CRA im Maschinenbau: Welche vernetzten Produkte zählen?

Verfasst von der NIS2Compass Redaktion | Stand: Oktober 2026

Unter den Cyber Resilience Act fallen im Maschinenbau alle Produkte mit Datenverbindung, die Sie in Verkehr bringen: vernetzte Steuerungen, HMIs, Edge-Gateways und Maschinensoftware. Rein mechanische Teile ohne Schnittstelle zählen nicht. Pflichtig ist der Hersteller, seit dem 11. September 2026 auch mit Meldepflicht. Für die NIS2-Pflichten Ihres eigenen Betriebs bietet NIS2Compass 45+ Vorlagen.

Welche vernetzten Produkte zählen im Maschinenbau zum CRA?

Zum CRA zählt jedes Hard- oder Softwareprodukt, das bestimmungsgemäß direkt oder indirekt mit einem Gerät oder Netz Daten austauscht. Im Maschinenbau sind das vernetzte Steuerungen, HMIs, Edge-Gateways, Maschinensoftware und die vernetzte Maschine als Ganzes. Mechanische Bauteile ohne Datenverbindung fallen nicht darunter.

• Erfasst, zum Beispiel: SPS (speicherprogrammierbare Steuerungen) mit Ethernet- oder Feldbus-Schnittstelle, HMI-Panels, Edge-Gateways, Fernwartungsrouter und Frequenzumrichter mit Netzwerkschnittstelle. Dazu kommen Maschinensoftware und Firmware, auch wenn sie als Komponenten getrennt in Verkehr gebracht werden (Art. 2 Abs. 1, Art. 3 Nr. 1 CRA).
• Auch die Maschine als Ganzes: Hat eine Maschine eine Datenverbindung, etwa zum MES oder zur Fernwartung, ist sie selbst ein Produkt mit digitalen Elementen. Die Leitlinien der Kommission behandeln ein komplexes industrielles Maschinenprodukt mit Cloud-Backend und ein industrielles Automatisierungssystem jeweils als Ganzes als CRA-Produkt. Das ist eine Auslegung der Kommission, nicht verbindlich.
• Datenfernverarbeitung gehört dazu: Ein vom Hersteller entwickeltes Cloud-Backend, ohne das die Maschine eine Funktion verliert, ist Teil des Produkts. Der CRA spricht hier von einer Datenfernverarbeitungslösung (Art. 3 Nr. 1 und 2).
• Indirekte Verbindung reicht: Ein Sensor ohne eigene Netzwerkadresse, der per Feldbus an einer vernetzten SPS hängt, ist nach dem Wortlaut von Art. 3 Nr. 10 über das größere System indirekt verbunden. Behördlich bestätigt ist diese Lesart bisher nicht.
• Nicht erfasst: rein mechanische oder elektromechanische Komponenten ohne digitale Elemente, etwa Getriebe, Lager oder Pneumatikzylinder ohne Elektronik. Identische Ersatzteile sind ausgenommen (Art. 2 Abs. 6): Laut Leitlinien der Kommission (Auslegung) gilt das für eine identische Ersatz-SPS, nicht aber für einen Ersatzchip mit anderer Kryptoimplementierung. Ausgenommen sind auch Produkte unter Sonderrecht wie Medizinprodukte (Art. 2 Abs. 2 bis 4).
• Rolle entscheidet, nicht die Branche: Pflichtig ist, wer das Produkt herstellt oder herstellen lässt und unter eigenem Namen vermarktet (Art. 3 Nr. 13). Ein Maschinenbauer, der Maschinen nur betreibt, ist insoweit nicht CRA-Hersteller. Ob Sie Hersteller, Einführer oder Händler sind, klärt der CRA-Betroffenheits-Check von NIS2Compass.

Laut Bitkom kennen 67 % der Unternehmen in Deutschland den CRA, aber nur 29 % wissen, was er für das eigene Unternehmen bedeutet. Befragt wurden 1.003 Unternehmen ab 10 Beschäftigten, nicht gezielt Hersteller.

Wann ist eine Industriekomponente nach dem CRA ein wichtiges oder kritisches Produkt?

