EU CRA für Steuerungen, Bedienpanels und Antriebe
SPS, Panel und Umrichter sind Standardklasse. Ihre OEM-Kunden brauchen trotzdem Nachweise.
Wer Steuerungen, HMI-Panels oder Antriebsregler separat verkauft, ist nach dem Cyber Resilience Act selbst Hersteller. Eine notifizierte Stelle braucht er in der Regel nicht, Stückliste, Updates und Meldeprozess aber schon.
Stand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Häufigste Klasse hier
- Standardprodukt
In welche Klasse fallen SPS, HMI und Antriebsregler nach dem Cyber Resilience Act?
SPS, HMI-Bedienpanels und Antriebsregler mit Feldbus- oder Ethernetanschluss fallen unter den EU CRA (Art. 2 Abs. 1). Anhang III und IV nennen sie nicht, also gehören sie zur Standardklasse. Der Hersteller bewertet die Konformität selbst nach Modul A. Klasse I sind vor allem separat verkaufte Netzwerkkomponenten und Betriebssysteme, etwa Kommunikationsmodul, Managed Switch oder Steuerungsbetriebssystem.
Produktklassen
Wann ist eine Steuerung ein Produkt nach dem EU CRA?
Eine Steuerung, ein Panel oder ein Umrichter ist ein eigenes Produkt mit digitalen Elementen, wenn der Hersteller es getrennt in Verkehr bringt und eine Datenverbindung vorgesehen ist (Art. 2 Abs. 1 und Art. 3 Nr. 1 EU CRA). Das gilt für Ethernet und Feldbus genauso wie für einen USB- oder Service-Anschluss. Greift keine Ausnahme aus Art. 2 EU CRA, fällt das Gerät unter den EU CRA. Firmware-Updates aus dem Herstellerportal und eine Cloud für Ferndiagnose gehören dazu, soweit das Gerät sie für eine Funktion braucht. Engineering-Software, die nur zur Konfiguration dieser Geräte dient, gehört zum Gerät; als eigenständig lizenziertes Werkzeug für viele Geräte ist sie ein eigenes Produkt (Einzelfall).
Verteilung in dieser Branche
Produkt auswählen
Speicherprogrammierbare Steuerung (SPS), kompakt oder modular
Warum diese Klasse
Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| Speicherprogrammierbare Steuerung (SPS), kompakt oder modular | Standardprodukt | Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA. |
| HMI-Bedienpanel oder Panel-PC mit Visualisierungssoftware | Standardprodukt | Kernfunktion Bedienen und Beobachten; keine Kategorie in Anhang III oder IV. |
| Frequenzumrichter oder Servoregler mit Feldbusanschluss | Standardprodukt | Kernfunktion Antreiben; keine Kategorie in Anhang III oder IV. |
| Sicherheitssteuerung (Safety-SPS) für die funktionale Sicherheit | Standardprodukt | Nach unserer Einschätzung Standardklasse: Funktionale Sicherheit schützt Menschen vor der Maschine, sie ist keine Cybersicherheitsfunktion im Sinne von Anhang III. |
| Engineering-Software für SPS und HMI, eigenständig lizenziert | Standardprodukt | Eigenständige Software ohne Kategorie in Anhang III; ein eigenes Produkt mit digitalen Elementen. |
| Kommunikationsmodul oder Feldbus-/Ethernet-Schnittstellenkarte, separat verkauft | Wichtiges Produkt, Klasse I (Anhang III) | Physische Netzschnittstelle nach Anhang III Klasse I Nr. 10; die Durchführungsverordnung (EU) 2025/2392 nennt Feldbus ausdrücklich. |
| Managed Industrial Switch | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 12; nach der Durchführungsverordnung (EU) 2025/2392 sind Switches mit Management-Ebene gemeint. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Nicht erfasst sind Ersatzteile, die nach denselben Spezifikationen gefertigt werden wie das ersetzte Teil (Art. 2 Abs. 6 EU CRA). Steuerungen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen erst nach einer wesentlichen Änderung (Art. 69 Abs. 2); Art. 14 gilt nach Art. 69 Abs. 3 auch für sie. In Verkehr gebracht wird jedes einzelne Gerät: Geräte derselben Serie, die ab dem 11. Dezember 2027 erstmals an Händler oder Kunden abgegeben werden, müssen die Anforderungen erfüllen.
Standardklasse
Was bedeutet Standardklasse für einen Steuerungshersteller?
Standardklasse heißt: Der Hersteller bewertet die Konformität seiner Steuerung, seines Panels oder seines Umrichters selbst. Die anwendbaren Anforderungen aus Anhang I EU CRA gelten vollständig, und die Nachweise braucht später auch der Maschinenbauer.
