Cyber Resilience Act und Maschinenverordnung — Beratung für Maschinenbauer
Zwei Regelwerke, ein Ziel: Cybersicherheit als Bestandteil des Produkts. Ab 2027 wird Security by Design für Maschinen und für Produkte im Anwendungsbereich des CRA verbindlich. Ich begleite Sie von der Gap-Analyse bis zur CE-konformen Dokumentation.
Rechtsstand 30. September 2026: CRA-Meldepflichten seit 11. September 2026, MVO anwendbar ab 20. Januar 2027, vollständige CRA-Anwendung ab 11. Dezember 2027. Die Kommission aktualisierte ihre CRA-FAQ zuletzt am 4. September 2026.
Warum CRA und MVO für Maschinenbauer jetzt relevant sind
Rechtsstand 30. September 2026 greifen für Maschinenbauer zwei EU-Regelwerke parallel: der Cyber Resilience Act (CRA, EU 2024/2847) und die Maschinenverordnung (MVO, EU 2023/1230). Beide fordern Cybersicherheit, setzen aber unterschiedliche Schwerpunkte und Fristen.
Bereits die Maschinenrichtlinie verlangt eine Risikobeurteilung und technische Unterlagen. Die MVO benennt den Schutz gegen Korrumpierung und vorhersehbare böswillige Eingriffe ausdrücklich; die dafür erforderlichen Maßnahmen müssen in der Risikobeurteilung und den technischen Unterlagen nachvollziehbar sein (Maschinenrichtlinie, Anhang I und VII; MVO, Anhang III Nr. 1.1.9 und 1.2.1).
Hinzu kommt der Safety-Security-Nexus: Eine kompromittierte Steuerung kann eine Schutzeinrichtung außer Kraft setzen. Cybersicherheit ist damit keine IT-Frage — sie ist eine Frage der Maschinensicherheit.
MVO Security × Cyber Resilience Act
Links stehen die MVO-spezifischen Punkte, in der Mitte die gemeinsamen Arbeitsfelder, rechts die CRA-Themen. Ein Klick öffnet die Einordnung.
Was ich für Sie tue
CRA & MVO Gap-Analyse
Systematische Bestandsaufnahme Ihrer vernetzten Produkte: Welche Komponenten existieren? Welche Risikoklasse gilt? Was fehlt noch zur Konformität? Ergebnis: ein priorisierter Maßnahmenplan.
Cybersecurity-Risikobeurteilung
Strukturierte Bedrohungsanalyse (Threat Modeling) für jede betroffene Maschinenreihe — analog zur Sicherheitsrisikoanalyse nach EN ISO 12100, kompatibel mit prEN 50742 und IEC 62443.
SBOM-Aufbau
Software Bill of Materials in SPDX oder CycloneDX mit vereinbarter Abdeckung, Versionierung und Pflegeprozess. Gesetzliches CRA-Mindestmaß sind die direkten Abhängigkeiten; darüber hinaus erfasse ich auf Wunsch transitive Komponenten für das Schwachstellenmanagement.
CE-Dokumentation & Konformität
Aktualisierung der technischen Unterlagen für die CE-Kennzeichnung: Cybersecurity-Risikobeurteilung, Maßnahmendokumentation, Konformitätserklärung nach MVO-Anforderungen.
Schwachstellenmanagement-Prozess
Interner Prozess für Vulnerability Disclosure und Patch-Management — einschließlich der seit 11. September 2026 geltenden CRA-Meldepflichten. Frühwarnung und weitere Meldeschritte werden mit Verantwortlichkeiten und Vertretung vorbereitet.
Schulung Entwicklungsteam
Security by Design in der Praxis: Halbtages- oder Tagesworkshop für Konstrukteure und Softwareentwickler — von Threat Modeling bis zu sicheren Update-Mechanismen.
Wie ich vorgehe
Erstgespräch und Zuschnitt
Welche Produkte sind betroffen? Welche Fristen sind relevant? Welche Vorarbeit existiert bereits? Kostenloses Erstgespräch — 45 Minuten, konkrete Einschätzung.
Produkt-Screening
Vollständige Bestandsaufnahme: Schnittstellen, Softwarekomponenten, Netzwerkverbindungen, bestehende Sicherheitsmaßnahmen. Grundlage für alle weiteren Schritte.
