CRA-Risikobeurteilung: Wie groß ist der Aufwand wirklich?

Wenn wir mit CE- und Compliance-Verantwortlichen über den Cyber Resilience Act sprechen, kommt eine Frage fast immer zuerst: „Wie hoch ist der Aufwand?" Die ehrliche Antwort „Das kommt darauf an" hilft niemandem. Die gute Nachricht: Der Aufwand einer CRA-Risikobeurteilung ist keine Blackbox. Er hängt an ein paar klar benennbaren Faktoren. Wer diese Faktoren kennt, kann in fünf Minuten selbst eine belastbare Ersteinschätzung treffen.

Nicht die Größe der Maschine entscheidet – sondern ihre Angriffsfläche

Ein verbreiteter Irrtum: Je größer und komplexer die Maschine, desto aufwändiger die Risikobeurteilung. Tatsächlich zählt etwas anderes – nämlich das, was ein Angreifer von der Maschine sieht und erreicht. Fünf Fragen bestimmen den Aufwand maßgeblich.

1. Gibt es Fernwartung oder Fernzugriff?

Jeder Weg von außen in die Maschine ist ein Weg, den man in einer Risikoanalyse untersuchen muss. Das muss über alle Betriebsphasen hinweg gemacht werden, von der Inbetriebnahme bis zur Wartung. Fernzugriff ist der größte einzelne Aufwandstreiber.

2. Wie sind die Zugänge gesichert?

Bleiben Auslieferungs-Passwörter bestehen oder müssen diese zwingend vom Betreiber geändert werden? Laufen Protokolle unverschlüsselt? Dann muss die Analyse nicht nur mehr Bedrohungen bewerten – sie führt auch zu mehr Maßnahmen, die Sie anschließend umsetzen und nachweisen müssen.

3. Wer kommt physisch an die Maschine ran?

Offene USB-Ports, erreichbare Netzwerkbuchsen, ein frei zugängliches HMI: Physischer Zugang eröffnet eigene Angriffswege, die zusätzlich zur Netzwerkseite betrachtet werden müssen.

4. Was passiert im schlimmsten Fall?

Kann eine manipulierte Maschine Personen gefährden, greifen Maschinensicherheit und Cybersecurity ineinander. Safety und Security müssen dann gemeinsam bewertet werden. Das erfordert zwar extra Aufwand, der vom Gesetzgeber gefordert wird. Das ist aber wohl die sinnvollste und lohnendste Investition überhaupt, da es hier direkt um die Gesundheit von Menschen geht.

5. Wie viele softwaregesteuerte Komponenten sind verbaut?

Jede Steuerung, jedes Gateway, jeder Industrie-PC ist ein eigenes Element der Analyse. Zehn Komponenten bedeuten schlicht mehr Bewertungsarbeit als drei.

Was den Aufwand senkt

Es gibt auch Faktoren, die in die andere Richtung wirken.

Bereits ausgelieferte Maschinen genießen sozusagen „Bestandsschutz" – aber Vorsicht: Der Schutz gilt je Exemplar, nicht je Produktlinie. Maschinen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen die vollen Anforderungen nur dann erfüllen, wenn sie danach wesentlich geändert werden; für sie gelten ab dem 11. September 2026 zunächst die Meldepflichten. Rückwirkende Entwicklungs-Tests verlangt niemand. Jedes Exemplar aber, das Sie ab dem Stichtag ausliefern, braucht die volle Konformität – auch wenn die Produktlinie seit Jahren unverändert läuft. Für Serienmaschinen in laufender Produktion tickt die Uhr also genauso.

Eine vorhandene Safety-Risikobeurteilung ist der ideale Startpunkt. Wer nach Maschinenrichtlinie oder Maschinenverordnung bereits eine Risikobeurteilung erstellt hat, kennt seine Maschine, ihre Schnittstellen und ihre Gefährdungen. Darauf lässt sich aufbauen, statt bei null zu beginnen. Dabei zahlt sich eine vollständige technische Dokumentation aus: Je besser Komponenten, Schnittstellen und Softwarestände dokumentiert sind, desto schneller läuft die Analyse.

Die Uhr tickt zwar, dennoch gibt es keinen Grund zur Panik

Denn wie immer wird die Umsetzung so einer Verordnung nicht über Nacht gelingen, und das fordert auch niemand. Dennoch sollten Sie drei Termine im Kalender haben:

• Ab dem 11. September 2026 gelten die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Cybersicherheits-Vorfälle.
• Ab dem 20. Januar 2027 gilt die neue Maschinenverordnung vollständig, die für vernetzte Maschinen eigene Cybersecurity-Anforderungen mitbringt.
• Ab dem 11. Dezember 2027 greift der CRA in voller Breite: Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung. Eine vernetzte Maschine fällt dann unter beide Verordnungen.

Was an jedem dieser Termine konkret von Ihnen verlangt wird, welche Übergangsregeln für Bestandsprodukte gelten und was bis dahin vorbereitet sein muss, haben wir ausführlich aufgeschrieben: Die CRA-Fristen genauer erklärt →

In 5 Minuten zur Ersteinschätzung

Sie müssen für eine erste Aufwandsindikation kein Projekt aufsetzen. Genau dafür haben wir den CRA Quick check entwickelt: 17 Fragen zu Ihrer Maschine – Vernetzung, Zugänge, Komponenten, Schadenspotenzial. Es ist keine Vorbereitung nötig; alles Fragen, die Sie als CE-Verantwortlicher aus dem Stand beantworten können.

Als Ergebnis erhalten Sie einen kompakten Bericht: Gilt der CRA für Ihr Produkt? In welche Einstufung fällt es voraussichtlich? Welcher Konformitätsweg steht Ihnen offen? Und vor allem: Wie hoch ist der zu erwartende Aufwand für die Cyber-Risikobeurteilung – inklusive der konkreten Punkte, die bei Ihrem Produkt Zeit kosten werden.

Der Quick check verwandelt „Das kommt darauf an" in eine konkrete erste Antwort – in fünf Minuten. Probieren Sie ihn aus, und wenn das Ergebnis Fragen aufwirft, sprechen Sie uns an.

Zum CRA Quick check →