---
title: "Cyber Resilience Act 2026: Prüfpflichten für vernetzte Betriebsausstattung"
description: "Seit 11.09.2026 gilt die CRA-Meldepflicht für Hersteller. Was Betriebe beim Einkauf vernetzter Zutrittssysteme, Sensorik und Schließtechnik jetzt konkret abfragen sollten."
url: "https://industrie-fachwissen.de/werkstatt/cyber-resilience-act-vernetzte-betriebsausstattung-beschaffung"
category: "Werkstatt"
date: "2026-09-19"
author: "Redaktion"
language: "de"
site: "industrie-fachwissen.de"
---

# Cyber Resilience Act in der Beschaffung: Was bei vernetzter Betriebsausstattung ab 2026 zu prüfen ist

Seit dem 11. September 2026 unterliegen Hersteller vernetzter Produkte einer Meldepflicht für aktiv ausgenutzte Schwachstellen. Für Betreiber entsteht daraus keine eigene Meldepflicht — wohl aber ein neuer, EU-weit einheitlicher Prüfmaßstab für den Einkauf. Dieser Beitrag zeigt, welche Ausstattung im Betrieb betroffen ist, was in eine Anfrage gehört und wo die Verordnung ausdrücklich nicht greift.

## Das Wichtigste in Kürze

- Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet ab dem 11. September 2026 Hersteller vernetzter Produkte zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Betreiber trifft keine eigene Meldepflicht.
- Erfasst ist jedes Produkt mit digitalen Elementen — entscheidend ist die Datenverbindung zu einem Gerät oder Netzwerk, nicht die Produktkategorie oder Branche.
- Die meisten Komponenten der Betriebsausstattung gelten als Standardprodukte mit Selbstbewertung durch den Hersteller; nur „wichtige" oder „kritische" Produkte nach Anhang III/IV durchlaufen strengere Prüfverfahren.
- Eine generelle Nachrüstpflicht für bereits installierte Anlagen besteht nicht. Eine wesentliche Änderung, etwa ein umfangreiches Firmware-Update, kann ein Produkt jedoch erneut als in Verkehr gebracht gelten lassen.
- Ab dem 11. Dezember 2027 gelten alle Anforderungen der Verordnung vollständig, einschließlich Konformitätsbewertung vor dem Inverkehrbringen.

Ein Facility-Manager, der heute eine Zutrittslösung für ein neues Verwaltungsgebäude ausschreibt, ein Werkstattleiter, der eine Werkzeugausgabe an das ERP anbinden will, und ein Lagerleiter, der seine Regalanlage mit Füllstandssensoren nachrüstet, stehen vor derselben neuen Frage: Was verlangt der Cyber Resilience Act von dem Produkt, das sie gerade bestellen wollen? Die Antwort hängt weniger von der Branche als von einer einzigen Eigenschaft ab — ob das Produkt Daten mit einem Netzwerk austauscht.

## Was der Cyber Resilience Act regelt

Rechtsgrundlage ist die Verordnung (EU) 2024/2847, bekannt als Cyber Resilience Act (CRA). Sie wurde am 23. Oktober 2024 vom Europäischen Parlament und vom Rat verabschiedet und ist am 10. Dezember 2024 in Kraft getreten. Weil es sich um eine Verordnung und nicht um eine Richtlinie handelt, gilt sie unmittelbar in allen EU-Mitgliedstaaten; eine gesonderte nationale Umsetzung ist nicht erforderlich. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt dazu eine eigene Informationsseite samt Zeitplan-Grafik und FAQ bereit.

Der Anwendungsbereich ist bewusst technologieoffen formuliert. Als „Produkt mit digitalen Elementen" gilt nach der Verordnung jedes Hard- oder Softwareprodukt, dessen bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk einschließt. Das BSI weist ausdrücklich darauf hin, dass darunter sowohl preisgünstige Verbraucherprodukte als auch B2B-Software und komplexe Industriesysteme fallen. Für die Betriebsausstattung heißt das: Nicht die Produktkategorie entscheidet, sondern ob ein Bauteil Daten sendet, empfängt oder über eine Schnittstelle konfiguriert wird.

