Cyber Resilience Act: Warum Produktsicherheit bald auch ein Thema für Maschinenbauer, Softwareanbieter und IoT-Hersteller ist

Maschinen, Anlagen, Sensoren, Steuerungen und Softwarelösungen sind heute selten rein mechanisch oder isoliert. Sie sind vernetzt, senden Daten, erhalten Updates oder werden per Fernzugriff gewartet. Damit entstehen neue Chancen für Effizienz, Transparenz und automatisierte Prozesse – aber auch neue Risiken. Ein unsicheres Passwort, eine ungepatchte Softwarekomponente oder eine schlecht abgesicherte Schnittstelle kann ausreichen, um Produktionsprozesse zu stören, Daten abzugreifen oder Anlagen zu manipulieren.

Genau hier setzt der europäische Cyber Resilience Act, kurz CRA, an. Die Verordnung (EU) 2024/2847 ist am 10. Dezember 2024 in Kraft getreten. Die zentralen Pflichten gelten ab dem 11. Dezember 2027; Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle greifen bereits ab dem 11. September 2026.

Für Geschäftsführerinnen, Geschäftsführer und Produktionsleiter in KMU ist wichtig: Der CRA betrifft nicht nur klassische IT-Unternehmen. Er gilt für „Produkte mit digitalen Elementen“, also Hardware- und Softwareprodukte, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. Dazu zählen zum Beispiel IoT-Geräte, Maschinensteuerungen, Softwaremodule, Apps, Gateways, industrielle Sensorik, Fernwartungslösungen oder digitale Komponenten, die separat in Verkehr gebracht werden.

Damit wird Cybersicherheit Teil der Produktsicherheit. Wer ein vernetztes Produkt entwickelt, herstellt oder unter eigenem Namen vermarktet, muss künftig nachweisen können, dass Cyberrisiken über den gesamten Produktlebenszyklus betrachtet wurden – von der Entwicklung über die Inbetriebnahme bis zur Wartung und zum Support.

Für Maschinenbauer kommt zusätzlich die neue EU-Maschinenverordnung (EU) 2023/1230 in den Blick. Sie gilt ab dem 20. Januar 2027 verbindlich und adressiert auch Sicherheitsrisiken, die durch Digitalisierung, Vernetzung und Cyberangriffe entstehen können. Für Anbieter vernetzter Maschinen bedeutet das: Safety und Security wachsen zusammen. Eine Maschine ist nicht mehr nur dann sicher, wenn Mechanik, Elektrik und Schutzfunktionen stimmen. Auch digitale Angriffsflächen müssen berücksichtigt werden.

Auch kleinere Unternehmen sollten den CRA nicht unterschätzen. Die Verordnung sieht zwar Erleichterungen für Kleinst- und kleine Unternehmen vor, etwa vereinfachte technische Dokumentation oder verhältnismäßige Betrachtung bei bestimmten Verfahren. Die grundlegende Pflicht, sichere Produkte mit digitalem Element bereitzustellen, bleibt aber bestehen.

Was heißt das konkret für Hersteller, Maschinenbauer, Softwareanbieter und IoT-Unternehmen?

• Produktportfolio prüfen: Welche Produkte enthalten Software, kommunizieren mit Netzwerken, Cloud-Diensten, Apps oder Maschinen und werden unter eigenem Namen vertrieben?
• Security by Design verankern: Cyberrisiken sollten bereits in der Entwicklung berücksichtigt werden – etwa bei Schnittstellen, Benutzerrollen, Updatewegen, Datenflüssen und Fernzugriffen.
• Schwachstellenmanagement aufbauen: Unternehmen brauchen klare Zuständigkeiten, Prozesse zur Bewertung von Schwachstellen, Update- und Patchverfahren sowie eine erreichbare Kontaktstelle für Sicherheitsmeldungen.
• Softwarebestandteile dokumentieren: Zukaufteile, Firmware, Bibliotheken und Open-Source-Komponenten sollten nachvollziehbar erfasst werden, zum Beispiel über eine Software Bill of Materials (SBOM).
• Konformität vorbereiten: Technische Unterlagen, Risikobewertungen, Nutzerinformationen und eine EU-Konformitätserklärung müssen rechtzeitig aufgebaut bzw. angepasst werden.
• Meldeprozesse etablieren: Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb fester Fristen gemeldet werden.

Für KMU ist der wichtigste Schritt daher nicht, sofort ein komplexes Compliance-Projekt zu starten. Entscheidend ist ein pragmatischer Fahrplan: Produkte erfassen, Verantwortlichkeiten festlegen, Entwicklungs- und Updateprozesse überprüfen, Lieferanten einbinden und die technische Dokumentation schrittweise aufbauen.

Doch der CRA ist nicht nur für Hersteller relevant. Auch Anwenderunternehmen sollten sich frühzeitig mit den neuen Anforderungen beschäftigen – gerade dann, wenn sie Maschinen, IoT-Geräte, Software oder digitale Komponenten einkaufen, betreiben oder in bestehende Produktionssysteme integrieren. Zwar richten sich die unmittelbaren Herstellerpflichten vor allem an Anbieter, Importeure und Händler. Anwender sollten aber künftig genauer prüfen, welche Produkte sie beschaffen, wie lange Sicherheitsupdates bereitgestellt werden, ob Schwachstelleninformationen verfügbar sind und welche Anforderungen an sichere Konfiguration, Benutzerverwaltung, Fernzugriff und Patchmanagement gestellt werden. Empfehlenswert ist es, Cybersecurity-Anforderungen bereits in Lastenhefte, Einkaufsbedingungen und Lieferantengespräche aufzunehmen. So vermeiden Unternehmen, unsichere oder nicht updatefähige Komponenten langfristig in ihre Produktion einzubauen.

Der CRA macht deutlich: Cybersicherheit wird zur Marktzugangsvoraussetzung. Für Maschinenbauer, Softwareanbieter und IoT-Hersteller ist das nicht nur eine regulatorische Pflicht, sondern auch eine Chance. Wer nachweisen kann, dass seine Produkte sicher entwickelt, gepflegt und aktualisiert werden, schafft Vertrauen bei Kunden, reduziert Haftungs- und Ausfallrisiken und stärkt die eigene Wettbewerbsfähigkeit.

Unternehmen, die sich einen ersten Überblick verschaffen oder konkrete nächste Schritte ableiten möchten, können die Unterstützungsangebote der Transferstelle Cybersicherheit im Mittelstand nutzen. Sie bietet praxisnahe Informationen, Orientierungshilfen und Anlaufstellen, damit KMU Cybersicherheit strukturiert und passend zu ihren Ressourcen angehen können.

 

Hinweis: Dieser Beitrag bietet eine erste fachliche Orientierung und ersetzt keine rechtliche Beratung. Unternehmen sollten im konkreten Einzelfall prüfen lassen, welche gesetzlichen Pflichten für ihre Produkte, Rollen und Geschäftsmodelle gelten.