Cyber Resilience Act: Schwachstellen müssen binnen 24 Stunden gemeldet werden

Die künftige Auslegung und Sicherheit industrieller Anlagen stand am 28. Oktober 2026 im Mittelpunkt des Forums SPOTLIGHT in Würzburg. Fachbeiträge beleuchteten vor Ort, wie das regulatorische Ineinandergreifen der europäischen Maschinenverordnung (EU) 2023/1230 und des Cyber Resilience Act (CRA) die Pflichten von Konstrukteuren grundlegend verändert.

Während die Maschinen verordnung ab Januar 2027 EU-weit rechtsverbindlich wird, greift der CRA Ende 2027 in vollem Umfang. Hersteller und Betreiber müssen ihre Prozesse anpassen, um empfindliche Sanktionen abzuwenden. Bei Verstößen drohen nach Angaben der Dekra Verkaufsverbote sowie Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Gestaffelte Übergangsfristen erhöhen den Handlungsdruck

Die rechtlichen Vorgaben greifen stufenweise ineinander. Seit dem 11. September 2026 gilt unter dem CRA (EU) 2024/2847 bereits eine verbindliche Meldepflicht: Hersteller müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden über die Plattform der EU-Cybersicherheitsagentur ENISA melden. Dies betrifft auch bereits ausgelieferte Produkte.

Am 20. Januar 2027 löst die Maschinenverordnung (EU) 2023/1230 die bisherige Maschinenrichtlinie 2006/42/EG ohne Übergangsfrist ab. Die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen sind künftig in Anhang III festgeschrieben.

Die neuen gesetzlichen Anforderungen des EU AI Acts und der Maschinenverordnung stellen Unternehmen vor komplexe Dokumentationspflichten. Dieser kompakte Leitfaden unterstützt Sie dabei, die relevanten Fristen und Risikoklassen für Ihre Systeme rechtzeitig zu identifizieren. EU AI Act in 5 Schritten verstehen

Neue Vorgaben umfassen insbesondere den Schutz gegen Korrumpierung sowie Regelungen für künstliche Intelligenz. Zudem wird die Betriebsanleitung digital zulässig, etwa per QR-Code, während eine Papierfassung auf Anfrage innerhalb eines Monats kostenfrei bereitgestellt werden muss.

Ab dem 11. Dezember 2027 dürfen digitale Produkte und vernetzte Maschinen schließlich nur noch mit vollständiger CRA-Konformität und CE-Kennzeichnung auf den EU-Markt gebracht werden. Für diesen Stichtag sehen Experten typische Projektlaufzeiten von 12 bis 18 Monaten für umfassende Umsetzungsprogramme vor.

Technische Anforderungen und Hürden bei Prüfungen

Mit der Neuregelung wächst Cybersicherheit zu einem festen Bestandteil der Maschinensicherheit heran. Als Brücke dient die künftige harmonisierte Norm EN 50742, welche die Anforderungen klassischer Maschinensicherheit mit den IT-Sicherheitsstandards der Reihe IEC 62443 verknüpft.

Wer im industriellen Umfeld Maschinen betreibt oder konstruiert, muss auch die korrekte Unterweisung und Dokumentation sicherstellen, um Bußgelder zu vermeiden. Mit dieser praxiserprobten Word-Vorlage erstellen Sie rechtssichere Betriebsanweisungen für Ihre Anlagen in nur wenigen Minuten. Kostenlose Muster-Betriebsanweisung für Maschinen herunterladen

Das Fraunhofer IEM mahnte auf der Fachtagung eine kontinuierliche Einhaltung der Regeln anstelle rein manueller Einzelnachweise an; notwendig seien Software-Stücklisten (SBOM) in Formaten wie CycloneDX sowie ein systematisches Management bekannter Schwachstellen (CVEs).

Dass in der Praxis noch Nachholbedarf herrscht, verdeutlichte der TÜV SÜD: Zu den typischen Fehlern bei Audits zählten fehlende Software-Stücklisten für Bauteile sowie pauschal verfasste Risikoanalysen.

Verbände fordern Anpassung der Konformitätserklärung

Parallel zu den Vorbereitungen der Hersteller formiert sich Kritik an Detailvorgaben. Der europäische Fördertechnikverband FEM und fünf weitere Industrieverbände forderten die Europäische Kommission in einer gemeinsamen Stellungnahme dazu auf, die Vorgaben des CRA an die durch die Initiative Omnibus IV modifizierte Maschinenverordnung anzugleichen.

Kern des Problems sei die rechtliche Unsicherheit bei der Ausstellung einer einheitlichen EU-Konformitätserklärung für Produkte, die unter mehrere Rechtsakte fallen.

Während der CRA gegenwärtig eine physische Konformitätserklärung direkt am Produkt verlangt, erlaubt die überarbeitete Maschinenverordnung eine rein digitale Fassung. Die Verbände verlangen eine einheitliche digitale Lösung per Markierung an der Maschine, auf der Verpackung oder in den Begleitdokumenten, ohne die Notwendigkeit einer zusätzlichen vereinfachten Papiererklärung.