EU CRA für Werkzeug- und Produktionsmaschinen
Ihre Maschine ist Standardklasse. Die Pflichten gelten trotzdem vollständig.
Eine CNC-Maschine, eine Verpackungsmaschine oder eine Roboterzelle mit Steuerung und Netzwerkanschluss fällt unter den Cyber Resilience Act. Eine notifizierte Stelle braucht sie in der Regel nicht.
Stand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Häufigste Klasse hier
- Standardprodukt
Fällt eine Werkzeugmaschine unter den Cyber Resilience Act?
Ja, sobald die Maschine eine Steuerung mit Software hat und sich mit einem Gerät oder Netz verbinden lässt (Art. 2 Abs. 1 EU CRA). Werkzeug- und Produktionsmaschinen stehen nicht in Anhang III oder IV und gehören damit zur Standardklasse. Der Hersteller bewertet die Konformität selbst nach Modul A und erfüllt die anwendbaren Anforderungen aus Anhang I.
Produktklassen
Wann fällt eine Maschine unter den EU CRA?
Drei Fragen entscheiden. Hat die Maschine eine Datenverbindung, direkt oder indirekt, auch über USB, Feldbus oder einen Service-Laptop? Wird sie in der EU in Verkehr gebracht? Greift keine Ausnahme aus Art. 2 EU CRA? Dann fällt die Maschine unter den EU CRA. Zur Maschine gehört dann auch die Hersteller-Cloud für die Zustandsüberwachung, sofern die Maschine sie für eine Funktion braucht (Datenfernverarbeitung, Art. 3 Nr. 2 EU CRA).
Verteilung in dieser Branche
Produkt auswählen
CNC-Bearbeitungszentrum, Dreh- oder Fräsmaschine
Warum diese Klasse
Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| CNC-Bearbeitungszentrum, Dreh- oder Fräsmaschine | Standardprodukt | Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA. |
| Verpackungs- oder Abfüllmaschine mit Bedienpanel und Fernwartung | Standardprodukt | Die Fernwartungsfunktion ist Teil der Maschine; die Kernfunktion bleibt Verpacken. |
| Roboterzelle oder Montagelinie, als Einheit verkauft | Standardprodukt | Wer die Zelle unter eigenem Namen in Verkehr bringt, ist Hersteller der Zelle (Art. 3 Nr. 13 EU CRA). |
| Spritzgieß- oder Laserschneidmaschine mit Hersteller-Cloud | Standardprodukt | Eine Cloud, die der Hersteller für eine Maschinenfunktion entwickelt oder entwickeln lässt, zählt zur Maschine (Art. 3 Nr. 2 EU CRA). Das MES des Kunden gehört nicht dazu. |
| Fernwartungs-Gateway mit VPN, separat verkauft | Wichtiges Produkt, Klasse I (Anhang III) | Router oder VPN-Produkt nach Anhang III Klasse I Nr. 12 bzw. Nr. 5. Als eingebautes Teil der Maschine ändert es deren Klasse nicht. |
| Industrie-Firewall für den Zellenschutz, separat verkauft | Wichtiges Produkt, Klasse II (Anhang III) | Anhang III Klasse II Nr. 2 EU CRA. Betrifft den Hersteller der Firewall, nicht den Maschinenbauer, der sie zukauft. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Nicht unter den EU CRA fallen Maschinen ohne jede Datenverbindung, etwa eine rein mechanische Presse. Maschinen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen erst nach einer wesentlichen Änderung (Art. 69 Abs. 2 EU CRA); Art. 14 gilt nach Art. 69 Abs. 3 auch für sie. In Verkehr gebracht wird jede Maschine einzeln: Maschinen derselben Baureihe, die ab diesem Datum erstmals an Händler oder Kunden abgegeben werden, müssen die Anforderungen erfüllen.
Standardklasse
Was bedeutet Standardklasse für einen Maschinenbauer?
Standardklasse heißt: Der Maschinenbauer darf die Konformität selbst bewerten. An den Anforderungen aus Anhang I EU CRA ändert die Klasse nichts. Welche Produktanforderungen aus Anhang I Teil I Nr. 2 greifen, entscheidet die Risikobewertung (Art. 13 Abs. 3); die Schwachstellenbehandlung nach Teil II gilt immer. Die Nachweise liegen beim Hersteller, nicht bei einer Prüfstelle.
