Gilt das wirklich für alle Altmaschinen?

Der zweite Praxisfall begann im eigenen Haus. Die Frage wurde intern gestellt, bevor sie je ein Kunde stellte, und das ist das stärkste Signal, dass sie eine öffentliche Antwort verdient. Wieder in fünf festen Abschnitten, wieder mit dem Abschnitt, der sagt, was das Produkt nicht löst.

Ausgangslage

Ein Hersteller von Abfüll- und Verpackungsanlagen, seit 30 Jahren am Markt, mit Maschinen im Feld aus drei Steuerungsgenerationen. Die ältesten laufen noch mit einer Steuerung, die der Lieferant 2016 abgekündigt hat. Als die Meldepflicht am 11. September 2026 in Kraft trat, kam die Frage aus der Konstruktion: „Das gilt doch sicher nur für die Maschinen der letzten fünf Jahre?“ Dann aus dem Vertrieb: „Die alten Linien verkaufen wir ja gar nicht mehr.“ Dann vom Kunden: „Ihr habt uns die Anlage 2014 geliefert – was geht mich der CRA an?“

Was das Gesetz verlangt

Zwei Absätze des Artikels 69 beantworten die Frage, und man muss beide lesen. Absatz 2 ist die Bestandsschutzregel: Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen der Verordnung nur, wenn sie ab diesem Datum wesentlich verändert werden. Eine 2014 gelieferte Anlage braucht also keine nachträgliche Software-Stückliste, keine CE-Kennzeichnung nach dem CRA und keine Konformitätsbewertung nach Anhang I, solange sie nicht wesentlich verändert wird.

Absatz 3 ist die Ausnahme, die zählt. Abweichend von Absatz 2 gilt Artikel 14, die Meldepflicht, für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Alle. Ohne untere Zeitgrenze, ohne Altersgrenze, ohne Ausnahme für abgekündigte, nicht mehr verkaufte oder nicht mehr unterstützte Produkte. Die Anlage von 2014 ist seit dem 11. September 2026 meldepflichtig, wenn eine aktiv ausgenutzte Schwachstelle in ihr bekannt wird oder sie von einem schwerwiegenden Vorfall betroffen ist.

Die Fünf-Jahres-Zahlen, die in jedem Gespräch auftauchen, stammen aus anderen Vorschriften und begrenzen die Meldepflicht nicht:

• Artikel 13 Absatz 8 des CRA verlangt einen Unterstützungszeitraum von mindestens fünf Jahren – oder der erwarteten Nutzungsdauer, wenn diese kürzer ist. Das regelt, wie lange Sicherheitsupdates für ein in Verkehr gebrachtes Produkt bereitzustellen sind, nicht, über welche Produkte zu melden ist.
• Die Maschinenverordnung verlangt in Anhang III Nummer 1.2.1 Buchstabe f ein Rückverfolgungsprotokoll, das fünf Jahre nach jedem Aufspielen sicherheitsrelevanter Software aufbewahrt wird. Auch das ist keine Grenze für Artikel 14.

Bleibt die Frage, die über die Zukunft der Altanlagen entscheidet: Was ist eine wesentliche Veränderung? Artikel 3 Nummer 30 definiert sie als eine Änderung nach dem Inverkehrbringen, die die Konformität mit den grundlegenden Cybersicherheitsanforderungen beeinträchtigt oder den bestimmungsgemäßen Zweck ändert. Erwägungsgrund 39 stellt klar: Ein Sicherheitsupdate, das das Risiko senkt und den Zweck nicht ändert, ist keine wesentliche Veränderung, selbst wenn es Funktionen einschränkt, um eine Schwachstelle zu schließen. Ob der eigene Umbau einer Altanlage durch den Originalhersteller eine wesentliche Veränderung ist, ist dagegen umstritten: Die Kommission hat am 27. Juli 2026 Anwendungsleitlinien veröffentlicht, und der VDMA hat sich dafür ausgesprochen, Umbauten durch den Originalhersteller nicht als wesentliche Veränderung zu werten. Verbindlich auslegt am Ende nur der Gerichtshof. Wer heute entscheidet, sollte seine Lesart dokumentieren: mit Quellen, Annahmen und dem Anlass, sie zu überprüfen.

Was ohnehin zu tun ist

• Die Flotte nach dem Übergabedatum je Anlage sortieren; das Baujahr der Steuerung ist dafür unerheblich. Das Übergabedatum ist der Bezugspunkt für Bestandsschutz, Unterstützungszeitraum und spätere Retrofits.
• Die Retrofit-Historie je Anlage festhalten: Was wurde wann umgebaut, von wem, mit welcher Softwareversion? Ohne diese Liste lässt sich die Frage nach der wesentlichen Veränderung für keine einzige Anlage beantworten.
• Die eigene Position zu Retrofits als dokumentierte Entscheidung niederlegen, nicht als Annahme im Kopf des Entwicklungsleiters. Quellen, Annahmen, Überprüfungsanlässe.
• Den Unterstützungszeitraum je Produkt festlegen und begründen: erwartete Nutzungsdauer, Einsatzkontext, Verfügbarkeit der Komponenten. Für die Altanlagen ist das keine CRA-Pflicht, aber die Frage, bis wann Sie noch Updates liefern können, stellt der Kunde trotzdem.

Wo Resilic abkürzt

Resilic ist kein Rechtsgutachten. Es hält die Fakten fest, aus denen Ihre Entscheidung folgt, und macht sie wiederauffindbar:

• Das Produktregister führt je Produkt den Unterstützungszeitraum mit Beginn, Ende, erwarteter Nutzungsdauer und einer begründeten, von einer Person unterschriebenen Festlegung, und warnt, wenn eine verbaute Komponente vor dem Ende des Zeitraums ausläuft.
• Sonderprodukte tragen das Übergabedatum als Inverkehrbringen: je gelieferte Anlage ein Produkt, mit eigener Version und eigenen Installationen, statt einer anonymen Flotte.
• Installationen zeigen je Kunde und Standort, welche Version tatsächlich läuft; der Betreiber bestätigt sie im Kundenportal. Welche Anlage einen Retrofit bekommen hat, steht damit an einem Ort.
• Die Meldefähigkeit für die Altanlagen, also Korrelation, Triage und Meldekaskade, ist dieselbe wie für neue Produkte. Artikel 69 Absatz 3 macht keinen Unterschied, Resilic auch nicht.

Was es nicht löst

• Resilic entscheidet nicht, ob ein Umbau eine wesentliche Veränderung ist. Die Frage ist rechtlich umstritten, und eine Software, die sie per Regel beantwortet, würde Ihnen eine Sicherheit vorspiegeln, die es nicht gibt. Eine Entscheidungsvorlage, die Ihre Lesart mit Quellen und Überprüfungsanlässen festhält, steht auf unserer Roadmap und ist noch keine Funktion.
• Resilic legt keinen Unterstützungszeitraum fest. Es verlangt eine Begründung und eine Unterschrift; die Zahl kommt von Ihnen.
• Resilic liest die Leitlinien der Kommission nicht für Sie. Wir zitieren die Verordnung und nennen, was umstritten ist; die Auslegung bleibt bei Ihnen und Ihrer Rechtsberatung.

Wenn Ihre Flotte auch drei Steuerungsgenerationen umfasst: Der erste Praxisfall beschreibt, wie ein Hersteller mit 450 Anlagen im Feld meldefähig wird. Und die kostenlose CRA-Anwendbarkeitsprüfung zeigt in fünf Fragen, welche Fristen für Sie gelten.