Cyber Resilience Act: Was bedeutet der CRA für die Produktentwicklung?

Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847 der Europäischen Union. Sie legt horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest. Für Hersteller bedeutet das: Cybersicherheitsrisiken müssen nicht erst nach der Markteinführung betrachtet werden, sondern bereits bei Planung, Konzeption und Entwicklung eines Produkts. Das ist auch für Unternehmen im Maschinenbau relevant, wenn ihre Produkte in den Anwendungsbereich des CRA fallen. (Quelle: EUR-Lex)

 

Inhaltsverzeichnis:

• Was ist der Cyber Resilience Act?
• Für welche Produkte gilt der Cyber Resilience Act?
• Ist der CRA für den Maschinenbau relevant?
• Was bedeutet der CRA für die Produktentwicklung?
• Welche Anforderungen stellt der CRA an Hersteller?
• Ab wann gilt der Cyber Resilience Act?
• Was sollten Maschinenbauunternehmen jetzt prüfen?
• Fazit

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act, kurz CRA, ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Die Verordnung schafft einen EU-weiten Rechtsrahmen für die Cybersicherheit von Hardware- und Softwareprodukten, die auf dem Unionsmarkt bereitgestellt werden. Dazu zählen sowohl fertige Produkte als auch bestimmte separat auf dem Markt bereitgestellte Komponenten. (Quellen: EUR-Lex; Europäische Kommission)

Ziel des CRA ist es, Cybersicherheit stärker über den gesamten Lebenszyklus digitaler Produkte zu berücksichtigen. Die Anforderungen betreffen deshalb nicht nur die Eigenschaften eines Produkts zum Zeitpunkt des Inverkehrbringens. Auch der Umgang mit Schwachstellen und die Unterstützung während des vorgesehenen Zeitraums spielen eine Rolle. (Quellen: Europäische Kommission; EUR-Lex)

Damit verschiebt sich der Blickwinkel: Cybersicherheit wird zu einem Thema, das bereits in der Produktentwicklung berücksichtigt werden muss.

Für welche Produkte gilt der Cyber Resilience Act?

Der CRA gilt grundsätzlich für Produkte mit digitalen Elementen. Der Begriff ist bewusst weit gefasst. Nach Artikel 3 umfasst er Software- oder Hardwareprodukte einschliesslich bestimmter Lösungen zur Fernverarbeitung sowie Software- oder Hardwarekomponenten, die separat auf dem Markt bereitgestellt werden. (Quelle: EUR-Lex)

Entscheidend ist dabei nicht allein, ob ein Produkt „digital“ aussieht. Für den Anwendungsbereich sind die konkreten Definitionen und Voraussetzungen der Verordnung massgeblich. Der CRA gilt insbesondere für Produkte mit digitalen Elementen, deren bestimmungsgemässer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschliesst. (Quellen: BGHM; EUR-Lex)

Was sind „Produkte mit digitalen Elementen“?

Vereinfacht betrachtet können darunter beispielsweise fallen:

• Hardwareprodukte mit digitalen Funktionen
• Softwareprodukte
• vernetzte Produkte
• separat bereitgestellte digitale Komponenten
• Produkte mit integrierter Software

Für Hersteller ist deshalb eine genaue Betrachtung des jeweiligen Produkts notwendig. Nicht jede Maschine mit einer digitalen Funktion lässt sich allein aufgrund dieser Eigenschaft pauschal dem CRA zuordnen. Auch Ausnahmen und besondere Produktkategorien sind anhand der Verordnung zu prüfen. (Quelle: EUR-Lex)

Eine wichtige Abgrenzung betrifft beispielsweise Produkte, die ausschliesslich für nationale Sicherheits- oder Verteidigungszwecke entwickelt oder verändert wurden oder speziell zur Verarbeitung klassifizierter Informationen bestimmt sind. Für solche Produkte gilt der CRA nach Artikel 2 nicht. (Quelle: EUR-Lex)

Ist der Cyber Resilience Act für den Maschinenbau relevant?

