Ab 2027 reicht Ihre CE-Akte nicht mehr.
Die Maschinenverordnung gilt ab dem 20. Januar 2027, der Cyber Resilience Act ab dem 11. Dezember 2027. Bei vernetzten Maschinen verlangen in der Regel beide Nachweise über Software. Wir liefern den Strang, den Mechanik und EMV nicht abdecken.
Kein Fragebogen, keine Vorbereitung. Wir messen an Ihren Produkten.
Wir sind auf der SPS in Nürnberg: 24. bis 26.11.2026, Halle 6, Stand 6-253.3.
Der Zeitplan kommt nicht von uns. Er steht im Amtsblatt.
Zwei der vier Termine sind bereits verstrichen. Wer erst 2027 anfängt, baut Nachweise für Produkte, die längst ausgeliefert sind.
Seit dem 11. September 2026 wird gemeldet. Auch für Produkte, die längst im Feld sind.
Wird eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt, laufen die Fristen ab dem Moment, in dem Sie davon erfahren. Gemeldet wird über die zentrale Meldeplattform der ENISA, gleichzeitig an das zuständige CSIRT und an die ENISA.
Sie erfahren davon
Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt wird Ihnen bekannt. Ab hier laufen die Fristen.
Frühwarnung binnen 24 Stunden
Ohne unnötige Verzögerung, spätestens nach 24 Stunden. Mit Angabe, in welchen Mitgliedstaaten das Produkt bereitgestellt wurde.
Meldung binnen 72 Stunden
Angaben zum Produkt, zur Art der Ausnutzung und der Schwachstelle sowie zu ergriffenen und empfohlenen Maßnahmen.
Abschlussbericht nach 14 Tagen
Spätestens 14 Tage, nachdem eine Korrektur oder Abhilfemaßnahme verfügbar ist: Beschreibung und Schwere der Schwachstelle, die Korrektur und, soweit bekannt, Angaben zum Angreifer.
- Schwerwiegende SicherheitsvorfälleFür Vorfälle, die die Sicherheit des Produkts beeinträchtigen, gelten ebenfalls 24 und 72 Stunden. Der Abschlussbericht folgt binnen eines Monats nach der Meldung.
- Auch BestandsprodukteDie Meldepflicht gilt auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, also auch für Maschinen, die längst ausgeliefert sind.
- Ihre Nutzer informierenSie informieren die betroffenen Nutzer über die Schwachstelle oder den Vorfall und, wo nötig, über Maßnahmen zur Abhilfe.
- Melden muss der HerstellerDie Meldung geht in der Regel an das CSIRT des Mitgliedstaats, in dem Sie Ihre Hauptniederlassung in der EU haben.
Wer binnen 24 Stunden melden will, muss wissen, welche Komponente in welchem Produkt und welcher Version steckt. Verstöße gegen Art. 14 können mit bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Fundstellen: Verordnung (EU) 2024/2847, Art. 14, Art. 64 Abs. 2, Art. 69 Abs. 3, Art. 71 Abs. 2. Zur Information, keine Rechtsberatung.
Eine vernetzte Maschine braucht zwei Nachweise. Für eine Erklärung.
Für die Maschinenseite haben Sie einen Dienstleister: Risikobeurteilung, Normen, EMV, Betriebsanleitung. Für die Softwareseite fehlt meist jemand, der die Nachweise laufend aus Entwicklung und Auslieferung liefert. Genau das ist die Lücke. Die Konformitätserklärung stellt der Hersteller aus, und sie muss beide Stränge tragen.
- Risikobeurteilung der Maschine
- Normen, EMV, Prüfungen
- Betriebsanleitung, technische Unterlagen
- Sicherheit der Steuerung, Anhang III Nr. 1.2.1
- Angaben für die CRA-Einstufung
- Cybersicherheits-Risikobewertung
- Anforderungen aus Anhang I
- Schwachstellen, Updates, Supportzeitraum
- Stückliste und Testnachweise
Wo stehen Sie?
Die beiden Wege führen zum selben Nachweis. Die Aufgabe ist eine andere.
Sobald Software an Bord ist, kann der CRA greifen.
