Cyber Resilience Act MES.
Was für Anbieter und Fertiger gilt.

Was ist der Cyber Resilience Act, und was heißt er für MES-Anbieter?

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist die EU-Verordnung, die Hersteller von Produkten mit digitalen Elementen zu Cybersicherheit über den gesamten Lebenszyklus verpflichtet. Sie gilt unmittelbar und erfasst Software und Hardware mit Datenverbindung, also auch MES-Software. MES-Anbieter müssen Schwachstellen melden, Sicherheitsupdates über einen Supportzeitraum liefern, eine Software-Stückliste führen und die Konformität erklären. Die Meldepflichten gelten seit 11.09.2026, alle übrigen Pflichten ab 11.12.2027 (Art. 71). Verstöße gegen Art. 13 und 14 können mit bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden (Art. 64). Alle Fristen 2027 im Überblick zeigt der Fristenkalender 2027.

Seit wann gelten die Meldepflichten des CRA, und wie laufen sie ab?

Die Meldepflichten nach Art. 14 CRA gelten seit 11.09.2026. Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform der ENISA an das zuständige CSIRT: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht bei Schwachstellen 14 Tage nach Verfügbarkeit einer Korrektur, bei Vorfällen einen Monat nach der Meldung. In Deutschland ist das koordinierende CSIRT das CERT-Bund im BSI. Die Meldung geht einmal ein und erreicht über das koordinierende CSIRT auch die CSIRTs der Mitgliedstaaten, in denen das Produkt bereitgestellt wird. Zusätzlich informieren Hersteller ihre Nutzer.

Gilt der CRA auch für MES-Software, die vor 2027 verkauft wurde?

Teilweise. Die Meldepflichten des Art. 14 gelten für alle Produkte im Anwendungsbereich, auch wenn sie vor dem 11.12.2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Die übrigen Anforderungen gelten für solche Altprodukte nur, wenn sie nach diesem Datum wesentlich geändert werden (Art. 69 Abs. 2). Neue Funktionen können eine wesentliche Änderung sein, reine Sicherheitsupdates in der Regel nicht (Erwägungsgrund 39). Fragen Sie Ihren Anbieter, welche Version er ab wann als neu in Verkehr gebracht behandelt.

Ist ein Cloud-MES vom CRA erfasst?

Es kommt auf die Konstruktion an. Ein reiner Cloud-Dienst im Modell Software as a Service fällt laut Erwägungsgrund 12 unter die NIS2-Richtlinie und nicht unter den CRA. Gehört die Cloud-Funktion dagegen als Datenfernverarbeitung zu einem Produkt, das ohne sie eine Funktion nicht erfüllen könnte, ist sie Teil des Produkts (Art. 3 Nr. 2). Das betrifft typischerweise Edge-Knoten und Terminal-Clients. Klären Sie vertraglich, wer welchen Teil betreibt und patcht, siehe Cloud-MES oder On-Premise.

Wann wird ein Fertiger selbst zum Hersteller im Sinne des CRA?

Ein Fertiger wird Hersteller, wenn er Software unter eigenem Namen an Dritte abgibt (Art. 3 Nr. 13) oder eine fremde Software wesentlich ändert und auf dem Markt bereitstellt (Art. 22). Software, die er nur im eigenen Werk entwickelt und betreibt, wird nach dem Wortlaut nicht auf dem Markt bereitgestellt (Art. 3 Nr. 22). Die unverbindlichen Leitlinien der Kommission vom 27.07.2026 äußern sich dazu laut Veröffentlichungsseite nicht ausdrücklich. Das ist eine Einordnung und keine Rechtsberatung, klären Sie Sonderfälle vorab.

Wie lange muss ein MES-Anbieter Sicherheitsupdates liefern?

Der Supportzeitraum beträgt mindestens fünf Jahre, außer das Produkt wird voraussichtlich kürzer genutzt (Art. 13 Abs. 8). Der Hersteller legt ihn nach der erwarteten Nutzungsdauer fest und dokumentiert die Gründe. Bereitgestellte Sicherheitsupdates bleiben mindestens zehn Jahre oder bis zum Ende des Supportzeitraums verfügbar (Abs. 9) und werden nach Anhang I Teil II Nr. 8 grundsätzlich kostenlos verteilt. Das Enddatum gehört in den Vertrag, siehe MES Support Ende. Fragen Sie auch nach dem Umgang mit älteren Versionen (Art. 13 Abs. 10).

Was ist eine SBOM, und bekomme ich sie als Kunde?

Eine SBOM (Software Bill of Materials, Software-Stückliste) ist eine formale Aufzeichnung der Komponenten und Lieferkettenbeziehungen einer Software (Art. 3 Nr. 39). Der Hersteller muss sie in gängigem maschinenlesbarem Format erstellen, mindestens mit den obersten Abhängigkeiten (Anhang I Teil II Nr. 1). Laut BSI muss sie nicht veröffentlicht werden. Ob der Anbieter sie Kunden bereitstellt, regeln Sie im Vertrag. Für Ihr Schwachstellenmanagement lohnt sie sich, weil Sie betroffene Komponenten schneller finden.