Ja, der CRA kann für Unternehmen im Maschinenbau relevant sein, wenn ihre Produkte digitale Elemente im Sinne der Verordnung besitzen und in deren Anwendungsbereich fallen. Die Berufsgenossenschaft Holz und Metall weist ausdrücklich darauf hin, dass dies viele Maschinen betreffen kann. (Quelle: BGHM)

In modernen Maschinen können beispielsweise Software, Steuerungen, Netzwerkschnittstellen, Fernwartungsfunktionen oder weitere digitale Komponenten integriert sein. Entscheidend ist jedoch die konkrete Ausgestaltung des jeweiligen Produkts und dessen Einordnung nach dem CRA. Die blosse Integration einer bestimmten digitalen Komponente bedeutet nicht automatisch, dass das gesamte Produkt einer besonderen CRA-Produktkategorie zugeordnet wird. (Quellen: BGHM; EUR-LEX)

Für den Maschinenbau ist deshalb insbesondere die Frage relevant, welche digitalen Elemente Bestandteil eines Produkts sind und welche davon separat auf dem Markt bereitgestellt werden. Werden Komponenten selbstständig in Verkehr gebracht, können sie ebenfalls als Produkte mit digitalen Elementen betrachtet werden. (Quellen: BGHM; EUR-Lex)

Der CRA ist dabei nicht mit den Anforderungen der EU-Maschinenverordnung gleichzusetzen. Beide Regelwerke verfolgen unterschiedliche Schwerpunkte. Die BGHM ordnet den CRA insbesondere im Hinblick auf Daten- und Cybersicherheit sowie Schwachstellenmanagement ein. (Quelle: BGHM)

Eine pauschale Aussage wie „Der CRA gilt für jede Maschine“ ist daher nicht sachgerecht. Die Betroffenheit muss produktbezogen geprüft werden.

Was bedeutet der CRA für die Produktentwicklung?

Für die Produktentwicklung ist der CRA besonders relevant, weil die Verordnung Cybersicherheit ausdrücklich mit dem Entwicklungsprozess verbindet.

Cybersicherheitsrisiken bereits bei der Entwicklung berücksichtigen

Artikel 13 verpflichtet Hersteller dazu, eine Bewertung der mit einem Produkt verbundenen Cybersicherheitsrisiken durchzuführen. Die Ergebnisse dieser Bewertung müssen bei Planung, Konzeption, Entwicklung, Herstellung, Lieferung und Wartung berücksichtigt werden. Ziel ist es, Risiken zu minimieren, Sicherheitsvorfälle zu verhindern und deren Auswirkungen zu begrenzen. (Quelle: EUR-LEX)

Die Risikobewertung ist dabei nicht als einmalige Aktivität am Ende der Entwicklung gedacht. Sie muss dokumentiert und während des Unterstützungszeitraums gegebenenfalls aktualisiert werden. Berücksichtigt werden sollen unter anderem die Zweckbestimmung, die vernünftigerweise vorhersehbare Verwendung, die Betriebsumgebung, zu schützende Anlagen und die erwartete Nutzungsdauer des Produkts. (Quelle: EUR-Lex)

Damit wird Cybersicherheit zu einem Bestandteil des Engineering-Prozesses. Für Entwicklungsorganisationen bedeutet das, Sicherheitsaspekte frühzeitig mit Produktanforderungen, Produktdefinition, Komponenten und technischen Änderungen zusammenzubringen.

Gerade bei komplexen Produkten kann dabei die Frage relevant werden, welche Produktdaten und Informationen über den gesamten Entwicklungsprozess hinweg nachvollziehbar verfügbar sind. Digitale Produktentwicklung, PDM und PLM können dabei grundsätzlich dazu beitragen, Produktstrukturen, Änderungen und relevante Informationen strukturiert abzubilden. Sie ersetzen jedoch nicht die rechtlich erforderliche Bewertung oder Konformitätsprüfung nach dem CRA.

Schwachstellen über den Produktlebenszyklus behandeln

Der CRA betrachtet Cybersicherheit nicht nur bis zum Zeitpunkt der Markteinführung. Hersteller müssen Schwachstellen eines Produkts einschliesslich seiner Komponenten während des vorgesehenen Unterstützungszeitraums wirksam behandeln. (Quelle: EUR-Lex)

Der Unterstützungszeitraum soll sich daran orientieren, wie lange das Produkt voraussichtlich genutzt wird. Nach Artikel 13 beträgt er grundsätzlich mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht kürzer ist. Für Produkte, die voraussichtlich länger genutzt werden, kann entsprechend ein längerer Unterstützungszeitraum erforderlich sein. (Quelle: EUR-Lex)

Für den Maschinenbau ist diese Lebenszyklusperspektive besonders relevant. Maschinen und industrielle Produkte können über viele Jahre eingesetzt werden. Entsprechend wichtig wird die Frage, wie Schwachstellen erkannt, bewertet, dokumentiert und behandelt werden und wie Sicherheitsupdates über den Produktlebenszyklus organisiert werden.

