Blog
CRA, Maschinenverordnung und Schwachstellenmanagement für Maschinen- und Anlagenbauer und Integratoren.
SBOM je Hersteller: Was Siemens, Beckhoff, Rockwell und zehn weitere tatsächlich liefern
13 Steuerungs- und Komponentenhersteller im Vergleich, gemessen am 07.10.2026: Advisory-Volumen, CSAF-Feed, Produkt-Identifikator, SBOM-Zugang und welches Protokoll die Geräteliste je Hersteller liefert.
Beckhoff SBOM: EtherCAT-Klemmen und IPC in die Geräteliste bekommen
Was an einem Beckhoff-IPC hängt, was davon ein Netzwerkscan sieht und wie die EtherCAT-Klemmen mit Typ, Revision und Firmware in die Geräteliste kommen: TwinCAT-Projekt, ADS-Route, Device Manager. Dazu die 17 CSAF-Advisories über CERT@VDE.
B&R SBOM: X20-Module und POWERLINK-Teilnehmer in die Geräteliste bekommen
Was an einer B&R-Steuerung hängt, was davon ein Netzwerkscan sieht und wie X20-Module und POWERLINK-Teilnehmer mit Bestellnummer und Firmware in die Geräteliste kommen: Automation Studio, System Diagnostics Manager, OPC UA. Dazu die Advisories im ABB-CSAF-Feed.
Rockwell SBOM: Logix-Rack, Module und EtherNet/IP-Geräte in die Geräteliste bekommen
Was an einer Logix-Steuerung hängt, was davon ein ListIdentity-Scan sieht und wie Rack-Module, POINT-I/O und Antriebe mit Katalognummer und Firmware-Revision in die Geräteliste kommen: CIP-Routing, Studio 5000, SNMP. Dazu 337 Advisories mit Katalognummern.
Schneider Electric SBOM: Modicon-Rack, X80-Module und Antriebe in die Geräteliste bekommen
Was an einer Modicon-Steuerung hängt, was davon ein Netzwerkscan sieht und wie X80-Module, TM3-Erweiterungen und Altivar-Antriebe mit Referenz und Firmware in die Geräteliste kommen: Modbus FC43, Identity Object, Control Expert. Dazu 291 CSAF-Dokumente ohne CPE.
WAGO SBOM: Controller, Koppler und K-Bus-Module in die Geräteliste bekommen
Was an einem WAGO-Controller hängt, was davon ein Netzwerkscan sieht und wie die I/O-Module am Klemmenbus mit Bestellnummer in die Geräteliste kommen: WAGO-I/O-CHECK, CODESYS-Projekt, Web-Based Management, SNMP, I&M0. Dazu 82 CSAF-Advisories mit Platzhalter-Bestellnummern.
Phoenix Contact SBOM: PLCnext, Axioline-Module und IO-Link in die Geräteliste bekommen
Was an einer PLCnext-Steuerung hängt, was davon ein Netzwerkscan sieht und wie Axioline-Module und IO-Link-Geräte mit Artikelnummer und Firmware in die Geräteliste kommen: PROFINET-I&M0 je Slot, PLCnext Engineer, IO-Link-Master. Dazu 113 CSAF-Advisories über CERT@VDE.
Bosch Rexroth SBOM: ctrlX CORE, Antriebe und Koppler in die Geräteliste bekommen
Was an einer ctrlX-Steuerung hängt, was davon ein Netzwerkscan sieht und wie EtherCAT-Antriebe und S20-Koppler mit Materialnummer und Version in die Geräteliste kommen: ctrlX Data Layer, IndraWorks, I&M0, OPC UA. Dazu 42 Advisories als HTML ohne CSAF.
Omron SBOM: NJ/NX, EtherCAT-Units und Servos in die Geräteliste bekommen
Was an einer Omron-NJ/NX-Steuerung hängt, was davon ein Netzwerkscan sieht und wie NX-I/O, 1S-Servos und Safety-Units mit Modell und Unit-Version in die Geräteliste kommen: Sysmac Studio, EtherNet/IP Identity Object, SNMP. Dazu 25 Advisories als PDF.
Mitsubishi Electric SBOM: MELSEC-CPU, Module und CC-Link-Stationen in die Geräteliste bekommen
Was an einer MELSEC-Steuerung hängt, was davon ein Netzwerkscan sieht und wie Rack-Module und CC-Link-IE-Stationen mit Modultyp und Firmware in die Geräteliste kommen: GX Works3, SLMP, EtherNet/IP ListIdentity. Dazu die Advisories über die CISA.
