Inverkehrbringen im Anlagenbau: Welches Datum über die CRA-Pflicht entscheidet

„Wir liefern in Teillieferungen über zwei Jahre – wann ist die Anlage denn nun in Verkehr gebracht?" An dieser Frage hängt für Sondermaschinen- und Anlagenbauer mehr als eine Formalie. Sie entscheidet, ob ein laufendes Projekt vollständig unter den Cyber Resilience Act fällt oder nicht – und weil die Vorlaufzeit für konforme Software im Anlagenbau bei etwa einem Jahr liegt, muss die Antwort lange vor der Auslieferung feststehen.

Keine der einschlägigen Quellen beantwortet die Frage für den Anlagenbau eindeutig. Belegen lässt sich nur der Rahmen, und der ist enger als die verbreitete Praxis unterstellt.

Der CRA kennt nur einen einzigen Anknüpfungspunkt

Die Verordnung definiert in Artikel 3 zwei Begriffe. Nummer 22 bestimmt die Bereitstellung auf dem Markt als die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Nutzung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit. Nummer 21 bestimmt das Inverkehrbringen als die erstmalige Bereitstellung dieses Produkts auf dem Unionsmarkt.

Der vollständige Verordnungstext (Erwägungsgründe, 71 Artikel, Anhänge) definiert die Inbetriebnahme nicht und knüpft an keiner Stelle eine Pflicht an sie; der Begriff taucht nur beiläufig auf, in den Nutzerinformationen (Anhang II Nummer 8) und im Verfahren der EU-Baumusterprüfung (Anhang VIII). Die Maschinenverordnung definiert ihn dagegen ausdrücklich in Artikel 3 Nummer 13 als die erstmalige bestimmungsgemäße Verwendung. Der CRA ist an dieser Stelle also ärmer als das übrige Produktrecht, und das hat eine praktische Folge: Abnahme, Inbetriebnahme, Gefahrübergang und Produktionsfreigabe haben unter dem CRA keine eigenständige rechtliche Bedeutung. Sie taugen als Beleg dafür, wann die erste Bereitstellung stattgefunden hat – den Tatbestand bilden sie nicht.

Der Auftrag von 2025 schützt eine Lieferung von 2028 nicht

Artikel 71 setzt die Anwendung des CRA auf den 11. Dezember 2027; die Meldepflicht nach Artikel 14 greift bereits ab dem 11. September 2026. Artikel 69 Absatz 2 nimmt Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, von den Anforderungen aus – allerdings nur, solange sie danach keiner wesentlichen Veränderung unterliegen. Absatz 3 zieht die Meldepflicht ausdrücklich wieder heraus: Sie gilt für alle Produkte im Anwendungsbereich, auch für die vor dem Stichtag ausgelieferten.

Ein Bestandsschutz nach Auftragsdatum, Projektbeginn oder Design-Freeze existiert nicht. Wer 2025 einen Vertrag zeichnet und 2028 liefert, liefert unter vollem CRA-Regime. Der Blue Guide der Kommission verlangt für ein Inverkehrbringen zweierlei: ein Angebot oder eine Vereinbarung über die Übertragung von Eigentum oder Besitz und eine abgeschlossene Herstellung. Ein Angebot vor Abschluss der Fertigung ist deshalb kein Inverkehrbringen; als Beispiel wählt der Blue Guide den Anlagenbaufall selbst: die Zusage, ein Produkt nach vereinbarten Spezifikationen zu fertigen, das erst später hergestellt und geliefert wird.

Der letzte Teillieferungs-Meilenstein ist das einzige dokumentierte Datum

In Projekten mit Teillieferungen über 12 bis 24 Monate setzen Anlagenbauer das Inverkehrbringdatum regelmäßig auf den letzten Teillieferungs-Meilenstein. Die Begründung ist kaufmännisch: Dort wird der Umsatz gelegt, und handelsrechtlich setzt das voraus, dass das Engineering abgeschlossen ist. Das Security-Konzept gilt als mit abgeschlossen. In einem Betrieb für Folienextrusion, der Anlagen dieser Größenordnung baut, ist das der einzige Zeitpunkt, zu dem sich ohne Zusatzaufwand ein hartes, in der Projektakte belegtes Datum findet.

Der Meilenstein trifft die Bedingung, die der Blue Guide stellt, nämlich die abgeschlossene Herstellung, und er ist dokumentiert; im Streitfall zählt das mehr als eine nachträglich rekonstruierte Einschätzung. Als Arbeitshypothese ist die Wahl damit tragfähig, als Rechtssicherheit nicht.

