Hinweis: Das Beitragsbild wurde mit künstlicher Intelligenz erzeugt.
Der EU Cyber Resilience Act (CRA) tritt für Hersteller von Produkten mit digitalen Elementen ab Dezember 2027 in vollem Umfang in Kraft. Erste Meldepflichten greifen bereits ab September 2026. Wer heute noch auf nachgelagerte IT-Prüfungen setzt, wird die Fristen nicht halten. Das ist die Kernbotschaft, die TÜV-SÜD-Experte Florian Schmidt am 28. Oktober 2026 auf dem Konstruktionsleiter-Forum SPOTLIGHT in Würzburg vermitteln wird.
Was der CRA von Konstruktionsleitern verlangt
Der CRA verpflichtet Hersteller, Cybersicherheitsrisiken ihrer Produkte systematisch zu bewerten. Das umfasst die Analyse möglicher Angriffsszenarien und die Bewertung des erforderlichen Schutzes für industrielle Kommunikation.
Konformität entsteht oder scheitert dabei nicht in der IT-Abteilung, sondern in der Konstruktion. Jede Stückliste legt fest, welche Steuerungen, HMIs und Funkmodule verbaut werden, oft mit unbekannter Firmware. Jedes Lastenheft bestimmt, ob Lieferanten Security-Angaben und eine Software Bill of Materials (SBOM, also eine vollständige Liste aller Softwarekomponenten) liefern müssen. Jeder Änderungsantrag entscheidet, ob ein Security-Update sauber dokumentiert wird oder eine zertifizierte Safety-Funktion bricht.
Ab Januar 2027 tritt zugleich die neue Maschinenverordnung (EU) 2023/1230 in Kraft. CE-Konformität im Maschinenbau ist dann ohne nachgewiesene Cybersicherheit nicht mehr erreichbar.
Wo Produkte in Assessments scheitern
Schmidt berichtet aus der Praxis der Prüfstelle. Fünf Fehler wiederholen sich in Projekten immer wieder.
Zukaufteile ohne Security-Prüfung
Steuerungskomponenten und Funkmodule werden verbaut, ohne dass Lieferanten belastbare Security-Angaben oder SBOM-Nachweise liefern. Die Lieferkette wird damit zur größten Angriffsfläche des Produkts.
Risikoanalysen für das Audit, nicht für das Produkt
Viele Risikoanalysen entstehen kurz vor dem Assessment. Sie beschreiben Anforderungen, ohne dass testbar formulierte Security-Kriterien in der Konstruktion verankert sind. Prüfer erkennen das.
Security ans Projektende verschoben
Cybersicherheit wird als Aufgabe behandelt, die nach dem Engineering beginnt. Das führt zu konstruktiven Änderungen unter Termindruck und erhöht das Risiko, Safety-Funktionen zu kompromittieren.
Updates ohne geregelten Änderungsprozess
Security-Updates werden eingespielt, ohne den bestehenden Änderungsprozess zu durchlaufen. Re-Qualifizierungen bleiben aus. Die Konformität des Produkts ist damit nicht mehr gesichert.
Schwachstellenmeldungen ohne Prozess
Der CRA verlangt, dass Hersteller Schwachstellen melden und bearbeiten können. In der Praxis landen entsprechende Meldungen in nicht überwachten Postfächern, ohne definierten Verantwortlichen.
Was in der Konstruktion konkret zu ändern ist
Jedem der genannten Fehler steht nach Schmidts Darstellung eine konkrete Gegenmaßnahme gegenüber.
Lieferantenauswahl muss Security-Kriterien einschließen. SBOM-Pflicht und Update-Zusagen gehören ins Lastenheft. Risikoanalysen müssen produktbezogen und testbar formuliert sein. Der Entwicklungsprozess muss Security-Anforderungen als reguläre Konstruktionsvorgabe behandeln, nicht als Anhang.
Vorhandene Nachweise können genutzt werden. EN-18031-Evidenzen bei Funkmodulen sowie bestehende IEC-62443- und Safety-Dokumentation lassen sich als Grundlage für CRA-Assessments verwenden. Das reduziert den Mehraufwand erheblich, wenn die Strukturen frühzeitig aufgebaut wurden.
Fazit
Die Frist bis Dezember 2027 wirkt lang. Die erste Meldepflicht greift aber bereits im September 2026. Konstruktionsleiter, die Cybersicherheit weiter als nachgelagerte IT-Aufgabe behandeln, riskieren Nichtkonformität bei jeder neuen Stückliste. Der Handlungsbedarf liegt in den täglichen Artefakten der Konstruktion: Lastenheft, Stückliste, Änderungsantrag. Dort müssen Security-Anforderungen strukturell verankert sein, bevor der erste Prüfer das Produkt sieht.