Selbstbewertung nach Modul A
Der Hersteller prüft Gerät und Schwachstellenprozess gegen Anhang I (interne Kontrolle nach Anhang VIII Teil I EU CRA). Eine notifizierte Stelle ist nicht vorgeschrieben.
Art. 32 Abs. 1 Buchst. a EU CRA
Technische Dokumentation je Gerätefamilie
Risikobewertung, Software-Stückliste, Supportzeitraum mit Begründung und die Beschreibung der Sicherheitsfunktionen gehören in die technische Dokumentation. Sie bleibt nach dem Inverkehrbringen zehn Jahre oder für den Supportzeitraum verfügbar, je nachdem, was länger ist.
Art. 31, Art. 13 Abs. 13, Anhang VII EU CRA
EU-Konformitätserklärung und CE-Kennzeichnung
Jedes Gerät trägt das CE-Zeichen. Dem Gerät liegt die EU-Konformitätserklärung oder eine vereinfachte Fassung mit Link bei. Gelten mehrere EU-Rechtsakte, etwa auch die EMV- oder Niederspannungsrichtlinie, ist es eine einzige Erklärung für alle.
Art. 13 Abs. 20, Art. 28 Abs. 3, Art. 30 EU CRA
Informationen für den Integrator
Die Nutzerinformationen nach Anhang II erklären auch, wie ein Integrator die Anforderungen aus Anhang I und Anhang VII erfüllen kann. Für Steuerungen ist der Maschinenbauer genau dieser Integrator.
Anhang II Nr. 8 Buchst. f EU CRA
Ausnahmen
Wann wird ein Steuerungsprodukt doch Klasse I?
Die Klasse hängt an der Kernfunktion (Art. 7 Abs. 1 EU CRA). Die Durchführungsverordnung (EU) 2025/2392 beschreibt die Kategorien technisch. Für Steuerungshersteller sind drei Fälle relevant, alle betreffen Produkte, die separat verkauft werden. Fest eingebaut bleibt es bei der Standardklasse.
Kommunikationsmodul als eigenes Produkt
Eine Feldbus-, Profinet- oder Ethernet-Karte, die der Hersteller einzeln verkauft, ist eine physische Netzschnittstelle nach Anhang III Klasse I Nr. 10. Die Durchführungsverordnung (EU) 2025/2392 nennt Netzwerkkarten, Controller und Adapter für Ethernet, Bluetooth, Zigbee oder Feldbus ausdrücklich.
Anhang III Klasse I Nr. 10 EU CRA
Managed Switch und Industrie-Router
Switches mit Management-Ebene und Router fallen unter Anhang III Klasse I Nr. 12. Ein unmanaged Switch erfüllt die Beschreibung der Durchführungsverordnung nach unserer Einschätzung nicht.
Anhang III Klasse I Nr. 12 EU CRA
Steuerungsbetriebssystem oder Chip mit Sicherheitsfunktionen
Ein separat vertriebenes Echtzeitbetriebssystem ist Klasse I Nr. 11, ein Mikrocontroller mit sicherheitsrelevanten Funktionen Nr. 14. Das trifft den Hersteller des Betriebssystems oder Chips, nicht den, der sie in seine SPS einbaut.
Anhang III Klasse I Nr. 11 und 14 EU CRA
Pflichten
Welche Pflichten hat ein Hersteller von Steuerungen und Antrieben?
Steuerungen und Antriebe landen fast immer in fremden Maschinen. Was der Hersteller nachweisen muss, fragt deshalb auch der Maschinenbauer ab (Art. 13 Abs. 5 EU CRA).
- 01
Sichere Auslieferung und Zugriffsschutz
Anhang I Teil I Nr. 2 Buchst. b, d und j EU CRA
Etwa keine Standardpasswörter, Webserver und Diagnosedienste nur aktiv, wenn gebraucht (möglichst geringe Angriffsfläche), Zugriff auf Programm und Parameter nur nach Authentifizierung. Ein Zurücksetzen in den Auslieferungszustand ist möglich.
- 02
Software-Stückliste für Firmware und Engineering-Software
Anhang I Teil II Nr. 1 EU CRA
Der Hersteller führt eine Stückliste zumindest der Komponenten auf oberster Ebene. Gibt er sie an Nutzer weiter, nennen die Nutzerinformationen, wo sie zu finden ist (Anhang II Nr. 9).
- 03
Sicherheitsupdates mit sicherem Update-Weg
Anhang I Teil I Nr. 2 Buchst. c und f, Teil II Nr. 2 und 7 EU CRA
Schwachstellen lassen sich über Sicherheitsupdates beheben, und die Steuerung schützt Firmware und Konfiguration gegen unbefugte Änderung, etwa durch signierte Updates. Soweit technisch machbar, werden Sicherheitsupdates getrennt von Funktionsupdates bereitgestellt (Anhang I Teil II Nr. 2).
