Hinweis: Das Beitragsbild wurde mit künstlicher Intelligenz erzeugt.
Ab Dezember 2027 müssen alle Hersteller von Produkten mit digitalen Elementen den EU Cyber Resilience Act (CRA) vollständig erfüllen. Für den Maschinen- und Anlagenbau gilt: CRA-Konformität entsteht nicht in der IT-Abteilung, sondern am Konstruktionsarbeitsplatz. Wer das als nachgelagerte Compliance-Aufgabe behandelt, baut Nichtkonformität direkt ins Produkt.
Was der CRA von der Konstruktion verlangt
Der CRA verpflichtet Hersteller, Cybersicherheitsrisiken ihrer Produkte systematisch zu bewerten. Das umfasst die Analyse möglicher Angriffsszenarien und den Nachweis eines angemessenen Schutzes für industrielle Kommunikation. Sobald eine Maschine digitale Elemente enthält, greift das Gesetz. Das betrifft Steuerungen, HMIs, Funkmodule und jede eingebettete Firmware.
Die Folgen sind konkret: In der Stückliste entscheidet sich, welche Komponenten mit welcher Firmware verbaut werden. Unbekannte Firmware-Stände in Zukaufteilen werden zur Angriffsfläche. Im Lastenheft entscheidet sich, ob Lieferanten Security-Angaben und Software-Stücklisten, sogenannte SBOMs (Software Bill of Materials), liefern müssen oder nicht. Im Änderungsprozess entscheidet sich, ob ein Security-Update sauber dokumentiert wird oder eine zertifizierte Safety-Funktion beschädigt.
Hinzu kommt die neue Maschinenverordnung (EU) 2023/1230, die ab Januar 2027 gilt. CE-Kennzeichnung im Maschinenbau setzt dann Security-Nachweise voraus. Beide Regelwerke greifen ineinander.
Fünf typische Fehler, die Prüfstellen sehen
Florian Schmidt, Senior Expert Cybersecurity bei TÜV SÜD, nennt aus seiner Prüfstellen-Erfahrung fünf wiederkehrende Schwachstellen. Sie zeigen, wo Unternehmen im Maschinen- und Anlagenbau heute stehen.
Zukaufteile ohne Prüfung
Komponenten werden verbaut, ohne dass Lieferanten belastbare Security-Angaben geliefert haben. Weder SBOM noch Update-Zusagen sind im Lastenheft verankert. Die Lieferkette wird so zur größten unkontrollierten Angriffsfläche.
Risikoanalysen fürs Audit, nicht fürs Produkt
Dokumente werden erstellt, um einen Prüfer zu befriedigen. Sie beschreiben das Produkt nicht so, wie es tatsächlich gebaut wurde. Prüfstellen erkennen das. Solche Analysen halten einem Assessment nicht stand.
Security ans Projektende verschoben
Cybersicherheitsanforderungen werden nicht als Konstruktionsprinzip definiert, sondern nachträglich ergänzt. Das führt zu Zielkonflikten mit bereits getroffenen Designentscheidungen und treibt Kosten.
Updates ohne geregelten Änderungsprozess
Security-Updates werden eingespielt, ohne den Änderungsprozess zu durchlaufen. Die Dokumentation hinkt hinterher. Im schlimmsten Fall werden Safety-Funktionen berührt, ohne dass dies erkannt wird.
Schwachstellenmeldungen ohne Prozess
Der CRA verlangt ab September 2026 aktive Meldepflichten bei Schwachstellen. Viele Unternehmen haben dafür keine funktionsfähige Struktur. Meldungen landen in nicht überwachten Postfächern.
Konkrete Gegenmaßnahmen
Jedem der genannten Fehler steht eine umsetzbare Antwort gegenüber. Lieferanten müssen künftig nach Security-Kriterien ausgewählt werden. SBOM-Lieferung und Update-Zusagen gehören verbindlich ins Lastenheft. Risikoanalysen müssen das tatsächliche Produkt beschreiben und testbar formulierte Anforderungen enthalten. Update-Fähigkeit muss konstruiert werden, einschließlich Re-Qualifizierungspfad.
Bestehende Nachweise sollten gehoben werden. EN-18031-Evidenzen bei Funkmodulen, IEC-62443-Dokumentation und Safety-Unterlagen können als Brücke in den CRA genutzt werden. Das reduziert den tatsächlichen Aufwand erheblich.
Kenntnisstand ist gering
Der Handlungsbedarf ist breit. Laut dem IoT und OT Cybersecurity Report 2026 des Düsseldorfer Unternehmens Onekey, der auf einer Befragung von 200 deutschen Industrieunternehmen basiert, sind 45 Prozent der Befragten mit den Anforderungen des CRA kaum oder gar nicht vertraut. Rund zwei Drittel gelten demnach als nicht vorbereitet.
Das ist kein Randproblem. Der CRA gilt für alle Hersteller, die Produkte mit digitalen Elementen auf den EU-Markt bringen. Kleine und mittlere Maschinenbauunternehmen sind ebenso betroffen wie Großunternehmen.
Fazit
Die Fristen sind gesetzt. Meldepflichten gelten ab September 2026, die Maschinenverordnung ab Januar 2027, die volle CRA-Anwendung ab Dezember 2027. Wer Security weiterhin als Audit-Vorbereitung behandelt, wird scheitern. Die Stellschrauben liegen in Stückliste, Lastenheft und Änderungsprozess. Dort muss Cybersicherheit verankert werden, bevor die erste Komponente bestellt wird.
