzeugmaschine
Warum diese Klasse
Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A (Art. 32 Abs. 1 EU CRA).
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| CNC-Bearbeitungszentrum oder Werkzeugmaschine | Standardprodukt | Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A (Art. 32 Abs. 1 EU CRA). |
| Roboterzelle oder Verpackungsmaschine mit verbauter SPS | Standardprodukt | Die verbaute SPS bleibt Produkt ihres Herstellers, mit dessen eigener EU-Konformitätserklärung. |
| SPS, HMI-Bedienpanel oder Antriebsregler als eigenes Produkt | Standardprodukt | In Anhang III nicht aufgeführt. |
| Fernwartungs-Gateway mit VPN-Funktion | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 5 EU CRA (VPN). |
| Industrie-Router oder Managed Switch | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 12 EU CRA (Router, Modems, Switches). |
| Lesegerät für die Bedieneranmeldung, separat vertrieben | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 1 EU CRA (Lesegeräte für Authentifizierung und Zugangskontrolle). |
| Betriebssystem einer Steuerungsplattform, separat in Verkehr gebracht | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 11 EU CRA (Betriebssysteme). |
| Industrie-Firewall für den Zellenschutz, Intrusion-Detection-System | Wichtiges Produkt, Klasse II (Anhang III) | Anhang III Klasse II Nr. 2 EU CRA; Drittbewertung nach Art. 32 Abs. 3. |
| Container-Runtime für Edge-Controller als Softwareprodukt | Wichtiges Produkt, Klasse II (Anhang III) | Anhang III Klasse II Nr. 1 EU CRA (Hypervisoren, Container-Runtimes). |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Maschinen, deren bestimmungsgemäße Verwendung keinerlei Datenverbindung zu einem Gerät oder Netz einschließt, liegen außerhalb des EU CRA (Art. 2 Abs. 1 EU CRA), ebenso identische Ersatzteile nach denselben Spezifikationen (Art. 2 Abs. 6). Maschinen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen erst nach einer wesentlichen Änderung (Art. 69 Abs. 2 EU CRA). Anhang IV mit den kritischen Produkten erfasst keine Maschinen; ein verbautes Secure Element zieht die Maschine nicht in dessen strengeres Verfahren (EU-Kommissions-Guidance Kap. 6, Beispiel 63).
Pflichten
Welche Pflichten trägt ein Maschinenbauer als Hersteller?
- 01
Risikobewertung für Steuerung, Fernwartung und Cloud
Art. 13 Abs. 2–4 EU CRA, Anhang VII
Die Cybersicherheits-Risikobewertung einer Maschine erfasst SPS, Bedienpanel, Fernwartungszugang und Cloud-Anbindung und gehört in die technische Dokumentation nach Anhang VII EU CRA. Eigene Cloud-Software auf fremder Infrastruktur zählt nach der EU-Kommissions-Guidance Kap. 8 zur Datenfernverarbeitung des Produkts; die Kommission zeigt das am Beispiel eines Industrieroboters.
- 02
Prüfung zugekaufter Komponenten vor dem Einbau
Art. 13 Abs. 5–6 EU CRA
Vor der Integration einer zugekauften SPS, eines HMI oder Routers legt der Maschinenbauer fest, was die Komponente leisten muss, und prüft das an der Sicherheitsdokumentation des Lieferanten oder mit eigenen Tests. Findet der Maschinenbauer eine Schwachstelle in der Komponente, meldet er sie deren Hersteller; hat er eine Korrektur entwickelt, teilt er Code oder Unterlagen mit ihm (Art. 13 Abs. 6 EU CRA).
- 03
Supportzeitraum mit Enddatum beim Kauf
Der Supportzeitraum beträgt nach Art. 13 Abs. 8 EU CRA mindestens fünf Jahre und orientiert sich an der erwarteten Nutzungsdauer der Maschine; das Enddatum steht beim Kauf mindestens mit Monat und Jahr fest (Art. 13 Abs. 19). Sicherheitsupdates kommen getrennt von Funktionsupdates, soweit technisch möglich (Anhang I Teil II Nr. 2), und bleiben nach Art. 13 Abs. 9 mindestens zehn Jahre verfügbar.
- 04
Meldeweg für ausgelieferte Baureihen
Art. 14 Abs. 2–3, Art. 69 Abs. 3 EU CRA
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gehen über die einheitliche Meldeplattform an das koordinierende CSIRT und die ENISA. Die Frühwarnung ist innerhalb von 24 Stunden nach Kenntnis fällig, die Meldung innerhalb von 72 Stunden; beides gilt seit dem 11. September 2026 (Art. 14 Abs. 2 EU CRA). Nach Art. 69 Abs. 3 EU CRA erfasst die Meldepflicht auch Maschinen, die vor der vollen Anwendung in Verkehr gebracht wurden.
