NIS2 und CRA: zwei unterschiedliche Pflichtenkreise
NIS2 bzw. das BSIG regelt, wie erfasste Einrichtungen ihre eigenen Netze, Systeme und Dienste schützen. Der CRA regelt, welche Cybersicherheitsanforderungen Produkte mit digitalen Elementen erfüllen müssen, bevor und während sie auf dem EU-Markt bereitgestellt werden.
Ein Maschinenbauer kann in beiden Rollen auftreten: als Hersteller einer vernetzten Maschine (CRA) und – je nach Sektor und Größe – als erfasste Einrichtung mit eigener Produktion (BSIG). Die Pflichten sind getrennt zu prüfen und dürfen nicht vermischt werden.
Herstellerverantwortung über den Produktlebenszyklus
- Cybersicherheitsrisiken des Produkts bewerten und in Konzeption, Entwicklung und Herstellung berücksichtigen
- Grundlegende Cybersicherheitsanforderungen nach Anhang I der Verordnung umsetzen
- Komponenten und Software von Dritten mit gebührender Sorgfalt einbeziehen
- Einen Unterstützungszeitraum festlegen, in dem Schwachstellen behandelt und Sicherheitsupdates bereitgestellt werden
- Konformitätsbewertung nach dem für das Produkt einschlägigen Verfahren durchführen
Technische Dokumentation, Schwachstellen und Updates
Der CRA verlangt eine technische Dokumentation, die u. a. die Risikobewertung und die Umsetzung der Sicherheitsanforderungen nachvollziehbar macht. Hersteller benötigen außerdem einen Prozess zur Behandlung von Schwachstellen: Entgegennahme von Meldungen, Bewertung, Behebung, Bereitstellung von Sicherheitsupdates und Information der Nutzer. Eine Software-Stückliste (SBOM) ist dabei ein zentrales Hilfsmittel.
Meldepflichten seit 11. September 2026
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit ihres Produkts beeinträchtigen, gestuft melden. Die Meldung erfolgt über die von ENISA eingerichtete zentrale Meldeplattform an das zuständige CSIRT und ENISA. Die genauen Fristen und Inhalte ergeben sich aus Art. 14 der Verordnung. Diese Meldepflichten sind von den Meldepflichten nach § 32 BSIG zu unterscheiden.
Übrige Pflichten ab 11. Dezember 2027
Die übrigen wesentlichen Pflichten, insbesondere die grundlegenden Cybersicherheitsanforderungen und die Konformitätsbewertung, gelten grundsätzlich ab dem 11. Dezember 2027. Für Produkte, die ab diesem Zeitpunkt in Verkehr gebracht werden, müssen Entwicklungsprozesse, Dokumentation und Schwachstellenmanagement dann eingerichtet sein. Einzelne Regelungen, etwa zu Konformitätsbewertungsstellen, gelten nach Art. 71 früher.
Schnittstellen zu IEC 62443 und zum OT-Sicherheitsmanagement
Ob und inwieweit harmonisierte Normen eine Konformitätsvermutung begründen, ergibt sich erst aus ihrer Veröffentlichung im Amtsblatt. IEC 62443 ist daher eine fachliche Grundlage, aber kein automatischer Nachweis der CRA-Konformität.
- IEC 62443-4-1 (sicherer Produktentwicklungsprozess) als methodische Grundlage für Entwicklungs- und Schwachstellenprozesse
- IEC 62443-4-2 (technische Anforderungen an Komponenten) als Referenz für Produktsicherheitsfunktionen
- IEC 62443-2-4 für Anforderungen an Integratoren und Servicedienstleister
- Abgleich mit dem bestehenden ISMS und OT-Sicherheitsmanagement, um Prozesse nicht doppelt aufzubauen
Hersteller- und Betreiberverantwortung abgrenzen
Der Hersteller verantwortet die Sicherheit des Produkts, Updates und Informationen zur sicheren Nutzung. Der Betreiber verantwortet Integration, Netzarchitektur, Zugänge, Einspielen von Updates und den sicheren Betrieb – bei erfassten Einrichtungen im Rahmen von § 30 BSIG. Regeln Sie die Schnittstelle vertraglich: Unterstützungszeitraum, Update-Bereitstellung, Kommunikationsweg für Schwachstellen und Fernwartungszugänge.
Leistungsmodul: CRA & OT Product Security Readiness
Für wen: Maschinenbauer, Anlagenhersteller und Hersteller vernetzter Industriekomponenten. Fragestellung: Welche CRA-Anforderungen betreffen unser Produktportfolio, und wo stehen wir heute?
ADVISORI übernimmt die strukturierte Anforderungsanalyse, die Gap-Analyse gegenüber CRA und IEC 62443-4-1/-4-2, die Zuordnung von Verantwortlichkeiten und Maßnahmen sowie die Unterstützung bei Aufbau und Struktur der Dokumentation. Ergebnis sind eine Anforderungsübersicht je Produktgruppe, eine bewertete Lückenliste und ein priorisierter Maßnahmenplan.
Beim Hersteller verbleiben Produktentscheidungen, Entwicklung, Konformitätserklärung und – soweit erforderlich – die Beauftragung einer notifizierten Stelle. ADVISORI führt keine Zertifizierung oder Konformitätsbewertung durch und sichert keine CRA-Konformität zu.
Quellen
Dieser Beitrag dient der fachlichen Orientierung und ersetzt keine Rechtsberatung.