CRA-Software für Maschinenbauer: die Cyberresilienz-Verordnung in CE-Copilot umsetzen
CE-Copilot führt die Cyberresilienz-Verordnung (EU) 2024/2847 im selben Projekt wie Risikobeurteilung, Konformitätserklärung und Betriebsanleitung: Einstufung mit bestätigtem Datum des Inverkehrbringens, ein gemeinsames Schnittstellen-Inventar, Bewertung der Cybersicherheitsrisiken, Anforderungen nach Anhang I, Meldevorgänge nach Art. 14 mit Fristen und der CRA-Bericht als PDF und Word. Die Rechenregeln sind fest hinterlegt, Sie bestätigen und verantworten das Ergebnis.
Seit dem 11. September 2026 gelten die Meldepflichten, auch für Maschinen mit Datenverbindung, die schon in Verkehr gebracht sind. Dieser Ratgeber zeigt kurz, was mit dem CRA neu ist, und dann ausführlich, wie Sie die Arbeit in CE-Copilot erledigen: welche Schritte, wo in der App, was dabei entsteht und was die Software bewusst Ihnen überlässt.
Was neu ist
seit 11.09.2026
Meldepflichten nach Art. 14 CRA
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des Produkts gehen über die einheitliche Meldeplattform der ENISA an das koordinierende CSIRT und die ENISA: Frühwarnung spätestens 24 Stunden und Meldung spätestens 72 Stunden nach Kenntnis, danach der Abschlussbericht. Das gilt auch für Maschinen mit Datenverbindung, die schon in Verkehr gebracht sind (Art. 69 Abs. 3).
ab 20.01.2027
Schutz gegen Korrumpierung nach der Maschinenverordnung
Nach Anhang III Nr. 1.1.9 und 1.2.1 der Verordnung (EU) 2023/1230 dürfen angeschlossene Geräte, Fernzugriffe und Eingriffe in Software und Daten nicht zu einer gefährlichen Situation führen. In CE-Copilot bewerten Sie das in der Risikobeurteilung nach EN ISO 12100.
bis 10.12.2027
Cybersicherheit von Funkanlagen
Für Funkanlagen, die unter die Delegierte Verordnung (EU) 2022/30 fallen und vom 01.08.2025 bis zum 10.12.2027 in Verkehr gebracht werden, gelten die zutreffenden Anforderungen nach Art. 3 Abs. 3 lit. d, e und f der Funkanlagenrichtlinie. EN 18031 begründet die Vermutung nur mit den Einschränkungen des Durchführungsbeschlusses (EU) 2025/138, etwa nicht bei der Option, auf ein Passwort zu verzichten. Die Delegierte Verordnung (EU) 2026/339 hebt die Regel mit Wirkung vom 11.12.2027 auf.
ab 11.12.2027
Die Cyberresilienz-Verordnung gilt vollständig
Für Maschinen, die ab diesem Tag in Verkehr gebracht oder danach wesentlich geändert werden: Anforderungen nach Anhang I, Bewertung der Cybersicherheitsrisiken, Unterstützungszeitraum, Konformitätsbewertung nach Art. 32, EU-Konformitätserklärung und CE-Kennzeichnung (Art. 71 Abs. 2, Art. 69 Abs. 2).
Anwendungsbereich, Einstufung, Verfahren und Sanktionen mit allen Fundstellen stehen im Ratgeber Cyber Resilience Act für Maschinen, das Zusammenspiel mit Maschinenverordnung und Funkanlagenrichtlinie im Ratgeber Cybersicherheit von Maschinen.
Der Weg durch CE-Copilot in sechs Schritten
1. Anwendungsbereich klären
ab StarterNormen-Finder und Maschinenbeschreibung
Als anwendbar schlägt der Finder den CRA nur vor, wenn die Beschreibung eine Datenverbindung belegt; verneinte Angaben wie „keine Datenverbindung“ zählen nicht, ohne Beleg steht er als „PRÜFEN“ ohne Haken. Dazu kommt der Hinweis auf die Meldepflicht.
2. Einstufen und Datum bestätigen
ab StarterRisikobeurteilung, Modul Cybersicherheit
Datenverbindung, Ausnahmen nach Art. 2, Kernfunktion und Kategorie nach Anhang III oder IV, dazu das bestätigte Datum des Inverkehrbringens. Daraus folgt der Pflichtenstand und, sobald die Hauptpflichten gelten, das zulässige Verfahren nach Art. 32.
3. Schnittstellen und Werte erfassen
ab StarterRisikobeurteilung, Modul Schutz gegen Korrumpierung (ab Professional auch auf der Projektseite)
Ein Inventar für drei Bewertungen: Schutz gegen Korrumpierung nach der Maschinenverordnung, Cybersicherheit der Funkanlage und CRA. Je Schnittstelle Erreichbarkeit, Zugangsschutz und Update-Weg.