Wichtig oder kritisch ist ein Produkt nur, wenn seine Kernfunktion einer Kategorie aus Anhang III oder IV entspricht. Für Maschinenbauer betrifft das vor allem Router, Switches, VPN-Gateways, Netzschnittstellen, Betriebssysteme und Firewalls, die sie als eigenes Produkt verkaufen. Eine SPS oder ein HMI steht dort nicht als eigene Kategorie.

Anhang III der Cyberresilienz-Verordnung nennt 23 Kategorien wichtiger Produkte, davon 19 in Klasse I und 4 in Klasse II. Anhang IV listet 3 Kategorien kritischer Produkte. Technisch beschrieben sind sie in der Durchführungsverordnung (EU) 2025/2392. Typisch für den Maschinenbau:

• Produkte mit VPN-Funktion (Klasse I Nr. 5): etwa Fernwartungsgateways, deren Kernfunktion der VPN-Tunnel ist.
• Physische und virtuelle Netzschnittstellen (Nr. 10): laut Durchführungsverordnung ausdrücklich auch Feldbus-Controller und -Adapter.
• Betriebssysteme (Nr. 11): auch Echtzeit-Betriebssysteme als eigenes Produkt.
• Router, Modems für die Internetanbindung und Switches (Nr. 12): darunter Managed Switches.
• Mikrocontroller mit sicherheitsrelevanten Funktionen (Nr. 14): relevant für Anbieter eigener Steuerungselektronik.
• Firewalls (Klasse II Nr. 2): etwa eine Industrie-Firewall. Hier ist die Konformitätsbewertung durch Dritte Pflicht (Art. 32 Abs. 3).

In Klasse I reicht die Selbstbewertung nach Modul A nur, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema vollständig angewandt werden (Art. 32 Abs. 2). Diese Normen sind laut BSI-Themenseite zum Cyber Resilience Act noch in Entwicklung. Anhang IV betrifft den Maschinenbau selten. Smart-Meter-Gateways sind kritische Produkte nach Anhang IV Nr. 2.

Die Leitlinien der Kommission sind Auslegung, nicht verbindlich. Maßgeblich sind danach die technischen Fähigkeiten, nicht die Vermarktung. Ein Edge-Gateway ist ein Grenzfall: Sammelt es vor allem Maschinendaten, ist seine Kernfunktion eine andere als beim Router. Liegt sie im Routing oder im VPN-Tunnel, spricht viel für Klasse I.

Macht ein eingebauter Router die ganze Maschine zum wichtigen Produkt?

Nein. Nach Art. 7 Abs. 1 Satz 2 CRA macht der Einbau eines wichtigen Produkts das Gesamtprodukt nicht selbst zum wichtigen Produkt. Die Kommission wendet diese Logik in ihren Leitlinien auch auf kritische Produkte an (Rn. 141, Auslegung). Trotzdem gilt für zugekaufte Komponenten die Sorgfaltspflicht nach Art. 13 Abs. 5, und die Sicherheit der Maschine bewerten Sie als Ganzes (Durchführungsverordnung 2025/2392, Erwägungsgrund 3).

Was ändert der CRA konkret für einen mittelständischen Maschinenbauer?

Ein Maschinenbauer, der vernetzte Maschinen unter eigenem Namen verkauft, ist CRA-Hersteller und meldet seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen. Ab dem 11. Dezember 2027 braucht jede neu in Verkehr gebrachte vernetzte Maschine eine CRA-Konformitätsbewertung. Verkauft er zusätzlich ein eigenes VPN-Gateway, gilt dafür das strengere Verfahren für wichtige Produkte.

Angenommen, ein Hersteller von Verpackungsmaschinen mit 140 Beschäftigten verkauft unter eigener Marke in der EU. Jede Maschine enthält eine zugekaufte SPS, ein HMI-Panel, eigene Maschinensoftware und ein selbst entwickeltes Fernwartungs-Gateway, das er auch einzeln verkauft. Nach NIS2 ist er wichtige Einrichtung (Anlage 2 Nr. 5.4, § 28 Abs. 2 BSIG).

Bisher regelte er Cybersicherheit vor allem im Kundenvertrag, produktrechtlich galt die Maschinenrichtlinie 2006/42/EG. Seit dem 11. September 2026 meldet er aktiv ausgenutzte Schwachstellen nach Art. 14 CRA, auch für ausgelieferte Maschinen (Art. 69 Abs. 3). Den Ablauf beschreibt CRA-Meldepflicht: Art. 14 vs. § 32 BSIG. Ab dem 11. Dezember 2027 kommen Anhang I samt Software-Stückliste (SBOM), Konformitätsbewertung und CE hinzu, für Bestandsmaschinen nur bei wesentlicher Änderung (Art. 69 Abs. 2).