Risikoanalyse & Gap-Analyse
Systematische Bedrohungsidentifikation für jede Produktlinie. Abgleich mit CRA-Anforderungen und MVO-Schutzzielen. Priorisierter Handlungsbedarf.
Maßnahmen & Dokumentation
Umsetzungsbegleitung für technische Maßnahmen. Parallele Erstellung der CE-Dokumentation: Risikobeurteilung, SBOM, Maßnahmenbeschreibung.
Prozesse & Schulung
Schwachstellenmanagement-Prozess etabliert. Entwicklungsteam geschult. Interne Fähigkeit zur Pflege von SBOM und Meldekette aufgebaut.
Relevante Normen und Regelwerke
Cyber Resilience Act (CRA)
Meldepflichten seit 11.09.2026 · Vollständige Anwendung ab 11.12.2027 · SBOM-Pflicht · Schwachstellenmanagement
Maschinenverordnung (MVO)
Anhang III, 1.1.9 Schutz gegen Korrumpierung · 1.2.1(a) Schutz der Steuerung gegen äußere Einwirkungen · anwendbar ab 20.01.2027
Cybersicherheit für Maschinen
Entwurfsstand März 2026 · Konkretisiert Cybersicherheit für Maschinen · Eine Konformitätsvermutung setzt die einschlägige Amtsblattreferenz voraus und reicht nur über die dort abgedeckten Anforderungen.
Industrial Cybersecurity
Zonen & Konduit-Modell · Security Levels · Technische Orientierung für industrielle Cybersicherheit
CRA & MVO — Was Maschinenbauer wissen wollen
Q01Gilt der CRA auch für Maschinenbauer?
Ja. Wer Maschinen mit vernetzten Komponenten — SPS, HMI, Sensoren, Fernwartungsschnittstellen — herstellt, fällt unter den CRA. Zusätzlich gilt die Maschinenverordnung (MVO), deren Cybersicherheitsanforderungen sich stark mit dem CRA überschneiden. Eine koordinierte Umsetzung beider Regelwerke ist effizienter als zwei separate Projekte.
Q02Was ist eine SBOM und brauche ich sie wirklich?
Eine Software Bill of Materials (SBOM) ist ein maschinenlesbares Verzeichnis von Softwarekomponenten und ihren Abhängigkeiten. Anhang I Teil II Nummer 1 CRA verlangt mindestens die direkten Abhängigkeiten des Produkts. Für ein tragfähiges Schwachstellenmanagement kann eine weitergehende Erfassung transitiver Komponenten sinnvoll sein. SPDX oder CycloneDX sind verbreitete, toolgestützt pflegbare Formate; der CRA schreibt keines dieser Formate exklusiv vor.
Q03Ab wann gilt der CRA verbindlich?
Rechtsstand 30. September 2026: Die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten seit 11. September 2026. Die vollständige CRA-Anwendung folgt am 11. Dezember 2027. Die Maschinenverordnung ist ab 20. Januar 2027 anzuwenden.
Q04Was kostet eine CRA/MVO-Gap-Analyse?
Das hängt von der Anzahl der Produktlinien und ihrer Komplexität ab. Für ein mittelständisches Unternehmen mit zwei bis fünf vernetzten Maschinenreihen liegt der Aufwand für eine strukturierte Gap-Analyse erfahrungsgemäß bei drei bis sechs Wochen. Das Ergebnis ist ein konkreter Maßnahmenplan mit Priorisierung und Kostenrahmen.
Q05Kann ich CRA und MVO gemeinsam angehen?
Ja — und genau das empfehle ich. Die Anforderungen überschneiden sich erheblich: Security by Design, Risikobeurteilung, Dokumentation. Eine gemeinsame Risikoanalyse, ein gemeinsames Maßnahmenkonzept, eine gemeinsame Dokumentationsstruktur — das spart Zeit und vermeidet doppelte Arbeit bei der CE-Kennzeichnung.
Passende nächste Themen
Bereit für den nächsten Schritt?
Antwort in der Regel innerhalb von 24 Stunden an Werktagen. Kein Verkaufsgespräch – ein ehrliches Erstgespräch über Ihre Situation.