CRA-Schwachstellenmanagement für Maschinen- und Anlagenbauer — von der SBOM-Erstellung bis zum Lieferanten-Monitoring.

Der CRA gilt für Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden – im Maschinen- und Anlagenbau also für Steuerungen, vernetzte Komponenten und die Anlage als Gesamtsystem mit Software-Anteil. Wer als Anlagenbauer oder Integrator Komponenten Dritter integriert und unter eigenem Namen in Verkehr bringt, gilt selbst als Hersteller im Sinne des CRA und trägt dessen Pflichten.

Die Meldepflichten des Cyber Resilience Act (CRA) gelten seit dem 11. September 2026. Seit diesem Stichtag müssen Hersteller – auch Maschinen- und Anlagenbauer und Integratoren – aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die zuständige nationale Behörde (CSIRT) und die ENISA melden. Die übrigen CRA-Anforderungen gelten vollständig ab dem 11. Dezember 2027.

Die festen Fristen gelten gegenüber den Behörden: Über die zentrale Meldeplattform der ENISA ist bei einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall innerhalb von 24 Stunden nach Kenntnisnahme eine Frühwarnung an den koordinierenden CSIRT und die ENISA abzugeben, innerhalb von 72 Stunden eine ausführlichere Meldung und später ein Abschlussbericht. Die betroffenen Nutzer unterrichtet der Hersteller dagegen nicht nach Stundenfrist, sondern „unverzüglich“ über Schwachstelle bzw. Vorfall und etwaige Gegenmaßnahmen. Für Anlagenbauer und Integratoren mit hunderten Komponenten je Anlage ist beides ohne automatisiertes Schwachstellenmanagement kaum einzuhalten.

Eine SBOM (Software Bill of Materials) ist ein vollständiges Inventar aller Softwarekomponenten eines Produkts. Der CRA verlangt, dass Hersteller ihre Komponenten kennen und dokumentieren. Für Anlagenbauer ist die SBOM die Grundlage, um bei einer gemeldeten Schwachstelle sofort zu erkennen, welche Anlagen betroffen sind.

Werkspilot überwacht kontinuierlich die Sicherheitsmeldungen Ihrer Lieferanten – strukturierte CSAF-Feeds ebenso wie Mailinglisten, RSS oder unstrukturierte E-Mails. Jede neue Schwachstelle (CVE) wird automatisch mit Ihren Anlagen im Feld abgeglichen, sodass Sie sofort sehen, welche Anlagen betroffen sind. Aus diesem laufenden Monitoring entsteht ein zentraler, normalisierter Überblick statt verstreuter Einzelmeldungen.

CVE-Monitoring über die Lieferkette bedeutet: Neue Schwachstellen (CVEs) aus den Sicherheitsmeldungen Ihrer Lieferanten werden kontinuierlich erfasst und automatisch mit den Komponenten Ihrer Anlagen im Feld abgeglichen. Werkspilot normalisiert dafür strukturierte CSAF-Feeds ebenso wie Mailinglisten, RSS und unstrukturierte E-Mails – denn viele Lieferanten veröffentlichen ihre CVEs nicht als CSAF. So sehen Sie für jede neue CVE sofort, welche Anlagen betroffen sind, statt Hersteller-Advisories manuell zu durchsuchen.

CSAF (Common Security Advisory Framework) ist ein maschinenlesbares Standardformat für Sicherheitsmeldungen, das zunehmend von Herstellern und Behörden wie BSI und CISA genutzt wird. Maschinenlesbare CSAF-Feeds lassen sich automatisch verarbeiten – die Grundlage, um Lieferanten-Schwachstellen ohne manuelle Recherche zu überwachen und betroffene Anlagen sofort zuzuordnen.

Hersteller müssen Schwachstellen über den Supportzeitraum hinweg behandeln und Sicherheitsupdates bereitstellen – mindestens fünf Jahre, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist. Bei langlebigen Industrieanlagen kann dieser Zeitraum entsprechend länger ausfallen.

Bei Verstößen gegen die wesentlichen Cybersicherheitsanforderungen sieht der CRA Geldbußen von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Schon deshalb sollten Anlagenbauer und Integratoren Schwachstellen- und Meldeprozesse frühzeitig etablieren.

Die EU-Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027 und enthält eigene Cybersicherheitsanforderungen. CRA und Maschinenverordnung greifen ineinander: Wer die CRA-Anforderungen an Schwachstellenbehandlung, SBOM und Security by Design erfüllt, deckt damit wesentliche Cybersecurity-Pflichten der Maschinenverordnung ab. Als technische Orientierung dient die Normenreihe IEC 62443.

STRIDE ist eine strukturierte Methode der Bedrohungsmodellierung (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege). Für die Risikobeurteilung einer Anlage nach Maschinenverordnung und CRA identifiziert eine STRIDE-Analyse systematisch Angriffspunkte an den Schnittstellen und leitet Schutzmaßnahmen ab. Wir erstellen STRIDE-Risikobewertungen für Anlagen als Grundlage einer prüffähigen Sicherheitsdokumentation.

Werkspilot erfasst alle Lieferantenmeldungen – von CSAF bis E-Mail – zentral, identifiziert automatisch die betroffenen Anlagen und ermöglicht es, eine bewertete Meldung fristgerecht an Ihre Kunden weiterzugeben. So erfüllen Sie die CRA-Meldekette über hunderte Komponenten und Anlagen hinweg, ohne manuell jeden Feed zu prüfen.