Cyber Resilience Act: Meldepflicht ab 11. September 2026

Am 11. September 2026 greift die erste Herstellerpflicht aus dem Cyber Resilience Act. Sie betrifft nicht erst Maschinen, die ab 2027 gebaut werden. Sie betrifft alles, was Sie je ausgeliefert haben — die Maschine von 2015 ebenso wie die von letzter Woche.

Dieser Artikel nennt die Fundstellen: was am 11. September beginnt, welche drei Irrtümer im Maschinenbau kursieren, wer Hersteller ist, was ab Dezember 2027 folgt, was ein Verstoß kostet und was sich vorher erledigen lässt. Die Bewertung Ihres konkreten Produkts gehört in die Konformitätsbewertung und gegebenenfalls zu Ihrer Rechtsberatung — hier stehen die Stellen, an denen beide ansetzen. Der CRA adressiert Hersteller, NIS2 (§ 30 BSIG) den Betreiber — was NIS2 vom Betreiber verlangt und was nicht, steht kurzgefasst in den häufigen Fragen zur Migration.

Was am 11. September 2026 beginnt: die Meldepflicht nach Artikel 14 CRA

Artikel 14 verlangt zwei Arten von Meldungen: bei einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt und bei einem schwerwiegenden Sicherheitsvorfall, der die Sicherheit des Produkts beeinträchtigt. Beide laufen über dieselbe Plattform, aber mit unterschiedlichen Endfristen.

Die letzte Zeile wird häufig falsch wiedergegeben — meist als einheitliche 14-Tage-Frist. Tatsächlich hängen die beiden Abschlussberichte an unterschiedlichen Auslösern (Artikel 14 Absatz 2 Buchstabe c gegenüber Absatz 4 Buchstabe c). Für ein Meldeverfahren, das im Ernstfall funktionieren soll, ist das der Unterschied zwischen zwei Kalendereinträgen.

Dazu kommt Artikel 14 Absatz 8: Bei einer aktiv ausgenutzten Schwachstelle wie bei einem schwerwiegenden Vorfall sind die betroffenen — gegebenenfalls alle — Nutzer zu informieren, erforderlichenfalls einschließlich der Maßnahmen, die sie selbst ergreifen können. Auch das gilt für Altprodukte.

„In Ihrem Produkt“ schließt zugekaufte Komponenten ein. Wird eine Schwachstelle in einer verbauten Steuerung aktiv ausgenutzt, sind nach den FAQ der Kommission (Abschnitt 5.4) beide meldepflichtig: der Steuerungshersteller für die Steuerung und der Maschinenhersteller für die Maschine — jeweils ab eigener Kenntniserlangung. Nicht meldepflichtig ist nur der Fall, dass sich die Lücke in der Maschine nicht ausnutzen lässt. Sicherheitshinweise der Komponentenhersteller gehören deshalb in den Meldeprozess; ob eine Lücke im eigenen Produkt ausnutzbar ist, gehört in die technische Bewertung des Einzelfalls.

Die Plattform, über die zu melden ist

Die zentrale Meldeplattform der ENISA war zum Stand dieses Artikels noch nicht in Betrieb; die Agentur gibt an, sie werde zum 11. September bereitstehen. Zwei Punkte daraus sind praktisch relevant.

Drei Irrtümer zum Cyber Resilience Act im Maschinenbau

„Steuerungen sind wichtige Produkte und brauchen eine notifizierte Stelle“

Das war einmal richtig — im Entwurf, der Steuerungen als „kritische Produkte“ führte. Zwischen Kommissionsvorschlag und Endfassung liegt an dieser Stelle der ganze Unterschied.

Ergänzend stellt Artikel 7 Absatz 1 klar, dass der Einbau einer wichtigen Komponente das Gesamtprodukt nicht zu einem wichtigen Produkt macht. Eine Maschine mit eingebauter Industrie-Firewall bleibt Standardprodukt — dieselbe Firewall, separat verkauft, ist ein Anhang-III-Produkt.

„Die Maschinenverordnung geht vor“

Diese Annahme ist im DACH-Maschinenbau verbreitet und hat im Verordnungstext keine Grundlage. Artikel 2 Absätze 2 bis 4 nehmen die Produkte aus, für die andere Rechtsakte gelten. Weitere Ausnahmen zugunsten anderer Rechtsakte kann nur die Kommission per delegiertem Rechtsakt nach Absatz 5 schaffen — für die Maschinenverordnung ist das bisher nicht geschehen. Die übrigen Ausnahmen des Artikels 2 — identische Ersatzteile (Absatz 6) und Produkte für nationale Sicherheit, Verteidigung und Verschlusssachen (Absatz 7) — knüpfen an keinen anderen Rechtsakt an.