Die Einstufung je Produkt:

• Maschine mit SPS und HMI: Standardkategorie, Selbstbewertung nach Modul A (Art. 32 Abs. 1). Die verbaute Komponente macht die Maschine nicht zum wichtigen Produkt (Art. 7 Abs. 1 Satz 2), die SPS bewertet er trotzdem mit (Art. 13 Abs. 5).
• Fernwartungs-Gateway mit Kernfunktion VPN: wichtiges Produkt nach Anhang III Klasse I Nr. 5. Modul A nur bei vollständig angewandten harmonisierten Normen, sonst Modul B + C oder H (Art. 32 Abs. 2).
• Zugekaufte SPS: Die Herstellerpflichten trägt der SPS-Hersteller. Der Maschinenbauer fordert Konformitätsnachweise und Update-Zusagen an.

Der Unterstützungszeitraum beträgt in der Regel mindestens fünf Jahre und richtet sich nach der erwarteten Nutzungsdauer (Art. 13 Abs. 8 CRA). Maschinen laufen oft deutlich länger, und das Enddatum muss beim Kauf mindestens mit Monat und Jahr feststehen (Art. 13 Abs. 19). Die Update-Zusage des SPS-Herstellers muss deshalb zur eigenen Zusage passen.

Verstöße gegen Art. 13 und 14 können ab dem 11. Dezember 2027 mit bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden (Art. 64 Abs. 2 CRA).

Der erste Schritt ist eine Produktliste je Maschinentyp: Komponente, Hersteller, Softwareversion, SBOM je Softwarestand, CRA-Kategorie und zugesagter Unterstützungszeitraum.

Ersetzt die Maschinenverordnung den CRA?

Nein. Wer eine vernetzte Maschine herstellt, muss ab 2027 beide Verordnungen erfüllen: die Maschinenverordnung (EU) 2023/1230 (MVO) ab dem 20. Januar 2027 und die Cybersicherheitsanforderungen des CRA ab dem 11. Dezember 2027. Die Maschinenverordnung schützt vor Gefahren durch Manipulation, der CRA regelt die Cybersicherheit über den gesamten Lebenszyklus.

Zwischen beiden Terminen liegen knapp elf Monate. Das MVO-Datum folgt aus der Berichtigung im ABl. L 169 vom 04.07.2023. Nach Erwägungsgrund 53 der Cyberresilienz-Verordnung sollten Hersteller solcher Maschinen „sowohl die grundlegenden Cybersicherheitsanforderungen der vorliegenden Verordnung als auch die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen gemäß der Verordnung (EU) 2023/1230 erfüllen".

Die Maschinenverordnung enthält in Anhang III zwei Anforderungen mit Cyberbezug:

• 1.1.9 Schutz gegen Korrumpierung: Angeschlossene Geräte dürfen keine Gefährdung auslösen. Sicherheitsrelevante Software und Daten sind zu schützen, Eingriffe sind zu protokollieren.
• 1.2.1 Sicherheit und Zuverlässigkeit von Steuerungen: Steuerungen müssen vorhersehbaren böswilligen Angriffen Dritter standhalten, die zu Gefährdungen führen.

Der Unterschied liegt im Schutzziel: Die Maschinenverordnung schützt Personen (Safety), der CRA das Produkt selbst (Security), inklusive Schwachstellenbehandlung über den Unterstützungszeitraum (Anhang I Teil II CRA).

Keine der beiden Verordnungen ordnet eine gegenseitige Konformitätsvermutung an. Laut Erwägungsgrund 53 „könnte" der CRA die Einhaltung von 1.1.9 und 1.2.1 „erleichtern". Beide Konformitätsbewertungen bleiben Pflicht.

Eine Brücke gibt es nur über den Cybersecurity Act: Maschinen mit Zertifikat oder Konformitätserklärung nach einem im Amtsblatt veröffentlichten Schema der Verordnung (EU) 2019/881 gelten als konform mit 1.1.9 und 1.2.1, soweit der Nachweis diese abdeckt (Art. 20 Abs. 9 MVO). Für beide Rechtsakte erstellen Sie eine einzige EU-Konformitätserklärung (Art. 28 Abs. 3 CRA, Art. 21 Abs. 3 MVO).