- 04
Supportzeitraum passend zur Maschine
Der Supportzeitraum richtet sich nach der erwarteten Nutzungsdauer, abgewogen mit den weiteren Faktoren aus Art. 13 Abs. 8; fünf Jahre sind die Untergrenze. In der Automatisierung, wo Steuerungen so lange laufen wie die Maschine, liegt er meist deutlich darüber. Der Hersteller darf dabei die Supportzeiträume zugekaufter Komponenten berücksichtigen, die Kernfunktionen bereitstellen.
- 05
Meldepflicht und Schwachstellen in fremden Komponenten
Art. 13 Abs. 6, Art. 14 Abs. 1 bis 4 EU CRA
Die Meldepflicht gilt seit dem 11. September 2026: Für eine aktiv ausgenutzte Schwachstelle schickt der Hersteller innerhalb von 24 Stunden eine Frühwarnung und innerhalb von 72 Stunden eine Meldung, für schwerwiegende Sicherheitsvorfälle gelten dieselben Fristen (Art. 14 Abs. 3). Eine Schwachstelle in einer zugekauften Komponente meldet er auch deren Hersteller.
Angrenzende Regulierung
Welche Regeln gelten neben dem EU CRA für Steuerungen?
Maschinenverordnung (EU) 2023/1230
Für eine Standard-SPS richtet sich die Maschinenverordnung an den Maschinenbauer, der ihre Anforderungen an Schutz gegen Korrumpierung und sichere Steuerungen (Anhang III Abschn. 1.1.9 und 1.2.1) mit den Unterlagen des Steuerungsherstellers belegt. Sicherheitssteuerungen und andere Sicherheitsbauteile sind dagegen selbst Produkte der Maschinenverordnung; ihr Hersteller erfüllt dann beide Verordnungen. Erwägungsgrund 53 EU CRA nennt die Überschneidungen.
IEC 62443-4-1 und 4-2
Viele Steuerungshersteller entwickeln nach IEC 62443-4-1 und zertifizieren Komponenten nach 4-2. Inhaltlich überschneiden sich die Normen mit Teilen von Anhang I. Eine Konformitätsvermutung nach Art. 27 EU CRA entsteht nur aus harmonisierten Normen mit Fundstelle im Amtsblatt, gemeinsamen Spezifikationen und europäischen Zertifizierungsschemata.
Aus der Praxis
Wo Steuerungshersteller typischerweise hängen bleiben
Lange Lieferbarkeit, kurze Lebenszyklen der Software
Eine SPS-Familie wird 15 Jahre geliefert, der Linux-Kernel oder die Webserver-Bibliothek darin hat einen viel kürzeren Pflegezyklus. Der Supportzeitraum muss das abbilden, nicht nur die Hardware.
Viele OEM-Anfragen, jede im eigenen Format
Jeder Maschinenbauer schickt seinen eigenen Fragebogen zu Stückliste, Supportzeitraum und Meldeprozess. Wer die Antworten je Gerätefamilie einmal pflegt und bereitstellt, deckt damit die meisten Anfragen ab.
Ersatz-SPS und Umrüstung auf neue Rechenplattform
Der Tausch einer defekten SPS gegen eine baugleiche fällt nach der EU-Kommissions-Guidance (Abschn. 4.1, Beispiel 39) unter die Ersatzteilregel. Eine neue Rechenplattform, die die Nutzungsdauer verlängert, verlangt dagegen einen neu berechneten Supportzeitraum (Abschn. 5, Beispiel 56).
Firmware-Stand beim Kunden unbekannt
Steuerungen laufen jahrelang mit dem Stand, mit dem sie ausgeliefert wurden. Für eine Meldung muss der Hersteller wissen, welche Versionen im Feld sind, und Integratoren über Updates informieren können.
Mit Kunnus
Wie Kunnus Steuerungs- und Antriebshersteller unterstützt
Kunnus deckt die EU-CRA-Schicht ab: Einstufung, Stücklisten, Schwachstellen und Meldungen je Gerätefamilie und Firmware-Stand. Funktionale Sicherheit, EMV und elektrische Sicherheit bleiben in Ihrem bestehenden CE-Prozess.
Rechenbeispiel
Beispiel: eine modulare SPS-Familie
Ein Hersteller liefert eine modulare SPS mit drei CPU-Varianten, I/O-Modulen, einem Profinet-Kommunikationsmodul zum Nachrüsten und einer Engineering-Software für Windows.