Die Maschinenverordnung ist nicht darunter — sie kommt im gesamten verfügenden Teil des CRA nicht vor, sondern nur in Erwägungsgrund 53.

Die EU-Kommission hat das in ihren FAQ ausdrücklich bestätigt: Die Erfüllung der Cybersicherheitsanforderungen des einen Rechtsakts könne nicht automatisch als Erfüllung der Anforderungen des anderen betrachtet werden, und dasselbe gelte für das Konformitätsbewertungsverfahren.

Praktisch heißt das ab dem 11. Dezember 2027: zwei Bewertungen, eine Konformitätserklärung, die beide Rechtsakte nennt. Synergien zwischen beiden sind möglich — sie müssen aber vom Hersteller nachgewiesen werden (Erwägungsgrund 53), statt sich von selbst zu ergeben. Eine Übergangsregel nennen die Kommissionsleitlinien vom Juli 2026: Deckt eine EU-Baumusterprüfbescheinigung nach der Maschinenverordnung deren cyber-relevante Anforderungen (Anhang III, Abschnitte 1.1.9 und 1.2.1) ab, bleibt sie nach Artikel 69 Absatz 1 für diese Risiken gültig — längstens bis zum 11. Juni 2028. Maschinen, die per interner Kontrolle bewertet werden, betrifft das nicht. Zur Erinnerung an die Reihenfolge: Die Maschinenverordnung gilt schon ab dem 20. Januar 2027, der CRA erst knapp elf Monate später.

„Unsere Anlage hängt nicht am Netz“

Artikel 2 Absatz 1 verlangt keine Internetverbindung. Der Maßstab ist ein anderer und deutlich weiter.

Ein Feldbus zwischen Sensor und Steuerung genügt also — nicht das Kabel, sondern das Protokoll darauf. Die Abgrenzung „hängt nicht am Netz, also nicht erfasst“ trägt nicht.

Wer Hersteller nach CRA und Maschinenverordnung ist — und wer nicht

Hier liegt die Abgrenzung, die in der Praxis am häufigsten schiefgeht, weil sie sich genau umgekehrt zur Erwartung verhält.

Eigenbau für den eigenen Betrieb: Der CRA erfasst ihn nicht. Es fehlt am Inverkehrbringen; die Kommission verweist dafür ausdrücklich auf den Blue Guide, den Leitfaden der Kommission zur Umsetzung der EU-Produktvorschriften. Die Maschinenverordnung dagegen erfasst ihn sehr wohl — ihr Artikel 3 Nummer 18 zählt zum Hersteller auch, wer ein Produkt herstellt und „für den Eigengebrauch in Betrieb nimmt“.

Ersatzteile: Ausgenommen sind nur Teile, die identische Komponenten nach denselben Spezifikationen ersetzen (Artikel 2 Absatz 6). Maßgeblich sind nach den Kommissionsleitlinien vom Juli 2026 die funktionale Rolle des Teils und vor allem, ob sich sicherheitsrelevante Eigenschaften unterscheiden — Protokolle, Kryptografie, Zugriffskontrolle; ein anderer Chipsatz allein ändert daran nichts. Ein Nachfolgemodul mit geänderter Sicherheitsarchitektur ist kein identisches Ersatzteil, sondern ein eigenes Produkt; wird es ab dem 11. Dezember 2027 in Verkehr gebracht, beginnt mit diesem Inverkehrbringen sein eigener Unterstützungszeitraum. Für Nachrüstsätze und Nachrüstmodule ist das die wirtschaftlich wichtigste Einzelheit der ganzen Verordnung.

CRA ab 11. Dezember 2027 — und warum fünf Jahre selten reichen

Zum 11. Dezember 2027 gelten die eigentlichen Produktanforderungen. Was dann zu erfüllen und nachzuweisen ist, steht in Artikel 13 und Anhang I.

