FAQs zum CRA: Auswirkungen für Maschinenbauer

Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen des CRA nur, wenn sie ab diesem Datum einer wesentlichen Änderung unterzogen werden (Art. 69 Abs. 2, bzw. 1.4 in den FAQs).

Praxisbeispiel zur Abgrenzung wesentlicher Änderungen

• Fall 1 – Kein wesentlicher Eingriff: Maschine wird Mitte 2027 in Verkehr gebracht; 2028 ein Fehlerbehebungs-Update, das nur Stabilitätsprobleme löst → CRA nicht anzuwenden.
• Fall 2 – Wesentliche Änderung: 2029 Update, das neue Funktionen aktiviert und damit die ursprünglich vorgesehenen Funktionen verändert bzw. erweitert → CRA wird anwendbar, der Hersteller muss Produktkonformität herstellen.

Meldepflichten für Produkte vor Inkrafttreten des CRA

Unabhängig von der sonstigen Übergangsregel gilt eine Ausnahme für die Meldepflichten nach Artikel 14. Die Meldepflichten des CRA gelten ab dem 11. September 2026. Hersteller müssen insbesondere aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle für alle Produkte mit digitalen Elementen melden, die in den Anwendungsbereich des CRA fallen, einschließlich solcher, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
 

Hierzu finden sich Erläuterungen in Abschnitt 1.5 des FAQ-Dokuments. Das Inverkehrbringen gilt nicht als erfolgt, wenn ein Produkt ausschließlich für den Eigengebrauch hergestellt wird. Der Blue Guide zur Umsetzung der EU Produktvorschriften 2022 stellt klar, dass Produkte, die intern vom Betreiber hergestellt und genutzt werden (z. B. eigene Betriebsmittel oder Teststände), nicht unter den CRA fallen, solange sie nicht separat in Verkehr gebracht oder Dritten verfügbar gemacht werden.

Die Marktverfügbarkeit kann die Lage jedoch ändern. Werden solche Produkte später extern vertrieben oder als eigenständige Produkte verfügbar gemacht, gelten die CRA- Pflichten ab dem Zeitpunkt der Inverkehrbringung.
 

Hersteller, deren Produkte sowohl unter den CRA als auch unter die neue Maschinenverordnung (EU) 2023/1230 (MVO) fallen, müssen beide Regelwerke erfüllen (siehe Abschnitt 2.4 der CRA-FAQs). Es bestehen inhaltliche Überschneidungen bei Cybersicherheitsrisiken (z. B. Schutz vor Korruption, Sicherheit von Steuerungssystemen). Die Einhaltung der CRA Anforderungen kann daher die Erfüllung bestimmter Vorgaben der MVO erleichtern. Die Erfüllung der Anforderungen einer Verordnung ersetzt nicht automatisch die Erfüllung der Vorgaben einer anderen Verordnung. Hersteller müssen belegen, dass die Umsetzung der CRA Anforderungen auch die relevanten Anforderungen der MVO abdeckt. Geeignete Nachweismittel sind harmonisierte Normen oder andere technische Spezifikationen, gestützt auf eine Risikoanalyse.

Als Beispiel wird eine Lebensmittelverpackungsmaschine genannt. Diese kann zugleich eine Maschine im Sinne der MVO und ein Produkt mit digitalen Elementen im Sinne der CRA sein. In solchen Fällen müssen sowohl die wesentlichen Sicherheits- und Gesundheitsschutzanforderungen der MVO als auch die Cybersicherheitsanforderungen des CRA geprüft und ggf. erfüllt werden.
 

Sowohl der CRA als auch die MVO schreiben eigenständige Konformitätsbewertungsverfahren vor, was in Abschnitt 2.4.3 der CRA-FAQs dargestellt wird. Fällt ein Produkt gleichzeitig unter beide Regelwerke, müssen Hersteller die jeweiligen, in jedem Rechtsakt separat festgelegten Verfahren sicherstellen. Die Erfüllung des Verfahrens eines Rechtsakts ersetzt nicht automatisch die Erfüllung des anderen.
 

