Viele Hersteller haben das Thema bisher weit nach hinten geschoben. Schließlich läuft die Maschine stabil, Updates gab es selten, und um die „Cybersecurity“ kann sich die IT kümmern.
Doch der Cyber Resilience Act (CRA) macht Schluss mit dieser Illusion. Die EU zieht klare Grenzen: Wer Maschinen mit digitalen Elementen baut, wird verantwortlich.
Im Gespräch mit Christoph Nienhaus von Janz Tec haben wir das Thema aufgerollt. Christoph kennt die Perspektive der Maschinenbauer und die der Industrie-IT – genau diese Mischung brauchen Unternehmen jetzt, um den CRA nicht nur als Pflicht, sondern als Chance zu verstehen.
Christoph Nienhaus ist seit fast einem Jahrzehnt bei Janz Tec tätig – einem Anbieter industrieller Hardware- und IoT-Lösungen. Heute verantwortet er den Bereich Lösungsvertrieb mit Fokus auf Edge Devices, Connectivity und Cybersecurity. In seiner Arbeit an der Schnittstelle zwischen Technik und Business begleitet er Maschinenbauer dabei, ihre Produkte sicher und zukunftsfähig zu machen.
Viele Maschinenbauer hoffen noch, dass der Cyber Resilience Act (CRA) nur für andere Branchen oder „smarte Gadgets“ gilt. Ein Irrtum, der teuer werden kann.
Ob Ihre Maschinen permanent online sind oder nur ab und zu ein Update ziehen – sie gelten als Produkte mit digitalen Elementen. Das ist der zentrale Begriff aus der Verordnung.
Das heißt konkret:
Typische Fragen – und die Antworten:
Ab wann gilt der CRA?
Wer jetzt denkt, man könne das Thema aussitzen, riskiert mehr als nur ein schlechtes Gefühl. Ohne Nachweis von Cybersicherheit wird künftig keine CE-Kennzeichnung mehr vergeben werden – und ohne CE kein Marktzugang.
Der CRA ist eine ziemlich konkrete Liste von Aufgaben. Wer Maschinen herstellt, muss sich auf fünf Kernpflichten einstellen:
„Security by Design“ klingt nach großem Schlagwort, ist aber im Kern ein einfacher Gedanke: Sicherheit muss von Anfang an Teil der Konstruktion sein – nicht erst ein nachträgliches Pflaster.
Was bedeutet das praktisch?
Warum ist das für viele neu? Weil bisher in vielen Projekten die Maschinenmechanik und Automatisierung im Fokus standen – und Cybersicherheit erst später dazukam, wenn überhaupt.
Konsequenz: Ohne Security by Design wird es künftig keine CE-Kennzeichnung mehr geben. Und ohne CE kein Vertrieb in der EU.
Security by Design bleibt ein leeres Versprechen, wenn es nicht belegt werden kann. Der CRA verlangt deshalb, dass Hersteller Risiken identifizieren, bewerten und dokumentieren.
Konkret heißt das:
Warum ist das so wichtig? Ab 2027 können Kunden bei Schäden durch nachweisbar unsichere Maschinen Ansprüche geltend machen – auch rückwirkend über die Produkthaftungsrichtlinie.
Kurz gesagt: Ohne belastbare Risikobewertung und saubere Dokumentation drohen Haftung und Vertriebsstopps.
Die „Software Bill of Materials“ (SBOM) ist ein Begriff, der viele Maschinenbauer zum ersten Mal konfrontiert: eine vollständige, nachvollziehbare Liste aller Software-Komponenten, die in der Maschine oder Steuerung enthalten sind.
Was gehört in die SBOM?
Typischerweise umfasst sie unter anderem:
Die konkreten Elemente hängen jedoch vom jeweiligen Produkt ab und können je nach Systemumfang weitere Komponenten beinhalten.
Warum ist das so wichtig?
Nur mit einer vollständigen Übersicht können Sie:
Tipp: Nutzen Sie Tools, die diese Informationen automatisch erfassen und versionieren. Manuelles Pflegen von Excel-Listen wird langfristig kaum handhabbar sein.
Einer der größten Einschnitte für den Maschinenbau: die Pflicht, für einen Zeitraum von mindestens 5 Jahren nach dem Inverkehrbringen oder für die erwartete Lebensdauer des Produkts – je nachdem, was kürzer ist – kostenlose Sicherheitsupdates bereitzustellen.
Was bedeutet das für Sie als Hersteller?
Zusätzliche Anforderungen des CRA:
Beispiele möglicher Update-Strategien:
Ein strategischer Gedanke:
Der CRA verpflichtet Sie nur, Updates bereitzustellen – also beispielsweise zum Download anzubieten. Viele Kunden haben aber weder die Kapazität noch das Know-how, diese Updates sicher einzuspielen. Genau hier entsteht ein neuer Serviceansatz: Sie können ergänzende Dienstleistungen entwickeln, um Updates automatisiert oder als Teil eines Wartungsvertrags direkt auf die Maschinen aufzuspielen. So wird aus einer regulatorischen Pflicht ein wiederkehrendes Servicegeschäft.
Ab Mitte 2026 gilt eine weitere Anforderung: die Meldepflicht für schwerwiegende Sicherheitsvorfälle.
Was bedeutet das konkret?
Wichtige Elemente der Meldung:
Fazit: Die Meldepflicht zwingt Unternehmen, eigene Prozesse und Verantwortlichkeiten frühzeitig zu klären. Wer das verschleppt, riskiert empfindliche Sanktionen.
Viele im Maschinenbau betrachten Vernetzung reflexhaft als Risiko. Doch der CRA dreht dieses Denken um: Ohne Konnektivität ist der Aufwand für Updates und Sicherheitsnachweise kaum zu stemmen.
IoT-Plattformen werden damit doppelt relevant:
Das Ergebnis: weniger Unsicherheit – und ein wichtiger Grund für Kunden, Wartungsverträge abzuschließen.
Der CRA wirkt noch weit weg – aber warten kostet Zeit und Nerven.
Bestandsaufnahme machen
Zuständigkeiten klären
Update-Strategie festlegen
Kunden vorbereiten
Technologie evaluieren
Kurz gesagt: Wer jetzt sauber strukturiert startet, spart später die Hektik und kann das Thema gleich als Service-Chance nutzen.
Dieser Beitrag stellt keine Rechtsberatung dar, sondern dient ausschließlich der allgemeinen Information und der Interpretation der Inhalte des Cyber Resilience Act. Für rechtlich verbindliche Einschätzungen oder konkrete Handlungsempfehlungen wenden Sie sich bitte an eine fachkundige Rechtsberatung.
In unserem ersten Gespräch stellen wir Ihnen gerne Synctive und dessen Potenziale für Ihr Service-Geschäft vor. Entdecken Sie, wie unsere Lösungen Sie optimal unterstützen können.
Die neue Maschinenverordnung bringt neue Pflichten für Maschinenbauer. Was sich ändert, was zu tun ist und wie Sie Ihre Dokumentation zukunftssicher machen.
Weiterlesen
Der EU Data Act verändert Geschäftsmodelle im Maschinenbau und eröffnet neue Chancen für datenbasierte Services. Hier erfahren Sie, was wirklich wichtig ist.
Weiterlesen
Alles zum EU Data Act im Maschinenbau: Nutzerrechte, Herausforderungen und Chancen für Hersteller. Jetzt informieren und voraus bleiben!
Weiterlesen