Inhaltlich verlangt der CRA von Herstellern im Kern vier Dinge: Cybersicherheit bereits während der Entwicklung berücksichtigen (Secure by Design), sichere Werkseinstellungen ohne universelle Standardpasswörter (Secure by Default), eine Software-Stückliste (SBOM) als Grundlage des Schwachstellenmanagements sowie kostenlose Sicherheitsupdates über einen kommunizierten Supportzeitraum, der nach Angaben des BSI in der Regel fünf Jahre beträgt. Eine eigene Kennzeichnung für CRA-konforme Produkte gibt es nicht — die bestehende CE-Kennzeichnung deckt künftig auch die Cybersicherheitsanforderungen ab.

## Der Zeitplan: vier Stichtage bis Ende 2027

Die Verordnung wird stufenweise wirksam. Grundlage ist Artikel 71 Absatz 2 CRA; die folgenden Daten nennt das BSI in seiner Themenseite zum CRA.

| Datum | Was gilt | Relevanz für Betreiber |
| --- | --- | --- |
| 11. Juni 2026 | Verfahren zur Bewertung, Benennung und Notifizierung von Konformitätsbewertungsstellen sind etabliert | gering — reine Behördenvorbereitung |
| 11. September 2026 | Meldepflicht der Hersteller für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (Art. 14 CRA) | hoch — der Meldeprozess eines Anbieters lässt sich ab jetzt konkret abfragen |
| 11. Dezember 2026 | ausreichende Zahl notifizierter Konformitätsbewertungsstellen in der Union (Art. 35 Abs. 2 CRA) | mittel — Engpässe bei Drittstellenbewertungen sollen vermieden werden |
| 11. Dezember 2027 | alle CRA-Anforderungen gelten, einschließlich Konformitätsbewertung vor dem Inverkehrbringen | sehr hoch — Stichtag für jedes ab diesem Datum in Verkehr gebrachte Produkt |

Für die Meldung selbst betreibt die europäische Cybersicherheitsagentur ENISA die zentrale Single Reporting Platform (SRP). Die Fristen sind eng: eine Frühwarnung innerhalb von 24 Stunden ab Kenntnisnahme, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit eines Sicherheitsupdates oder Workarounds, bei schwerwiegenden Vorfällen innerhalb eines Monats nach der Erstmeldung. Diese Pflichten treffen laut ENISA und Europäischer Kommission ausschließlich den Hersteller beziehungsweise den Open-Source-Steward, nicht den Betreiber des Produkts.

## Welche Betriebsausstattung betroffen ist — und welche nicht

Weil der Anwendungsbereich an die Datenverbindung anknüpft und nicht an eine Produktliste, lohnt sich eine Einordnung nach Funktionsprinzip statt nach Möbeltyp oder Gewerk.

| Ausstattung | CRA-relevant? | Begründung |
| --- | --- | --- |
| Mechanisches Schloss, Zylinderschloss, Vorhangschloss | nein | kein digitales Element, keine Datenverbindung |
| RFID-Zutritts- oder Schließsystem mit zentraler Verwaltung | ja | Datenverbindung zu Server, App oder Cloud |
| Batteriebetriebenes Einzelschloss ohne jede Schnittstelle | im Regelfall nein | keine Datenverbindung — bei Konfiguration per App oder Programmiergerät im Einzelfall zu klären |
| Sicherheits-Zuhaltung an Maschinenschutztüren mit Feldbus-Anbindung | ja | vernetzte Sicherheitskomponente mit Datenaustausch zur Steuerung |
| Analoge Waage, mechanisches Blockregal | nein | keine digitalen Elemente |
| Füllstandssensor an Regalfach mit Funk- oder WLAN-Anbindung | ja | überträgt Daten an ein Lagerverwaltungssystem |
| Werkzeugausgabeschrank mit ERP-Schnittstelle | ja | vernetztes Produkt mit digitaler Rechteverwaltung |

Die Grenzfälle in der mittleren Zeile der Tabelle sind in der Praxis die häufigste Quelle von Unsicherheit. Ein batteriebetriebenes Schloss, das als „offline" beworben wird, kann trotzdem eine indirekte Datenverbindung besitzen, etwa wenn es über ein Handprogrammiergerät ausgelesen oder über eine App konfiguriert wird. Betreiber sollten diese Einstufung nicht selbst vornehmen, sondern sich vom Hersteller schriftlich bestätigen lassen, ob er das Produkt als Produkt mit digitalen Elementen im Sinne der Verordnung einstuft — mit Begründung, nicht als mündliche Zusage im Verkaufsgespräch.