Eine Anlage kann mehrere Inverkehrbringdaten haben

Der Blue Guide stellt darauf ab, dass sich das Inverkehrbringen auf jedes einzelne Produkt bezieht und je Produkt unionsweit nur einmal stattfindet. Für eine Anlage, die in Baugruppen über zwei Jahre anliefert und beim Kunden montiert wird, folgt daraus keine eindeutige Antwort – sondern zuerst die Vorfrage, was hier überhaupt das Produkt ist. Auch die im Juli 2026 angenommenen CRA-Leitlinien der Kommission lassen diese Frage offen: Teillieferungen und sukzessive Errichtung behandeln sie nicht; sie halten lediglich fest, dass ein als ein Produkt in Verkehr gebrachtes komplexes System ein Produkt mit digitalen Elementen ist (Rn. 29).

Der Kommissionsleitfaden zur Maschinenrichtlinie gibt in Paragraf 76 die Regel vor, die dem Anlagenbaufall am nächsten kommt: Gesamtheiten von Maschinen, die beim Verwender von einem Dritten montiert werden, gelten als in Verkehr gebracht, wenn die Montage abgeschlossen und die Gesamtheit dem Verwender zur Nutzung übergeben ist. Zwei Einschränkungen sind dabei zu beachten. Erstens handelt es sich um Auslegungshilfe zur Maschinenrichtlinie, die erst zum 20. Januar 2027 von der Maschinenverordnung abgelöst wird; ein Leitfaden zur Maschinenverordnung liegt im Juli 2026 noch nicht vor und wird frühestens zum Jahresende erwartet. Zweitens – und schwerer wiegend – hält derselbe Leitfaden in Paragraf 38 fest, dass eine vollständige Industrieanlage aus mehreren Fertigungslinien nicht ohne Weiteres eine Gesamtheit von Maschinen ist. Ob mehrere Maschinen eine Gesamtheit bilden, entscheidet sich an drei Bedingungen: einer gemeinsamen Funktion, einer funktionalen Verknüpfung, die eine Risikobeurteilung für das Ganze verlangt, und einer gemeinsamen Steuerung. Fehlt es daran – wie bei den meisten Anlagen, die aus mehreren, je eigenständig gesteuerten Abschnitten bestehen –, zerlegt sich die Anlage in mehrere eigenständige Maschinen und Gesamtheiten.

In dieselbe Richtung weist die CRA-FAQ der Berufsgenossenschaft Holz und Metall: Wird nur die Maschine als Ganzes in Verkehr gebracht, ist nur diese insgesamt zu betrachten. Werden Komponenten auch getrennt in Verkehr gebracht, sind diese ebenfalls je für sich ein Produkt. Baugruppen, die der Kunde 2026 oder 2027 übernommen und produktiv genutzt hat, haben damit ein belastbares Argument dafür, zu diesem Zeitpunkt bereitgestellt worden zu sein, und fallen unter Artikel 69 Absatz 2; Baugruppen, die erstmals 2028 abgegeben werden, haben es nicht. Die vertretbarere Antwort lautet für solche Projekte womöglich: mehrere Daten je Teilsystem statt ein Datum je Projekt.

Ein verspäteter Liefertermin macht die CRA-Nachrüstung teuer

Die naheliegende Reaktion auf einen Stichtag ist ein Terminpuffer. Im Anlagenbau hilft er nicht: CRA-konforme Software muss rund ein Jahr vor der Auslieferung stehen (Freigabe, Test, Feldreife der eingesetzten Firmware-Stände), das intern maßgebliche Datum liegt also ohnehin etwa zwölf Monate vor dem Liefertermin. Wer den Liefertermin vorzieht, um sicher vor dem 11. Dezember 2027 zu liegen, zieht das effektive Software-Datum im gleichen Maß mit nach vorn.

Teuer wird der umgekehrte Fall. Verzögert sich kundenseitig die Halle, rutscht ein Projekt, das gegen den alten Rechtsstand kalkuliert wurde, über den Stichtag. Nachrüsten scheitert dann an drei Punkten:

• Codebasis: Eine Anlage dieser Größenordnung ist mit rund einer Million Zeilen Code nachträglich auf CRA-Konformität zu heben, ohne dass dafür Budget, Vorlaufzeit oder Lieferantenzusagen vorliegen.
• Komponentenstamm: In der Anlage stecken rund 90.000 Bestellartikel, Normteile nicht mitgerechnet, ein erheblicher Teil davon firmwarebehaftet bis hinunter zum Hauptschalter. Der Austausch eines einzelnen Bauteils bindet mindestens sechs Monate Engineering und Laborarbeit und noch einmal sechs Monate Feldtest, weil das Ersatzteil identisches Verhalten zeigen muss: Geschwindigkeit, Sicherheitsverhalten, Stromaufnahme. Intern gilt deshalb häufig eine Schwelle von etwa 30 Prozent Vorteil bei Preis, Qualität oder mittlerer Lebensdauer, unterhalb derer gar nicht erst getauscht wird. Was zum Zeitpunkt der Konstruktion verbaut wird, bleibt verbaut.
• Lieferanten: Weil der Komponentenstamm feststeht, liegt der Hebel bei den Lieferanten. Zusagen erfolgen dort häufig gar nicht oder erst für Dezember 2027 und damit zu spät für eine eigene Vorlaufzeit von einem Jahr.

