CRA & MVO: Der Countdown für die industrielle Sicherheit läuft

Kritische Meilensteine: Wann müssen Sie handeln?

Die Fristen sind klar definiert, wobei einzelne Pflichten gestaffelt greifen:

• 11. September 2026: Beginn der Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle digitaler Produkte (siehe Cyber Resilience Act) gegenüber dem national zuständigen Koordinator; Weiterleitung über die zentrale EU-Meldeplattform unter Einbindung der ENISA.
• 14. Januar 2027: Vollständige Anwendung der MVO für neu in Verkehr gebrachte Maschinen.
• 11. Dezember 2027: Vollständige Anwendbarkeit des CRA: Ab diesem Zeitpunkt dürfen Produkte mit digitalen Elementen nur noch in Verkehr gebracht werden, wenn sie die grundlegenden Cybersicherheitsanforderungen erfüllen.

Kernaspekte des CRA: Mehr als nur ein Sicherheits-Update

An folgende Anforderungen sind Hersteller gebunden:

• Meldepflicht: Schwachstellen müssen innerhalb von 24h über die Plattform ENISA (European Union Agency for Cybersecurity) gemeldet werden.
• Security by Design & Default: Produkte müssen von Anfang an sicher entwickelt werden.
• Schwachstellenmanagement: Hersteller sind verpflichtet, regelmäßig IT-Sicherheitsupdates und Patches bereitzustellen.
• SBOM (Software Bill of Materials): Pflicht zur Pflege transparenter Software-Stücklisten (inkl. Drittanbieter & Open Source) als Basis für Schwachstellenmanagement.

Die Symbiose CRA x MVO: Safety trifft Security

Eine der wichtigsten neuen Erkenntnisse ist die enge Verzahnung von CRA und MVO. Die MVO fordert für Maschinen explizit

• den Schutz gegen Korrumpierung,
• die Sicherheit und Zuverlässigkeit von Steuerungen und
• den Schutz vor unbefugten Eingriffen.

Produkte, die sowohl unter die MVO als auch unter den CRA fallen, müssen beide Verordnungen kumulativ erfüllen.

Die Erfüllung der CRA-Anforderungen kann die Einhaltung der Cybersicherheits-Aspekte der MVO wesentlich unterstützen, insbesondere im Hinblick auf Schutz gegen Manipulation und Integrität von Steuerungssystemen. Sie ersetzt jedoch nicht das eigenständige Konformitätsbewertungsverfahren nach der MVO.

Hersteller müssen daher bei doppelter Betroffenheit:

• beide Risikobewertungen durchführen,
• beide technischen Dokumentationen erstellen,
• beide Konformitätsbewertungsverfahren korrekt anwenden.

EFS Handlungsempfehlungen: So sichern Sie Ihre Compliance

Der CRA und die MVO bringen neue Anforderungen an Sicherheit, Prozesse und Dokumentation mit sich, die Hersteller frühzeitig berücksichtigen sollten. Eine strukturierte Herangehensweise erleichtert es, Compliance sicherzustellen und mögliche Risiken im Produktlebenszyklus zu reduzieren. Die folgenden Handlungsempfehlungen geben einen Überblick über zentrale Maßnahmen für eine rechtssichere Umsetzung.

1. Produktklassifizierung durchführen

Frühzeitig klären:

• Fällt das Produkt unter den CRA?
• Handelt es sich um ein Standardprodukt oder um ein „wichtiges“ bzw. „kritisches“ Produkt mit digitalen Elementen?
• Handelt es sich gleichzeitig um eine Maschine oder Sicherheitskomponente gemäß MVO?

Die Einstufung beeinflusst:

• das Konformitätsbewertungsverfahren,
• die Einbindung notifizierter Stellen,
• den Dokumentationsumfang.

Fehleinstufungen können zu Marktzugangshindernissen oder erheblichen Nachbesserungskosten führen.

2. Vulnerability Management etablieren

Erforderlich sind:

• klare Verantwortlichkeiten,
• Monitoring externer Schwachstellenquellen (z. B. CVE-Datenbanken),
• Prozesse zur koordinierten Offenlegung,
• interne Melde- und Eskalationswege.

Der CRA macht Vulnerability Management zu einer dauerhaften Herstellerpflicht – nicht zu einer optionalen Best Practice.

Sicherheitslücken können nicht nur Cybersicherheitsrisiken, sondern auch funktionale Sicherheitsrisiken im Sinne der MVO auslösen. Vulnerability Management muss daher auch in die Risikobeurteilung der Maschinen und Safety-Lifecycle-Prozesse integriert werden.

3. Interdisziplinäre Teams bilden

Die Umsetzung des CRA und der MVO ist kein reines IT-Thema.

Beteiligt sein müssen:

• Entwicklung
• IT-Security
• Produktsicherheit
• Qualitätsmanagement
• Recht & Compliance

Nur eine integrierte Governance-Struktur ermöglicht:

• konsistente Risikobewertungen,
• abgestimmte technische Dokumentation,
• effiziente Verzahnung von CRA und MVO.

Fazit

Der CRA ist längst kein reines IT-Thema mehr, sondern entscheidend für die Produkthaftung und Marktfähigkeit in der EU. Unternehmen, die Synergien zwischen CRA und MVO frühzeitig nutzen, minimieren regulatorische Risiken und stärken nachhaltig das Vertrauen ihrer Kund:innen. EFS Consulting unterstützt Sie dabei, diese Anforderungen strategisch für mehr Resilienz und Wettbewerbsfähigkeit zu nutzen. Wir verzahnen Cybersicherheit, Compliance und Produktentwicklung effizient in Ihren Organisationsstrukturen.

Zur Vollversion

Seien Sie gespannt: In Kürze veröffentlichen wir unser ausführliches Whitepaper, das die Schnittstelle zwischen CRA und MVO detailliert beleuchtet. Jetzt anmelden und die Vollversion direkt nach Veröffentlichung automatisch und kostenlos in Ihr Postfach erhalten.