Konformitätsbewertung nach Modul A
Der Maschinenbauer prüft selbst, ob Maschine und Schwachstellenprozess die Anforderungen erfüllen (interne Kontrolle nach Anhang VIII Teil I EU CRA). Eine notifizierte Stelle ist nicht vorgeschrieben.
Art. 32 Abs. 1 Buchst. a EU CRA
Technische Dokumentation je Baureihe
Risikobewertung, Beschreibung der Sicherheitsfunktionen, Software-Stückliste und Supportzeitraum mit Begründung gehören in die technische Dokumentation. Sie bleibt mindestens zehn Jahre verfügbar oder für den Supportzeitraum, wenn dieser länger ist.
Art. 31, Art. 13 Abs. 13, Anhang VII EU CRA
EU-Konformitätserklärung und CE-Kennzeichnung
Der Maschine liegt eine EU-Konformitätserklärung bei, die auch den EU CRA nennt, und sie trägt das CE-Zeichen. Gelten mehrere Rechtsakte wie die Maschinenverordnung, ist eine einzige gemeinsame Erklärung Pflicht.
Art. 13 Abs. 20, Art. 28 Abs. 3 und Art. 30 EU CRA
Ausnahmen
Wann wird ein Teil der Maschine doch Klasse I oder II?
Die Klasse folgt aus der Kernfunktion des Produkts (Art. 7 Abs. 1 EU CRA), die technischen Beschreibungen stehen in der Durchführungsverordnung (EU) 2025/2392. Bei Maschinen betrifft das fast nur Netzwerk- und Sicherheitskomponenten, die als eigenes Produkt verkauft werden.
Eingebaut ändert nichts
Ein eingebauter Industrie-Router oder ein Mikrocontroller mit Sicherheitsfunktionen macht die Maschine nicht zum wichtigen Produkt. Nach Art. 7 Abs. 1 Satz 2 EU CRA löst die Integration allein kein strengeres Verfahren aus.
Art. 7 Abs. 1 EU CRA
Separat verkauftes Fernwartungs-Gateway
Verkauft der Maschinenbauer sein Fernwartungs-Gateway auch einzeln, etwa zum Nachrüsten älterer Maschinen, ist das Gateway ein eigenes Produkt. Als Router fällt es unter Anhang III Klasse I Nr. 12, als VPN-Produkt unter Nr. 5.
Anhang III Klasse I Nr. 5 und 12 EU CRA
Managed Switch oder Zugangsleser, einzeln verkauft
Ein Managed Switch (Nr. 12) oder ein Leser für die Bedieneranmeldung (Nr. 1), den der Hersteller einzeln in Verkehr bringt, ist Klasse I. Ein Ersatzteil nach denselben Spezifikationen fällt nach Art. 2 Abs. 6 EU CRA nicht darunter.
Anhang III Klasse I Nr. 1 und 12, Art. 2 Abs. 6 EU CRA
Eigene Firewall oder eigenes Steuerungsbetriebssystem
Eine Industrie-Firewall ist Klasse II (Anhang III Klasse II Nr. 2), ein separat vertriebenes Betriebssystem Klasse I (Nr. 11). Das trifft Maschinenbauer nur, wenn sie solche Produkte selbst vermarkten.
Anhang III EU CRA
Pflichten
Welche Pflichten hat der Hersteller einer Werkzeugmaschine?
Der Maschinenbauer ist Hersteller der ganzen Maschine (Art. 3 Nr. 13 EU CRA); für zugekaufte Steuerung, Bedienpanel und Software gilt die Sorgfaltspflicht nach Art. 13 Abs. 5. Für eine typische Maschine heißt das:
- 01
Risikobewertung vor der Serienfreigabe
Art. 13 Abs. 2 und 3 EU CRA
Die Cybersicherheitsrisiken der Maschine werden bewertet und dokumentiert: Fernwartungszugang, Netzwerkanschluss, USB-Port am Panel, Update-Weg. Die Bewertung zeigt, welche Anforderungen aus Anhang I wie umgesetzt sind.
- 02
Sichere Voreinstellungen und geschützte Zugänge
Anhang I Teil I Nr. 2 Buchst. b, d und j EU CRA
Umgesetzt etwa durch individuelle Passwörter ab Werk, Fernwartung nur nach Authentifizierung und abgeschaltete Dienste, die die Maschine nicht braucht. Unbefugte Zugriffe werden erkannt und gemeldet.