Für bestehende Bescheinigungen gibt es einen Übergang. Nach Auslegung der Kommission (Leitlinien Rn. 255–257, nicht verbindlich) gilt eine MVO-Baumusterprüfbescheinigung für die Risiken aus 1.1.9 und 1.2.1 auch unter dem CRA, längstens bis 11. Juni 2028 (Art. 69 Abs. 1 CRA). Weitere CRA-Risiken deckt sie nicht ab.

Legen Sie je Maschinentyp eine gemeinsame Risikobeurteilung für Safety und Security an und führen Sie die Nachweise beider Verordnungen in einer Konformitätserklärung zusammen.

Welche CRA-Pflichten gelten seit dem 11. September 2026 und welche erst später?

Für Hersteller gilt seit dem 11. September 2026 bislang nur die Meldepflicht nach Art. 14 CRA. Die Maschinenverordnung gilt ab dem 20. Januar 2027, alle übrigen CRA-Pflichten samt Bußgeldern ab dem 11. Dezember 2027. Als Maschinenbauer ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme ist Ihr eigener Betrieb davon unabhängig seit dem 6. Dezember 2025 NIS2-pflichtig.

• Seit 6. Dezember 2025, NIS2: Maschinenbauer ab der Größenschwelle sind wichtige Einrichtungen (Anlage 2 Nr. 5.4 BSIG), Pflichten nach § 30 BSIG und § 32 BSIG.
• Seit 11. Juni 2026, CRA Kapitel IV: Notifizierung der Konformitätsbewertungsstellen, keine Herstellerpflicht.
• Seit 11. September 2026, CRA Art. 14: Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, Frühwarnung binnen 24 Stunden (Art. 14 Abs. 2 Buchst. a und Abs. 4 Buchst. a CRA). Das gilt auch für Altbestand (Art. 69 Abs. 3).
• Ab 20. Januar 2027, Maschinenverordnung: gilt für neu in Verkehr gebrachte Maschinen (Art. 54 Abs. 2, berichtigte Fassung).
• Ab 11. Dezember 2027, CRA vollständig: Anhang I, Konformitätsbewertung, CE, Einführer und Händler (Art. 19 bis 22), Bußgelder nach Art. 64, so Art. 71 Abs. 2 CRA.

Für Ihre eigene IT und Fertigung gilt NIS2, für die Maschinen, die Sie verkaufen, gelten CRA und Maschinenverordnung. Bisher war die Meldepflicht eine Frage des Betriebs, seit dem 11. September 2026 gibt es zusätzlich eine Meldepflicht für das Produkt. Hintergrund: CRA und NIS2 im Vergleich und NIS2-Meldepflichten.

Für die NIS2-Seite finden Sie im Vorlagen-Katalog von NIS2Compass Vorlagen etwa zum Vorfallsmanagement und zur Schulung der Leitungsorgane.

Was bedeutet der CRA für Stadtwerke beim Smart-Meter-Gateway?

Smart-Meter-Gateways sind kritische Produkte nach Anhang IV Nr. 2 CRA, die Pflichten treffen aber ihren Hersteller. Ein Stadtwerk, das Gateways einkauft und einsetzt, wenn es als Messstellenbetreiber auftritt, ist nicht CRA-Hersteller. Der CRA wirkt dort über die Beschaffung: Konformitätsnachweis, zugesagter Unterstützungszeitraum und Herstellerhinweise zu Schwachstellen.

Anhang IV CRA kennt nur drei Kategorien kritischer Produkte. Nr. 2 nennt „Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung". Laut Durchführungsverordnung (EU) 2025/2392 steuern sie die Kommunikation mit befugten Dritten wie Versorgern, verschlüsseln Messdaten und enthalten Firewall-Funktionen. Gateways für Gas oder Wärme können darunterfallen.

Die Konformitätsbewertung liegt beim Hersteller. Eine europäische Cybersicherheitszertifizierung ist nur Pflicht, wenn die Kommission sie per delegiertem Rechtsakt nach Art. 8 Abs. 1 vorschreibt. Bis dahin gelten Verfahren mit Beteiligung Dritter (Art. 32 Abs. 3 und 4).