- 05
Eine Erklärung für EU CRA und Maschinenverordnung
Gilt für eine Maschine neben dem EU CRA die Maschinenverordnung, stellt der Maschinenbauer eine einzige EU-Konformitätserklärung mit beiden Rechtsakten aus (Art. 28 Abs. 3 EU CRA). Die Erklärung und die technische Dokumentation bewahrt der Maschinenbauer mindestens zehn Jahre nach dem Inverkehrbringen auf, bei längerem Supportzeitraum entsprechend länger (Art. 13 Abs. 13 EU CRA).
Angrenzende Regulierung
Wie verhält sich der EU CRA zu Maschinenverordnung, Normen und NIS2?
Maschinenverordnung (EU) 2023/1230
Der EU CRA gilt neben der Maschinenverordnung, denn die Ausnahmen in Art. 2 Abs. 2–4 EU CRA beschränken sich auf Medizinprodukte, Fahrzeuge, Luftfahrt und Schiffsausrüstung.
IEC 62443
Die Normenreihe IEC 62443 ist derzeit nicht als harmonisierte Norm im Amtsblatt der EU gelistet und begründet deshalb keine Konformitätsvermutung nach Art. 27 Abs. 1 EU CRA.
NIS2-Richtlinie (EU) 2022/2555
NIS2 verpflichtet Betreiber zur Sicherheit ihrer Lieferkette (Art. 21 Abs. 2 Buchst. d NIS2); Die Sicherheitsnachweise des Maschinenbauers werden damit Teil der Lieferantenprüfung beim Betreiber.
Aus der Praxis
Wo es im Maschinenbau schwierig wird
Eine Steuerungsplattform, viele Baureihen
Dieselbe Steuerungssoftware läuft in mehreren Baureihen und Ausbaustufen. Steckt eine Schwachstelle in einer geteilten Bibliothek, sind alle darauf aufbauenden Varianten betroffen, und für die Meldung zählt, welche ausgelieferte Maschine welchen Firmwarestand trägt.
Zukaufteile von vielen Lieferanten
SPS, Bedienpanel, Antriebe, Router und Safety-Controller kommen häufig von verschiedenen Herstellern, mit Sicherheitsangaben in unterschiedlichen Formaten. Für die Marktüberwachung muss nachvollziehbar sein, wie diese Angaben für die konkrete Maschine bewertet wurden.
Maschinensupport länger als Komponentensupport
Läuft eine Maschine länger, als ein Zulieferer eine verbaute Komponente pflegt, bleibt die Schwachstellenbehandlung für diese Komponente beim Maschinenbauer, bis dessen eigener Supportzeitraum endet.
Ersatzteil, Reparatur oder Retrofit
Im Servicegeschäft entscheidet sich bei Teiletausch und Retrofit, ob ein identisches Ersatzteil vorliegt oder eine wesentliche Änderung der Maschine. Die Begründung muss gegenüber der Marktüberwachung Jahre später noch belegbar sein.
Mit Kunnus
Wie Kunnus Maschinenbauer unterstützt
Kunnus führt je Maschine und Variante Einstufung, Komponenten, Lieferantennachweise und Meldungen nach dem EU CRA. Nachweise nach Maschinenverordnung, EMV- und Niederspannungsrecht bleiben im bestehenden CE-Prozess.
Rechenbeispiel
Rechenbeispiel: eine Steuerungsplattform, zwölf Varianten
Ein Maschinenbauer baut drei Baureihen auf einer gemeinsamen Steuerungsplattform, mit vier Ausbaustufen pro Baureihe. Varianten mit eigenen Komponenten oder Funktionen gelten nach der EU-Kommissions-Guidance Kap. 2 als eigene Produkte.
- 1Portfolio3 Baureihen × 4 Ausbaustufen = 12 Produkte
- 2Komponenteneine gemeinsame Steuerungssoftware, Optionen je Ausbaustufe, Bedienpanels und Router von zwei Zulieferern
- 3Aktiv ausgenutzte Schwachstellesteckt in der gemeinsamen Steuerungssoftware; die Frühwarnung innerhalb von 24 Stunden nach Art. 14 Abs. 2 EU CRA nennt für alle 12 Varianten die Mitgliedstaaten, in denen die jeweilige Variante bereitgestellt wurde
- 4Supportzeiträume12 Enddaten, je Variante beim Kauf angegeben
- 5Je Jahreine neue Ausbaustufe bringt ein 13. Produkt mit eigener Risikobewertung, eigener SBOM und eigenem Enddatum, während die Supportzeiträume der älteren weiterlaufen
Beispielhafte Annahmen zur Veranschaulichung. Ob Varianten eigene Produkte sind, hängt im Einzelfall von Komponenten, Konfiguration und aktivierten Funktionen ab.