Für die meisten Produktkategorien der Betriebsausstattung gilt außerdem: Sie zählen zu den Standardprodukten, die der Hersteller im Rahmen einer Selbstbewertung (Konformitätsbewertungsmodul A) einordnen kann. Nur Produktkategorien, die in den Anhängen III und IV der Verordnung ausdrücklich als „wichtig" oder „kritisch" gelistet sind — etwa Passwortmanager, Firewalls oder Smart-Meter-Gateways —, unterliegen strengeren Bewertungsverfahren durch eine notifizierte Stelle. Die technische Beschreibung dieser Kategorien konkretisiert die Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025. Ein in ein Schließsystem integrierter Passwortmanager oder eine Firewall-Komponente kann die Einstufung eines ansonsten unauffälligen Produkts verschieben — ein Punkt, der sich ebenfalls nur durch Nachfrage beim Hersteller klären lässt.

## Wie streng eine Prüfung ausfällt: Standard-, wichtige und kritische Produkte

Nicht jedes Produkt mit digitalen Elementen wird gleich streng geprüft. Der CRA unterscheidet zwischen Standardprodukten und Produkten, die unter dem Gesichtspunkt der Cybersicherheit als sensibler gelten. Die meisten Komponenten der Betriebsausstattung — vernetzte Schließsysteme, Sensorik, Ausgabeautomaten — zählen zu den Standardprodukten. Für sie reicht eine Selbstbewertung des Herstellers nach dem sogenannten Konformitätsbewertungsmodul A, der internen Fertigungskontrolle, ohne Beteiligung einer externen Prüfstelle.

Produktkategorien, die in Anhang III der Verordnung als „wichtig" gelistet sind — etwa Passwortmanager, Firewalls oder Fernzugriffssoftware — benötigen je nach Klasse entweder eine Selbstbewertung nach einer harmonisierten Norm oder eine Bewertung durch eine notifizierte Stelle. Für die in Anhang IV gelisteten „kritischen" Produkte, etwa Smartcards oder Smart-Meter-Gateways, ist eine Zertifizierung nach einem europäischen Zertifizierungsschema zwingend vorgeschrieben. Für ein einfaches vernetztes Zutrittslesegerät oder eine Sensor-Box am Regal wird dieser strengere Pfad in aller Regel nicht einschlägig sein — es sei denn, ein integriertes Modul wie ein Passwortmanager oder eine Firewall-Funktion verschiebt die Einstufung. Genau diese Einstufung sollte deshalb Teil jeder Anfrage sein und nicht erst bei einer Beanstandung geklärt werden.

## Drei Beispiele aus der betrieblichen Praxis

**Lagerhalle mit vernetzter Regalsensorik.** Ein mittelständischer Distributionsbetrieb rüstet 40 Fachbodenregale mit Füllstandssensoren nach, die per Funk an ein Lagerverwaltungssystem melden. Jeder einzelne Sensor ist ein Produkt mit digitalen Elementen im Sinne der Verordnung. Weil die Sensoren als Standardprodukte gelten, genügt dem Hersteller die Selbstbewertung — für den Betreiber wichtiger ist die Frage, wie ein Firmware-Update auf 40 verteilte Einheiten ausgerollt wird und ob dafür ein zentrales Gateway vorgesehen ist, das den Aufwand auf einen einzigen Vorgang reduziert.

**Werkstatt mit ERP-angebundener Werkzeugausgabe.** Sobald ein Ausgabeschrank für Werkzeuge und Persönliche Schutzausrüstung an das Warenwirtschaftssystem angebunden ist, ist er ein vernetztes Produkt und zugleich Teil der Betriebs-IT. Hier greifen zwei Regelwerke nebeneinander: Der CRA verpflichtet den Hersteller zur Produktsicherheit, eine mögliche NIS-2-Betroffenheit verpflichtet den Betreiber zusätzlich zum eigenen Risikomanagement. Beides in einer Beschaffung mitzudenken erspart eine spätere Nachrüstung von Netzsegmentierung und Zugriffsrechten.