Auch relevante Informationen über bekannte Schwachstellen und Informationen von Dritten müssen systematisch dokumentiert werden. (Quelle: EUR-Lex)

Komponenten und Software von Drittanbietern berücksichtigen

Produkte bestehen häufig nicht ausschliesslich aus selbst entwickelten Komponenten. Der CRA berücksichtigt deshalb auch Komponenten innerhalb eines Produkts. Hersteller müssen Schwachstellen des Produkts einschliesslich seiner Komponenten behandeln. (Quelle: EUR-Lex)

Das betrifft auch die Verwendung von Komponenten Dritter. Die Verordnung enthält hierzu Sorgfaltspflichten für Hersteller. Das ist für Engineering-Organisationen relevant, weil Produktstrukturen nicht nur aus eigenen Konstruktionselementen bestehen können, sondern auch Software und technische Komponenten externer Anbieter enthalten.

Für die Produktentwicklung gewinnt damit die Transparenz über verwendete Komponenten und Abhängigkeiten an Bedeutung. Die technische Produktstruktur und die dazugehörigen Produktdaten sollten nachvollziehbar sein.

Welche Anforderungen stellt der CRA an Hersteller

Der CRA legt eine Reihe von Pflichten für Hersteller fest. Welche Anforderungen konkret gelten und welches Konformitätsbewertungsverfahren erforderlich ist, hängt unter anderem von der jeweiligen Produktkategorie ab. Nicht jede Anforderung gilt deshalb in identischer Weise für jedes Produkt. (Quelle: EUR-Lex)

Zu den wesentlichen Themen gehören:

• Cybersicherheitsrisiken bewerten: Hersteller müssen die mit dem Produkt verbundenen Cybersicherheitsrisiken analysieren und die Ergebnisse in den Entwicklungsprozess einbeziehen. (Quelle: EUR-Lex)
• Sichere Produktentwicklung: Produkte müssen entsprechend den grundlegenden Cybersicherheitsanforderungen konzipiert, entwickelt und hergestellt werden. (Quelle: EUR-Lex)
• Technische Dokumentation: Vor dem Inverkehrbringen ist die erforderliche technische Dokumentation zu erstellen. (Quelle: EUR-Lex)
• Schwachstellenmanagement: Schwachstellen des Produkts einschliesslich seiner Komponenten müssen während des Unterstützungszeitraums wirksam behandelt werden. (Quelle: EUR-Lex)
• Dokumentation von Cybersicherheitsaspekten: Relevante Cybersicherheitsaspekte und bekannt gewordene Schwachstellen sind systematisch zu dokumentieren. (Quelle: EUR-Lex)
• Informations- und Meldepflichten: Insbesondere Artikel 14 enthält Vorgaben zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Diese Pflichten gelten bereits ab dem 11. September 2026. (Quellen: EUR-Lex; Europäische Kommission)
• Konformitätsbewertung: Je nach Produkt und Produktkategorie sind die vorgesehenen Konformitätsbewertungsverfahren durchzuführen. (Quelle: EUR-Lex)

Die Anforderungen sollten deshalb nicht als isolierte Aufgabe der IT verstanden werden. Für Hersteller können sie verschiedene Bereiche des Produktlebenszyklus berühren – von der Entwicklung über die technische Dokumentation bis hin zu Wartung und Schwachstellenbehandlung.

Ab wann gilt der Cyber Resilience Act?

Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten. Die vollständige Anwendung beginnt am 11. Dezember 2027. Einzelne Bestimmungen gelten bereits früher. (Quellen: EUR-Lex; Europäische Kommission)

Zeitpunkt	Bedeutung
10. Dezember 2024	Der CRA tritt in Kraft.
11. Juni 2026	Kapitel IV mit den Bestimmungen zur Notifizierung von Konformitätsbewertungsstellen gilt.
11. September 2026	Die Berichtspflichten nach Artikel 14 gelten.
11. Dezember 2027	Der CRA ist grundsätzlich vollständig anzuwenden.

