Question 1

Für wen gilt der Cyber Resilience Act im Anlagenbau und für Integratoren?

Accepted Answer

Der CRA gilt für Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden – im Anlagenbau also für Steuerungen, vernetzte Komponenten und die Anlage als Gesamtsystem mit Software-Anteil. Wer als Anlagenbauer oder Integrator Komponenten Dritter integriert und unter eigenem Namen in Verkehr bringt, gilt selbst als Hersteller im Sinne des CRA und trägt dessen Pflichten.

Question 2

Ab wann gelten die CRA-Meldepflichten für Anlagenbauer und Integratoren?

Accepted Answer

Die Meldepflichten des Cyber Resilience Act (CRA) greifen ab dem 11. September 2026. Ab diesem Stichtag müssen Hersteller – auch Anlagenbauer und Integratoren – aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die zuständige nationale Behörde (CSIRT) und die ENISA melden. Die übrigen CRA-Anforderungen gelten vollständig ab dem 11. Dezember 2027.

Question 3

Was muss innerhalb von 24 Stunden gemeldet werden?

Accepted Answer

Die festen Fristen gelten gegenüber den Behörden: Über die zentrale Meldeplattform der ENISA ist bei einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall innerhalb von 24 Stunden nach Kenntnisnahme eine Frühwarnung an den koordinierenden CSIRT und die ENISA abzugeben, innerhalb von 72 Stunden eine ausführlichere Meldung und später ein Abschlussbericht. Die betroffenen Nutzer unterrichtet der Hersteller dagegen nicht nach Stundenfrist, sondern „unverzüglich“ über Schwachstelle bzw. Vorfall und etwaige Gegenmaßnahmen. Für Anlagenbauer und Integratoren mit hunderten Komponenten je Anlage ist beides ohne automatisiertes Schwachstellenmanagement kaum einzuhalten.

Question 4

Was ist eine SBOM – und wofür braucht ein Anlagenbauer sie?

Accepted Answer

Eine SBOM (Software Bill of Materials) ist ein vollständiges Inventar aller Softwarekomponenten eines Produkts. Der CRA verlangt, dass Hersteller ihre Komponenten kennen und dokumentieren. Für Anlagenbauer ist die SBOM die Grundlage, um bei einer gemeldeten Schwachstelle sofort zu erkennen, welche Anlagen betroffen sind.

Question 5

Wie funktioniert das Lieferanten-Schwachstellen-Monitoring?

Accepted Answer

Werkspilot überwacht kontinuierlich die Sicherheitsmeldungen Ihrer Lieferanten – strukturierte CSAF-Feeds ebenso wie Mailinglisten, RSS oder unstrukturierte E-Mails. Jede neue Schwachstelle wird automatisch mit Ihren Anlagen im Feld abgeglichen, sodass Sie sofort sehen, welche Anlagen betroffen sind. Aus diesem laufenden Monitoring entsteht ein zentraler, normalisierter Überblick statt verstreuter Einzelmeldungen.

Question 6

Was ist CSAF – und welche Rolle spielt es beim Monitoring?

Accepted Answer

CSAF (Common Security Advisory Framework) ist ein maschinenlesbares Standardformat für Sicherheitsmeldungen, das zunehmend von Herstellern und Behörden wie BSI und CISA genutzt wird. Maschinenlesbare CSAF-Feeds lassen sich automatisch verarbeiten – die Grundlage, um Lieferanten-Schwachstellen ohne manuelle Recherche zu überwachen und betroffene Anlagen sofort zuzuordnen.

Question 7

Wie lange müssen Sicherheitsupdates nach CRA bereitgestellt werden?

Accepted Answer

Hersteller müssen Schwachstellen über den Supportzeitraum hinweg behandeln und Sicherheitsupdates bereitstellen – mindestens fünf Jahre, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist. Bei langlebigen Industrieanlagen kann dieser Zeitraum entsprechend länger ausfallen.

Question 8

Welche Strafen drohen bei Verstößen gegen den CRA?

Accepted Answer

Bei Verstößen gegen die wesentlichen Cybersicherheitsanforderungen sieht der CRA Geldbußen von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Schon deshalb sollten Anlagenbauer und Integratoren Schwachstellen- und Meldeprozesse frühzeitig etablieren.

Question 9

Wie hängen Cyber Resilience Act und Maschinenverordnung zusammen?

Accepted Answer

Die EU-Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027 und enthält eigene Cybersicherheitsanforderungen. CRA und Maschinenverordnung greifen ineinander: Wer die CRA-Anforderungen an Schwachstellenbehandlung, SBOM und Security by Design erfüllt, deckt damit wesentliche Cybersecurity-Pflichten der Maschinenverordnung ab. Als technische Orientierung dient die Normenreihe IEC 62443.

Question 10

Was ist eine STRIDE-Bedrohungsanalyse und wann brauche ich sie?

Accepted Answer

STRIDE ist eine strukturierte Methode der Bedrohungsmodellierung (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege). Für die Risikobeurteilung einer Anlage nach Maschinenverordnung und CRA identifiziert eine STRIDE-Analyse systematisch Angriffspunkte an den Schnittstellen und leitet Schutzmaßnahmen ab. Wir erstellen STRIDE-Risikobewertungen für Anlagen als Grundlage einer prüffähigen Sicherheitsdokumentation.

Question 11

Wie unterstützt Werkspilot beim Schwachstellenmanagement über die Lieferkette?

Accepted Answer

Werkspilot erfasst alle Lieferantenmeldungen – von CSAF bis E-Mail – zentral, identifiziert automatisch die betroffenen Anlagen und ermöglicht es, eine bewertete Meldung fristgerecht an Ihre Kunden weiterzugeben. So erfüllen Sie die CRA-Meldekette über hunderte Komponenten und Anlagen hinweg, ohne manuell jeden Feed zu prüfen.

CRA-Schwachstellenmanagement für Anlagenbauer und Integratoren — über die gesamte Lieferkette.

Aktiv ausgenutzte Lieferanten-Schwachstellen müssen nach CRA binnen 24h weitergegeben werden.

Von der Lieferantenmeldung zur Kundenmeldung in einer Plattform.

STRIDE-Bedrohungsanalyse Ihrer Anlagen für CRA und Maschinenverordnung.

Fachbeiträge zu CRA und Maschinenverordnung.

CRA-Meldepflicht ab September 2026: Welche Anlagen sind betroffen?

CRA und Maschinenverordnung für Anlagenbauer und Integratoren: Was ab 2026 gilt

Häufige Fragen zu CRA, Maschinenverordnung und Schwachstellenmanagement für Anlagenbauer und Integratoren.

Gespräch vereinbaren.