Question 1

Für wen gilt der Cyber Resilience Act im Maschinen- und Anlagenbau und für Integratoren?

Accepted Answer

Der CRA gilt für Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden – im Maschinen- und Anlagenbau also für Steuerungen, vernetzte Komponenten und die Anlage als Gesamtsystem mit Software-Anteil. Wer als Anlagenbauer oder Integrator Komponenten Dritter integriert und unter eigenem Namen in Verkehr bringt, gilt selbst als Hersteller im Sinne des CRA und trägt dessen Pflichten.

Question 2

Ab wann gelten die CRA-Meldepflichten für Maschinen- und Anlagenbauer und Integratoren?

Accepted Answer

Die Meldepflichten des Cyber Resilience Act (CRA) greifen ab dem 11. September 2026. Ab diesem Stichtag müssen Hersteller – auch Maschinen- und Anlagenbauer und Integratoren – aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die zuständige nationale Behörde (CSIRT) und die ENISA melden. Die übrigen CRA-Anforderungen gelten vollständig ab dem 11. Dezember 2027.

Question 3

Was muss innerhalb von 24 Stunden gemeldet werden?

Accepted Answer

Die festen Fristen gelten gegenüber den Behörden: Über die zentrale Meldeplattform der ENISA ist bei einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall innerhalb von 24 Stunden nach Kenntnisnahme eine Frühwarnung an den koordinierenden CSIRT und die ENISA abzugeben, innerhalb von 72 Stunden eine ausführlichere Meldung und später ein Abschlussbericht. Die betroffenen Nutzer unterrichtet der Hersteller dagegen nicht nach Stundenfrist, sondern „unverzüglich“ über Schwachstelle bzw. Vorfall und etwaige Gegenmaßnahmen. Für Anlagenbauer und Integratoren mit hunderten Komponenten je Anlage ist beides ohne automatisiertes Schwachstellenmanagement kaum einzuhalten.

Question 4

Was ist eine SBOM – und wofür braucht ein Anlagenbauer sie?

Accepted Answer

Eine SBOM (Software Bill of Materials) ist ein vollständiges Inventar aller Softwarekomponenten eines Produkts. Der CRA verlangt, dass Hersteller ihre Komponenten kennen und dokumentieren. Für Anlagenbauer ist die SBOM die Grundlage, um bei einer gemeldeten Schwachstelle sofort zu erkennen, welche Anlagen betroffen sind.

Question 5

Wie funktioniert das Lieferanten-Schwachstellen-Monitoring?

Accepted Answer

Werkspilot überwacht kontinuierlich die Sicherheitsmeldungen Ihrer Lieferanten – strukturierte CSAF-Feeds ebenso wie Mailinglisten, RSS oder unstrukturierte E-Mails. Jede neue Schwachstelle (CVE) wird automatisch mit Ihren Anlagen im Feld abgeglichen, sodass Sie sofort sehen, welche Anlagen betroffen sind. Aus diesem laufenden Monitoring entsteht ein zentraler, normalisierter Überblick statt verstreuter Einzelmeldungen.

Question 6

Wie funktioniert CVE-Monitoring über die Lieferkette?

Accepted Answer

CVE-Monitoring über die Lieferkette bedeutet: Neue Schwachstellen (CVEs) aus den Sicherheitsmeldungen Ihrer Lieferanten werden kontinuierlich erfasst und automatisch mit den Komponenten Ihrer Anlagen im Feld abgeglichen. Werkspilot normalisiert dafür strukturierte CSAF-Feeds ebenso wie Mailinglisten, RSS und unstrukturierte E-Mails – denn viele Lieferanten veröffentlichen ihre CVEs nicht als CSAF. So sehen Sie für jede neue CVE sofort, welche Anlagen betroffen sind, statt Hersteller-Advisories manuell zu durchsuchen.

Question 7

Was ist CSAF – und welche Rolle spielt es beim Monitoring?

