Was der CRA jetzt verlangt
Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Das betrifft im Maschinen- und Anlagenbau praktisch jede vernetzte Komponente: Steuerungen, HMIs, Edge-Gateways, Fernwartungszugänge. Die Uhr beginnt in dem Moment zu laufen, in dem Sie von der Ausnutzung Kenntnis erlangen:
- 24 Stunden: Frühwarnung an die zuständige Behörde
- 72 Stunden: Meldung mit ersten Details und Einschätzung
- 14 Tage nach Verfügbarkeit einer Abhilfe: Abschlussbericht (bei schwerwiegenden Vorfällen ein Monat)
Gemeldet wird über eine zentrale Plattform, die die Meldung gleichzeitig an das koordinierende nationale CSIRT und an die ENISA weitergibt. Zusätzlich müssen Sie die betroffenen Nutzer informieren, also Ihre Kunden. Ab dem 11. Dezember 2027 gilt der CRA dann vollständig, inklusive Schwachstellenmanagement über den gesamten Produktlebenszyklus und CE-Kennzeichnung. Bei Verstößen drohen Bußgelder von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes.
Fünf Stellen, an denen es in der Praxis hakt
Die Fristen selbst sind schnell erklärt. Schwierig wird es dort, wo sie auf gewachsene Strukturen treffen. In Gesprächen mit Maschinen- und Anlagenbauern begegnen uns immer wieder dieselben fünf Muster.
- Die Fristen sind kürzer als die internen Wege. 24 Stunden reichen nicht, um erst herauszufinden, wer zuständig ist, und dann Informationen aus Entwicklung, Service und Vertrieb zusammenzutragen. Wer die Frist erst mit dem Fund startet, ist oft schon zu spät.
- Niemand weiß genau, was im Feld läuft. Welche Firmware-Version bei welchem Kunden auf welcher Anlage installiert ist, steht häufig in Excel-Listen, in Servicetickets oder im Kopf erfahrener Techniker. Bei Maschinen mit 15 oder 20 Jahren Laufzeit und unzähligen Retrofits wird das schnell unübersichtlich.
- Die Meldepflicht ist Auslegungssache, und die Entscheidung wird selten festgehalten. Nicht jede CVE in einer verbauten Komponente betrifft Ihr Produkt. Vielleicht ist der verwundbare Dienst deaktiviert, die Schnittstelle nicht erreichbar oder die Version gar nicht im Einsatz. Diese Bewertung passiert oft. Dokumentiert wird sie selten.
- Kunden einzeln zu informieren kostet Zeit und erzeugt Fehler. Wer betroffene Kunden per Hand anschreibt, vergisst leicht einen Standort, verschickt falsche Versionsangaben oder verwechselt die Kundenkommunikation mit der Behördenmeldung. Beide haben unterschiedliche Adressaten und Inhalte.
- Es fehlt der Nachweis, dass ein Patch wirklich angekommen ist. Ein Update bereitzustellen ist eine Sache. Belegen zu können, wann welcher Patch bei welcher Kundeninstanz tatsächlich eingespielt wurde, eine ganz andere.
Vom Schwachstellenfund zum belegbaren Nachweis
Alle fünf Probleme haben dieselbe Wurzel: Daten, Bewertungen und Kommunikation liegen an verschiedenen Orten und werden erst im Ernstfall zusammengeführt. Die Lösung ist deshalb kein weiteres Tool für einen Einzelschritt, sondern ein durchgängiger Prozess, der vorher steht.
Naheliegend ist der Griff zu etablierten Lösungen für OT-Asset- und Vulnerability-Management, etwa von Nozomi Networks oder Claroty. Sie leisten wertvolle Arbeit: Sie erkennen Geräte im Netzwerk, legen ein Inventar an und ordnen bekannte CVEs zu. Die eigentliche CRA-Frage beantworten sie aber nicht: Ist diese Schwachstelle in meinem Produkt, in dieser Konfiguration, überhaupt ausnutzbar? Ebenso wenig decken sie den Prozess dahinter ab, also die dokumentierte Bewertung, die Entscheidung über die Meldung und den Nachweis, wer wann wie entschieden hat. Ein Inventar zeigt, wo eine Schwachstelle stecken könnte. Für den CRA zählt, was Sie daraus machen und ob Sie es belegen können.
Die Grundlage ist ein zentrales Register, das der Logik Ihrer Konformitätserklärung folgt: Produktfamilie, dann die einzelnen Instanzen beim Kunden, dann die verbauten Komponenten mit ihren Versionen. Darauf baut der eigentliche Ablauf auf:
- Erfassung: Stücklisten und SBOMs werden importiert, Herstelleradvisories laufend eingelesen. Was im Feld läuft, ist bekannt, bevor etwas passiert.
- Abgleich: CVE-Datenbanken, der KEV-Katalog aktiv ausgenutzter Schwachstellen und Advisories werden automatisch gegen das Register geprüft. Ein Treffer zeigt sofort, welche Produkte und welche Kunden betroffen sein könnten.
