Wer meldet, wenn die Anlage von Ihnen und die Inspektion vom Partner kommt?

Der dritte Praxisfall handelt von Rollen. Kaum eine Anlage kommt heute aus einer Hand, und der CRA verteilt seine Pflichten entlang der Frage, wer was in Verkehr bringt. Wieder fünf feste Abschnitte, wieder mit dem Abschnitt, was Resilic nicht löst. Hier ist er besonders kurz.

Ausgangslage

Eine Verpackungslinie für einen Lebensmittelhersteller: die Grundmaschine von Ihnen, die Kamerainspektion von einem Partnerunternehmen als eigenes Modul, Steuerung und Antriebe von zwei Lieferanten, die Inbetriebnahme beim Kunden durch Ihr Serviceteam. Die Linie läuft seit 2023. An einem Dienstag meldet der KEV-Katalog der CISA eine aktiv ausgenutzte Schwachstelle in der Firmware der Inspektionskamera. Ihr Kunde liest es in der Fachpresse und ruft bei Ihnen an, nicht beim Partner. Wer meldet jetzt, bis wann, und wem?

Was das Gesetz verlangt

Der CRA knüpft die Herstellerrolle an das Produkt, das in Verkehr gebracht wird. Nach Artikel 3 Nummer 1 ist auch eine separat in Verkehr gebrachte Komponente mit digitalen Elementen selbst ein Produkt mit digitalen Elementen; ihr Lieferant ist Hersteller mit eigenen, vollständigen Pflichten. Daraus folgt für die Linie:

• Der Kamerahersteller ist Hersteller der Kamera und ihrer Firmware. Die aktiv ausgenutzte Schwachstelle in dieser Firmware ist zuerst seine Meldung nach Artikel 14, für sein Produkt.
• Der Partner, der das Inspektionsmodul als eigenes Produkt liefert, ist Hersteller dieses Moduls, einschließlich seiner eigenen Software und Integration. Betrifft die Schwachstelle sein Modul und wird sie dort ausgenutzt, meldet er für sein Modul.
• Sie sind Hersteller der Linie, die Sie in Verkehr gebracht haben – einschließlich Ihrer SPS-Applikation, des HMI-Projekts und der Integration. Betrifft die Schwachstelle Ihr Produkt und wird sie aktiv ausgenutzt, melden Sie für Ihr Produkt, auf derselben 24-Stunden-, 72-Stunden- und Abschlussbericht-Kaskade. Und Sie informieren Ihre Nutzer nach Artikel 14 Absatz 8. Der Kunde hat nicht umsonst bei Ihnen angerufen.
• Rein mechanische Teile sind außerhalb des Anwendungsbereichs. Ersatzteile sind nur dann ausgenommen, wenn sie identische Komponenten nach derselben Spezifikation ersetzen (Artikel 2 Absatz 6); ein verbessertes Austauschteil ist es nicht.
• Wer Komponenten eines außerhalb der EU ansässigen Herstellers unter dessen Namen in Verkehr bringt, ist Einführer (Artikel 3 Nummer 16), mit eigenen Pflichten, die beim Zukauf von Kameras und Industrie-PCs oft übersehen werden.

Ab dem 11. Dezember 2027 kommt die Sorgfaltspflicht nach Artikel 13 Absätze 5 und 6 hinzu: Bei der Integration von Drittkomponenten prüfen Sie, dass sie die Cybersicherheit Ihres Produkts nicht beeinträchtigen, und melden eine in einer Komponente erkannte Schwachstelle an deren Hersteller. Und ab dem 20. Januar 2027 gilt die Maschinenverordnung (EU) 2023/1230 für die Linie als Maschine, mit Cybersicherheit als grundlegender Sicherheits- und Gesundheitsschutzanforderung: Schutz gegen Korrumpierung (Anhang III Nummer 1.1.9), Steuerungen, die vernünftigerweise vorhersehbaren böswilligen Einwirkungen standhalten (1.2.1), und das Rückverfolgungsprotokoll (1.2.1 Buchstabe f). Hersteller der Maschine im Sinne der Maschinenverordnung ist, wer die Linie als Ganzes in Verkehr bringt, in diesem Fall Sie.

Was ohnehin zu tun ist

• Ein Lieferantenverzeichnis mit dem Kontaktpunkt für Sicherheitsmeldungen je Lieferant und Partner: der PSIRT- oder Advisory-Kanal, nicht die Vertriebsadresse.
• Vertraglich klären, wer wen innerhalb welcher Frist informiert: der Kamerahersteller den Partner, der Partner Sie, Sie den Kunden. Ein 24-Stunden-Fenster lässt keine Zeit, das am Tag selbst auszuhandeln.
• Die eigene Rolle je Komponente festhalten (Hersteller, Einführer oder Händler) und dokumentieren, welche Teile außerhalb des Anwendungsbereichs liegen und warum.
• Die Dokumentation der Linie so führen, dass sie 2027 für die Maschinenverordnung und die technische Dokumentation nach dem CRA wiederverwendbar ist: welche Software, welche Version, welche Zugänge.

Wo Resilic abkürzt

• Das Lieferantenverzeichnis mit einer Akte je Lieferant: Identität, PSIRT- und Advisory-Kanal, erklärte Support-Zusagen, erklärter Konformitätsstatus und der Qualifizierungsstatus, den Ihre Organisation selbst festlegt und unterschreibt.
• Die Software-Stückliste je Version nennt den Lieferanten je Komponente; die Korrelation gegen EUVD, NVD und KEV zeigt, welche Komponente welchen Herstellers betroffen ist und welche Installationen bei welchen Kunden sie enthalten.
• Das meldepflichtige Ereignis trägt die betroffenen Installationen und die Meldekaskade für Ihr Produkt; die CSAF-Sicherheitshinweise mit Kundenbenachrichtigung dokumentieren, dass Sie Ihre Nutzer informiert haben.
• Die Doppel-Compliance-Sicht stellt Ihr Anhang-I-Register der Maschinenverordnung gegenüber, und das Evidence Pack sammelt je Produkt, was ein Prüfer sehen will: eine Evidenzbasis für beide Regulierungen.

Was es nicht löst

• Resilic bestimmt Ihre Rolle nicht. Wer Hersteller, Einführer oder Händler ist, folgt aus Verträgen und Lieferwegen. Das ist je Fall eine Rechtsfrage, die Sie mit Ihrer Rechtsberatung klären.
• Resilic meldet nicht für den Partner und übernimmt keine Pflicht des Kameraherstellers. Jeder meldet für sein Produkt; Resilic hilft Ihnen bei Ihrem.
• Resilic ersetzt keine vertragliche Informationskette. Es hält fest, wen Sie wann informiert haben. Ob der Partner Sie rechtzeitig informiert, regelt Ihr Vertrag.

Wenn Ihre Linien ebenfalls aus mehreren Händen kommen: Die Seite „Maschinen abbilden“ in unserer Dokumentation beschreibt, wer Hersteller wovon ist und was in die Stückliste der Maschine gehört. Und die kostenlose CRA-Anwendbarkeitsprüfung zeigt in fünf Fragen, welche Fristen für Sie gelten.