Im Rahmen des New Legislative Framework müssen Hersteller eine dokumentierte Risikobewertung durchführen und die grundlegenden Anforderungen der geltenden Harmonisierungsrechtsvorschriften der Union umsetzen. Bei Produkten mit digitalen Elementen muss die Bewertung der Cybersicherheitsrisiken das gesamte Produkt umfassen, einschließlich der Komponenten zur Fernverarbeitung von Daten und aller unterstützenden Funktionen, die Teil des in Verkehr gebrachten Produkts sind. Details hierzu finden sich in Abschnitt 4.5 der FAQs.
 

Der Hersteller hat die wirksame Behebung von Sicherheitslücken für mindestens fünf Jahre sicherzustellen, sofern nicht objektiv davon auszugehen ist, dass das Produkt kürzer genutzt wird. Ist die voraussichtliche Nutzungsdauer weniger als fünf Jahre, richtet sich der Unterstützungszeitraum nach dieser erwarteten Nutzungsdauer. Produkte mit typischerweise langer Lebensdauer erfordern im Normalfall Supportzeiträume über fünf Jahre. Besonders in industriellen Umgebungen genutzte Maschinen sind häufig über deutlich längere Zeiträume im Einsatz und müssen entsprechend berücksichtigt werden. Details hierzu sind in Abschnitt 4.5 nachzulesen.

Maschinen als Equipment as a Service (EaaS), also Produkte mit klar begrenztem Einsatzzeitraum, können eine kürzere Supportdauer haben, die der vereinbarten Nutzungsdauer beim Kunden entspricht.
 

Grundsätzlich müssen Hersteller alle aktiv ausgenutzten Schwachstellen in ihren Produkten mit digitalen Elementen melden (Abschnitt 5.4).

Stammt die aktiv ausgenutzte Schwachstelle aus einer integrierten zugekauften Komponente, ist der Hersteller des Gesamtprodukts zur Meldung verpflichtet. Ist die Komponente selbst als Produkt in Verkehr gebracht worden, muss auch deren Hersteller diese melden.

Erkennt der Hersteller, dass eine Schwachstelle in einer integrierten Komponente vorliegt, diese aber in seinem Produkt nicht ausgenutzt werden kann, gilt sie nicht als aktiv ausgenutzt und unterliegt daher nicht der Meldepflicht.

Solche nicht ausgenutzten Schwachstellen können jedoch freiwillig nach Artikel 15 gemeldet werden. Zudem muss der Hersteller die Schwachstelle der Person oder Stelle melden, die die Komponente herstellt oder wartet (Art. 13 Abs. 6).

In Bezug auf Meldungen verschaffen CSIRTs und ENISA ein Lagebild zur Bewertung von Schweregrad und Marktdurchdringung aktiv ausgenutzter Schwachstellen im Binnenmarkt.
 

Die Verpflichtungen gelten für das Produkt in seiner Gesamtheit, also auch für integrierte oder mitgelieferte Komponenten. Wurde eine integrierte Komponente nach Inkrafttreten der CRA selbst als Produkt in Verkehr gebracht, kann sich der integrierende Hersteller auf die Maßnahmen des Komponentenherstellers stützen (z. B. Sicherheitsupdates). Der integrierende Hersteller bleibt jedoch verpflichtet, Nutzer zu informieren, Abhilfemaßnahmen bereitzustellen und die Dokumentation zu aktualisieren.

Ist die Komponente nicht in Verkehr gebracht worden oder vor Inkrafttreten in Verkehr gebracht worden, unterliegt deren Hersteller nicht automatisch den CRA Pflichten. Der integrierende Hersteller muss dennoch sicherstellen, dass sein Gesamtprodukt die Anforderungen erfüllt und gegebenenfalls selbst Maßnahmen ergreifen (Deaktivieren betroffener Funktionen, Austausch der Komponente oder Eigenentwicklung eines Patches).

Details bieten die CRA-FAQs in Abschnitt 4.3.6.