Unabhängig von der Größe des Produkts, und auch dann, wenn gar keine Maschine geliefert wird.
Wir fragen niemanden. Wir sehen nach.
Der übliche Weg zur Compliance beginnt mit Terminen. Am Ende steht eine Sammlung von Aussagen, und ein Nachweis ist immer nur so gut wie die Aussage, auf der er beruht.
- Workshops und Interviews mit Ihren Entwicklern
- Fragebögen und Excel-Listen zum Ausfüllen
- Rückfragen an Marketing, IT und Datenschutzbeauftragte
- Anwälte, die aus Antworten Bewertungen machen
- Für jede umgesetzte Maßnahme ein Nachweis von Ihnen
Aufwand liegt bei Ihnen. Das Ergebnis beschreibt, was man Ihnen erzählt hat.
- Wir lesen Ihre Repositories
- Wir lesen Ihre Cloud-Konfiguration
- Wir lesen Ihre Dokumente
- Wir lesen Ihre Website samt Banner und Rechtstexten
- Umgesetzte Maßnahmen sehen wir beim nächsten Lauf selbst
Aufwand liegt bei uns. Das Ergebnis beschreibt, was tatsächlich läuft.
Ob eine Mehrfaktor-Anmeldung eingebaut ist, ob Daten verschlüsselt übertragen werden, welche Cookies Ihr Banner tatsächlich setzt. Das steht im Code, nicht in einer Auskunft. Ihre Entwickler arbeiten weiter, Ihr Datenschutzbeauftragter bleibt unbehelligt, und Befunde landen mit Maßnahme und Priorität direkt in Ihrem Ticketsystem.
Was vor dem ersten Termin meist gefragt wird.
Kurze Antworten mit Fundstelle. Welche Angaben Sie für Ihr Produkt brauchen, klären wir am konkreten Fall.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die auf dem EU-Markt bereitgestellt werden. Hersteller müssen ihre Produkte sicher entwickeln, Schwachstellen über den gesamten Supportzeitraum behandeln, eine Stückliste der Software führen und all das in der technischen Dokumentation und der EU-Konformitätserklärung nachweisen. Der CRA ist seit dem 10. Dezember 2024 in Kraft und gilt vollständig ab dem 11. Dezember 2027.
Betrifft der Cyber Resilience Act mein Produkt?
Der CRA gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden und Daten mit einem Gerät oder Netz austauschen können. Bei einer Maschine mit Steuerung, Firmware oder Fernwartung ist das in der Regel der Fall, ebenso bei Software, die eigenständig in Verkehr gebracht wird. Ausgenommen sind Produktgruppen mit eigenem Regelwerk, etwa Medizinprodukte und Kraftfahrzeuge. Eine erste Einordnung geben die drei Fragen für Maschinenbauer.
Wir sitzen außerhalb der EU, zum Beispiel in der Schweiz. Gilt der CRA für uns?
Ja, sobald Sie Ihr Produkt in der EU in Verkehr bringen. Maßgeblich ist der Markt, nicht der Sitz. Auch Einführer und Händler haben nach dem CRA eigene Pflichten.
Was gilt seit dem 11. September 2026?
Die Meldepflicht nach Art. 14: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind binnen 24 Stunden zu melden, auch für Produkte, die bereits ausgeliefert sind. Seit dem 11. Juni 2026 gelten außerdem die Regeln für Konformitätsbewertungsstellen. Die übrigen Pflichten folgen am 11. Dezember 2027.
Was hat NIS2 mit dem CRA zu tun?
NIS2, die Richtlinie (EU) 2022/2555, verpflichtet Unternehmen als Betreiber: Risikomanagement, Meldung erheblicher Sicherheitsvorfälle, Sicherheit der Lieferkette. Der CRA verpflichtet Hersteller für ihr Produkt. Die Herstellung von Maschinen gehört nach Anhang II der Richtlinie zu den sonstigen kritischen Sektoren; erfasst sind in der Regel Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Ein Maschinenbauer kann also beide Pflichten zugleich haben. Viele Anforderungen überschneiden sich, etwa Schwachstellenmanagement, Lieferkette und Meldewege. BreakPilot liefert für NIS2 dieselben Nachweise wie für den CRA, aus denselben Prüfungen: Risikobewertung, Schwachstellenmanagement, Stückliste für die Lieferkette und Testnachweise, jeder Befund mit Maßnahme, Priorität und Fundstelle.