Pilz SBOM: Sicherheitssteuerung, Erweiterungsmodule und PIT-Geräte in die Geräteliste bekommen
Was an einer Pilz-Sicherheitssteuerung hängt, was davon ein Netzwerkscan sieht und wie Basis-, Erweiterungs- und Kommunikationsmodule mit Bestellnummer und Firmware in die Geräteliste kommen: PNOZmulti Configurator, PAS4000, PROFINET-I&M0. Dazu 20 CSAF-Advisories über CERT@VDE.
Festo SBOM: CPX-Steuerung, AP-Module und IO-Link in die Geräteliste bekommen
Was an einer Festo-CPX-Steuerung hängt, was davon ein Netzwerkscan sieht und wie CPX-AP-Module, Ventilinseln und IO-Link-Geräte mit Teilenummer und Firmware in die Geräteliste kommen: I&M0 je Slot, AP-Master, Automation Suite. Dazu 18 CSAF-Advisories über CERT@VDE.
SICK SBOM: Scanner, Flexi Soft und IO-Link-Sensoren in die Geräteliste bekommen
Was an einer SICK-Sicherheitssteuerung hängt, was davon ein Netzwerkscan sieht und wie Flexi-Soft-Module, Sicherheitsscanner und IO-Link-Sensoren mit Teilenummer und Firmware in die Geräteliste kommen: I&M0, Safety Designer, SIG-Master. Dazu 71 Advisories im eigenen CSAF-Feed.
PROFINET SBOM: Was I&M0 über jedes Gerät verrät und warum DCP nicht reicht
Was der I&M0-Datensatz über jedes PROFINET-Gerät verrät, warum DCP nur den Typ nennt und wie daraus die Anlagen-SBOM entsteht. Mit Feldliste, Abfrageweg und Lücken.
EtherNet/IP SBOM: Wie ein ListIdentity-Broadcast jedes Gerät im Subnetz identifiziert
Wie das CIP Identity Object EtherNet/IP-Geräte identifiziert, warum ein UDP-Broadcast auf Port 44818 das ganze Subnetz erfasst und was in Chassis und Katalognummern trotzdem fehlt.
EtherCAT SBOM: Wie Klemmen ohne IP-Adresse in die Geräteliste kommen
Warum EtherCAT-Teilnehmer für einen Netzwerkscan unsichtbar sind, welche Identität in SII-EEPROM und CoE-Objekt 0x1018 steht und wie die Klemmenliste über TwinCAT, ADS oder CODESYS in die Anlagen-SBOM kommt.
Modbus TCP SBOM: Was Funktionscode 43 liefert und wo er fehlt
Was „Read Device Identification“ (FC 43/14) über ein Modbus-Gerät verrät, warum der Dienst optional ist, keine Seriennummer kennt und ohne Discovery auskommen muss, und wie Modbus-Geräte trotzdem in die Anlagen-SBOM kommen.
OPC UA SBOM: Was BuildInfo und Typenschild über die Steuerung verraten
Was ServerStatus/BuildInfo und das DeviceType-Typenschild der OPC-UA-Companion-Spezifikationen über Steuerungen verraten, wie Discovery auf Port 4840 läuft und warum OPC UA die Feldgeräte nicht ersetzt.
SNMP SBOM: Wie Switches, Router und PROFINET-Geräte identifiziert werden
Was die SNMP-Systemgruppe und die ENTITY-MIB über Netzwerkgeräte und PROFINET-Teilnehmer verraten, warum sysDescr je Hersteller geparst werden muss und wie SNMP die Lücken von PROFINET und EtherNet/IP schließt.
IO-Link SBOM: Was der Master über jeden Sensor liefert und was nicht
Welche Identifikationsparameter die IO-Link-Spezifikation V1.1.3 vorschreibt, welche optional sind, und über welche Wege (PROFINET-Submodul, OPC UA, JSON/REST) der Master die Sensorliste für die Anlagen-SBOM herausgibt.
Anlage scannen für die SBOM: PROFINET-, SNMP- und IP-Scan ergeben zusammen die Geräteliste mit Bestellnummer und Firmware
Kein einzelnes Werkzeug liefert Bestellnummer und Firmware für alle Geräte einer Anlage. Welche Scan-Verfahren sich ergänzen, je nach Steuerungswelt.
Wann eine Schwachstelle nach dem CRA als bekannt gilt: Die Kommission nennt die EUVD als Maßstab
Anhang I des Cyber Resilience Act verlangt Produkte ohne bekannte ausnutzbare Schwachstellen, sagt aber nicht, wann eine Schwachstelle bekannt ist. Die Kommissions-Leitlinien beantworten das mit der EUVD und anderen öffentlichen Datenbanken. Was das für Anlagenbauer beim Inverkehrbringen bedeutet.