4. Risiken bewerten und Anforderungen belegen
ab ProfessionalProjektseite Cybersicherheit (CRA)
Rahmen der Bewertung, Bedrohungen mit Maßnahmen und Restrisiko, Anforderungsmatrix zu Anhang I Teil I und II, Komponenten Dritter, Unterstützungszeitraum, Schwachstellenbehandlung mit Ablage der SBOM und Nutzerinformationen nach Anhang II.
5. Meldeprozess einrichten und Vorgänge führen
ab ProfessionalProjektseite, Abschnitt Meldungen
Zuständiges CSIRT und Erreichbarkeit, je Vorgang Kenntniszeitpunkt, Fristen mit Ampel und Vorwarnung, Textvorlagen nach dem Wortlaut des Art. 14 und die Vorgangsnummer der Meldeplattform.
6. Nachweise und Dokumente erzeugen
je nach ModulExporte, Konformitätserklärung, Betriebsanleitung
CRA-Bericht als PDF und Word, Kapitel im Gesamtdossier, Abschnitt in der technischen Dokumentation, Prüfpunkte C1 bis C10, der CRA als Rechtsakt in der Erklärung und das Kapitel Cybersicherheit der Betriebsanleitung.
Die Funktionen im Detail
Pflichtenstand aus dem bestätigten Datum des Inverkehrbringens
Die App rechnet die Stichtage fest nach Art. 69 und 71 CRA: Für ein Inverkehrbringen vor dem 11.12.2027 gelten allein die Meldepflichten, für ein Inverkehrbringen ab dem 11.12.2027 oder nach einer wesentlichen Änderung ab diesem Tag die ganze Verordnung. Ein Datum, das nur aus der Beschreibung gelesen wurde, trägt keine Rechtsfolge, bis Sie es bestätigen.
Seite, Bericht, Dossier, Konformitätserklärung, Prüfprotokoll und Betriebsanleitung sagen dasselbe. Sie verlangen von einer Maschine, die vor dem 11.12.2027 in Verkehr gebracht wird, keine CRA-Konformitätsbewertung und übersehen bei einer späteren keine Pflicht.
Ein Inventar für Maschinenverordnung, Funkanlagen und CRA
Schnittstellen wie Feldbus, OPC UA, Fernwartung, USB oder Funk und die Werte dahinter werden einmal erfasst. Die Bewertung zum Schutz gegen Korrumpierung, die Checkliste nach EN 18031 und die CRA-Risikobewertung greifen darauf zu.
Keine drei Listen, die auseinanderlaufen. Eine neue Schnittstelle taucht in allen Bewertungen auf, in denen sie eine Rolle spielt.
Anforderungsmatrix zu Anhang I mit Begründung, Umsetzung und Nachweis
Für Teil I Nr. 2 lit. a bis m halten Sie fest, ob die Anforderung auf Grundlage der Risikobewertung anwendbar ist, mit Begründung, wenn nicht; Nr. 1 und Teil II zur Schwachstellenbehandlung gelten immer. Je Anforderung dokumentieren Sie Umsetzung und Nachweis.
Das verlangen Art. 13 Abs. 3 und 4 und Anhang VII von der technischen Dokumentation. Der Stand je Abschnitt ist jederzeit sichtbar, offene Punkte stehen als Hinweis im Bericht.
Meldevorgänge nach Art. 14 mit Fristenampel und Vorlagen
Ab dem Kenntniszeitpunkt berechnet die App Frühwarnung (24 Stunden), Meldung (72 Stunden) und Abschlussbericht (bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme, bei Vorfällen binnen eines Monats nach der Meldung) und zeigt auf der Projektseite vor Ablauf „bald fällig“ an. Ist die Erstbewertung offen, rechnet die App die Fristen vorsorglich ab dem erfassten Kenntniszeitpunkt. Gemeldete Vorgänge bleiben als Nachweis erhalten und lassen sich nicht löschen.
Im Ernstfall zählt jede Stunde. Die Vorlagen folgen dem Wortlaut des Art. 14, Sie ergänzen die Lücken und reichen die Meldung über die Plattform der ENISA ein.
CRA-Bericht, Dossier-Kapitel und technische Dokumentation
Der CRA-Bericht bündelt alle Abschnitte der Projektseite als PDF oder Word, mit Vertraulichkeitsvermerk. Im Gesamtdossier erscheint er als eigenes Kapitel ohne Meldevorgänge und ohne Zugangsschutz und Update-Weg einzelner Schnittstellen; die technische Dokumentation bekommt einen Abschnitt zu Anhang VII.
Sie geben an Kunden und Stellen nur weiter, was dorthin gehört. Intern haben Sie den vollständigen Bericht mit allen Vorgängen und Fristen.
