Was verlangen CRA und Maschinenverordnung jeweils?
Die Tabelle stellt die Punkte gegenüber, an denen sich beide Verordnungen bei einer Maschine mit Firmware berühren. Jede Zeile nennt die Fundstelle im Amtsblatt.
| Thema | CRA, (EU) 2024/2847 | Maschinenverordnung, (EU) 2023/1230 |
|---|---|---|
| Gilt ab | 11.12.2027, Art. 14 ab 11.09.2026 (Art. 71 Abs. 2) | 14.01.2027 (Art. 54) |
| Schutzziel | Cybersicherheit des Produkts mit digitalen Elementen | Sicherheit und Gesundheitsschutz, darin Schutz gegen Korrumpierung und sichere Steuerungen |
| Software benennen | Software-Stückliste, zumindest die obersten Abhängigkeiten (Anhang I Teil II Nr. 1) | Installierte Software, die für den sicheren Betrieb erforderlich ist, kenntlich machen und jederzeit leicht zugänglich bereitstellen (Anhang III Nr. 1.1.9) |
| Eingriffe erfassen | Sicherheitsbezogene Informationen durch Aufzeichnung und/oder Überwachung einschlägiger interner Vorgänge bereitstellen, mit Opt-out für den Nutzer (Anhang I Teil I Nr. 2 Buchst. l) | Nachweise für Eingriffe in die Software und für Änderungen an Software oder Konfiguration sammeln (Anhang III Nr. 1.1.9) |
| Versionen nach dem Inverkehrbringen | Sicherheitsaktualisierungen, die Schwachstellen beheben (Anhang I Teil II Nr. 2) | Protokoll der hochgeladenen Versionen der Sicherheitssoftware, bis zu fünf Jahre nach dem Hochladen (Anhang III Nr. 1.2.1 Buchst. f) |
| Konformitätserklärung | Eine einzige für alle einschlägigen Rechtsakte (Art. 28 Abs. 3) | Eine einzige für alle einschlägigen Rechtsakte (Art. 21 Abs. 3) |
Was verlangt Anhang III Nr. 1.1.9 der Maschinenverordnung?
Der Anschluss eines anderen Geräts, direkt oder über eine entfernte Einrichtung, darf nicht zu einer gefährlichen Situation führen. Software und Daten, die für die Übereinstimmung der Maschine mit den Sicherheits- und Gesundheitsschutzanforderungen von entscheidender Bedeutung sind, sind „als solche zu benennen und angemessen gegen unbeabsichtigte oder vorsätzliche Korrumpierung zu schützen“.
Dazu zwei Pflichten, die direkt die Firmware betreffen: „Die Maschine bzw. das dazugehörige Produkt muss die installierte Software, die für den sicheren Betrieb erforderlich ist, kenntlich machen und diese Informationen jederzeit in leicht zugänglicher Form bereitstellen können.“ Und sie muss „Nachweise für ein rechtmäßiges oder unrechtmäßiges Eingreifen in die Software oder eine Veränderung der in Maschinen bzw. dazugehörigen Produkte installierten Software oder ihrer Konfiguration sammeln.“
Was verlangt Anhang III Nr. 1.2.1 der Maschinenverordnung?
Steuerungen müssen, wenn den Umständen und Risiken angemessen, den zu erwartenden Betriebsbeanspruchungen sowie beabsichtigten und unbeabsichtigten Fremdeinflüssen standhalten, „einschließlich vernünftigerweise vorhersehbare böswillige Versuche Dritter, die zu einer Gefährdungssituation führen“ (Buchst. a). Ein Defekt der Hardware oder der Software der Steuerung darf nicht zu Gefährdungssituationen führen (Buchst. b).
Buchst. f verlangt ein Rückverfolgungsprotokoll der Daten zu einem Eingreifen und der Versionen der Sicherheitssoftware, die nach dem Inverkehrbringen oder der Inbetriebnahme hochgeladen wurden. Es ist bis zu fünf Jahre nach dem Hochladen vorzuhalten, ausschließlich für den Nachweis der Konformität auf begründete Anforderung einer zuständigen nationalen Behörde.
Deckt eine Maschine, die den CRA einhält, Nr. 1.1.9 und 1.2.1 automatisch ab?
Nein. Erwägungsgrund 53 des CRA sagt, dass die Einhaltung der grundlegenden Cybersicherheitsanforderungen „die Einhaltung der grundlegenden Anforderungen erleichtern“ könnte, die bestimmte Cybersicherheitsrisiken der Maschinenverordnung abdecken, insbesondere Anhang III Nr. 1.1.9 und 1.2.1. Solche Synergieeffekte muss der Hersteller nachweisen, etwa über harmonisierte Normen nach einer Risikobeurteilung, und er folgt den Konformitätsbewertungsverfahren beider Verordnungen.
