Cybersecurity-Fahrplan für Sondermaschinen- und Anlagenbauer: Was bis wann fertig sein muss

„Ich weiß noch gar nicht, was ich überhaupt brauche und bis wann." Dieser Satz fällt in fast jedem Erstgespräch mit Sondermaschinen- und Anlagenbauern. Die Fristen selbst sind dabei meist bekannt; die drei Daten stehen in jedem Verbandsrundschreiben. Unklar ist die Umkehrung – was muss im eigenen Haus zu welchem Zeitpunkt fertig sein, damit diese Daten eingehalten sind. Diese Zuordnung leistet keine Verordnung, weil sie vom Ausgangszustand des einzelnen Betriebs abhängt.

Dieser Beitrag stellt den Fahrplan auf: je Stichtag die Arbeitspakete, die bis dahin abgeschlossen sein müssen. Die rechtlichen Grundlagen – wann ein Anlagenbauer überhaupt zum Hersteller wird, wie CRA und Maschinenverordnung ineinandergreifen – behandelt der Beitrag zu CRA und Maschinenverordnung.

Der Fahrplan: Was bis wann fertig sein muss

Die drei Daten liegen enger beieinander, als die Jahreszahlen vermuten lassen. Zu jedem Stichtag steht unten, was ab dann gilt, auf welcher Grundlage und was im eigenen Haus vorher abgeschlossen sein muss:

Die Meldepflicht 2026 ist die härteste Frist, nicht die CE-Pflicht 2027

Die Meldepflicht greift über ein Jahr vor der CE-Pflicht, und sie gilt für Anlagen, die heute schon laufen. Für den Bestand gibt es dabei keine Stichtagsregelung, wie sie bisherige Verordnungen kennen. Wer die Planung am Datum 11.12.2027 ausrichtet, hat den ersten Stichtag bereits verpasst.

Erschwerend kommt die Fristenlänge hinzu. Vierundzwanzig Stunden sind keine Zeitspanne, in der sich eine Zuständigkeit klären, ein Anlagenverzeichnis zusammensuchen oder ein Meldeweg erstmalig finden lässt. Diese Dinge müssen vorher stehen, sonst läuft die Frist ab, während intern noch geklärt wird, wer eigentlich zuständig ist. Was konkret gemeldet werden muss – und was ausdrücklich nicht – behandelt der Beitrag zur Meldepflicht und zur ENISA-Meldeplattform.

Was die Maschinenverordnung zusätzlich verlangt

Die Maschinenverordnung wird in der CRA-Diskussion regelmäßig übersehen, obwohl ihr Stichtag zwischen den beiden CRA-Terminen liegt. Sie behandelt Cybersicherheit als Safety-Frage: Anhang III fordert, dass sich Steuerungen und Software nicht so korrumpieren lassen, dass eine Sicherheitsfunktion ausfällt.

Daraus folgen zwei Unterschiede zum CRA. Die Schwelle verschiebt sich: Ein Restrisiko, das unter dem CRA vertretbar wäre, muss unter der MVO konstruktiv beseitigt werden, sobald es eine Safety-Funktion aushebeln könnte. Und eine MVO-Pflicht hat gar kein CRA-Gegenstück – das manipulationssichere Logging safety-relevanter Eingriffe wie Firmware-Updates und Konfigurationsänderungen über mindestens fünf Jahre. Wer diese Anforderung erst beim Konformitätsverfahren entdeckt, muss die Anlagenarchitektur nachträglich anfassen.

Erst Anlagenverzeichnis, dann Meldefähigkeit, dann Dokumentation

Die drei Blöcke im Fahrplan bauen aufeinander auf. Grundlage ist die Zuordnung welche Anlage enthält welche Komponente in welchem Stand. Ohne sie lässt sich eine Lieferanten-Meldung nicht auf den eigenen Bestand abbilden – dann bleibt nur die Aussage, dass ein Produkt betroffen sein könnte, nicht, dass eine bestimmte Anlage betroffen ist. Für Meldung und technische Dokumentation genügt das nicht.

Diese Zuordnung ist zugleich der Posten mit der längsten Vorlaufzeit, weil sie sich nicht beschaffen, sondern nur erheben lässt: anlagenweise, bei Abnahmen und Serviceeinsätzen. Sie muss deshalb als Erstes anlaufen, auch wenn sie sich nicht in Wochen abschließen lässt. Die kurzfristig erledigten Punkte – benannte Zuständigkeit und Lieferantenliste – laufen daneben her. Wie die Daten zustande kommen, wenn kein Quellcode und keine Lieferanten-SBOM vorliegt, beschreibt der Beitrag zur SBOM-Erstellung im Anlagenbau. Der praktische Einstieg ist klein: die nächste anstehende Abnahme um einen Scan-Schritt ergänzen. Jede Anlage, die vorher ohne erfassten Auslieferungsstand das Werk verlässt, ist ein Rekonstruktionsfall mehr.

Vier Fragen aus der Praxis

Wo anfangen, wenn im Haus nichts davon existiert?

Mit der Erhebung des Anlagenverzeichnisses, beginnend bei der nächsten Abnahme. Weil diese Erhebung Monate läuft, gehören zwei kurzfristige Punkte daneben: eine benannte Zuständigkeit samt Erreichbarkeit und eine Liste der Direktlieferanten mit der Frage, wo deren Sicherheitsmeldungen erscheinen. Beides ist in Wochen erledigt, unabhängig von der Stammdatenlage, und für den September-Stichtag ebenfalls Voraussetzung. Ein Konzept für den Gesamtbestand taugt als Einstieg nicht.

Zählt eine Anlage aus 2019 überhaupt noch?

Für die Meldepflicht ja, solange sie im Supportzeitraum ist und der Anlagenbauer sie unter eigenem Namen in Verkehr gebracht hat. Für CE-Kennzeichnung und technische Dokumentation nein – die greifen für Anlagen, die ab dem 11.12.2027 in Verkehr gebracht werden. Wann ein Umbau eine wesentliche Änderung darstellt und die Anlage damit erneut in die Pflicht fällt, behandelt der Beitrag zur Herstellerrolle.

Wie viel Aufwand ist das realistisch?

Die Zuordnung von Anlagen zu Komponentenständen kostet einmalig Erhebungsarbeit; danach ist der laufende Abgleich gegen Lieferanten-Advisories eine Routineaufgabe. Der Fehler, den man vermeiden sollte, ist die eigene Tiefenanalyse zugekaufter Firmware – die ist weder leistbar noch nötig, weil der einzige Hebel ohnehin das Firmware-Release des Lieferanten ist.

Was, wenn die Termine nicht zu halten sind?

Dann hat die Meldefähigkeit Vorrang. Eine vollständige Umsetzung bis September 2026 ist für viele Betriebe unrealistisch. Wer aber weiß, welche Anlagen betroffen sein können, und einen Meldeweg hat, kann die Frist einhalten, auch wenn SBOM und technische Dokumentation noch unfertig sind.

Wo ein Betrieb auf dieser Zeitachse steht, hängt vor allem davon ab, wie gut der Auslieferungsstand der bisherigen Anlagen dokumentiert ist. Im Gespräch klären, wo Ihr Betrieb auf dieser Zeitachse steht.

Werkspilot überwacht Lieferanten-Advisories automatisiert und gleicht sie gegen die Feldbasis von Anlagenbauern und Integratoren ab. Dieser Beitrag gibt die Einschätzung von Werkspilot wieder und ersetzt keine Rechtsberatung.