Was ist der Compliance-Leitstand?
Die Stelle in der Plattform, an der Ihr Sicherheitsteam, ob intern oder als externes SOC, den Stand für CRA und NIS2 sieht: Produkte und Unternehmen, Lücken, Maßnahmen und Fristen. Fehlen im Unternehmen Dokumente oder Prozesse, liefert die Plattform sie zugeschnitten auf Ihr Unternehmen mit. Die Lückenanalyse läuft bei jeder Änderung an Prozess, Richtlinie oder Rolle automatisch neu, niemand muss sie pflegen.
Brauche ich für eine Maschine zwei Konformitätserklärungen?
Nein. Fällt ein Produkt unter mehrere Rechtsakte, die eine EU-Konformitätserklärung verlangen, wird eine einzige Erklärung für alle erstellt (Art. 28 Abs. 3 CRA). Sie muss dann aber beide Stränge tragen, die Maschinenverordnung und den CRA.
Ist die CE-Kennzeichnung eine Zertifizierung?
Nein. Mit der CE-Kennzeichnung erklärt der Hersteller selbst, dass sein Produkt die geltenden EU-Vorschriften erfüllt. Eine benannte Stelle ist nur für bestimmte Produkte und Verfahren vorgeschrieben. Für vernetzte Maschinen gehören ab 2027 Nachweise über die Software dazu, aus der Maschinenverordnung und aus dem CRA.
Ersetzt BreakPilot eine benannte Stelle oder eine Rechtsberatung?
Nein. Die Konformitätserklärung stellt der Hersteller aus. Für bestimmte wichtige und kritische Produkte verlangt der CRA zusätzlich eine Bewertung durch Dritte, etwa durch eine benannte Stelle. Wir liefern die Nachweise aus Ihrem Code, Ihren Dokumenten und Ihrer Website, jeweils mit Fundstelle in der Verordnung. Rechtsberatung leisten wir nicht.
Verlässt unser Quellcode das Haus?
Nur wenn Sie es wollen. Wir greifen nur lesend auf Ihre Quellcode-Verwaltung zu, und nur auf die Projekte, die Sie freigeben. Der Betrieb läuft in Rechenzentren in der EU, ohne US-Anbieter im Pfad. Auf Wunsch läuft die Prüfung vollständig in Ihrem Netz, dann verlässt kein Zeichen Ihr Haus.
Müssen unsere Entwickler Fragebögen ausfüllen?
Nein. Nach einem Termin bei Ihnen messen wir selbst: Code, Bibliotheken, Dokumente und Website. Befunde kommen mit Maßnahme und Priorität in Ihr Ticketsystem, umgesetzte Maßnahmen sehen wir beim nächsten Lauf.
Wie läuft der Einstieg ab?
Mit zwei Terminen. Im ersten schließen wir Repositories und Cloud-Konfiguration an und nehmen vorhandene Prozessdokumente auf. Im zweiten zeigen wir, welche Verordnungen für Ihre Produkte gelten, was Sie bereits haben, was fehlt und was der Befund zeigt. Danach wissen Sie, wo Sie stehen.
Wir erstellen CE-Akten für andere. Wie arbeiten wir zusammen?
Mit einem Pilotprojekt an einer Maschine. Sie wählen den Kunden, wir liefern den Softwareteil zu Ihrer Akte, unter Ihrem Namen. Keine Exklusivität, keine Vorleistung. Mehr für CE-Dienstleister.
Arbeiten Sie auch auf Englisch?
Ja. Wir arbeiten auf Deutsch und Englisch, und diese Website gibt es in beiden Sprachen.
We turn regulation into code.
Aus Verordnungen werden Prüfungen, die in Ihrem Code nachsehen, nicht Fragebögen, die Ihre Mitarbeiter ausfüllen. Keine Aussage ohne Fundstelle. Und wir sagen Ihnen, was wir nicht können: Die mechanische Risikobeurteilung, die Normenrecherche und die EMV machen andere.