- Bewertung: Ein mehrstufiger Prüfprozess klärt, ob die Schwachstelle in Ihrer konkreten Konfiguration tatsächlich ausnutzbar ist. Jeder Schritt wird festgehalten.
- Entscheidung: Melden oder bewusst nicht melden. Ab dem Zeitpunkt der Kenntnisnahme laufen die Fristen sichtbar mit. Kundeninformation und Behördenmeldung werden getrennt vorbereitet, mit jeweils passendem Inhalt.
- Nachweis: Der gesamte Verlauf, von der Erkennung über die Bewertung bis zur Auslieferung des Patches je Kundeninstanz, ist als Audit-Trail jederzeit exportierbar.
Entscheidend und zugleich am anspruchsvollsten ist dabei der Abgleich mit den Schwachstellendatenbanken der Komponentenhersteller. Gerade bei OT-Komponenten erscheinen viele Schwachstellen zuerst oder ausschließlich in den Advisories von Herstellern wie Siemens, Schneider Electric oder Phoenix Contact, während allgemeine Datenbanken wie die NVD verspätet oder lückenhaft nachziehen. Jeder Hersteller veröffentlicht in eigenen Formaten, mit eigenen Produktbezeichnungen und Versionsschemata. Diese Quellen zuverlässig einzubinden und sauber auf die tatsächlich verbauten Komponenten abzubilden, ist kein Nebenschritt, sondern die Voraussetzung dafür, dass eine relevante Schwachstelle überhaupt rechtzeitig auffällt.
Der Effekt: Wird eine aktiv ausgenutzte Schwachstelle bekannt, beginnt nicht die Suche nach Daten, sondern direkt die Bewertung.
Der unterschätzte Kern: die dokumentierte Nicht-Meldung
Die meisten Diskussionen über den CRA drehen sich um die Meldung. Im Alltag ist sie aber die Ausnahme. Der Regelfall sieht anders aus: Eine Schwachstelle wird bekannt, geprüft und als nicht relevant für das eigene Produkt eingestuft. Genau hier liegt das größte Risiko. Denn im Zweifel müssen Sie gegenüber einer Behörde, einem Auditor oder einem Kunden belegen können, warum Sie nicht gemeldet haben. Wer prüfte wann, auf welcher Grundlage, mit welchem Ergebnis? Ohne diese Dokumentation ist eine korrekte Entscheidung im Nachhinein kaum von einer übersehenen Meldepflicht zu unterscheiden. CRA-Compliance heißt deshalb nicht nur zu wissen, was zu melden ist. Es heißt, jederzeit belegen zu können, warum gemeldet wurde, oder warum nicht. Ein durchgängiger Prozess liefert diesen Nachweis nebenbei mit, statt ihn im Ernstfall mühsam zu rekonstruieren.
Mehr als Pflichterfüllung: Mehrwert über den Produktlebenszyklus
Wer CRA-Compliance nur als Pflichtübung betreibt, zahlt für Aufwand, ohne etwas zurückzubekommen. Die Daten, die für den Nachweis ohnehin entstehen, sind aber weit über die Meldung hinaus wertvoll, wenn sie fest in die Geschäftsprozesse eingebunden werden:
- Entwicklung: Die Schwachstellenhistorie verbauter Komponenten fließt in die Auswahl für die nächste Produktgeneration ein.
- Service: Sie wissen, welche Kundenanlagen auf welchem Stand sind, und können Updates, Wartungsverträge oder Retrofits gezielt anbieten.
- Vertrieb: Ein belegbarer Sicherheitsprozess wird zum Argument gegenüber Kunden, die selbst unter NIS2 oder eigenen Lieferantenanforderungen stehen.
- Produktmanagement: Supportzeiträume, Abkündigungen und End-of-Life lassen sich auf Basis echter Felddaten planen.
Der CRA zwingt Hersteller, ihre Produkte im Feld über Jahre im Blick zu behalten. Wer diese Transparenz als Teil des eigenen Lifecycle-Managements versteht, macht aus einer regulatorischen Anforderung einen dauerhaften Vorteil.
Fazit: Vorbereitet sein heißt, den Prozess vorher zu haben
Der CRA verlangt von Maschinen- und Anlagenbauern keine Wunder, aber Klarheit: über die Produkte im Feld, über die eigenen Entscheidungen und über die Zeit, die dafür bleibt. Wer diese Klarheit erst im Ernstfall herstellt, verliert die entscheidenden Stunden. Wer sie vorher aufbaut, kann ruhig bewerten, sauber kommunizieren und jede Entscheidung belegen. Genau dafür haben wir AssetRadar entwickelt, unsere Managed Compliance Platform für den CRA-Prozess vernetzter Produkte, von der Stückliste bis zur fristgerechten Meldung. Sie möchten sehen, wie das mit Ihren Produkten aussieht? Dann schicken Sie uns einfach eine Anfrage oder schreiben Sie uns unter contact@brightflare.io – und wir zeigen Ihnen gerne in einer Demo.