Lieferanten ohne CSAF: wie Anlagenbauer deren Schwachstellen trotzdem überwachen
Die öffentliche CSAF-Liste des BSI führt 15 Einträge, davon acht aus der Industrie. Warum der CRA kein Format für Sicherheitsmeldungen vorschreibt, warum auch der Entwurf der harmonisierten Norm CSAF nur als Zusatzanforderung führt – und wie sich PDF-, Mail- und RSS-Lieferanten trotzdem belastbar überwachen lassen.
Risikobeurteilung der Cybersicherheit für Anlagen: was Maschinenverordnung und CRA daraus brauchen, mit STRIDE-Beispiel
CRA und Maschinenverordnung verlangen beide eine dokumentierte Risikobeurteilung der Cybersicherheit. Beide entstehen aus einer STRIDE-Bedrohungsanalyse je Anlagentyp: Die MVO nimmt daraus den safety-relevanten Teil, der CRA die Zuordnung zu Anhang I samt Restrisiken. Was jede Verordnung konkret braucht, wo IEC 62443 und prEN 50742 hineinpassen, durchgespielt an einer Verpackungsmaschine mit Fernwartungszugang.
SBOM-Tools für den Anlagenbau: womit Stückliste, Engineering-Projekt und Netzwerkscan erhoben werden
Die gängigen SBOM-Werkzeuge brauchen einen Build – im Anlagenbau gibt es keinen. Welche Werkzeuge die drei realistischen Erhebungswege abdecken: Exporte aus ERP und EPLAN, der Hardware-Export aus dem Engineering-System, Scan-Werkzeuge von PRONETA bis OTbase – mit Vergleich, wann welches Scan-Tool das richtige ist.
Inverkehrbringen im Anlagenbau: Welches Datum über die CRA-Pflicht entscheidet
Eine Anlage wird über zwei Jahre in Teillieferungen ausgeliefert – wann gilt sie als in Verkehr gebracht? Was der CRA dazu sagt, warum der letzte Teillieferungs-Meilenstein als Stichtag gewählt wird und wo diese Praxis nicht trägt.
Cybersecurity-Fahrplan für Sondermaschinen- und Anlagenbauer: Was bis wann fertig sein muss
Die Fristen aus CRA und Maschinenverordnung sind bekannt – der Fahrplan dahinter nicht. Was bis zum 11.09.2026, 20.01.2027 und 11.12.2027 tatsächlich fertig sein muss, in der Reihenfolge, in der es aufeinander aufbaut.
SBOM erstellen im Sondermaschinen- und Anlagenbau: Woher die Daten kommen, wenn es keinen Quellcode gibt
Anleitungen zur SBOM-Erstellung setzen einen eigenen Build voraus – den hat ein Anlagenbauer nicht. Die belastbaren Quellen sind der Stücklisten-Export, das Engineering-Projekt und der Netzwerkscan bei der Abnahme. Was jede Quelle liefert, was keine allein kann, welche Tiefe die SBOM braucht – und wann im Projekt das passieren muss.
CRA-Meldepflicht seit September 2026: Was muss für Maschinen und Anlagen gemeldet werden?
Seit 11.09.2026 gilt die CRA-Meldepflicht: Was Hersteller melden müssen (und was nicht), die Fristen 24 h / 72 h / 14 Tage und die ENISA-Plattform SRP.
CRA-Tool-Auswahl im Anlagenbau: vier Fragen und ein Test für die Demo
Die meisten Schwachstellen-Tools sind für Software-Hersteller gebaut. Im Anlagenbau steckt das Risiko in zugekaufter Firmware von Dutzenden Lieferanten. Vier Auswahlfragen als Checkliste, ein Demo-Test und warum CPE-Matching dabei nicht weiterhilft.
Wann ein Anlagenbauer oder Integrator zum CRA-Hersteller wird
Cyber Resilience Act: Wann ein Anlagenbauer oder Integrator durch Systemintegration zum Hersteller wird – Inverkehrbringen, wesentliche Änderung (Art. 22) und das geschichtete Modell der Lieferantenpflichten.
CRA und Maschinenverordnung für Anlagenbauer und Integratoren: Was ab 2026 gilt
Wird ein Anlagenbauer durch den CRA zum Hersteller? Wie CRA und Maschinenverordnung zusammenspielen, die drei Stichtage und was sich unterscheidet.