Häufige Fragen
Wer ist Hersteller im Sinne des EU CRA: der Maschinenbauer oder der Komponentenlieferant?+
Hersteller einer Maschine im Sinne des EU CRA ist der Maschinenbauer, der zugekaufte SPS, Bedienpanels, Antriebe und Router zu einer eigenen Maschine zusammenbaut und unter eigenem Namen vermarktet (EU-Kommissions-Guidance Kap. 4, Beispiel 51). Der Lieferant von SPS oder Bedienpanel bleibt Hersteller seiner Komponente. Die Guidance behandelt zugekaufte Komponenten als extern gelieferte Teile, deren Eigenschaften der Maschinenbauer bei der Integration verifiziert (Kap. 7).
Wie lange muss ein Maschinenbauer Sicherheitsupdates nach Art. 13 Abs. 8 EU CRA bereitstellen?+
Ein Maschinenbauer stellt Sicherheitsupdates für die Dauer des Supportzeitraums bereit, und dieser Zeitraum folgt der erwarteten Nutzungsdauer der Maschine. Fünf Jahre sind nach Art. 13 Abs. 8 EU CRA die Untergrenze; läuft eine Maschine erkennbar länger, ist ein pauschaler Zeitraum von fünf Jahren angreifbar. Ein neues Cloud-Backend lässt den Supportzeitraum unverändert (EU-Kommissions-Guidance Kap. 5, Beispiel 55), eine neue Rechenplattform in der SPS verlangt eine Neuberechnung (Beispiel 56).
Gilt die Meldepflicht nach Art. 14 EU CRA auch für Maschinen, die vor der vollen Anwendung ausgeliefert wurden?+
Für Maschinen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gilt aus dem EU CRA vorerst allein die Meldepflicht nach Art. 14 (Art. 69 Abs. 3 EU CRA). Die Meldepflicht greift seit dem 11. September 2026 und umfasst neben Frühwarnung und Meldung einen Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist (Art. 14 Abs. 2 Buchst. c EU CRA).
Ist eine Ersatz-SPS ein Ersatzteil nach Art. 2 Abs. 6 EU CRA oder ein neues Produkt?+
Eine Ersatz-SPS bleibt außerhalb des EU CRA, wenn sie eine identische Komponente nach denselben Spezifikationen ersetzt und erkennbar zur Reparatur einer bestimmten Maschine geliefert wird (Art. 2 Abs. 6 EU CRA). Die EU-Kommissions-Guidance Kap. 4 nennt in Beispiel 39 ausdrücklich eine CPU-Einheit oder eine komplette SPS. Ob ein Teil identisch ist, bemisst sich an sicherheitsrelevanten Eigenschaften wie Kryptografie, Protokollen und Secure Boot; mit geändertem Sicherheitsmechanismus fällt die Steuerung aus der Ausnahme (Beispiel 37).
Wann macht ein Retrofit mit neuem Cloud-Backend eine Bestandsmaschine zum neuen Produkt?+
Ein Retrofit nach dem 11. Dezember 2027 macht eine Bestandsmaschine zum neu in Verkehr gebrachten Produkt, sobald es als wesentliche Änderung gilt (Art. 69 Abs. 2 EU CRA). Die EU-Kommissions-Guidance Kap. 4 misst das an der Wirkung auf das Risikoprofil: neue Bedrohungsvektoren, neue Angriffsszenarien oder veränderte Wahrscheinlichkeit und Auswirkung bekannter Szenarien. Ein Cloud-Backend, das Datenflüsse neu ordnet, kann diese Schwelle überschreiten. Wer eine fremde Bestandsmaschine wesentlich ändert, trägt Herstellerpflichten nach der Guidance nur für den geänderten Teil, sofern die Änderung die Cybersicherheit der übrigen Maschine nicht berührt.
Welche Nachweise aus der Maschinenverordnung lassen sich für den EU CRA wiederverwenden?+
Erwägungsgrund 53 des EU CRA nennt zwei Anforderungen der Maschinenverordnung (EU) 2023/1230, bei denen sich Nachweise überschneiden können: den Schutz gegen Korrumpierung nach Anhang III Abschn. 1.1.9 und die Sicherheit und Zuverlässigkeit von Steuerungen nach Abschn. 1.2.1. Die Überschneidung muss der Hersteller belegen, etwa über harmonisierte Normen nach einer Risikobewertung, die diese Cybersicherheitsrisiken abdeckt. Die Konformitätsbewertungsverfahren beider Rechtsakte bleiben anwendbar.
Welche Klasse haben Ihre Maschinen?
In wenigen Minuten liefert das EU-CRA-Assessment eine erste Einschätzung der Produktklasse für Maschine und Komponenten, mit den nächsten Schritten als Orientierung.
Weiterlesen
Weitere Branchen
EU-CRA-Compliance in anderen Branchen
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Branche, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.