**Bürogebäude mit RFID-Zutrittssystem.** Ein RFID-Leser an der Eingangstür überträgt Zutrittsdaten an einen zentralen Server. Für die Beschaffung zählen hier zwei Fristen, die häufig verwechselt werden: der CRA-Supportzeitraum für Sicherheitsupdates des Lesegeräts und die datenschutzrechtliche Löschfrist der erfassten Zutrittsprotokolle. Beide Fristen sollten unabhängig voneinander im Vertrag verankert werden, weil sie unterschiedlichen Rechtsgrundlagen folgen und nicht automatisch übereinstimmen.

## Sieben Punkte, die in jede Anfrage und jedes Leistungsverzeichnis gehören

Wer heute vernetzte Betriebsausstattung beschafft, kann bereits jetzt Anforderungen formulieren, die sich in zwei Jahren ohnehin durchsetzen werden. Die folgenden sieben Punkte lassen sich unabhängig von Auftragswert und Vergabeverfahren in jede Anfrage aufnehmen.

1. **Supportzeitraum mit konkretem Enddatum.** „Mindestens fünf Jahre ab Lieferung" ist unpräzise, „Sicherheitsupdates bis 31.12.2033" ist prüfbar und vergleichbar.
2. **Update-Verfahren.** Wie gelangt ein Sicherheitsupdate ins Gerät — automatisiert über das Netzwerk, per Servicetechniker oder per Handprogrammiergerät vor Ort? Wer trägt die Kosten und den Zeitaufwand?
3. **Kontaktstelle für Schwachstellenmeldungen.** Eine veröffentlichte Vulnerability-Disclosure-Policy und eine erreichbare Ansprechstelle beim Hersteller.
4. **Software-Stückliste auf Anforderung.** Der CRA verlangt ihre Erstellung, nicht ihre Veröffentlichung — vertraglich lässt sich die Herausgabe an den Betreiber trotzdem vereinbaren.
5. **Angabe des vorgesehenen Konformitätsbewertungsverfahrens** sowie der Einstufung als Standard-, wichtiges oder kritisches Produkt nach Anhang III beziehungsweise IV.
6. **Keine universellen Werkspasswörter** und eine erzwungene Änderung des Administratorzugangs bei der Erstinbetriebnahme.
7. **Regelung für die Zeit nach Supportende:** Weiterbetrieb, Migrationspfad und Verfügbarkeit von Ersatzteilen und Lesegeräten.

Diese sieben Punkte kosten den Anbieter wenig Aufwand in der Angebotserstellung, trennen aber vorbereitete von unvorbereiteten Herstellern zuverlässig — und funktionieren unabhängig davon, ob eine Vergabe förmlich ausgeschrieben oder freihändig vergeben wird.

## Der unterschätzte Betriebskostenfaktor: Wer spielt die Updates ein?

Der CRA verpflichtet Hersteller, Sicherheitsupdates bereitzustellen. Er verpflichtet niemanden, sie tatsächlich einzuspielen. Genau an dieser Stelle entsteht in vielen Betrieben ein Aufwand, der in keiner Wirtschaftlichkeitsrechnung auftaucht.

Ein Rechenbeispiel verdeutlicht das Problem: Eine Anlage mit 200 vernetzten Einzelkomponenten, die jeweils separat per Handprogrammiergerät aktualisiert werden müssen, bindet bei angenommenen zwei Minuten Wegezeit und Bedienung je Einheit rund sieben Arbeitsstunden — pro Update. Bei zwei Sicherheitsupdates im Jahr summiert sich das auf 14 Stunden wiederkehrenden Aufwand. Zentral über eine Netzwerkverbindung verwaltete Systeme verlagern diesen Aufwand von der Werkstatt in die IT-Abteilung, erhöhen dafür aber die Anforderungen an Netzsegmentierung, Zugriffsrechte und die Abstimmung mit der eigenen IT-Sicherheitsstrategie.

Die daraus folgende Empfehlung ist keine pauschale Technologiepräferenz, sondern eine Zuordnung nach Nutzungsmuster: Bei stabilen, selten geänderten Konfigurationen mit geringer Stückzahl bleibt eine unvernetzte oder minimal vernetzte Lösung häufig die betriebswirtschaftlich einfachere Wahl. Bei großen Stückzahlen, häufigem Nutzerwechsel oder ohnehin vorhandener zentraler IT-Infrastruktur rechnet sich ein vollvernetztes System — vorausgesetzt, das Update- und Betriebskonzept ist von Anfang an mitkalkuliert.

