Cyber Resilience Act: Meldepflicht ab 11. September 2026

In gut zwei Wochen, am 11. September 2026, greift die erste scharfe Pflicht aus dem Cyber Resilience Act. Sie betrifft nicht erst Maschinen, die ab 2027 gebaut werden. Sie betrifft alles, was Sie je ausgeliefert haben — die Maschine von 2015 ebenso wie die von letzter Woche.

Das ist keine Auslegung, sondern steht in Artikel 69.

Dieser Artikel nennt die Fundstellen: was am 11. September beginnt, welche drei Irrtümer im Maschinenbau kursieren und was sich vorher noch erledigen lässt. Die Bewertung Ihres konkreten Produkts gehört in die Konformitätsbewertung und gegebenenfalls zu Ihrer Rechtsberatung — hier stehen die Stellen, an denen beide ansetzen. Wie sich der CRA zu den Pflichten aus NIS2 verhält, steht kurzgefasst in den häufigen Fragen zur Migration.

Was am 11. September beginnt

Artikel 14 verlangt zwei Arten von Meldungen: bei einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt und bei einem schwerwiegenden Sicherheitsvorfall, der die Sicherheit des Produkts beeinträchtigt. Beide laufen über dieselbe Plattform, aber mit unterschiedlichen Endfristen.

Die letzte Zeile wird häufig falsch wiedergegeben — meist als einheitliche 14-Tage-Frist. Tatsächlich hängen die beiden Abschlussberichte an unterschiedlichen Auslösern (Artikel 14 Absatz 2 Buchstabe c gegenüber Absatz 4 Buchstabe c). Für ein Meldeverfahren, das im Ernstfall funktionieren soll, ist das der Unterschied zwischen zwei Kalendereinträgen.

Dazu kommt Artikel 14 Absatz 8: Nutzer, die von einer aktiv ausgenutzten Schwachstelle betroffen sind, müssen informiert werden. Auch das gilt für Altprodukte.

Die Plattform, über die zu melden ist

Die zentrale Meldeplattform der ENISA war zum Stand dieses Artikels noch nicht in Betrieb; die Behörde gibt an, sie werde zum 11. September bereitstehen. Zwei Punkte daraus sind praktisch relevant.

Drei Irrtümer, die im Maschinenbau kursieren

„Steuerungen sind wichtige Produkte und brauchen eine notifizierte Stelle“

Das war einmal richtig — im Entwurf. Zwischen Kommissionsvorschlag und Endfassung liegt an dieser Stelle der ganze Unterschied.

Ergänzend stellt Artikel 7 Absatz 1 klar, dass der Einbau einer wichtigen Komponente das Gesamtprodukt nicht zu einem wichtigen Produkt macht. Eine Maschine mit eingebauter Industrie-Firewall bleibt Standardprodukt — dieselbe Firewall, separat verkauft, ist ein Anhang-III-Produkt.

„Die Maschinenverordnung geht vor“

Diese Annahme ist im DACH-Maschinenbau verbreitet und hat im Verordnungstext keine Grundlage. Artikel 2 Absätze 2 bis 4 zählen die Rechtsakte abschließend auf, die dem CRA vorgehen.

Die Maschinenverordnung ist nicht darunter — sie kommt im gesamten verfügenden Teil des CRA nicht vor, sondern nur in einem Erwägungsgrund.

Die EU-Kommission hat das in ihren FAQ ausdrücklich bestätigt: Die Erfüllung der Cybersicherheitsanforderungen des einen Rechtsakts könne nicht automatisch als Erfüllung der Anforderungen des anderen betrachtet werden, und dasselbe gelte für das Konformitätsbewertungsverfahren.

Praktisch heißt das ab dem 11. Dezember 2027: zwei Bewertungen, eine Konformitätserklärung, die beide Rechtsakte nennt. Synergien zwischen beiden sind möglich — sie müssen aber begründet werden, statt sich von selbst zu ergeben. Zur Erinnerung an die Reihenfolge: Die Maschinenverordnung gilt schon ab dem 20. Januar 2027, der CRA erst knapp elf Monate später.

„Unsere Anlage hängt nicht am Netz“

Artikel 2 Absatz 1 verlangt keine Internetverbindung. Der Maßstab ist ein anderer und deutlich weiter.

Ein Feldbus zwischen Sensor und Steuerung genügt also. Die Abgrenzung „hängt nicht am Netz, also nicht erfasst“ trägt nicht.

Wer Hersteller ist — und wer nicht

Hier liegt die Abgrenzung, die in der Praxis am häufigsten schiefgeht, weil sie sich genau umgekehrt zur Erwartung verhält.

