450 Maschinen im Feld, kein SBOM – und die Meldepflicht gilt seit fünf Wochen

Dies ist der erste unserer Praxisfälle: Situationen aus Gesprächen mit Maschinenbauern, anonymisiert zum Archetyp, in fünf festen Abschnitten. Sie sollen nach dem Lesen entscheiden können, ob das Ihr Problem ist und was es kostet, es zu lösen. Der letzte Abschnitt sagt, was Resilic nicht löst. Er ist der Grund, dem Rest zu glauben.

Ausgangslage

Ein Maschinenbauer mit rund 450 Anlagen im Feld, Kunden in der Pharma- und Lebensmittelindustrie, Steuerungen und Industrie-PCs von drei Lieferanten, dazu Fernwartungszugänge. Die Service-Abteilung weiß, welche Anlage wo steht: in Köpfen, in Excel und in den Auftragsakten. Ein Inventar der verbauten Software gibt es nicht. Ob die Firmware einer Steuerung von 2019 eine bekannte Schwachstelle trägt, erfährt das Unternehmen, wenn der Lieferant einen Brief schreibt oder der Kunde anruft. Seit dem 11. September 2026 muss dieses Unternehmen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle an die ENISA melden, und zwar für alle 450 Anlagen im Feld.

Was das Gesetz verlangt

Artikel 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847) gilt seit dem 11. September 2026. Er verlangt eine Kaskade von Meldungen über die Single Reporting Platform der ENISA, gerechnet ab dem Zeitpunkt, zu dem der Hersteller Kenntnis erlangt: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht: bei einer Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist, bei einem Vorfall innerhalb eines Monats nach der 72-Stunden-Meldung. Artikel 14 Absatz 8 verlangt außerdem, die betroffenen Nutzer zu informieren, nach Möglichkeit in einem strukturierten, maschinenlesbaren Format.

Die Frage, die in jedem Gespräch zuerst kommt: Gilt das auch für die alten Anlagen? Ja. Artikel 69 Absatz 3 ordnet ausdrücklich an, dass Artikel 14 für alle Produkte mit digitalen Elementen gilt, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Es gibt keine Altersgrenze, keine Ausnahme für abgekündigte Baureihen und keine Fünf-Jahres-Regel. Die Fünf-Jahres-Zahlen des Gesetzes betreffen den Unterstützungszeitraum und das Protokoll nach der Maschinenverordnung, nicht die Meldepflicht.

Ebenso wichtig ist, was Artikel 14 nicht verlangt. Bis zum 11. Dezember 2027 verlangt der CRA von diesem Unternehmen nicht:

• eine Software-Stückliste (SBOM) für die Anlagen im Feld. Das ist eine Pflicht aus Artikel 13 und Anhang I, und sie gilt für die vor dem 11. Dezember 2027 in Verkehr gebrachten Anlagen nur, wenn diese danach wesentlich verändert werden;
• Secure-by-Design, eine vollständige Schwachstellenbehandlung oder eine CE-Kennzeichnung nach dem CRA für die bestehende Flotte;
• eine Meldung für jede bekannte Schwachstelle. Gemeldet wird, was aktiv ausgenutzt wird, und was einen schwerwiegenden Vorfall darstellt.

Die Aufgabe heißt deshalb nicht „vollständig CRA-konform werden“, sondern: melden können. Innerhalb von 24 Stunden wissen, welche der 450 Anlagen die betroffene Komponente enthalten, und eine Meldung abgeben, die den Anforderungen der Plattform genügt. Das ist eine Frage der Bereitschaft.

