Gilt der EU Cyber Resilience Act für Maschinenbauer?

Wenn Sie Maschinen bauen, die Software oder Firmware enthalten, und diese in der EU verkaufen, lautet die kurze Antwort: sehr wahrscheinlich ja. Der EU Cyber Resilience Act (Regulation (EU) 2024/2847) gilt für „Produkte mit digitalen Elementen", die auf dem EU-Markt bereitgestellt werden – und eine moderne Industriemaschine mit ihren Steuerungen, ihrer Firmware und ihrer Konnektivität fällt genau darunter.

Was „Produkte mit digitalen Elementen" bedeutet

Ein Produkt mit digitalen Elementen ist jedes Software- oder Hardwareprodukt – einschließlich seiner Lösungen zur Datenfernverarbeitung –, dessen bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine Datenverbindung zu einem Gerät oder Netz umfasst. In der Praxis qualifiziert sich Ihre Maschine, wenn sie Firmware ausführt, eine PLC oder einen IPC einbettet oder aus der Ferne gewartet werden kann. Rein mechanische oder elektrische Ausrüstung ohne digitale Elemente fällt nicht unter den CRA – doch sobald eine Variante Software oder Konnektivität hinzufügt, fällt diese Variante in den Anwendungsbereich.

Er gilt extraterritorial

Ein Sitz außerhalb der EU stellt Sie nicht außer Reichweite. Der CRA gilt für jeden Hersteller, der Produkte auf dem EU-Markt bereitstellt, unabhängig davon, wo er seinen Hauptsitz hat. Auch Einführer und Händler tragen eigene Pflichten. Wenn Ihre Maschinen EU-Kunden erreichen – direkt oder über einen Händler oder Systemintegrator –, planen Sie so, als seien Sie im Anwendungsbereich.

Der Anwendungsbereich greift nicht auf einen Schlag

Das ist der Punkt, den die meisten Zusammenfassungen falsch verstehen. Die Pflichten treten in Wellen in Kraft:

• 11. September 2026 – die Meldepflicht nach Artikel 14 beginnt. Sie müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Dies gilt auch für Produkte, die sich bereits im Feld befinden.
• 11. Dezember 2027 – vollständige Anwendung: SBOM, Security-by-Design, Schwachstellenbehandlung, technische Dokumentation, CE-Kennzeichnung und Konformitätsbewertung (Art. 13 / Anhang I).

Die kurzfristige Aufgabe lautet also nicht „vollständig CRA-konform werden" – sondern bis September 2026 in der Lage zu sein, zu erkennen und zu melden. Wer beides vermengt, verleitet Teams entweder zur Panik oder zum Aufschieben.

Und die Konformitätsklasse?

Rund 90 % der Produkte fallen in die Standardklasse, in der der Hersteller die Selbstbewertung durchführt, eine EU-Konformitätserklärung ausstellt und die technische Dokumentation führt. Die Klassen „wichtig" und „kritisch" unterliegen einer strengeren Bewertung, mitunter unter Einbindung eines Dritten. Die meisten Maschinenbauer befinden sich in der Standardklasse – bestätigen Sie Ihre Einstufung jedoch, statt sie anzunehmen.

Eine schnelle Möglichkeit zur Prüfung

Unser kostenloser CRA Scope Check führt Sie durch fünf Fragen und gibt eine indikative Einschätzung zu Ihrem Anwendungsbereich und den für Sie geltenden Fristen. Er ist keine Rechtsberatung, aber ein schneller, ehrlicher Ausgangspunkt – und er weist Sie auf die Frist hin, die am nächsten liegt: die Readiness für Artikel 14.