## Zusammenspiel mit NIS-2: zwei Regelwerke, zwei Adressaten

In Betrieben, die vernetzte Ausstattung an ihre IT-Infrastruktur anbinden, treffen häufig zwei EU-Regelwerke gleichzeitig zu, die leicht verwechselt werden. Der Cyber Resilience Act verpflichtet den **Hersteller** des Produkts zur Produktsicherheit über dessen gesamten Lebenszyklus. Die NIS-2-Richtlinie verpflichtet demgegenüber den **Betreiber** einer Einrichtung in einem der 18 regulierten Sektoren zu Risikomanagement und eigener Meldepflicht, sofern Schwellenwerte bei Mitarbeiterzahl oder Umsatz erreicht werden. In Deutschland ist die Richtlinie über das NIS2-Umsetzungsgesetz (NIS2UmsuCG) seit dem 6. Dezember 2025 in Kraft; die Registrierungspflicht beim BSI, dessen Themenseite die betroffenen Unternehmen und Fristen erläutert, betrifft rund 29.500 Einrichtungen.

Für die Beschaffung folgt daraus eine praktische Konsequenz: Ein Betrieb, der unter NIS-2 fällt und gleichzeitig ein vernetztes Ausgabesystem beschafft, sollte CRA-Anforderungen an den Hersteller und eigene NIS-2-Pflichten in derselben Vergabeunterlage zusammendenken. Das erspart eine spätere Nacharbeit, etwa wenn die IT-Abteilung ein bereits installiertes System nachträglich in ein eigenes Netzsegment zwingen muss, weil das Risikomanagement nach NIS-2 das verlangt.

## Bestandsanlagen: keine Nachrüstpflicht, aber eine Falle beim Update

Eine generelle Pflicht, bereits installierte vernetzte Ausstattung nachzurüsten, enthält der CRA nicht. Die Verordnung knüpft an das Inverkehrbringen des einzelnen Produkts an — also an dessen erstmalige Bereitstellung auf dem Unionsmarkt. Nach der Auslegung des BSI bezieht sich das Inverkehrbringen auf das einzelne Produkt und nicht auf eine Produktlinie; die vollständigen Anforderungen gelten für physische Produkte, die ab dem 11. Dezember 2027 durch den Hersteller in Verkehr gebracht werden.

Eine Einschränkung ist für Bestandsbetreiber dennoch wichtig: Ein Produkt, das bereits in Verkehr gebracht wurde, gilt nach einer *wesentlichen Änderung* erneut als in Verkehr gebracht. Das kann laut BSI beispielsweise durch ein umfangreiches Update geschehen. Wer eine bestehende Anlage auf eine neue Firmware-Generation hebt, sollte vorab mit dem Hersteller klären, wie dieser den Vorgang einordnet und wer die daraus folgenden Pflichten trägt. Dasselbe gilt für den Austausch einzelner vernetzter Komponenten innerhalb einer größeren Anlage: Eine ausgetauschte Einheit ist ein eigenes Produkt mit eigenem Inverkehrbringungsdatum.

## Was der Cyber Resilience Act ausdrücklich nicht regelt

Ebenso wichtig wie der Anwendungsbereich ist seine Grenze. Drei Themen bleiben davon unberührt und müssen getrennt adressiert werden.

- **Mechanische Sicherheit:** Einbruchhemmung, Vandalismusfestigkeit und Materialstärke sind Produkteigenschaften, die der CRA nicht regelt. Ein cybersicheres Schloss an einer dünnwandigen Tür bleibt eine schwache Gesamtlösung.
- **Datenschutz:** Zutritts- und Nutzungsprotokolle vernetzter Systeme sind in der Regel personenbezogene Daten. Löschfristen, Zweckbindung und Auftragsverarbeitung richten sich nach der Datenschutz-Grundverordnung, nicht nach dem CRA.
- **Arbeitsstättenrechtliche Anforderungen** an Aufenthalts-, Sozial- und Lagerräume ergeben sich weiterhin aus der Arbeitsstättenverordnung und den zugehörigen Technischen Regeln — unabhängig davon, ob die darin aufgestellte Ausstattung vernetzt ist.

