24. Juni 2026

5 MIN.

CRA-Update für Maschinenhersteller: Was jetzt fällig wird

In unserem Artikel vom Juni 2025 haben wir beschrieben, was der Cyber Resilience Act (CRA) von Herstellern verlangt – und drei Maßnahmen empfohlen, um die Übergangszeit zu nutzen. Ein Jahr später hat sich der Handlungsdruck konkretisiert und die ersten Fristen sind nicht mehr abstrakt, sie sind jetzt.

Dieser Artikel zum CRA-Update richtet sich gezielt an Maschinenhersteller. Für Maschinen-OEMs gilt eine besondere Rechnung; eine, die im allgemeinen CRA-Diskurs häufig untergeht.

Zwei Daten, die zählen

Warum Maschinenhersteller eine eigene Rechnung haben

Hersteller von Consumer-Produkten kennen viele der prozessualen CRA-Pflichten bereits: Meldewege, Rückrufstrukturen und Marktüberwachung sind durch die Produktsicherheitsverordnung (GPSR) etabliert. Für reine B2B-Hersteller ist das Neuland: definierte Meldeprozesse, Verantwortlichkeiten gegenüber Behörden und dokumentierte Reaktionsketten müssen erstmals aufgebaut werden.

Der zweite Unterschied wiegt schwerer: Der CRA verpflichtet Hersteller, ihre Produkte über die gesamte erwartete Nutzungsdauer mit Sicherheitsupdates zu versorgen (Art. 13 Abs. 8 CRA). Industriemaschinen laufen Jahrzehnte – deutschen AfA-Tabellen zufolge liegt die steuerliche Nutzungsdauer bei Sondermaschinen bei bis zu 13 Jahren, die reale Betriebsdauer oft darüber. Eine heute in Verkehr gebrachte Maschine muss also weit über ein Jahrzehnt mit Sicherheitspatches versorgt werden, für jede ausgelieferte Softwareversion, die im Feld läuft.

Die drei konkreten Handlungstreiber

Marktzugang – Existenzielle Board-Entscheidung
Ab Dezember 2027 erhalten Maschinen ohne CRA-konforme CE-Kennzeichnung keinen Marktzugang in der EU. Keine Compliance-Frage, sondern eine strategische Entscheidung auf Board-Ebene, denn Verstöße kosten bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes.

Retrofit-Umsätze – Blockiert ohne Compliance
Maschinenhersteller leben nicht nur vom Neugeschäft. Service-Updates, Funktionserweiterungen und Retrofits bei bestehenden Kunden sind ein wesentlicher Umsatzbaustein. Wesentliche Änderungen an Bestandsmaschinen erfordern künftig ein CRA-konformes Gesamtprodukt. Wer das nicht sicherstellt, blockiert den eigenen Retrofit-Kanal und damit eine zentrale Einnahmequelle.

Engineering-Kapazität – Patch Debt vs. Roadmap
Dutzende aktive Softwareversionen laufen parallel im Feld. Kritische Schwachstellen müssen bewertet, priorisiert und ohne Verzögerung behoben werden. Für Engineering-Teams, die gleichzeitig Produktentwicklung betreiben, ist das ein struktureller Ressourcenkonflikt. Schätzungen gehen von 10–20 % des jährlichen Entwicklungsbudgets über den gesamten Lebenszyklus hinweg.

Ein anderes Modell ist möglich

Die Frage, die wir immer häufiger von Entwicklungsleitern im Maschinenbau hören: Wie lässt sich CRA-Compliance umsetzen, ohne die gesamte Engineering-Kapazität auf Security umzulenken?

Die Antwort liegt in einer anderen Architektur: einer Sicherheitskomponente, die als untrennbarer Bestandteil mit der Maschine ausgeliefert wird, das vollständige Schwachstellenmanagement übernimmt und dabei die Maschinensoftware unberührt lässt. Mit edge.PSL hat TRIOVEGA genau diesen Ansatz entwickelt: als Protective Security Layer für Maschinenhersteller. Was das konkret bedeutet und wie das Modell in der Praxis funktioniert, zeigt der nächste Artikel im Juli.

Jetzt den ersten Schritt machen

Sie wollen nicht auf den nächsten Artikel warten? Wenn Sie schon jetzt wissen wollen, wie edge.PSL Ihre Maschinen CRA-konform macht – ohne Eingriff in Ihre Maschinensoftware – buchen Sie sich einen unverbindlichen Termin. Wir klären offene Fragen und prüfen gemeinsam, wie ein Deployment bei Ihnen aussehen könnte.

Übrigens: Für Anlagenbetreiber, also die andere Seite der Lieferkette, lösen wir die Security-Frage mit edge.SHIELDOR.

Mehr zu CRA und den Anforderungen für vernetzte Produkte finden Sie in unseren früheren Artikeln: Cyber Resilience Act – neue Herausforderungen in der Entwicklung vernetzter Produkte und CRA-Compliance meistern: Wie die Industrie jetzt Stärke zeigt. Wenn Sie wissen möchten, wo Ihr Unternehmen heute steht, vereinbaren Sie gerne einen unverbindlichen Beratungstermin mit unserem Team.

Autor: Dr. Madline Kniebusch

Madline Kniebusch ist seit 2021 als Data Scientist bei der TRIOVEGA GmbH tätig, bringt Erfahrung aus dem Projektmanagement mit und verantwortet seit 2026 die Umsetzung des Cyber Resilience Acts.

BUCHEN SIE IHR UNVERBINDLICHES BERATUNGSGESPRÄCH