Accepted Answer

CSAF (Common Security Advisory Framework) ist ein maschinenlesbares Standardformat für Sicherheitsmeldungen, das zunehmend von Herstellern und Behörden wie BSI und CISA genutzt wird. Maschinenlesbare CSAF-Feeds lassen sich automatisch verarbeiten – die Grundlage, um Lieferanten-Schwachstellen ohne manuelle Recherche zu überwachen und betroffene Anlagen sofort zuzuordnen.

Question 8

Wie lange müssen Sicherheitsupdates nach CRA bereitgestellt werden?

Accepted Answer

Hersteller müssen Schwachstellen über den Supportzeitraum hinweg behandeln und Sicherheitsupdates bereitstellen – mindestens fünf Jahre, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist. Bei langlebigen Industrieanlagen kann dieser Zeitraum entsprechend länger ausfallen.

Question 9

Welche Strafen drohen bei Verstößen gegen den CRA?

Accepted Answer

Bei Verstößen gegen die wesentlichen Cybersicherheitsanforderungen sieht der CRA Geldbußen von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Schon deshalb sollten Anlagenbauer und Integratoren Schwachstellen- und Meldeprozesse frühzeitig etablieren.

Question 10

Wie hängen Cyber Resilience Act und Maschinenverordnung zusammen?

Accepted Answer

Die EU-Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027 und enthält eigene Cybersicherheitsanforderungen. CRA und Maschinenverordnung greifen ineinander: Wer die CRA-Anforderungen an Schwachstellenbehandlung, SBOM und Security by Design erfüllt, deckt damit wesentliche Cybersecurity-Pflichten der Maschinenverordnung ab. Als technische Orientierung dient die Normenreihe IEC 62443.

Question 11

Was ist eine STRIDE-Bedrohungsanalyse und wann brauche ich sie?

Accepted Answer

STRIDE ist eine strukturierte Methode der Bedrohungsmodellierung (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege). Für die Risikobeurteilung einer Anlage nach Maschinenverordnung und CRA identifiziert eine STRIDE-Analyse systematisch Angriffspunkte an den Schnittstellen und leitet Schutzmaßnahmen ab. Wir erstellen STRIDE-Risikobewertungen für Anlagen als Grundlage einer prüffähigen Sicherheitsdokumentation.

Question 12

Wie unterstützt Werkspilot beim Schwachstellenmanagement über die Lieferkette?

Accepted Answer

Werkspilot erfasst alle Lieferantenmeldungen – von CSAF bis E-Mail – zentral, identifiziert automatisch die betroffenen Anlagen und ermöglicht es, eine bewertete Meldung fristgerecht an Ihre Kunden weiterzugeben. So erfüllen Sie die CRA-Meldekette über hunderte Komponenten und Anlagen hinweg, ohne manuell jeden Feed zu prüfen.

CRA-Schwachstellenmanagement für Maschinen- und Anlagenbauer — von eigener Firmware bis zur Lieferantenkomponente.

Aktiv ausgenutzte Lieferanten-Schwachstellen müssen nach CRA binnen 24h weitergegeben werden.

Werkspilot deckt den gesamten CRA-Prozess in einer Plattform ab.

SBOMs erstellen

Lieferanten-Feeds überwachen

Eigene Software überwachen

Betroffenheit bewerten

Dokumentation verwalten

Fristgerecht melden

STRIDE-Bedrohungsanalyse Ihrer Anlagen für CRA und Maschinenverordnung.

Fachbeiträge zu CRA und Maschinenverordnung.

Cybersecurity-Fahrplan für Sondermaschinen- und Anlagenbauer: Was bis wann fertig sein muss

CRA-Meldepflicht ab September 2026: Was muss für Maschinen und Anlagen gemeldet werden?

Häufige Fragen zu CRA, Maschinenverordnung und Schwachstellenmanagement für Maschinen- und Anlagenbauer und Integratoren.

Jetzt Demo anfragen.