CRA-Konformität gehört deshalb in das Angebot statt in die Projektendphase, einschließlich der Frage, wer das Nachrüstrisiko trägt, wenn der Verzug nicht beim Lieferanten liegt. Wie sich Lieferanten ohne maschinenlesbare Advisories überhaupt beobachten lassen, behandelt der Beitrag zum Cybersecurity-Fahrplan.

Auf eine Karenzzeit lässt sich nicht planen

Der Digital Omnibus hat im Juni 2026 in seinem KI-Teil Fristen der KI-Verordnung verschoben; der breitere Teil, der die Cybersicherheits-Meldewege und damit den CRA berührt, ist noch nicht geeinigt und frühestens gegen Ende 2026 zu erwarten. Die CRA-Daten tastet keiner von beiden an, die Kommissionsseite zum CRA nennt unverändert den 11. Dezember 2027. Verzögert hat sich die Normung: Bei den Fristen des Normungsauftrags ist eine Verschiebung um rund zwei Monate auf dem Weg, und nach Einschätzung von Werkspilot (amtlich bestätigt ist das nicht) werden harmonisierte Normen kaum rechtzeitig zum 11. Dezember 2027 vollständig vorliegen. Eine verspätete Norm verschiebt jedoch keine Rechtspflicht, sie erhöht nur den Aufwand, die Konformität ohne Vermutungswirkung nachzuweisen.

Drei Fragen aus der Praxis

Lässt sich das Inverkehrbringdatum vertraglich festlegen?

Vertraglich festlegen lässt sich, welches Ereignis die Parteien als maßgeblich ansehen und welches Dokument es belegt – und das ist sinnvoll, weil sonst im Streitfall gar nichts vorliegt. Die Marktüberwachung bindet eine solche Abrede nicht. Das Kriterium gibt die Verordnung vor; disponibel ist nur der Nachweis. Belastbar wird die Position dadurch, dass sich zum gewählten Zeitpunkt der Abschluss der Herstellung tatsächlich belegen lässt.

Was gilt für Ersatzteile und Nachlieferungen?

Hier greift eine Ausnahme, die man kennen muss. Nach Artikel 2 Absatz 6 gilt der CRA nicht für Ersatzteile, die eine identische Komponente ersetzen und nach denselben Spezifikationen gefertigt sind wie das Bauteil, das sie ersetzen. Ein baugleicher Umrichter, der 2028 als Ersatzteil in eine 2026 ausgelieferte Anlage geht, ist damit ausgenommen – nicht etwa 2028 neu in Verkehr gebracht. Die Grenze verläuft also nicht zwischen Neuanlage und Service, sondern zwischen „identisch nach denselben Spezifikationen" (ausgenommen) und „etwas ist anders": Nachfolgemodell, geänderter Firmware-Stand oder separat verkaufte Zusatzsoftware sind eigene Produkte mit eigenem Inverkehrbringdatum. Bei firmwarebehafteten Komponenten ist „identisch" nach einigen Jahren allerdings selten haltbar – und genau dort, nicht am Ersatzteil an sich, erfasst der CRA das Servicegeschäft.

Hilft es, Anlagen ohne CRA-Konformität in geschützten Zonen zu betreiben?

Als Betreibermaßnahme ja, als Ersatz für die Herstellerpflicht nein. Ein Umrichter ohne konforme Firmware lässt sich in einer abgeschotteten Zone betreiben, doch Inbetriebnahme und Instandhaltung brauchen weiterhin Zugang – die Zone ist also nie vollständig dicht. Wann ein solcher Eingriff eine wesentliche Veränderung darstellt und die Pflicht neu auslöst, behandelt der Beitrag zur Herstellerrolle.

Die belastbare Konsequenz ist unspektakulär: Das Inverkehrbringdatum je Projekt bewusst festlegen, die Begründung dokumentieren und den Auslieferungsstand bei der Abnahme erfassen, solange die Anlage noch im eigenen Zugriff ist. Ein Netzwerkscan bei der Werksabnahme ist der letzte Zeitpunkt, zu dem sich der tatsächlich ausgelieferte Stand ohne Rekonstruktion feststellen lässt; wie das praktisch aussieht, beschreibt der Beitrag zur SBOM-Erstellung im Anlagenbau. Im Gespräch klären, welches Datum für laufende Projekte trägt.

Werkspilot überwacht Lieferanten-Advisories automatisiert und gleicht sie gegen die Feldbasis von Anlagenbauern und Integratoren ab. Dieser Beitrag gibt die Einschätzung von Werkspilot zum Zeitpunkt der Veröffentlichung wieder und ersetzt keine Rechtsberatung. Maßgeblich sind die Verordnungstexte selbst.