Zwei Gesetze. Ein Thema: die Software Ihrer Maschine.
Beide Gesetze gelten nicht nur einmal bei der CE-Kennzeichnung. Sie gelten für jede neue Softwareversion und für jede Maschine, die schon beim Kunden läuft.
- 11.09.2026
CRA Meldepflicht
Aktiv ausgenutzte Schwachstelle: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in 14 Tagen.
gilt bereits - 20.01.2027
Maschinenverordnung
Anhang III 1.1.9 und 1.2.1: Steuerung und Software müssen gegen Manipulation geschützt sein. Der Nachweis gehört in die technische Dokumentation.
… - 11.12.2027
CRA vollständig
Softwarestückliste (SBOM), Schwachstellenprozess, Kontaktstelle, Support mindestens 5 Jahre, Unterlagen 10 Jahre aufbewahren. Bußgeld bis 15 Mio. Euro.
…
Sie laden hoch. Wir prüfen. Sie entscheiden.
Für Sie bleibt der Aufwand klein, denn die Dateien haben Sie bereits. Entscheidung und Unterschrift bleiben bei Ihnen als Hersteller.
- Version hochladenPaketliste, SBOM oder Softwarepaket. Dazu kurz, was sich geändert hat.Sie · 5 min
- AbgleichAlle Komponenten gegen Schwachstellendatenbanken und Herstellermeldungen.automatisch
- BewertungWas betrifft genau diese Maschine, was nicht, und warum. Unsichere Fälle werden markiert.automatisch
- ExpertenprüfungJede Bewertung wird von einem Menschen geprüft, bevor sie Sie erreicht.Mensch
- Bericht und AkteIn zwei Werktagen. Danach nächtliche Überwachung der ausgelieferten Version.Sie unterschreiben
Erste Version, erster Monat: Wir erstellen einmalig die Grundlagen Ihrer Akte. Danach prüfen wir nur noch, was sich ändert.
Was in Ihrer Akte landet
Deutsch, im Aufbau Ihrer bestehenden Dokumentation, prüfbereit für Marktüberwachung und für die Lieferantenaudits Ihrer Kunden.
Eine echte Steuerung. Echte Daten.
Wir haben das öffentlich verfügbare Betriebssystem-Image des Revolution Pi (KUNBUS) geprüft, so wie es in vielen Maschinen läuft. Aus fast zweitausend bekannten Schwachstellen blieben sechs wichtige Punkte. Drei davon wurden in der Woche der Prüfung aktiv ausgenutzt. Updates waren vorhanden.
Ohne Prüfung wäre diese Version so ausgeliefert worden. Mit Prüfung: zwei Updates einspielen, eine Rückfrage an den Hersteller, dann Freigabe.
KUNBUS veröffentlicht Stücklisten und Sicherheitsmeldungen vorbildlich offen. Genau deshalb eignet sich das Gerät als Beispiel.
Laufend statt einmalig
Ein Gutachten beschreibt den Stand an einem Tag. Ihre Software ändert sich mit jedem Update, und neue Schwachstellen erscheinen jeden Tag.
| Einmalige Beratung | Cyberakte | |
|---|---|---|
| Umfang | Meist ein Gesetz | Maschinenverordnung und CRA in einer Akte |
| Neue Softwareversion | Neues Angebot, neuer Termin | Freigabebericht in zwei Werktagen |
| Schwachstelle nach Auslieferung | Fällt oft erst Wochen später auf | Nächtliche Prüfung, Alarm am selben Tag |
| Meldung an ENISA | Sie schreiben selbst | Entwurf liegt bereit |
| Kosten | Tagessätze | Fester Monatsbetrag je Maschinentyp |
In drei Schritten zur laufenden Akte
Sie gehen kein Risiko ein. Erst sehen Sie ein Ergebnis zu Ihrer eigenen Steuerung, dann entscheiden Sie.
Was Hersteller zuerst fragen
Ersetzt das den TÜV oder eine benannte Stelle?
Nein. Für die meisten Maschinen erklärt der Hersteller die Konformität selbst. Wir liefern die Grundlagen und Nachweise für den Software- und Cybersecurity-Teil Ihrer Akte. Wo eine benannte Stelle nötig ist, liegt Ihre Akte dafür sauber vor.
Wer trägt die Verantwortung?
Sie bleiben Hersteller und unterschreiben. Wir bereiten vor, bewerten und empfehlen. Jede Bewertung wird von einem Experten geprüft und mit Begründung dokumentiert.
Brauchen Sie Zugriff auf unsere Maschine oder unseren Quellcode?
Nein. Uns genügen Paketliste oder SBOM, die Stückliste aus der Elektrokonstruktion (zum Beispiel aus EPLAN) und Ihre vorhandene Dokumentation. Auf Wunsch unterzeichnen wir vorab eine Vertraulichkeitsvereinbarung.
Wie viel Aufwand haben wir?
Zum Start ein bis zwei Stunden, um vorhandene Dateien hochzuladen. Danach etwa fünf Minuten je neuer Softwareversion.
Was passiert, wenn nachts eine Schwachstelle auftaucht?
Sie bekommen am selben Tag eine Nachricht mit Bewertung und, falls nötig, einem fertigen Entwurf für die 24-Stunden-Frühwarnung. Die Meldung selbst geben Sie als Hersteller ab.
Wir nutzen Siemens, Beckhoff oder Phoenix Contact. Geht das?
Ja. Wir verfolgen die maschinenlesbaren Sicherheitsmeldungen (CSAF) der großen Steuerungshersteller und ordnen sie über Ihre Bestellnummern Ihren Maschinen zu.