Bildquelle:
© KI-generiert
Der Cyber Resilience Act kommt. Welche Folgen ergeben sich für den Maschinen- und Anlagenbau und wie gelingt die praktische Umsetzung? Die wichtigsten Erkenntnisse der Veranstaltung.
Mit dem Cyber Resilience Act kommen auf Unternehmen verbindliche Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen zu. Davon ist auch der Maschinen- und Anlagenbau betroffen. Künftig müssen Hersteller nachweisen, dass ihre Produkte während des gesamten Lebenszyklus die festgelegten Sicherheitsanforderungen erfüllen. Cybersicherheit wird damit zu einer grundlegenden Produkteigenschaft und zu einer strategischen Aufgabe für die Unternehmensleitung.
Wie können sich Unternehmen auf die neuen Vorgaben vorbereiten? Welche organisatorischen, technischen und rechtlichen Maßnahmen sind erforderlich? Diesen Fragen widmete sich die Veranstaltung am 17. September 2026 auf Schloss Eicherhof in Leichlingen. ProduktionNRW und der Gastgeber @-yet brachten dazu Fachleute sowie Vertreterinnen und Vertreter aus der Industrie zusammen.
Cybersicherheit im geopolitischen Spannungsfeld
Zum Auftakt ordnete Steffen Zimmermann, Leiter des Competence Center Industrial Security beim VDMA, den Cyber Resilience Act in die wirtschaftlichen und geopolitischen Zusammenhänge ein. Er zeigte, dass Produktsicherheit eng mit globalen Lieferketten, technologischen Abhängigkeiten und wirtschaftlichen Interessen verbunden ist.
Der CRA schafft hierfür einen verbindlichen Rahmen und kann zu transparenteren Lieferketten sowie vergleichbaren Sicherheitsstandards beitragen. Zugleich wurde deutlich: Regulierung allein verhindert weder Sicherheitslücken noch geopolitische Abhängigkeiten. Unternehmen sollten ihre Produktsicherheit daher eigenständig und systematisch weiterentwickeln.
Von der Regulierung zur praktischen Umsetzung
Alexander Findeisen, Practice Lead ISMS bei @-yet, rückte die Umsetzung in den Mittelpunkt. Seine zentrale Botschaft: CRA-Konformität ist nicht allein eine technische Aufgabe, sondern betrifft Produktmanagement, Entwicklung, Einkauf, Recht, Cybersicherheit und Geschäftsleitung gleichermaßen.
Als sinnvoller Ausgangspunkt wurde eine strukturierte Bestandsaufnahme vorgestellt. Unternehmen sollten zunächst klären, welche Produkte betroffen sind, Verantwortlichkeiten festlegen und bestehende Lücken identifizieren. Darauf aufbauend lässt sich eine priorisierte Roadmap entwickeln. Besondere Bedeutung haben dabei sichere Entwicklungsprozesse, der Umgang mit Schwachstellen, die Transparenz über Softwarekomponenten und Lieferketten sowie eine nachvollziehbare Dokumentation.
Cybersicherheit wird zur rechtlichen Produkteigenschaft
Franziska Tilgner, Rechtsanwältin bei Luther Rechtsanwaltsgesellschaft, beleuchtete die rechtlichen Anforderungen. Der CRA verankert Cybersicherheit als verbindliche Eigenschaft digitaler Produkte. Hersteller tragen die Verantwortung von der Entwicklung über das Inverkehrbringen bis hin zu Aktualisierungen und zum Umgang mit Schwachstellen.
Dafür müssen Unternehmen unter anderem prüfen, welche Produkte unter die Verordnung fallen und welche Rolle sie innerhalb der Lieferkette übernehmen. Sicherheitsanforderungen sind bereits bei der Entwicklung zu berücksichtigen und über den gesamten Produktlebenszyklus nachweisbar umzusetzen. Da sich die Verantwortung nicht vollständig auf Lieferanten übertragen lässt, gewinnen klare Vereinbarungen und transparente Lieferketten zusätzlich an Bedeutung.
Frühzeitig handeln und Sicherheit als Qualitätsmerkmal nutzen
Die Veranstaltung machte deutlich, dass der Cyber Resilience Act technische, organisatorische und rechtliche Fragestellungen miteinander verbindet. Unternehmen sollten deshalb frühzeitig betroffene Produkte identifizieren, Verantwortlichkeiten klären und ihren aktuellen Reifegrad bewerten.
Wer rechtzeitig handelt, schafft nicht nur die Grundlage für die Erfüllung der gesetzlichen Vorgaben. Cybersicherheit kann zugleich das Vertrauen der Kunden stärken, die Widerstandsfähigkeit der Produkte erhöhen und sich zu einem wichtigen Qualitäts- und Wettbewerbsmerkmal entwickeln.
Veranstalter
Die Veranstaltung wird von ProduktionNRW angeboten. ProduktionNRW ist das Cluster des Maschinenbaus und der Produktionstechnik in Nordrhein-Westfalen und wird vom VDMA NRW durchgeführt. ProduktionNRW versteht sich als Plattform, um Unternehmen, Institutionen und Netzwerke untereinander und entlang der Wertschöpfungskette zu vernetzen, zu informieren und zu vermarkten. Wesentliche Teile der Leistungen, die ProduktionNRW erbringt, werden aus Mitteln des Ministeriums für Wirtschaft, Industrie, Klimaschutz und Energie des Landes Nordrhein-Westfalen gefördert.