Was ohnehin zu tun ist

Nichts davon setzt ein Werkzeug voraus. Wer die folgenden Punkte mit Tabellen und Disziplin erledigt, ist meldefähig:

• Die Flotte kennen: je Anlage den Kunden, den Standort, die Steuerung, den Industrie-PC und die Firmware-Stände, aus den Auftragsakten, aus dem Service, notfalls aus einem Besuch vor Ort.
• Die Schwachstellenquellen der Lieferanten lesen: die Sicherheitshinweise der Steuerungs- und IPC-Hersteller, die Europäische Schwachstellendatenbank EUVD, den KEV-Katalog der CISA für das, was tatsächlich ausgenutzt wird.
• Die Begriffe intern festlegen: Wer entscheidet, ob eine Schwachstelle „aktiv ausgenutzt“ und ein Vorfall „schwerwiegend“ ist, und innerhalb welcher Stunden.
• Die Meldestelle vorbereiten: Die Plattform verlangt eine benannte Vertretung mit EU-Login-Konto und Mehr-Faktor-Authentifizierung. Die ENISA empfiehlt, sich erst zu registrieren, wenn eine Meldung ansteht; eine noch laufende Prüfung durch das koordinierende CSIRT blockiert die Einreichung nicht.
• Den Ablauf einmal üben: eine fiktive Schwachstelle, die Uhr starten, die drei Stufen durchspielen, die Nutzerinformation vorbereiten.

Wo Resilic abkürzt

Resilic ist für genau diese Lage gebaut: eine Flotte im Feld, wenig Inventar, eine laufende Meldepflicht. Stand Oktober 2026 kürzt es an diesen Stellen ab:

• Produktregister mit Versionen und Installationen: welche Anlage bei welchem Kunden an welchem Standort läuft, mit einem Kundenportal, über das der Betreiber seine Anlagen bestätigt.
• Software-Stückliste je Version, hochgeladen, aus Komponenten zusammengestellt oder per Resilic Edge im Schaltschrank erfasst: ein Scanner im Maschinennetz, der mit lesenden Abfragen erkennt, welche Geräte und Firmware-Stände antworten.
• Korrelation gegen EUVD, NVD und den KEV-Katalog mit einer KI-Triage, die den aktiv ausgenutzten Treffer nach oben holt und zeigt, welche Installationen betroffen sind.
• Meldepflichtige Ereignisse mit laufender 24-Stunden- und 72-Stunden-Uhr, Erinnerungen, einem KI-Entwurf je Stufe und der Freigabe durch einen Menschen, der unterschreibt. Ein irrtümlich angelegtes Ereignis wird zurückgezogen, nie gelöscht; der Audit-Verlauf bleibt.
• Export im Feldformat der Plattform (Glossar v1 vom 10. September 2026), mit der hinterlegten meldenden Stelle und der primären und sekundären benannten Vertretung, zum Übertragen auf die Plattform Feld für Feld.
• CSAF-Sicherheitshinweise mit Kundenbenachrichtigung als Nachweis, dass die Nutzer informiert wurden.

Was es nicht löst

Vier Dinge, die Sie wissen sollten, bevor Sie uns glauben:

• Resilic rekonstruiert nicht, was 2018 in eine Anlage eingebaut wurde. Resilic Edge sieht, was im Netz antwortet, nicht, was in einer Firmware steckt. Die Stückliste einer Altanlage entsteht aus Ihren Akten, Ihrem Service und Ihren Lieferanten; Resilic hält sie fest und korreliert sie.
• Resilic reicht keine Meldung ein. Die Single Reporting Platform bietet zum Start keine Schnittstelle; der Export wird von Ihrer benannten Vertretung auf der Plattform übertragen. Das ist der vorgesehene Weg.
• Resilic entscheidet nicht, ob eine Schwachstelle aktiv ausgenutzt wird oder ein Vorfall schwerwiegend ist. Es zeigt KEV-Listung, Score und Betroffenheit; die Einstufung und die Unterschrift bleiben bei Ihnen.
• Resilic macht aus einer Altanlage kein konformes Produkt. Die Pflichten ab dem 11. Dezember 2027 bleiben Ihre Arbeit. Wir helfen, sie auf derselben Datenbasis anzugehen; die Meldefähigkeit ist der erste Schritt.

Wenn Sie sich in der Ausgangslage wiedererkannt haben: Die kostenlose CRA-Anwendbarkeitsprüfung zeigt in fünf Fragen, welche Fristen für Sie gelten. Und wenn Ihre Lage anders aussieht, schreiben Sie uns. Der nächste Praxisfall kommt aus einem Gespräch wie diesem.