Der Unterstützungszeitraum soll die erwartete Nutzungsdauer widerspiegeln, und Erwägungsgrund 60 nennt industrielle Steuerungssysteme ausdrücklich als Produkte, die deutlich länger in Gebrauch sind. Bei einer Maschine mit 15 bis 25 Jahren Nutzungsdauer sind fünf Jahre schwer zu begründen.

Was ein Verstoß nach Artikel 64 CRA kostet

Artikel 64 gibt den Bußgeldrahmen vor, den die Mitgliedstaaten umsetzen, gestaffelt nach der verletzten Pflicht. Die Meldepflicht steht — zusammen mit Anhang I und den Herstellerpflichten des Artikels 13 — in der obersten Stufe. Maßgeblich ist jeweils der höhere der beiden Beträge; der Prozentsatz bemisst sich bei Unternehmen am weltweiten Jahresumsatz des Vorjahres.

Eine Erleichterung gibt es für Kleinst- und Kleinunternehmen, und sie ist enger, als sie meist zitiert wird: Sie werden für die Versäumung der 24-Stunden-Frist nicht mit einer Geldbuße belegt. Die Pflicht selbst bleibt, ebenso die 72-Stunden-Frist und der Abschlussbericht.

CRA-Vorbereitung bis zum 11. September 2026: was jetzt zu tun ist

Die Schritte am Ende dieser Seite sind das, was sich vor dem 11. September ohne Rechtsberatung erledigen lässt. Sie ersetzen keine Konformitätsbewertung — sie sorgen dafür, dass eine Meldung im Ernstfall überhaupt absetzbar ist.

Davor steht die Frage, die niemand von außen beantworten kann: was Sie überhaupt in Verkehr bringen und wie weit die eigene Pflichtenlage reicht.

Der aufwendigste Punkt des Fahrplans ist der letzte — die Übersicht über die ausgelieferte Basis: welche Steuerung, welcher Firmware-Stand, welcher Kunde. Wer diese Übersicht für den eigenen Anlagenbestand aufbaut statt für die Kundenbasis, findet die Systematik dafür im Obsoleszenz- und Migrations-Check: Sie erhebt dieselben Felder, nur zu einem anderen Zweck.

Die Meldevorlage, die sich heute anlegen lässt

Was in eine Meldung gehört, lässt sich in Ruhe festlegen. Im Ernstfall läuft die 24-Stunden-Frist bereits, während die Felder noch gesucht werden.

# Vorlage für eine Meldung nach Artikel 14.

meldeart: fruehwarnung          # fruehwarnung | meldung | abschlussbericht
anlass:   aktiv_ausgenutzte_schwachstelle   # oder: schwerwiegender_vorfall

kenntnis_erlangt_am: 2026-09-14T21:40+02:00   # setzt beide Anfangsfristen
fristen:
  fruehwarnung: 2026-09-15T21:40+02:00        # unverzüglich, spätestens 24 h
  meldung:      2026-09-17T21:40+02:00        # unverzüglich, spätestens 72 h
  abschluss:    offen                         # Schwachstelle: 14 Tage ab Korrektur-/
                                              # Risikominderungsmaßnahme
                                              # Vorfall: 1 Monat nach der 72-h-Meldung

produkt:
  hersteller:   ""
  bezeichnung:  ""
  baureihe:     ""
  firmware:     ""
  software:     ""

betroffenheit:
  mitgliedstaaten:         []      # wo bereitgestellt, soweit bekannt —
                                   # Art. 14 Abs. 2 Bst. a / Abs. 4 Bst. a
  ausgelieferte_einheiten: 0
  betroffene_einheiten:    0
  nutzer_informiert:       nein    # Art. 14 Abs. 8 — Schwachstelle und Vorfall

einstufung:
  verdacht_boeswillig:     offen   # nur schwerwiegender Vorfall, Pflichtangabe —
                                   # Art. 14 Abs. 4 Bst. a
  sensibilitaet:           hoch    # gegebenenfalls, Art. 14 Abs. 2 Bst. b / Abs. 4
                                   # Bst. b; Grundlage für ein Zurückhalten nach Art. 16

sachstand: |
  Was bekannt ist, was noch nicht bekannt ist
  und welche Maßnahme geprüft wird.

Mehr ist vor dem 11. September nicht zu leisten — und mehr ist auch nicht nötig, um meldefähig zu sein. Alles Weitere, von der Konformitätsbewertung über den Unterstützungszeitraum bis zur Software-Stückliste, hängt am zweiten Termin: dem 11. Dezember 2027.