(Quellen: Europäische Kommission; EUR-Lex)

Für Unternehmen ist insbesondere der 11. September 2026 relevant. Ab diesem Zeitpunkt gelten die Berichtspflichten nach Artikel 14. Gemeldet werden müssen unter anderem aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach den Vorgaben der Verordnung. (Quellen: EUR-Lex; Europäische Kommission)

Die Europäische Kommission hat am 27. Juli 2026 zudem neue praktische Leitlinien zur Umsetzung des CRA veröffentlicht. Sie behandeln unter anderem den Anwendungsbereich, wesentliche Änderungen, Unterstützungszeiträume, Berichtspflichten und Risikobewertungen. (Quelle: Europäische Kommission)

Auch die Übergangsregelungen verdienen Aufmerksamkeit: Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 auf dem Markt bereitgestellt wurden, unterliegen grundsätzlich nicht allein deshalb nachträglich allen CRA-Anforderungen. Eine wichtige Ausnahme betrifft jedoch die Berichtspflichten nach Artikel 14; diese gelten auch für entsprechende bereits vor diesem Datum auf dem Markt bereitgestellte Produkte. Bei wesentlichen Änderungen können darüber hinaus weitere Fragen zur Anwendung des CRA entstehen. (Quellen: EUR-Lex; Europäische Kommission)

Fazit

Der Cyber Resilience Act betrifft nicht nur klassische Softwareprodukte. Auch Unternehmen im Maschinenbau können betroffen sein, wenn ihre Produkte digitale Elemente im Sinne der Verordnung enthalten. Für Hersteller bedeutet der CRA vor allem, Cybersicherheit bereits in der Produktentwicklung und über den Produktlebenszyklus hinweg zu berücksichtigen. Risikobewertung, Schwachstellenmanagement, Dokumentation und Prozesse für Sicherheitsvorfälle gewinnen dadurch an Bedeutung. Unternehmen sollten deshalb frühzeitig prüfen, welche Produkte und Entwicklungsprozesse betroffen sein könnten. Dieser Beitrag ersetzt keine rechtliche oder regulatorische Beratung.

Dies ist jedoch nicht die einzige neue EU-Regelung mit Auswirkungen auf den Maschinenbau. Auch die neue EU-Maschinenverordnung tritt am 20. Januar 2027 in Kraft. Mehr:
EU-Maschinenverordnung 2023/1230: Warum Unternehmen jetzt handeln müssen 
EU-Maschinenverordnung 2023/1230 & CATIA: Das müssen Sie wissen

Quellen

• Europäische Union / EUR-Lex – Verordnung (EU) 2024/2847
  Primärquelle für Definitionen, Anwendungsbereich, Herstellerpflichten, Artikel 13 und 14 sowie Übergangs- und Schlussbestimmungen. Verordnung (EU) 2024/2847 auf EUR-Lex
• Europäische Kommission – Cyber Resilience Act
  Offizielle Informationen zu Rechtsrahmen, Anwendungsbereich, Anforderungen und Übergangsregelungen. Cyber Resilience Act – Europäische Kommission
• Europäische Kommission – Cyber Resilience Act Implementation
  Aktueller Umsetzungsstand und Zeitplan, einschliesslich 11. September 2026 und 11. Dezember 2027. Umsetzung des Cyber Resilience Act
• Europäische Kommission – Guidance zur Umsetzung des CRA, 27. Juli 2026
  Praktische Leitlinien zu Anwendungsbereich, wesentlichen Änderungen, Unterstützungszeiträumen, Risikobewertungen und Berichtspflichten. Aktuelle CRA-Leitlinien der Europäischen Kommission
• Berufsgenossenschaft Holz und Metall (BGHM) – FAQs zum Cyber Resilience Act
  Fachliche Einordnung des CRA für den Maschinenbau, Maschinen mit digitalen Elementen, Bestandsmaschinen und das Zusammenspiel mit der Maschinenverordnung. BGHM: FAQs zum Cyber Resilience Act

Hinweis zur fachlichen Einordnung: Der Beitrag beschreibt den Cyber Resilience Act aus der Perspektive der industriellen Produktentwicklung. Er stellt keine individuelle rechtliche Bewertung, CRA-Compliance-Beratung oder Konformitätsbewertung dar. Die konkrete Anwendbarkeit und die daraus resultierenden Pflichten sind für das jeweilige Produkt und den konkreten Sachverhalt zu prüfen.