Maschinenverordnung und Cyber Resilience Act
Von Redaktion Maschinenpass · Stand · Maschinenverordnung
Kurzantwort
Maschinenverordnung und Cyberresilienz-Verordnung (CRA, (EU) 2024/2847) laufen auf eigenen Zeitplänen. Die Maschinenverordnung gilt ab 20.01.2027 und verlangt Schutz gegen Korrumpierung der sicherheitsrelevanten Steuerung. Beim CRA gelten die Meldepflichten für ausgenutzte Schwachstellen und schwere Vorfälle (Art. 14) seit dem 11.09.2026, die übrigen Pflichten ab 11.12.2027. Ein Pass kann zugehörige Angaben festhalten, die Pflichten selbst erfüllt er nicht.
Auf dieser Seite
Zwei Rechtsakte, zwei Fragen
| Maschinenverordnung | Cyber Resilience Act | |
|---|---|---|
| Gegenstand | Sicherheit der Maschine, auch gegen Korrumpierung | Cybersicherheit von Produkten mit digitalen Elementen |
| Geltung | ab 20.01.2027 | Art. 14 seit 11.09.2026, insgesamt ab 11.12.2027 |
| Stelle | Anhang III 1.1.9 und 1.2.1 | Art. 13, 14, 19 |
Die Anforderungen aus 1.1.9 und 1.2.1 treffen die Maschine: Schutz gegen Korrumpierung, Erkennbarkeit der installierten Software, Nachweise von Eingriffen, Protokoll hochgeladener Sicherheitssoftware. Eine Plattform kann Daten dazu spiegeln und archivieren, den Nachweis erbringt die Maschine selbst.
Meldepflichten und Unterstützungsdauer
CRA Art. 14 sieht gestufte Meldungen vor: 24 Stunden, 72 Stunden und 14 Tage beziehungsweise ein Monat. Er gilt bereits, auch für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Ob und wie Ihr Produkt erfasst ist, hängt von seinen digitalen Elementen ab und ist im Einzelfall zu klären.
Was sich im Pass festhalten lässt
- Sicherheitsrelevante Software je Modell (Register mit Version), als Teil der technischen Unterlagen.
- Zertifikate mit Reichweite und Schema, auch zur Cybersicherheit (Art. 20 Abs. 9 MVO).
- Die Softwareversion je Stück als Spiegel; der Nachweis an der Maschine bleibt erforderlich.
- Ob das Modell digitale Elemente hat und bis wann Sicherheitsupdates zugesagt sind, lässt sich als Freitext oder Dokument ablegen; ein eigenes Meldeverfahren gibt es nicht.
Was das in der Praxis bedeutet
- Klären Sie je Produktlinie, ob digitale Elemente vorliegen und wer Meldungen auslöst.
- Halten Sie die Unterstützungsdauer als Datum fest.
Häufige Fragen
Muss die Plattform CRA-Meldungen übernehmen?
Nein. Maschinenpass meldet nichts an Behörden. Die Meldung erfolgt über die vorgesehenen Wege durch den Hersteller.
Quellen und Fundstellen
Die Fundstellen stammen aus der Recherche der Redaktion vom 05.11.2026. Konsolidierte Fassungen und Zusammenfassungen sind nicht rechtsverbindlich; maßgeblich ist das Amtsblatt. Normtexte wurden nicht gelesen.
- Verordnung (EU) 2023/1230, konsolidierte Fassung vom 27.07.2026 (EUR-Lex, nicht rechtsverbindlich) (Primärquelle)
- Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung) (EUR-Lex), Art. 14, Art. 69, Art. 71 (Primärquelle)
- Rat der EU, Informationsvermerk 10980/26 vom 26.06.2026 (Primärquelle)
- IBF: Stand des Leitfadens zur Maschinenverordnung (Sekundärquelle)
Änderungsprotokoll
- : Erstfassung.
Unterlagen je Seriennummer bereitstellen
Maschinenpass führt Anleitung, Erklärung und Akte je Seriennummer. Die Seite „Beispiel“ zeigt einen Pass mit fiktiven Daten.