In Deutschland braucht ein Gateway schon heute grundsätzlich ein BSI-Zertifikat nach Common Criteria oder EUCC (§ 24 Abs. 1 MsbG), ohne gültiges Zertifikat kein Einsatz im intelligenten Messsystem (Abs. 4). Ob es für die CRA-Konformität angerechnet wird, ist offen.

Das Stadtwerk ist NIS2-Einrichtung im Sektor Energie (Anlage 1 BSIG). Für den Netz- und Anlagenbetrieb gelten statt §§ 30 und 32 BSIG die §§ 5c bis 5e EnWG (§ 28 Abs. 5 BSIG). § 5c EnWG verlangt angemessenen Schutz schon bei der Beschaffung. Hier setzt der CRA an, mehr dazu für Stadtwerke und Energieversorger.

Was der CRA dem Einkauf liefert:

• Enddatum des Unterstützungszeitraums: mindestens Monat und Jahr beim Kauf (Art. 13 Abs. 19), für Produkte ab dem 11. Dezember 2027.
• Hinweise zu aktiv ausgenutzten Schwachstellen: seit dem 11. September 2026 (Art. 14 Abs. 8), auch für eingesetzte Bestandsgeräte (Art. 69 Abs. 3).
• CE-Kennzeichnung und EU-Konformitätserklärung: mit CRA-Bezug für Gateways ab dem 11. Dezember 2027.

CRA-Hersteller wird ein Stadtwerk erst, wenn es ein Produkt mit digitalen Elementen unter eigenem Namen vermarktet (Art. 3 Nr. 13), zum Beispiel eine Kunden-App. Das klärt der CRA-Betroffenheits-Check.

Ergänzen Sie in laufenden Ausschreibungen und Rahmenverträgen für Gateways und Leittechnik drei Punkte: Unterstützungszeitraum mit Enddatum, Benachrichtigungsweg für Schwachstellenhinweise und ab dem 11. Dezember 2027 den CRA-Konformitätsnachweis neben dem BSI-Zertifikat nach MsbG.

Häufig gestellte Fragen

Ist eine SPS ein wichtiges Produkt nach dem CRA?

Nicht automatisch: Anhang III CRA führt SPS nicht als eigene Kategorie. Eine Steuerung ist nur dann wichtig, wenn ihre Kernfunktion einer Anhang-III-Kategorie entspricht, etwa Router oder Firewall. Ein verbautes Netzmodul ändert daran nichts (Art. 7 Abs. 1). Als Produkt mit Datenverbindung fällt sie aber unter den CRA und braucht ab 11. Dezember 2027 eine Konformitätsbewertung.

Bin ich als Maschinenbauer CRA-pflichtig, wenn ich Maschinen nur betreibe?

Nein, nicht als Hersteller. Die CRA-Pflichten treffen, wer Produkte mit digitalen Elementen herstellt oder herstellen lässt und unter eigenem Namen vermarktet (Art. 3 Nr. 13). Ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme gilt für Ihre eigene IT und Produktion NIS2. Hersteller müssen Sie seit September 2026 über aktiv ausgenutzte Schwachstellen informieren.

Gelten CRA und Maschinenverordnung gleichzeitig?

Ja, für vernetzte Maschinen gelten beide nebeneinander. Die Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027, der CRA vollständig ab dem 11. Dezember 2027. Erwägungsgrund 53 CRA stellt klar, dass Hersteller beide Anforderungen erfüllen sollten. Für ein Produkt erstellen Sie eine gemeinsame EU-Konformitätserklärung für alle anwendbaren Rechtsakte (Art. 28 Abs. 3 CRA).

Muss ein Stadtwerk für Smart-Meter-Gateways eine CRA-Konformitätsbewertung durchführen?

Nein, die Konformitätsbewertung ist Sache des Gateway-Herstellers. Smart-Meter-Gateways stehen in Anhang IV CRA. Tritt das Stadtwerk als Messstellenbetreiber auf, setzt es die Gateways ein und achtet beim Einkauf auf Konformitätsnachweis und Unterstützungszeitraum. Unabhängig davon dürfen in Deutschland grundsätzlich nur Gateways mit gültigem BSI-Zertifikat nach § 24 MsbG eingesetzt werden.