Wer diese Ebenen sauber trennt, vermeidet, dass ein Anbieterhinweis wie „CRA-konform" als Argument für Eigenschaften herhält, die er in Wahrheit nicht abdeckt — etwa Einbruchschutz oder Datenschutzkonformität.

## Wer die Einhaltung kontrolliert

Zuständig für die Marktüberwachung ist in Deutschland das BSI, das die Bundesregierung im Herbst 2025 offiziell als notifizierende und marktüberwachende Behörde gegenüber der Europäischen Kommission benannt hat. In dieser Funktion prüft das BSI stichprobenartig oder anlassbezogen, ob am Markt befindliche Produkte die Anforderungen der Verordnung erfüllen, und notifiziert die Konformitätsbewertungsstellen, die Hersteller wichtiger und kritischer Produkte extern prüfen dürfen. Für Betreiber hat das eine mittelbare Konsequenz: Ein Hersteller, dessen Produkt bei einer Marktüberwachungsprüfung auffällt, kann zur Rücknahme oder Korrektur verpflichtet werden — mit entsprechenden Folgen für laufende Lieferverträge und Ersatzteilversorgung. Ein Blick auf die Reputation und die bisherige Update-Historie eines Anbieters gehört deshalb ebenso zur Beschaffungsprüfung wie die formale Einstufung des einzelnen Produkts.

## Checkliste für die nächste Beschaffung

- Datenverbindung prüfen: Sendet, empfängt oder überträgt das Produkt Daten über ein Netzwerk, eine App oder eine Schnittstelle?
- Herstellerauskunft zur CRA-Einstufung schriftlich einholen, nicht mündlich unterstellen.
- Supportzeitraum als Kalenderdatum, nicht als Zeitspanne verlangen.
- Update-Verfahren und den damit verbundenen Betriebsaufwand realistisch einkalkulieren.
- Kontaktstelle für Schwachstellenmeldungen und Vulnerability-Disclosure-Policy einfordern.
- Bei NIS-2-Betroffenheit: CRA-Anforderungen an den Hersteller und eigene Meldepflichten in derselben Vergabeunterlage zusammenführen.
- Mechanische Sicherheit, Datenschutz und Arbeitsstättenrecht getrennt von der CRA-Konformität bewerten.

## Dokumentation: warum die Begründung wichtiger wird als die Entscheidung selbst

Ob ein Betrieb sich für eine vernetzte oder eine unvernetzte Lösung entscheidet, ist rechtlich zunächst neutral. Was in einer späteren Prüfung — etwa durch den Rechnungsprüfungsausschuss einer Kommune oder die interne Revision eines Unternehmens — tatsächlich zählt, ist die Nachvollziehbarkeit der Entscheidung. Wurde die CRA-Einstufung beim Hersteller schriftlich abgefragt? Wurde der Supportzeitraum mit der geplanten Nutzungsdauer der Anlage abgeglichen? Wurde eine bewusste Entscheidung gegen Vernetzung dokumentiert, etwa weil der Betreuungsaufwand für die vorhandene IT-Struktur unverhältnismäßig gewesen wäre? Diese drei Fragen lassen sich mit geringem Aufwand in der Vergabeakte festhalten und schützen im Zweifel vor dem Vorwurf, eine absehbare Anforderung ignoriert zu haben.

## Fazit

Der 11. September 2026 verändert keine einzige bereits installierte Anlage. Er verändert, was sich beim Einkauf verbindlich verlangen lässt. Bis zum 11. Dezember 2027 bleibt Zeit, den eigenen Bestand an vernetzter Ausstattung zu sichten, den Update-Aufwand ehrlich zu kalkulieren und die Beschaffungsvorlagen um die genannten sieben Punkte zu ergänzen. Wer diese Zeit nutzt, steht am Stichtag nicht vor der Frage, ob eine vor drei Jahren beschaffte Anlage überhaupt noch Sicherheitsupdates erhält — und wer sich bewusst für eine unvernetzte Lösung entscheidet, sollte diese Entscheidung dokumentieren, als begründete Wahl und nicht als Zufallsergebnis.

## Häufige Fragen

### Muss ich als Betreiber selbst Schwachstellen an die ENISA melden?

Nein. Die Meldepflicht nach Artikel 14 der Verordnung (EU) 2024/2847 richtet sich ausschließlich an Hersteller von Produkten mit digitalen Elementen, nicht an Betreiber oder Anwender. Betreiber sollten jedoch sicherstellen, dass Sicherheitshinweise ihrer Lieferanten sie tatsächlich erreichen, etwa über eine gepflegte Kontaktadresse und einen internen Verantwortlichen.

