Technische Kernaussagen
- Meldepflicht startet am 11. September 2026; Hauptpflichten am 11. Dezember 2027.
- Die Herstellerrolle folgt dem Namen oder der Marke am EU-Markt.
- Mit Inventar, Risiko, Supportzeit, Vulnerability-Workflow und Nachweisverantwortung beginnen.
Zwei Termine gehören in den Engineering-Kalender
Artikel 14 gilt ab 11. September 2026, die Hauptpflichten ab 11. Dezember 2027. Die Meldepflicht erfasst laut Kommission auch bereits verfügbare Produkte.[1][2][3]
| Datum | Änderung | Aktion |
|---|---|---|
| 11.06.2026 | Notified-Body-Regeln | Klasse und Route prüfen |
| 11.09.2026 | Meldepflicht | 24/72-h-Prozess üben |
| 11.12.2027 | Hauptpflichten | Konforme Produkte mit Nachweis |
Produkt, Hersteller und Klasse definieren
Vernetzte Maschine, Controller-Software und Managementdienst können getrennte Scope-Fragen erzeugen. Rolle und Produkt werden anhand des Inverkehrbringens dokumentiert.[1][2]
Annex III/IV und Durchführungsverordnung 2025/2392 bestimmen wichtige und kritische Kategorien. Auch eine Default-Einstufung braucht Begründung.[5][1]
Eine Security-Baseline je unterstütztem Release
- Produkt, Varianten und Cloud-Abhängigkeiten identifizieren
- Cyber-Risikobewertung pflegen
- Annex I auf Kontrollen und Tests mappen
- Maschinenlesbare SBOM mit Release-Hash
- Support-Enddatum kommunizieren
- Technische Dokumentation bewahren
Eine SBOM ist ein Index. Wert entsteht durch die Verbindung zu Produkten, Schwachstellen, Kunden, Entscheidungen und Update-Nachweisen.[1][2]
Annex I in Abnahmekriterien übersetzen
Die Matrix nennt Bedrohung, Kontrolle, Prüfmethode, Ergebnis, Release und Restrisiko. Ein Policy-Satz ohne Test ist schwach.[1]
- Keine geteilten Default-Passwörter
- Control und Remote-Management trennen
- Releases authentifizieren und Rollback schützen
- Nützliche datensparsame Security-Logs
- Nach Änderungen neu testen
Die Meldeuhr vor dem Start üben
Aktiv ausgenutzte Schwachstellen und schwere Vorfälle werden ab 11. September 2026 über die ENISA-Plattform gemeldet: Frühwarnung binnen 24 Stunden, Hauptmeldung binnen 72 Stunden.[3][4]
- Überwachten Eingang benennen
- Entscheidungsrollen definieren
- Versionen und Kunden zuordnen
- 24/72-h-Vorlagen vorbereiten
- Remediation und Kommunikation koordinieren
- Zeitübung durchführen
Ein praktischer 90-Tage-Start
| Wochen | Lieferobjekt | Exit |
|---|---|---|
| 1–2 | Produkte, Rollen, Owner | Scope freigegeben |
| 3–5 | Inventar, SBOM, Supportzeit | Gerät auf Komponenten auflösbar |
| 6–8 | Risiko- und Annex-Matrix | Top-Risiken getestet |
| 9–10 | Vulnerability-Workflow | CVE auf Produkte gemappt |
| 11–12 | Meldeübung | 24/72 h erreicht |
| 13 | Gap-Plan und Budget | Owner und Datum je Gap |
Klare Supportzeit, Update-Prozess und Security-Anweisungen reduzieren auch die Unsicherheit im Einkauf.
Häufig gestellte Fragen
Gilt der CRA für Industriemaschinen?
Möglich. Produkt, Zweck, Abhängigkeiten, Ausnahmen und Rolle müssen produktspezifisch bewertet werden.
Wann beginnt die Meldepflicht?
Artikel 14 gilt ab 11. September 2026, auch für relevante bereits am EU-Markt verfügbare Produkte.
Reicht eine SBOM?
Nein. Risiko, Produkteigenschaften, Updates, Dokumentation, Konformität und Reporting kommen hinzu.
Quellen und Standards
- Regulation (EU) 2024/2847: Cyber Resilience ActEUR-Lex
- The Cyber Resilience Act: summary of the legislative textEuropean Commission
- Cyber Resilience Act: reporting obligationsEuropean Commission, Updated June 2026
- Cyber Resilience Act Single Reporting PlatformEuropean Union Agency for Cybersecurity, Updated 17 July 2026
- Implementing Regulation (EU) 2025/2392 on important and critical product categoriesEUR-Lex
BootCtrl Engineering hat die technischen Aussagen und Quellenlinks zuletzt am 26. Juli 2026 geprüft. Produktaussagen werden mit den aktuellen Implementierungs-Repositories abgeglichen; Roadmap-Arbeit wird nicht als verfügbare Funktion dargestellt.
