CYBERSICHERHEIT · VERNETZTE MASCHINEN
Cyber Resilience Act für Maschinen: Was Hersteller wissen müssen
DIREKTE ANTWORT AUF DIE FACHFRAGE:
Was bedeutet der Cyber Resilience Act (CRA) für Maschinenhersteller? Der Cyber Resilience Act ist eine EU-Verordnung, die für Produkte mit digitalen Elementen — also Software, vernetzte Steuerungen und IoT-Komponenten — grundlegende Cybersicherheitsanforderungen über den gesamten Produktlebenszyklus festlegt: sicheres Design, dokumentiertes Schwachstellenmanagement und die Bereitstellung von Sicherheitsupdates. Für Maschinen mit digitalen oder vernetzten Bestandteilen bedeutet das, dass CRA-Anforderungen zusätzlich zur Maschinenverordnung (EU) 2023/1230 greifen können: Beide Regelwerke überschneiden sich teilweise (Risikobewertung, technische Dokumentation), ergänzen sich aber auch, weil die Maschinenverordnung primär die physische und funktionale Sicherheit adressiert, während der CRA gezielt die Cybersicherheit digitaler Komponenten regelt.
Vernetzte Steuerungen, IoT-Sensorik, Fernwartungszugänge: Immer mehr Maschinen haben digitale Elemente — und damit potenziell Berührungspunkte mit dem Cyber Resilience Act. Ein Überblick für Konstrukteure, Compliance-Verantwortliche und technische Dokumentation.
1. Was der Cyber Resilience Act grundsätzlich regelt
Der Cyber Resilience Act verfolgt ein einfaches Grundprinzip: Produkte mit digitalen Elementen sollen von Anfang an sicher konzipiert sein (Security by Design) und über ihre gesamte Nutzungsdauer hinweg sicher bleiben. Das umfasst typischerweise drei Säulen: erstens die Entwicklung nach dem Stand der Technik unter Berücksichtigung bekannter Cybersicherheitsrisiken, zweitens ein strukturiertes Verfahren zur Erkennung, Bewertung und Behebung von Schwachstellen während des gesamten Produktlebenszyklus, und drittens die Verpflichtung, sicherheitsrelevante Updates bereitzustellen und Anwender über erhebliche Vorfälle oder aktiv ausgenutzte Schwachstellen zu informieren. Der CRA richtet sich an Hersteller, Importeure und Händler von Produkten mit digitalen Elementen — ein Begriff, der weit über klassische Software und IT-Geräte hinausgeht und auch eingebettete Systeme in physischen Produkten erfassen kann.
2. Wann eine Maschine überhaupt betroffen ist
Nicht jede Maschine hat automatisch einen Bezug zum Cyber Resilience Act. Relevant wird er dort, wo eine Maschine über digitale Elemente verfügt, die eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk ermöglichen — etwa eine vernetzte SPS, ein Human-Machine-Interface mit Netzwerkanbindung, eine Fernwartungsschnittstelle, ein IoT-Sensor-Modul zur Zustandsüberwachung oder eine cloudbasierte Datenauswertung. Rein mechanische oder klassisch verdrahtete Maschinen ohne solche digitalen Schnittstellen fallen typischerweise nicht in den unmittelbaren Anwendungsbereich. In der Praxis betrifft das aber einen wachsenden Teil des modernen Maschinenbaus: Predictive-Maintenance-Funktionen, digitale Betriebsanleitungen mit Cloud-Anbindung und ferngesteuerte Diagnosefunktionen sind längst Standard in vielen Anlagen.
3. Verhältnis zur Maschinenverordnung (EU) 2023/1230 und zur CE-Kennzeichnung
Für Maschinenbauer ist die entscheidende Frage nicht "CRA oder Maschinenverordnung", sondern wie beide zusammenspielen. Die Maschinenverordnung (EU) 2023/1230 hat bereits eigene Anforderungen an Cybersicherheit aufgenommen, soweit diese die funktionale Sicherheit einer Maschine beeinflussen kann — etwa wenn ein Cyberangriff eine Schutzfunktion außer Kraft setzen könnte. Der Cyber Resilience Act geht darüber hinaus und stellt eigenständige, produktübergreifende Anforderungen an die Cybersicherheit digitaler Elemente, unabhängig davon, ob eine unmittelbare Gefahr für die physische Sicherheit besteht. Für eine Maschine mit digitalen Komponenten kann das bedeuten, dass sowohl die Konformitätsbewertung nach Maschinenverordnung als auch CRA-Anforderungen zu berücksichtigen sind — mit teils überschneidenden Nachweisen (Risikoanalyse, technische Dokumentation) und teils eigenständigen Pflichten (Schwachstellenmanagement-Prozess, Update-Bereitstellung). Wie genau die CE-Kennzeichnung und die jeweiligen Konformitätserklärungen in solchen Fällen zusammengeführt werden, hängt von den finalen Durchführungsvorgaben und harmonisierten Normen ab und sollte im Einzelfall geprüft werden.
