Was das konkret bedeutet, ist im Moment für viele Betriebe noch schwer zu greifen. Deshalb ordnen wir in diesem Beitrag ein: worum es beim CRA geht, welche Frist als erstes zählt, was die Maschinenverordnung ergänzt und womit sich sinnvoll anfangen lässt.
Worum es beim Cyber Resilience Act geht
Hinter dem sperrigen Namen steckt eine einfache Grundidee: Wer ein Produkt verkauft, in dem Software arbeitet, ist auch für dessen Sicherheit verantwortlich. Nicht nur bis zur Auslieferung, sondern auch über einen festgelegten Supportzeitraum.
Formal ist der CRA die Verordnung (EU) 2024/2847. Der Anwendungsbereich ist breiter, als viele annehmen. Niemand muss sich als Softwareunternehmen verstehen, um betroffen zu sein. Verlangt werden eine dokumentierte Risikobewertung, ein Produkt ohne bekannte ausnutzbare Schwachstellen, eine Übersicht der verbauten Softwarekomponenten (SBOM), Sicherheitsupdates über einen festgelegten Zeitraum und am Ende die CE-Kennzeichnung. Sicherheit ist damit kein Zubehör mehr, sondern eine Produkteigenschaft wie Leistung oder Maßhaltigkeit. Eine Sorge lässt sich gleich nehmen: Nicht jedes Produkt muss extern geprüft werden. Für den größten Teil genügt eine Selbsterklärung des Herstellers, allerdings auf Basis einer nachvollziehbaren Konformitätsbewertung.
Der erste Stichtag liegt näher, als viele denken
Wie schon erwähnt steht der 11. Dezember 2027 in vielen Kalendern. Dann gilt der CRA vollständig. Der erste verbindliche Termin liegt 15 Monate früher: Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die erste Frühwarnung ist innerhalb von 24 Stunden fällig.
Zwei Punkte werden dabei regelmäßig übersehen. Erstens gilt die Meldepflicht auch für Bestandsprodukte: Eine Steuerung, die 2019 ausgeliefert wurde, fällt darunter. Zweitens liegt der Aufwand selten in der Technik, sondern in der Abstimmung. Wer erfährt zuerst von einer Lücke, wer bewertet sie, wer meldet, auch am Freitagabend? Diese Fragen entscheiden darüber, ob 24 Stunden reichen. Wer den Meldeprozess also jetzt aufsetzt, arbeitet gleichzeitig auf die Anforderungen ab Dezember 2027 hin. Die Arbeit fällt nicht zweimal an.
Ab Januar 2027: die neue Maschinenverordnung
Die Maschinenverordnung (EU) 2023/1230 löst am 20. Januar 2027 die Maschinenrichtlinie 2006/42/EG ab. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten.
Ein Cybersicherheitsgesetz ist sie nicht. Sie regelt, wie ihre Vorgängerin vor allem, dass Menschen an der Maschine sicher arbeiten können. Neu ist der Grund, aus dem Cybersicherheit darin überhaupt vorkommt: Eine manipulierte Steuerung kann eine Maschine gefährlich machen. Security dient hier der Safety, nicht dem Schutz von Daten. Daraus folgt ein anderer Denkansatz als in der klassischen IT-Sicherheit. Am Anfang steht nicht die Maßnahmenliste, sondern die Frage, welche Angriffswege bei genau dieser Maschine zu einer gefährlichen Situation führen können. Eine Presse in einer abgeschlossenen Halle ist anders zu bewerten als eine Anlage mit dauerhafter Verbindung nach außen.
Kurz gesagt: Der CRA betrachtet die digitalen Elemente über den Lebenszyklus, die Maschinenverordnung die Maschine als Gesamtprodukt. Bei KI in sicherheitsrelevanten Funktionen können zusätzlich Anforderungen des AI Act relevant werden. Drei Regelwerke, eine Maschine, und alle drei zahlen auf dieselbe CE-Kennzeichnung ein.
"Was ist eigentlich genug?"
Diese Frage kommt in Gesprächen fast immer, und ehrlicherweise lässt sie sich heute noch nicht abschließend beantworten: Die harmonisierten Normen zum CRA sind noch in Arbeit. Abwarten verkürzt allerdings nur die verbleibende Zeit. Die Richtung steht fest, und mit der IEC 62443-4-1 gibt es eine bewährte Norm, an der sich Hersteller schon heute orientieren können.
Drei typische Fehleinschätzungen
„Wir haben NIS2 schon geprüft.“ : NIS2 betrifft den Betrieb des eigenen Unternehmens, der CRA das Produkt, das Sie in Verkehr bringen.
„Das macht die IT.“ : Ohne Entwicklung, Service und Geschäftsführung funktioniert es nicht. Die Meldefristen sind zu kurz für lange Abstimmungswege.
Ein niederschwelliger Einstieg ins Thema
Bei all den neuen Vorgaben und Anforderungen ist es gar nicht so einfach, den Überblick zu behalten. Was ist für das eigene Unternehmen relevant? Wo besteht Handlungsbedarf? Und was lässt sich vielleicht einfacher umsetzen, als man denkt? Manchmal reicht es, das Thema einmal in Ruhe von Fachleuten erklärt zu bekommen und mit anderen Unternehmern darüber zu sprechen.
Genau dafür haben wir unser Main Event am 22. September 2026 konzipiert, im Patch.Work in Seeon im Chiemgau. Unser Partner Limes Security spricht u.a. im Vortrag über den Cyber Resilience Act, die Maschinenverordnung und gehackte Traktoren. Der Tag endet mit einer Brauereiführung bei Camba Bavaria.
Die Teilnahme ist kostenfrei, die Plätze sind begrenzt!