Betrifft der Cyber Resilience Act unsere Software?

Der Cyber Resilience Act, kurz CRA, ist eine EU-Verordnung für „Produkte mit digitalen Elementen": Software und Geräte, die Software enthalten und mit etwas verbunden sind, vom Steuerungsmodul bis zur Branchenlösung. Er verlangt vom Hersteller, dass Sicherheit von Anfang an mitgedacht wird, dass Lücken behoben werden und dass schwere Fälle gemeldet werden. Als Verordnung gilt er unmittelbar, ohne deutsches Gesetz dazwischen. Die Meldepflichten gelten seit dem 11. September 2026, alle übrigen Pflichten ab dem 11. Dezember 2027. Ab dann tragen auch Softwareprodukte ein CE-Zeichen.

Wer Hersteller ist

Nicht darunter fällt in der Regel Software, die ein Unternehmen nur für sich selbst baut und nicht weitergibt. Ebenfalls außen vor bleiben reine Online-Dienste wie Webanwendungen, Kundenportale und Software als Dienst, solange sie nicht Teil eines Produkts sind, das selbst unter den CRA fällt; für diese Dienste sind NIS2 und der Datenschutz die maßgeblichen Regeln. Frei verfügbare Open-Source-Software ohne kommerzielle Absicht ist ebenfalls ausgenommen. Die Grenzen sind im Einzelfall juristisch, nicht technisch zu ziehen.

Für die Region heißt das vor allem: Der Maschinen- und Gerätebau ist betroffen. Wer eine Anlage mit Steuerung, Bedienpanel und Netzwerkanschluss ausliefert, ist Hersteller eines Produkts mit digitalen Elementen, auch wenn die Software nur ein kleiner Teil des Ganzen ist.

Was verlangt wird

Die eigentliche Umstellung steckt im zweiten Punkt. Eine Maschine läuft zwanzig Jahre. Bisher war die Steuerungssoftware nach der Auslieferung meist fertig; künftig muss der Hersteller sie über die Nutzungsdauer mit Sicherheitsupdates versorgen und dafür wissen, welche Bestandteile darin stecken und wann eine davon eine Lücke hat. Das ist weniger ein Dokumentationsproblem als ein Organisationsproblem, und es betrifft die Entwicklungsabteilung genauso wie den Service. Warum regelmäßige Updates grundsätzlich den Unterschied machen, steht unter Patch-Management.

Was das für Auftraggeber von Individualsoftware heißt

Wer bei uns Software für den eigenen Betrieb beauftragt, wird dadurch kein Hersteller im Sinne des CRA. Anders sieht es aus, wenn Sie die Software an Ihre Kunden weitergeben, als Produkt verkaufen oder in ein Gerät einbauen, das Sie ausliefern. Dann sind Sie der Hersteller, und die Anforderungen gehören von Anfang an ins Lastenheft: Sicherheitsarchitektur, nachvollziehbare Abhängigkeiten, ein Update-Weg, der beim Kunden auch ankommt, und eine Vereinbarung, wer die Pflege über die Jahre leistet. Nachträglich einbauen lässt sich das nur mühsam.

Wie wir damit umgehen

Wir entwickeln so, dass die Anforderungen des CRA erfüllbar sind: mit dokumentierten Abhängigkeiten, nachvollziehbaren Sicherheitsentscheidungen und geregelten Updates, und wir stehen als Partner über die Nutzungsdauer bereit. Die juristische Einordnung, ob und wie Ihr Produkt erfasst ist, und die formale Konformitätsbewertung gehören zu Fachleuten dafür; wir liefern die technische Grundlage, auf der sie aufsetzen. Ob Ihr Vorhaben betroffen ist und was das für den Zuschnitt bedeutet, klären wir am Anfang in der Software-Beratung. Bei älteren Produkten, deren Software die Anforderungen nicht mehr erfüllen kann, hilft Alte Software ablösen bei der Einordnung.