Eigenbau für den eigenen Betrieb: Der CRA erfasst ihn nicht. Es fehlt am Inverkehrbringen; die Kommission verweist dafür ausdrücklich auf den Blue Guide. Die Maschinenverordnung dagegen erfasst ihn sehr wohl — ihr Artikel 3 Nummer 18 zählt zum Hersteller auch, wer ein Produkt herstellt und „für den Eigengebrauch in Betrieb nimmt“.

Wer also eine Sondermaschine für die eigene Fertigung baut, ist Hersteller nach der Maschinenverordnung und kein Hersteller nach dem CRA. Sobald dieselbe Anlage an eine Schwesterfirma abgegeben wird, kippt die Bewertung.

Ersatzteile: Ausgenommen sind nur Teile, die identische Komponenten nach denselben Spezifikationen ersetzen. Ein Nachfolgemodul mit zusätzlichen Funktionen ist kein identisches Ersatzteil, sondern ein eigenes, neu in Verkehr gebrachtes Produkt — mit eigenem Unterstützungszeitraum, der erst mit diesem Inverkehrbringen beginnt. Für Nachrüstsätze und Nachrüstmodule ist das die wirtschaftlich wichtigste Einzelheit der ganzen Verordnung.

Was danach kommt — und warum fünf Jahre selten reichen

Zum 11. Dezember 2027 gelten die eigentlichen Produktanforderungen. Was dann zu erfüllen und nachzuweisen ist, steht in Artikel 13 und Anhang I.

Der Unterstützungszeitraum soll die erwartete Nutzungsdauer widerspiegeln, und die Erwägungsgründe nennen industrielle Steuerungssysteme ausdrücklich als Produkte, die deutlich länger in Gebrauch sind. Bei einer Maschine mit 15 bis 25 Jahren Nutzungsdauer sind fünf Jahre schwer zu begründen.

Was ein Verstoß kostet

Artikel 64 staffelt die Bußgelder nach der verletzten Pflicht. Die Meldepflicht steht in der obersten Stufe. Maßgeblich ist jeweils der höhere der beiden Beträge; der Prozentsatz bemisst sich am weltweiten Jahresumsatz.

Eine Erleichterung gibt es für Kleinst- und Kleinunternehmen, und sie ist enger, als sie meist zitiert wird: Sie werden für die Versäumung der 24-Stunden-Frist nicht mit einer Geldbuße belegt. Die Pflicht selbst bleibt, ebenso die 72-Stunden-Frist und der Abschlussbericht.

Was jetzt zu tun ist

Die Schritte am Ende dieser Seite sind das, was sich vor dem 11. September ohne Rechtsberatung erledigen lässt. Sie ersetzen keine Konformitätsbewertung — sie sorgen dafür, dass eine Meldung im Ernstfall überhaupt absetzbar ist.

Davor steht die Frage, die niemand von außen beantworten kann: was Sie überhaupt in Verkehr bringen und wie weit die eigene Pflichtenlage reicht.

Der aufwendigste Punkt des Fahrplans ist der letzte: Ohne Übersicht über die ausgelieferte Basis — welche Steuerung, welcher Firmware-Stand, welcher Kunde — lässt sich Betroffenheit nicht bewerten. Wer diese Übersicht für den eigenen Anlagenbestand aufbaut statt für die Kundenbasis, findet die Systematik dafür im Obsoleszenz- und Migrations-Check: Sie erhebt dieselben Felder, nur zu einem anderen Zweck.

Die Meldevorlage, die sich heute anlegen lässt

Was in eine Meldung gehört, lässt sich in Ruhe festlegen. Im Ernstfall läuft die 24-Stunden-Frist bereits, während die Felder noch gesucht werden.

# Vorlage für eine Meldung nach Artikel 14.

meldeart: fruehwarnung          # fruehwarnung | meldung | abschlussbericht
anlass:   aktiv_ausgenutzte_schwachstelle   # oder: schwerwiegender_vorfall

kenntnis_erlangt_am: 2026-09-14T21:40+02:00   # setzt beide Anfangsfristen
fristen:
  fruehwarnung: 2026-09-15T21:40+02:00        # 24 Stunden
  meldung:      2026-09-17T21:40+02:00        # 72 Stunden
  abschluss:    offen                         # 14 Tage ab Korrektur- oder
                                              # Risikominderungsmaßnahme

produkt:
  bezeichnung:  ""
  baureihe:     ""
  firmware:     ""
  software:     ""

betroffenheit:
  ausgelieferte_einheiten: 0
  betroffene_einheiten:    0
  nutzer_informiert:       nein    # Pflicht aus Artikel 14 Absatz 8

sachstand: |
  Was bekannt ist, was noch nicht bekannt ist
  und welche Maßnahme geprüft wird.

Mehr ist vor dem 11. September nicht zu leisten — und mehr ist auch nicht nötig, um meldefähig zu sein. Alles Weitere, von der Konformitätsbewertung über den Unterstützungszeitraum bis zur Software-Stückliste, hängt am zweiten Termin: dem 11. Dezember 2027.