Konformitätserklärung, Prüfprotokoll und Betriebsanleitung im Gleichlauf
Die Erklärung nennt die Verordnung erst, wenn Einstufung und Datum bestätigt sind und die Hauptpflichten gelten; Verfahrensfelder werden vorbelegt. Das Prüfprotokoll markiert C1 bis C10 je nach Datum als Pflicht und weist ein widersprüchliches „Nicht zutreffend“ aus. Die Betriebsanleitung bekommt ein Kapitel Cybersicherheit mit den Nutzerinformationen, bei bestätigter Einstufung als Angaben nach Anhang II.
Kein Rechtsakt in der Erklärung, der für dieses Exemplar gar nicht gilt, und keine fehlende Angabe, wenn er gilt. Die Nutzerinformationen pflegen Sie einmal und finden sie im Bericht und in der Anleitung wieder.
Was die App je nach Datum des Inverkehrbringens zeigt
Das bestätigte Datum entscheidet, welche Pflichten für ein Exemplar gelten. CE-Copilot leitet daraus in allen Dokumenten dasselbe ab:
| Bereich | Datum nicht bestätigt | vor dem 11.12.2027 | ab dem 11.12.2027 oder wesentliche Änderung ab diesem Tag |
|---|---|---|---|
| Meldepflichten nach Art. 14 | gelten für jedes erfasste Produkt | gelten | gelten |
| Konformitätserklärung | CRA nicht angekreuzt, Grund steht unter den Kästchen | keine Erklärung nach dem CRA, Grund steht unter den Kästchen | CRA angekreuzt (bei bestätigter Einstufung), Verfahrensfelder vorbelegt |
| Technische Dokumentation, Abschnitt Anhang VII | Vorbereitung ohne Pflichtmarker | Vorbereitung ohne Pflichtmarker | Pflichtpunkte |
| Prüfprotokoll C1 bis C10 | Einstufung und Meldeprozess Pflicht, Hinweis bei „Nicht zutreffend“ | Einstufung und Meldeprozess Pflicht | alle zehn Punkte Pflicht |
| Betriebsanleitung, Kapitel Cybersicherheit | Angaben des Herstellers, keine Pflichtprüfung | freiwillige Angaben | Prüfregel und Exportwarnung; Angaben nach Anhang II bei bestätigter Einstufung |
| CRA-Bericht | Warnung „Datum nicht bestätigt“ | Hinweis auf freiwillige Vorbereitung | vollständige Geltung mit Verfahren nach Art. 32 |
Was CE-Copilot bewusst nicht übernimmt
- Keine Meldung an die ENISA: Die Meldung reichen Sie über die einheitliche Meldeplattform ein, CE-Copilot liefert Fristen, Vorlagen und die Nachweisspur.
- Keine Rechtsberatung und keine automatische Konformität: Einstufung, Datum und Bewertung bestätigen Sie; technische Umsetzung und Freigabe bleiben beim Hersteller.
- Keine Konformitätsvermutung ohne harmonisierte Norm, gemeinsame Spezifikation oder Zertifizierungsschema; keines davon liegt zum CRA vor (Quellenstand 11.09.2026). Angewandte Spezifikationen wie IEC 62443 halten Sie als solche fest.
- Keine erzeugte Software-Stückliste: Die SBOM kommt aus Ihren Entwicklungswerkzeugen, CE-Copilot legt sie ab.
- Keine KI für Rechtsfolgen: Stichtage, Verfahren und Fristen sind feste Regeln, die Klasse folgt aus den Kategorien, die Sie ankreuzen.
So sieht das Ergebnis aus
Das Musterdossier einer Roboter-Schweißzelle mit Fernwartung enthält das Kapitel Cybersicherheit (Kapitel 7, S. 126–140), die Muster-Betriebsanleitung das Kapitel Cybersicherheit (Kapitel 13, S. 115–119). Die Zelle wird vor dem 11.12.2027 in Verkehr gebracht: Sie sehen also, wie die App die Meldepflichten als geltend und die übrigen Abschnitte als Vorbereitung darstellt.
Den CRA im eigenen Projekt aufsetzen
Einstufung und Pflichtenstand im Risikobeurteilungs-Editor können Sie 14 Tage kostenlos testen. Projektseite Cybersicherheit, Meldevorgänge und CRA-Bericht gehören zum Professional-Plan.
FAQ
Häufige Fragen zur CRA-Software
Meldet CE-Copilot Schwachstellen direkt an die ENISA?
Brauche ich das, wenn meine Maschine vor dem 11.12.2027 in Verkehr gebracht wird?
Welcher Tarif enthält welche CRA-Funktionen?
Ersetzt die CRA-Risikobewertung die Risikobeurteilung nach EN ISO 12100?
Entscheidet eine KI über die Einstufung oder die Fristen?
Erzeugt CE-Copilot die Software-Stückliste (SBOM)?
Produktinformation zu CE-Copilot mit Stand 17. September 2026, keine Rechtsberatung. Rechtliche Aussagen geprüft gegen den Amtsblatt-Text mit Stand 15. September 2026.