Maschinen und Steuerungen: der CRA im Maschinenbau
Stand: 1. August 2026
Warum der klassische Maschinenbau vom CRA besonders betroffen ist: Steuerungen als digitale Elemente, die Doppelreferenz mit der Maschinenverordnung und typische Fallstricke.
Steuerung macht die Maschine zum CRA-Produkt
Sobald eine Maschine oder Anlage digitale Elemente enthält (eine Steuerung, Firmware, eine Netzwerkschnittstelle), ist sie ein Produkt mit digitalen Elementen im Sinne des CRA. Ein Weg über die Maschinenverordnung allein führt nicht an der Meldepflicht vorbei.
Für den Maschinenbau ist das die wichtigste Änderung seit Jahren: Cybersicherheit wird produktbezogene Pflicht, nicht mehr nur Betreiberaufgabe.
Doppelreferenz in der EU-Konformitätserklärung
Ab dem 20. Januar 2027 gilt die neue Maschinenverordnung, die Cybersicherheit ausdrücklich als Anforderung an Maschinen aufnimmt. Hersteller müssen in der EU-Konformitätserklärung dann beide Verordnungen referenzieren: die Maschinenverordnung und den CRA.
Praktisch bedeutet das: Die technische Dokumentation muss die Cyber-Risikobewertung enthalten, und die CE-Kennzeichnung der Maschine steht auch für die Einhaltung des CRA.
Typische Fallstricke im Maschinenbau
Erstens: Zugekaufte Steuerungen entlasten nicht. Wer die Maschine unter eigenem Namen verkauft, ist Hersteller des Gesamtprodukts und verantwortet auch die eingebauten Komponenten. Die Stückliste muss sie enthalten.
Zweitens die installierte Basis: Anlagen laufen oft 15 Jahre und länger. Für alle Maschinen, die beim Kunden in Betrieb sind, muss seit September 2026 eine Schwachstellenmeldung angenommen, bewertet und gemeldet werden können.
Drittens die Fernwartung: Eine dauerhafte oder wiederkehrende Fernwartungsverbindung ist ein digitales Element mit eigener Angriffsfläche und gehört in die Risikobewertung.
Häufige Fragen
Fällt eine Maschine mit SPS-Steuerung unter den CRA?
Ja. Steuerung und Firmware sind digitale Elemente; die Maschine ist damit ein Produkt im Sinne des CRA. Industriesteuerungen können zusätzlich der Klasse II zugeordnet sein.
Muss die Konformitätserklärung den CRA nennen?
Ja, sobald die jeweiligen Pflichten gelten: Die EU-Konformitätserklärung referenziert dann die Maschinenverordnung und den Cyber Resilience Act gemeinsam.
Wer ist verantwortlich für eine zugekaufte Steuerung in meiner Maschine?
Sie als Maschinenhersteller. Eingebaute Komponenten Dritter gehören zu Ihrem Produkt; Sie müssen sie in Stückliste und Risikobewertung berücksichtigen.
Quelle
Verordnung (EU) 2024/2847 im Volltext auf eur-lex.europa.eu
Verbindlich ist ausschließlich der Verordnungstext in seiner jeweils geltenden Fassung.