- 03
Software-Stückliste und Schwachstellenbehandlung
Anhang I Teil II Nr. 1 und 2 EU CRA
Für Steuerung, Panel-Software und Edge-PC liegt eine Stückliste der Komponenten vor. Schwachstellen darin werden bewertet und mit Sicherheitsupdates behoben.
- 04
Supportzeitraum nach der Nutzungsdauer
Mindestens fünf Jahre. Maßstab ist die erwartete Nutzungsdauer, abgewogen mit den weiteren Faktoren aus Art. 13 Abs. 8 (EU-Kommissions-Guidance Abschn. 5). Bei 15 bis 20 Jahren Laufzeit liegt der Supportzeitraum deutlich über fünf Jahren.
- 05
Meldung ausgenutzter Schwachstellen
Art. 14 Abs. 1 bis 4 EU CRA
Eine aktiv ausgenutzte Schwachstelle verlangt eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden an das koordinierende CSIRT und die ENISA; für schwerwiegende Sicherheitsvorfälle gelten dieselben Fristen (Art. 14 Abs. 3). Die Pflicht gilt seit dem 11. September 2026, auch für Maschinen, die schon beim Kunden stehen.
Angrenzende Regulierung
Welche Regeln gelten neben dem EU CRA für Maschinen?
Maschinenverordnung (EU) 2023/1230
Die Maschinenverordnung verlangt Schutz gegen Korrumpierung (Anhang III Abschn. 1.1.9) und sichere Steuerungen (Abschn. 1.2.1). Erwägungsgrund 53 EU CRA nennt beide als Stellen, an denen sich Nachweise überschneiden können. Die Konformitätsverfahren beider Rechtsakte bleiben getrennt anwendbar.
IEC 62443
Die Normenreihe IEC 62443 ist für Maschinen und Steuerungen etabliert. Eine Konformitätsvermutung nach Art. 27 EU CRA entsteht nur aus harmonisierten Normen mit Fundstelle im Amtsblatt, gemeinsamen Spezifikationen oder Zertifizierungsschemata; für eine Maschine der Standardklasse ist nichts davon Voraussetzung für die Selbstbewertung.
Aus der Praxis
Wo Maschinenbauer typischerweise hängen bleiben
Zugekaufte Steuerung ohne Stückliste
Der Steuerungslieferant liefert Firmware, aber keine Software-Stückliste und keine Schwachstellenmeldungen. Der Maschinenbauer braucht beides, um seine eigenen Pflichten zu erfüllen, und sollte es in den Einkaufsbedingungen verlangen.
Supportzeitraum kürzer als die Maschine
Eine Maschine läuft 20 Jahre, das Betriebssystem des Panels bekommt nach acht Jahren keine Updates mehr. Bis zum Ende des Supportzeitraums muss der Hersteller Schwachstellen trotzdem beheben können, etwa durch einen geplanten Plattformwechsel.
Umbau beim Kunden
Ein Retrofit mit neuer Steuerung oder neuer Fernwartung kann eine wesentliche Änderung sein (Art. 3 Nr. 30 EU CRA). Dann ist die Bestandsmaschine neu zu bewerten. Eine baugleiche Ersatz-SPS für eine defekte fällt nach der EU-Kommissions-Guidance (Abschn. 4.1, Beispiel 39) unter die Ersatzteilregel.
Variantenvielfalt
Kundenspezifische Maschinen teilen eine Steuerungsplattform. Für eine Schwachstellenmeldung muss klar sein, welcher Software-Stand in welcher ausgelieferten Maschine steckt.
Mit Kunnus
Wie Kunnus Maschinenbauer unterstützt
Kunnus deckt die EU-CRA-Schicht ab: Einstufung, Stücklisten, Schwachstellen und Meldungen je Baureihe und ausgelieferter Maschine. Elektrische Sicherheit, EMV und die Maschinenverordnung bleiben in Ihrem bestehenden CE-Prozess.
Rechenbeispiel
Beispiel: eine Baureihe CNC-Fräsmaschinen
Ein Maschinenbauer verkauft eine Baureihe 5-Achs-Fräsmaschinen mit zugekaufter Steuerung, eigenem Bedienpanel, Fernwartung über ein eingebautes Gateway und einer Cloud für Zustandsdaten.