### Ab wann gelten die vollständigen Anforderungen des Cyber Resilience Act?

Der Cyber Resilience Act ist seit dem 10. Dezember 2024 in Kraft. Die Meldepflichten für Hersteller nach Artikel 14 gelten seit dem 11. September 2026. Die vollständigen Anforderungen einschließlich Konformitätsbewertung vor dem Inverkehrbringen gelten ab dem 11. Dezember 2027.

### Welche Ausstattung in einem Industriebetrieb fällt unter den CRA?

Erfasst sind Produkte mit digitalen Elementen, also Hard- oder Software mit einer direkten oder indirekten Datenverbindung zu einem Gerät oder Netzwerk. Das betrifft unter anderem RFID-Zutrittssysteme, vernetzte Schließtechnik, cloudfähige Sensorik an Regalen oder Waagen und softwaregesteuerte Sicherheits-Zuhaltungen. Rein mechanische Ausstattung ohne Datenverbindung fällt nicht darunter.

### Muss eine bestehende Anlage nachgerüstet werden?

Eine generelle Nachrüstpflicht für bereits installierte Systeme sieht der CRA nicht vor. Die Verordnung knüpft an das Inverkehrbringen des einzelnen Produkts an. Eine wesentliche Änderung, etwa ein umfangreiches Firmware-Update, kann ein Produkt jedoch erneut als in Verkehr gebracht gelten lassen.

### Was ist eine Software-Stückliste (SBOM) und warum sollte ich sie in der Ausschreibung verlangen?

Eine Software Bill of Materials ist eine Aufstellung der in einem Produkt verwendeten Softwarekomponenten. Der CRA verpflichtet Hersteller zu ihrer Erstellung, nicht zu ihrer Veröffentlichung. Betreiber profitieren davon, weil sich bei einer bekannt gewordenen Schwachstelle in einer verbreiteten Bibliothek schnell klären lässt, ob die eigene Anlage betroffen ist.

## Weiterführende Ratgeber

- [Smart Locker im Unternehmen: Vom Mitarbeiterspind zur automatisierten IT-Ausgabe](https://industrie-fachwissen.de/werkstatt/smart-locker-unternehmen-mitarbeiterspind-it-ausgabe)
- [Sicherheitszuhaltungen für Schutzzäune: Mechanisch, RFID oder Feldbus?](https://industrie-fachwissen.de/werkstatt/sicherheitszuhaltungen-schutzzaun-tueren-mechanisch-rfid-feldbus)
- [Spindschränke und Garderobensysteme: Hygiene, Schwarz-Weiß-Trennung, Materialwahl](https://industrie-fachwissen.de/werkstatt/spindschraenke-garderobensysteme-hygiene-materialwahl-betrieb)

## Quellen

- Cyber Resilience Act, Themenseite mit Zeitplan, Produktdefinition, Konformitätsmodulen und FAQ, Bundesamt für Sicherheit in der Informationstechnik: [bsi.bund.de](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html)
- Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, EUR-Lex: [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R2847)
- Cyber Resilience Act, Themenseite der Europäischen Kommission: [digital-strategy.ec.europa.eu](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- Single Reporting Platform (SRP), Europäische Agentur für Cybersicherheit ENISA, mit FAQ zu Meldefristen und Verfahren: [enisa.europa.eu](https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp)
- NIS-2-regulierte Unternehmen, Themenseite mit Betroffenheitsprüfung, Bundesamt für Sicherheit in der Informationstechnik: [bsi.bund.de](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html)

Alle externen Quellen zuletzt abgerufen und auf Erreichbarkeit geprüft am 19. September 2026. Die Einstufung eines konkreten Produkts als „Produkt mit digitalen Elementen" im Sinne der Verordnung obliegt seinem Hersteller und ist im Einzelfall zu prüfen. Verbindlich ist allein der Verordnungstext. Dieser Beitrag ersetzt keine rechtliche Beratung im Einzelfall.

---

Quelle: https://industrie-fachwissen.de/werkstatt/cyber-resilience-act-vernetzte-betriebsausstattung-beschaffung — industrie-fachwissen.de