- 1CPU-Varianten und I/O-ModuleStandardklasse, Modul A
- 2Profinet-Modul, separat verkauftKlasse I nach Anhang III Nr. 10; Modul A nur mit vollständig angewandter harmonisierter Norm, gemeinsamer Spezifikation oder Zertifizierung mindestens der Stufe „mittel“ (Art. 32 Abs. 2)
- 3Engineering-Softwareeigenständig lizenziert: Standardklasse, eigenes Produkt mit eigenem Supportzeitraum
- 4Supportzeitraum12 Jahre je Firmware-Generation, Enddatum beim Kauf mit Monat und Jahr angegeben
- 5An den MaschinenbauerKonformitätserklärung, Nutzerinformationen nach Anhang II, SBOM auf Anfrage, Advisories
- 6Am Ende liegt vorRisikobewertung und technische Dokumentation je Produkt, SBOM je Firmware-Stand, Meldeprozess
Beispielhafte Annahmen. Die Einstufung eines konkreten Produkts hängt von dessen Zweckbestimmung und Aufbau ab.
Branchen und Rechtstext
Zu welchen Branchen gehört das Produkt, und wo steht es in der Verordnung?
Häufige Fragen
Macht ein Feldbus ohne IP eine Steuerung zum Produkt mit digitalen Elementen?+
Ja. Art. 2 Abs. 1 EU CRA verlangt eine direkte oder indirekte, logische oder physische Datenverbindung zu einem Gerät oder Netz. Ein Feldbus wie Profibus oder CANopen ist eine solche Verbindung, auch ohne IP. Die Steuerung bleibt Standardklasse.
Ist ein HMI-Panel mit Windows oder Linux ein Produkt der Klasse I?+
Nein, ein HMI-Panel bleibt Standardklasse, auch mit vollwertigem Betriebssystem. Betriebssysteme stehen zwar in Anhang III Klasse I Nr. 11, die Integration macht das Panel nach Art. 7 Abs. 1 Satz 2 EU CRA aber nicht zum wichtigen Produkt. Klasse I ist das Betriebssystem nur, wenn sein Hersteller es separat in Verkehr bringt.
Was muss ein Steuerungshersteller dem Maschinenbauer liefern?+
Der Maschinenbauer braucht die EU-Konformitätserklärung und die Nutzerinformationen nach Anhang II EU CRA mit Supportende, Kontaktstelle für Schwachstellen und Hinweisen für Integratoren (Nr. 8 Buchst. f). Meist fragt er zusätzlich nach SBOM und laufenden Advisories, um seine Sorgfaltspflicht nach Art. 13 Abs. 5 zu belegen.
Ist ein Firmware-Update durch den Servicetechniker eine wesentliche Änderung?+
Nach Art. 3 Nr. 30 EU CRA ist eine Änderung wesentlich, wenn sie sich auf die Erfüllung der Anforderungen aus Anhang I Teil I auswirkt oder die Zweckbestimmung ändert. Sicherheitsupdates sind das nach der EU-Kommissions-Guidance (Abschn. 4.3) grundsätzlich nicht, wer immer sie einspielt. Genauer prüfen muss der Hersteller Updates, die neue, nicht bewertete Risiken schaffen.
Fällt eine Ersatz-SPS für eine alte Maschine unter den EU CRA?+
Eine Ersatz-SPS, gefertigt nach denselben Spezifikationen wie die ersetzte und zur Reparatur geliefert, ist nach Art. 2 Abs. 6 EU CRA ausgenommen. Die EU-Kommissions-Guidance (Abschn. 4.1, Beispiel 39) wendet die Regel auch auf eine komplette SPS an. Den Reparaturzweck sollte der Hersteller belegen können, etwa über den After-Sales-Kanal.
Gilt der Cyber Resilience Act für Steuerungen in Medizinprodukten oder Fahrzeugen?+
Medizinprodukte nach den Verordnungen (EU) 2017/745 und 2017/746 sowie Kraftfahrzeuge und Anhänger nach Verordnung (EU) 2019/2144 samt dafür typgenehmigter Systeme und Bauteile sind nach Art. 2 Abs. 2 EU CRA ausgenommen. Eine frei verkaufte Standard-SPS bleibt im Anwendungsbereich, auch wenn einzelne Geräte dort landen.
Welche Ihrer Steuerungsprodukte sind Klasse I?
Das EU-CRA-Assessment ordnet Ihre Geräte und Module in wenigen Minuten ein und zeigt die nächsten Schritte, als erste Einschätzung zur Orientierung.
Weiterlesen
Weitere Produkte
Weitere Produkte im EU CRA
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Produktart, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.