Für Nr. 1.1.9 und 1.2.1 regelt die Maschinenverordnung neben den harmonisierten Normen (Art. 20 Abs. 1) einen eigenen Weg: Konformität wird vermutet bei Maschinen mit einem Zertifikat oder einer Konformitätserklärung nach einem Schema für die Cybersicherheitszertifizierung nach der Verordnung (EU) 2019/881, dessen Fundstellen im Amtsblatt veröffentlicht sind, soweit Zertifikat oder Erklärung diese Anforderungen abdecken (Art. 20 Abs. 9). Eine Vermutung allein aus der CRA-Konformität kennt die Maschinenverordnung nicht. Leitlinien für Hersteller, die auch anderen Harmonisierungsrechtsvorschriften unterliegen, sieht der CRA in Art. 26 Abs. 2 Buchst. c vor.
Was muss ein Maschinenhersteller mit Firmware jetzt tun?
Die Maschinenverordnung gilt knapp elf Monate vor dem CRA. Wer bis zum 14.01.2027 die sicherheitsrelevante Software seiner Maschine benennen und Eingriffe nachweisen kann, hat einen Teil der Grundlage, die der CRA ab dem 11.12.2027 für die Software-Stückliste und die Schwachstellenbehandlung braucht.
- 1
Prüfen, ob die Maschine ein Produkt mit digitalen Elementen mit Datenverbindung ist: Firmware und eine Schnittstelle, über die Daten laufen.
- 2
Die installierte Software je Steuerung erfassen, mit Version, und die für den sicheren Betrieb erforderliche kennzeichnen (Anhang III Nr. 1.1.9).
- 3
Aus derselben Liste die Software-Stückliste und die bekannten Schwachstellen je Komponente ableiten (CRA Anhang I Teil II Nr. 1 und 2).
- 4
Eingriffe und hochgeladene Versionen der Sicherheitssoftware protokollieren (Anhang III Nr. 1.1.9 und Nr. 1.2.1 Buchst. f).
- 5
Eine einzige EU-Konformitätserklärung für beide Verordnungen vorbereiten (MVO Art. 21 Abs. 3, CRA Art. 28 Abs. 3).
Häufige Fragen
Gilt der CRA für jede Maschine?
Nur für Maschinen, die Produkte mit digitalen Elementen sind und deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (CRA Art. 2 Abs. 1). Für eine Maschine mit Steuerung und Firmware, die über eine Schnittstelle Daten austauscht, trifft das in aller Regel zu.
Was gilt zuerst?
Die Maschinenverordnung, ab dem 14.01.2027 (Art. 54). Der CRA gilt ab dem 11.12.2027, seine Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle schon seit dem 11.09.2026 (Art. 71 Abs. 2).
Ersetzt die CRA-Konformität die Prüfung nach Anhang III Nr. 1.1.9 und 1.2.1?
Nein. Sie könnte sie erleichtern, der Hersteller muss das aber nachweisen (CRA, Erwägungsgrund 53). Eine Konformitätsvermutung für diese Punkte gibt die Maschinenverordnung über im Amtsblatt veröffentlichte harmonisierte Normen (Art. 20 Abs. 1) und über eine Zertifizierung nach der Verordnung (EU) 2019/881 (Art. 20 Abs. 9), nicht über die CRA-Konformität.
Brauche ich zwei Konformitätserklärungen?
Nein. Unterliegt ein Produkt mehreren Rechtsakten, die eine EU-Konformitätserklärung verlangen, stellt der Hersteller eine einzige für alle aus und nennt darin die Rechtsakte samt Fundstellen (MVO Art. 21 Abs. 3, CRA Art. 28 Abs. 3). Für eine unvollständige Maschine stellt der Hersteller nach der Maschinenverordnung keine Konformitätserklärung, sondern eine Einbauerklärung aus (Art. 22); daneben steht die EU-Konformitätserklärung nach dem CRA.
Hat sich an den Fristen der Maschinenverordnung etwas geändert?
Bis zum 11.11.2026 nicht. Die Verordnung wurde zweimal geändert, durch (EU) 2024/2748 zu Notfallverfahren im Binnenmarkt und durch (EU) 2026/1744. Keine der beiden ändert Art. 54 oder Anhang III Nr. 1.1.9 und 1.2.1. (EU) 2026/1744 ergänzt Art. 20 Abs. 10 und ermächtigt die Kommission, Anhang III für Hochrisikosysteme nach der Verordnung (EU) 2024/1689 zu ergänzen; (EU) 2024/2748 fügt Notfallverfahren ein (Kapitel IVa).