Was der CRA ist und wen er betrifft
Die Verordnung (EU) 2024/2847, bekannt als CRA, legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest: Hardware und Software, die sich direkt oder indirekt mit einem anderen Gerät oder einem Netz verbinden. Sie gilt für alles, was in der EU in Verkehr gebracht wird, und die Leitlinien der Kommission von 2026 bestätigen, dass Hardware mit eingebetteter Software, etwa ein Computer oder ein Mainboard, darunterfällt.
Verantwortlich ist der Hersteller: wer das Produkt unter seinem Namen in Verkehr bringt. Wenn Sie eine Maschine mit einem Computer verkaufen, haften Sie für die ganze Maschine, und der Computer ist eines ihrer wichtigsten digitalen Teile.
Die Termine, die zählen
| Datum | Was beginnt |
|---|---|
| 11. September 2026 | Meldung aktiv ausgenutzter Schwachstellen und schwerer Vorfälle: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht, über die zentrale Meldeplattform der ENISA. Auch für bereits verkaufte Produkte. |
| 20. Januar 2027 | Die neue Maschinenverordnung (EU) 2023/1230 gilt, einschließlich des Schutzes der Steuerungen gegen Manipulation. |
| 11. Dezember 2027 | Volle CRA-Pflichten: grundlegende Anforderungen, Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung nach der Verordnung. |
Was der CRA in der Praxis verlangt
- Sicherheit durch Design und Voreinstellung: keine Standardpasswörter und unnötige Dienste geschlossen.
- Schwachstellenmanagement während des Supportzeitraums, der in der Regel mindestens fünf Jahre betragen sollte, sofern das Produkt nicht kürzer genutzt wird.
- Kostenlose Sicherheitsupdates, wo möglich getrennt von Funktionsupdates.
- Eine Software-Stückliste (SBOM) in maschinenlesbarem Format, mindestens mit den Abhängigkeiten der obersten Ebene, in der technischen Dokumentation.
- Eine Kontaktstelle, an die jeder eine Schwachstelle melden kann, und das dem Nutzer mitgeteilte Ende des Supports.
Verstöße werden mit Bußgeldern von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes geahndet, und ein Produkt ohne die entsprechende CE-Kennzeichnung darf in der EU nicht verkauft werden.
Der Computer im Inneren: was Sie Ihren Lieferanten fragen sollten
Viele Maschinenbauer stoßen auf dasselbe Problem: Sie können ihre Dokumentation nicht vervollständigen, weil ihre Lieferanten ihnen die Informationen nicht geben. Verlangen Sie für den Computer Folgendes:
- Die Liste der Komponenten und Firmware-Versionen (BIOS oder UEFI, Controller und Fernverwaltung) jeder Konfiguration.
- Eine Zusage für Firmware-Updates während des Supportzeitraums Ihres Produkts.
- Eine Benachrichtigung, wenn in einem seiner Teile eine Schwachstelle auftaucht, damit Sie Ihre eigene 24-Stunden-Frist einhalten können.
- Eine eingefrorene Plattform: Ein Wechsel des Computers zwingt Sie, Ihre technische Dokumentation zu überarbeiten.
- Ein Betriebssystem mit langem Support (Windows IoT Enterprise LTSC oder eine Linux-LTS-Version), aktiviertes Secure Boot und TPM und kein Konto mit Werkspasswort.
- Eine Aufzeichnung pro Seriennummer der genauen Konfiguration jeder Einheit.
Ein einfacher Plan bis Dezember 2027
- Machen Sie eine Bestandsaufnahme Ihrer Produkte und alles Digitalen darin.
- Verlangen Sie von jedem Lieferanten seine Komponentenliste und seine Update-Zusagen.
- Legen Sie den Supportzeitraum jedes Produkts fest.
- Richten Sie jetzt den Meldeprozess für Schwachstellen ein: Er ist seit September 2026 Pflicht.
- Bereiten Sie technische Dokumentation und Konformitätsbewertung vor und lassen Sie sie von einem Fachmann prüfen.
Wie wir den Computer in Ihrem Produkt behandeln
Im OEM-Programm wird der Computer auf einer eingefrorenen Plattform ausgeliefert (keine Änderung ohne Ankündigung und Revalidierung), mit seiner genauen Konfiguration und dem Ergebnis des 24-Stunden-Tests pro Seriennummer dokumentiert, mit Ihrem Systemabbild geladen und getestet, mit Betriebssystemen mit langem Support und mit Fernverwaltung über ein dediziertes KVM-IPMI. Auf Wunsch liefern wir die Liste der Komponenten und Firmware-Versionen jeder Einheit für Ihre technische Dokumentation.
Passende Hardware und Ratgeber
Häufige Fragen
Betrifft der CRA bereits verkaufte Geräte?
Die Pflicht zur Meldung aktiv ausgenutzter Schwachstellen und schwerer Vorfälle, in Kraft seit dem 11. September 2026, gilt auch für Produkte, die bereits auf dem Markt waren. Die übrigen Anforderungen gelten für alles, was ab dem 11. Dezember 2027 in Verkehr gebracht wird.
Was ist eine SBOM?
Die Software-Stückliste: alle Software, Bibliotheken und Komponenten eines Produkts mit ihren Versionen. Der CRA verlangt sie in maschinenlesbarem Format in der technischen Dokumentation; veröffentlicht werden muss sie nicht.
Wie lange muss ich Updates liefern?
Während des Supportzeitraums, den Sie angeben, der in der Regel mindestens fünf Jahre betragen sollte, sofern das Produkt nicht kürzer genutzt wird.
Was passiert bei Nichteinhaltung?
Die Bußgelder können bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes erreichen, und ein Produkt ohne die entsprechende CE-Kennzeichnung darf in der EU nicht verkauft werden.
Sollen wir den Computer Ihrer Maschine vorbereiten?
Sagen Sie uns, was Sie bauen und wie viele Einheiten im Jahr. Wir schlagen Ihnen die Plattform und das, was wir für jede Einheit dokumentieren, in weniger als 12 Arbeitsstunden vor.