4. Praktische Relevanz für Maschinenhersteller
Für die Konstruktions- und Entwicklungspraxis heißt das konkret: Cybersicherheit wird zu einem festen Bestandteil des Entwicklungsprozesses, nicht zu einer nachträglichen IT-Aufgabe. Das betrifft die Auswahl von Steuerungskomponenten und Kommunikationsprotokollen, die Absicherung von Fernwartungszugängen, die Dokumentation, welche Software-Komponenten (einschließlich Drittanbieter- und Open-Source-Bibliotheken) in einer Maschine verbaut sind, sowie einen organisierten Prozess, um gemeldete Schwachstellen zu bewerten und Updates über die gesamte erwartete Nutzungsdauer der Maschine bereitzustellen — bei Industriemaschinen oft zehn Jahre oder länger. Technische Dokumentation und Betriebsanleitung müssen entsprechend erweitert werden: Anwender brauchen Informationen darüber, wie Sicherheitsupdates eingespielt werden, welche Netzwerkschnittstellen existieren und an wen sicherheitsrelevante Vorfälle gemeldet werden.
5. Häufige Fehler in der Praxis
Ein verbreiteter Irrtum ist, den Cyber Resilience Act als reines Software-Thema zu behandeln, das die IT-Abteilung allein löst — dabei betrifft er die gesamte Produktentwicklung, von der Hardware-Schnittstelle bis zur Betriebsanleitung. Ebenso riskant ist die Annahme, eine einmalige Sicherheitsprüfung vor dem Inverkehrbringen reiche aus: Der CRA-Grundgedanke ist gerade die Pflicht zur kontinuierlichen Betreuung über den Lebenszyklus. Ein dritter häufiger Fehler ist, Zulieferkomponenten (Steuerungen, HMI-Panels, Kommunikationsmodule) ungeprüft zu übernehmen, ohne deren Cybersicherheitsnachweise und Update-Fähigkeit in die eigene technische Dokumentation zu integrieren. Und schließlich wird das Verhältnis zur Maschinenverordnung oft zu spät geklärt — wer erst kurz vor der CE-Kennzeichnung prüft, ob CRA-Anforderungen greifen, riskiert Verzögerungen im Serienanlauf.
Technische Dokumentation und Normen im Griff mit IgeraIndustria
Unsere KI durchsucht Ihre eigene technische Dokumentation, Normenverzeichnisse und Konformitätsunterlagen und zitiert dabei immer die exakte Quelle — statt Vermutungen zu liefern.
Demo für Ingenieure anfordern
Häufig gestellte Fragen (FAQ)
Gilt der Cyber Resilience Act für alle Maschinen?
Nein. Relevant ist er in erster Linie für Maschinen mit digitalen Elementen, also mit Software- oder Vernetzungskomponenten, die eine Datenverbindung zu Geräten oder Netzwerken herstellen. Rein mechanische Maschinen ohne solche Schnittstellen sind typischerweise nicht unmittelbar betroffen.
Ersetzt der CRA die Maschinenverordnung?
Nein. Beide Regelwerke bestehen nebeneinander und können sich bei Maschinen mit digitalen Komponenten überschneiden. Die Maschinenverordnung adressiert vor allem die physische und funktionale Sicherheit, der CRA gezielt die Cybersicherheit digitaler Elemente.
Was bedeutet "Security by Design" konkret für den Maschinenbau?
Es bedeutet, Cybersicherheitsrisiken bereits in der Konstruktionsphase zu berücksichtigen — etwa bei der Wahl von Steuerungskomponenten, Kommunikationsprotokollen und Zugriffsschutz — statt Sicherheit nachträglich als Software-Patch nachzurüsten.
Wer trägt im Maschinenbau die CRA-Pflichten — der Steuerungshersteller oder der Maschinenbauer?
Das hängt vom Einzelfall ab: von der Rolle als Hersteller, Integrator oder Zulieferer und davon, wer das digitale Element in Verkehr bringt bzw. maßgeblich verantwortet. Zulieferkomponenten und deren Cybersicherheitsnachweise sollten in jedem Fall in die eigene technische Dokumentation einfließen.
Muss ich für jede Maschine mit Fernwartungszugang Sicherheitsupdates über Jahre bereitstellen?
Der CRA-Grundgedanke sieht eine Update-Pflicht über den relevanten Produktlebenszyklus vor. Wie lange das im Einzelfall gilt und welche Ausnahmen greifen, ist im CRA-Text geregelt und sollte fachkundig geprüft werden.
Welche Rolle spielt die technische Dokumentation beim Cyber Resilience Act?
Eine zentrale: Sie muss die digitalen Elemente der Maschine, deren Schnittstellen, das Vorgehen bei Sicherheitsupdates und die Meldewege für Schwachstellen nachvollziehbar beschreiben — analog zur technischen Dokumentation nach Maschinenverordnung, aber mit Cybersicherheitsfokus.
Ab wann muss ich als Maschinenhersteller aktiv werden?
Konkrete Übergangsfristen und Anwendungstermine sind im offiziellen CRA-Text festgelegt. Da sich Fristen und Durchführungsdetails ändern können, sollte für die verbindliche Umsetzung immer der aktuelle Rechtstext sowie eine fachkundige Beratung herangezogen werden.
Rechtlicher Hinweis
Dieser Artikel ist informativ und stellt keine Rechtsberatung dar. Für die verbindliche Umsetzung des Cyber Resilience Act in Ihrem konkreten Fall — einschließlich Fristen, Bußgeldrahmen und der genauen Abgrenzung zur Maschinenverordnung — konsultieren Sie bitte den offiziellen CRA-Text sowie einen Fachanwalt oder eine benannte Stelle.
Redaktioneller Hinweis: Letzte Aktualisierung September 2026. Fachliche Prüfung durch den Igera Industrie-Normenausschuss.