Fällt mein Werk unter NIS2?

Ihr Werk fällt unter NIS2, wenn Ihr Unternehmen einer Einrichtungsart in Anlage 1 oder 2 BSIG zuzuordnen ist und mindestens 50 Beschäftigte oder jeweils über 10 Mio. € Jahresumsatz und Bilanzsumme hat (§ 28 BSIG). Anlage 2 nennt unter anderem Maschinenbau, Elektronik, elektrische Ausrüstungen, Kraftwagen, Fahrzeugbau, Medizinprodukte, Chemie und Lebensmittel. Die Prüfung nehmen Sie selbst vor, das BSI teilt die Betroffenheit nicht mit. Die Tabelle weiter oben zeigt die Fundstellen, die BSI-Betroffenheitsprüfung ist unverbindlich.

Welche NIS2-Pflichten betreffen das MES direkt?

Vor allem § 30 Abs. 2 BSIG: Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backup und Betriebsfortführung, Sicherheit der Lieferkette, Schwachstellenmanagement beim Erwerb und bei der Wartung, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Dazu kommen die Meldung erheblicher Vorfälle nach § 32 und die Registrierung nach § 33. Das MES ist kein eigener Pflichtgegenstand, aber ein Produktionssystem, das in jede dieser Maßnahmen gehört. Die Geschäftsleitung muss die Umsetzung überwachen (§ 38). Welche Maßnahmen verhältnismäßig sind, hängt von Risiko, Größe und Kosten ab (§ 30 Abs. 1).

Müssen auch Zulieferer und MES-Anbieter NIS2 beachten, die nicht betroffen sind?

Nicht direkt, aber indirekt. Die Lieferkettenpflicht nach § 30 Abs. 2 Nr. 4 BSIG trifft die betroffene Einrichtung, laut BSI folgt daraus keine eigene NIS2-Pflicht für Zulieferer. Betroffene Kunden werden aber Nachweise verlangen, etwa zu Patchfristen, Meldewegen und Sicherheitsprozessen. MES-Anbieter mit Cloud-Diensten können zudem selbst als Anbieter von Cloud-Computing-Diensten in Anlage 1 stehen (Nr. 6.1.4). Unabhängig davon gilt für ihre Software der CRA. Die Größenschwellen prüft jedes Unternehmen einzeln, verbundene Unternehmen zählen unter Umständen mit (§ 28 Abs. 4).

Wie hängen CRA und NIS2 zusammen?

Der CRA regelt das Produkt, NIS2 den Betrieb. Der Anbieter erfüllt den CRA mit sicherer Software, Updates und Meldungen, der Fertiger erfüllt NIS2 mit Risikomanagement, Lieferantensteuerung und Vorfallmeldung. Beide Meldewege bestehen nebeneinander: Der Hersteller meldet Produktschwachstellen an CSIRT und ENISA, die Einrichtung meldet erhebliche Vorfälle an das BSI. Ein Angriff auf das MES kann beide Meldungen auslösen, und die Information der Nutzer durch den Hersteller (Art. 14 Abs. 8) hilft dem Fertiger, seine eigenen Fristen einzuhalten. Legen Sie deshalb Informationsfristen zwischen Anbieter und Werk im Vertrag fest.

Ersetzt IEC 62443 die gesetzlichen Pflichten?

Nein. IEC 62443 ist freiwillig und ersetzt weder CRA noch NIS2. Sie liefert aber anerkannte Bausteine: Teil 2-1 für das Sicherheitsprogramm des Betreibers, Teil 3-3 für Systemanforderungen und Security Levels, Teil 4-1 für den sicheren Entwicklungsprozess von Herstellern. § 30 Abs. 2 BSIG verlangt, einschlägige Normen zu berücksichtigen. Eine Konformitätsvermutung nach CRA entsteht erst durch im Amtsblatt zitierte harmonisierte Normen (Art. 27). CENELEC arbeitet an der Anpassung von EN IEC 62443-4-1 und 4-2.

Was gilt in Österreich und in der Schweiz?

In Österreich gilt das NISG 2026 (BGBl. I Nr. 94/2025) seit 01.10.2026, die Registrierung ist binnen drei Monaten nach Inkrafttreten vorgesehen (§ 29 Abs. 3). Der CRA gilt als EU-Verordnung unmittelbar, und Anbieter ohne EU-Hauptniederlassung melden nach Art. 14 Abs. 7. In der Schweiz gilt seit April 2025 eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen, Sanktionen bis 100.000 Franken seit 01.10.2025. Mehr dazu unter MES in Österreich und MES in der Schweiz.