- 1KlasseStandardklasse; das eingebaute Gateway ändert daran nichts (Art. 7 Abs. 1 EU CRA)
- 2VerfahrenModul A, interne Kontrolle; keine notifizierte Stelle
- 3Produkt umfasstMaschine, Panel-Software, Fernwartung, Zustands-Cloud (Datenfernverarbeitung, sofern eine Maschinenfunktion davon abhängt)
- 4Supportzeitraum15 Jahre nach erwarteter Nutzungsdauer, Enddatum mit Monat und Jahr angegeben
- 5Vom SteuerungslieferantenSBOM, Schwachstellenmeldungen, Supportzusage für die Steuerungsfirmware
- 6Am Ende liegt vorRisikobewertung, technische Dokumentation, SBOM je Software-Stand, EU-Konformitätserklärung, CE-Kennzeichnung, Meldeprozess
Beispielhafte Annahmen. Die Einstufung eines konkreten Produkts hängt von dessen Zweckbestimmung und Aufbau ab.
Branchen und Rechtstext
Zu welchen Branchen gehört das Produkt, und wo steht es in der Verordnung?
Häufige Fragen
Macht ein USB-Port eine Maschine zum Produkt mit digitalen Elementen?+
Ein USB-Port am Bedienpanel reicht für den Anwendungsbereich des EU CRA, denn Art. 2 Abs. 1 erfasst auch indirekte und physische Datenverbindungen. Die Klasse ändert der Port nicht: Die Maschine bleibt Standardklasse. In die Risikobewertung gehört der Port aber, etwa mit der Frage, wer darüber Software einspielen kann.
Gilt der EU CRA für eine Maschine, die nur im Firmennetz des Kunden läuft?+
Eine Maschine, die nur im Netz des Kunden läuft, fällt unter den EU CRA, sobald sie sich mit einem Gerät oder Netz verbinden lässt (Art. 2 Abs. 1). Ein Internetzugang ist keine Voraussetzung. Um Risiken zu mindern, kann der Hersteller den bestimmungsgemäßen Einsatz auf vertrauenswürdige Netze beschränken, wenn er das klar mitteilt (EU-Kommissions-Guidance Abschn. 7.1, Beispiel 66).
Wer ist Hersteller, wenn wir eine Steuerung zukaufen und einbauen?+
Der Maschinenbauer, der die Maschine unter eigenem Namen in Verkehr bringt, ist Hersteller der ganzen Maschine (Art. 3 Nr. 13 EU CRA). Für die zugekaufte Steuerung gilt die Sorgfaltspflicht nach Art. 13 Abs. 5. Der Steuerungslieferant ist zusätzlich Hersteller seiner Steuerung, wenn er sie separat in Verkehr bringt.
Ist ein Software-Update aus der Ferne eine wesentliche Änderung?+
Wesentlich ist eine Änderung, die die Erfüllung von Anhang I Teil I berührt oder die Zweckbestimmung ändert (Art. 3 Nr. 30 EU CRA). Ein Sicherheitsupdate ist das nach der EU-Kommissions-Guidance (Abschn. 4.3) in der Regel nicht. Anders kann es bei neuen Funktionen sein, deren Risiken die ursprüngliche Risikobewertung nicht abdeckt.
Was gilt für Maschinen, die in die Schweiz geliefert werden?+
Für Maschinen, die in der Schweiz verkauft werden, gilt der EU CRA nicht. Ein Schweizer Maschinenbauer, der in die EU liefert, ist dort Hersteller im Sinne des EU CRA mit denselben Pflichten. Einen EU-Bevollmächtigten kann er benennen, muss es aber nicht (Art. 18). Wer die Maschine in die EU einführt, trägt unabhängig davon die Einführerpflichten (Art. 19).
Gilt der Cyber Resilience Act für Medizinprodukte und Fahrzeuge?+
Nein. Medizinprodukte und In-vitro-Diagnostika nach den Verordnungen (EU) 2017/745 und 2017/746 sowie Fahrzeuge mit Typgenehmigung nach Verordnung (EU) 2019/2144 sind nach Art. 2 Abs. 2 EU CRA ausgenommen. Eine Werkzeugmaschine, die Teile für die Medizin- oder Autoindustrie fertigt, fällt dagegen unter den EU CRA.
Ist Ihre Maschine bereit für den EU CRA?
Das EU-CRA-Assessment ordnet Ihre Maschine in wenigen Minuten ein und zeigt, was noch fehlt. Eine erste, unverbindliche Einschätzung.
Weiterlesen
Weitere Produkte
Weitere Produkte im EU CRA
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Produktart, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.