---
title: "CRA-Checkliste für Maschinenbauer | logiccloud"
description: "Checkliste zum Cyber Resilience Act: wer betroffen ist, welche Meldefristen seit 11.09.2026 gelten und was die installierte Basis bis 11.12.2027 können muss."
url: https://logiccloud.de/cra/checkliste/
language: de-DE
---

CRA Knowledge Center · Checkliste

# Die CRA-Checkliste für Maschinenbauer.

Was seit dem 11. September 2026 gilt, was bis zum 11. Dezember 2027 stehen muss — Punkt für Punkt zum Abhaken.

Frei zugänglich, ohne Anmeldung. Tipp: Über die Druckfunktion Ihres Browsers speichern Sie die Checkliste als PDF.

Schritt 1

## Sind Sie betroffen?

Der CRA gilt für Hersteller von Produkten mit digitalen Elementen. Prüfen Sie für Ihre Produktlinie:

- ### Sie entwickeln die Maschine oder lassen sie entwickeln und vertreiben sie unter eigenem Namen oder eigener Marke.
- ### Die Maschine hat eine direkte oder indirekte Datenverbindung — Steuerung im Netz, Fernwartungszugang oder Cloud-Anbindung.
- ### Sie verkaufen die Maschine in der EU.
- ### Auch bereits ausgelieferte Maschinen: Die Meldepflicht gilt für alle Produkte im Anwendungsbereich, auch für ältere.

Treffen die ersten drei Punkte zu, gelten die Meldepflichten bereits heute.

Schritt 2 · gilt seit dem 11.09.2026

## Die Meldefristen kennen.

Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden Sie über die Meldeplattform der ENISA. Die Fristen laufen ab Kenntnis — nicht ab Behebung.

- ### Frühwarnung

  - Ausgenutzte Schwachstelle

    24 Stunden ab Kenntnis

  - Schwerer Vorfall

    24 Stunden ab Kenntnis

- ### Ausführliche Meldung

  - Ausgenutzte Schwachstelle

    72 Stunden ab Kenntnis

  - Schwerer Vorfall

    72 Stunden ab Kenntnis

- ### Abschlussbericht

  - Ausgenutzte Schwachstelle

    14 Tage, nachdem eine Abhilfe verfügbar ist

  - Schwerer Vorfall

    1 Monat nach der 72-Stunden-Meldung

Zusätzlich informieren Sie die betroffenen Anwender selbst — die Meldung an die Behörde ersetzt das nicht.

Schritt 3 · jetzt erledigen

## Die Meldepflicht organisieren.

- 01

  ### Zuständigkeit klären

  Welches nationale CSIRT ist zuständig? Maßgeblich ist, wo die Entscheidungen über die Cybersicherheit Ihrer Produkte überwiegend getroffen werden.

- 02

  ### Zugang zur Meldeplattform einrichten

  Vor dem Ernstfall, nicht am Tag des Vorfalls.

- 03

  ### Benennen, wer meldet

  Eine Person, eine Vertretung, eine Telefonnummer. Die Frist läuft ab Kenntnis des Unternehmens.

- 04

  ### Den Eingangskanal festlegen

  Woher erfahren Sie von einer ausgenutzten Schwachstelle — Support, Service, Lieferanten, eine öffentliche Meldestelle?

- 05

  ### Die Bestandsfrage beantworten

  Welche Software läuft heute auf welcher Maschine, bei welchem Kunden, in welchem Land? Das ist der längste Punkt.

Schritt 4 · bis zum 11.12.2027

## Die installierte Basis beherrschen.

Ab dem 11. Dezember 2027 gelten die übrigen Anforderungen. Können Sie heute bereits …

- ### Sicherheitsupdates auf Maschinen im Feld verteilen?
- ### Erkennen, welche Softwareversion auf welcher Maschine läuft?
- ### Maschinen und Edge-Systeme zentral verwalten?
- ### Änderungen und Zugriffe nachvollziehbar dokumentieren?
- ### Benutzer, Rollen und Berechtigungen zentral steuern?
- ### Updates kontrolliert ausrollen und bei Problemen zurücksetzen?

Jedes „Nein" ist ein Handlungsfeld.

Mehr Hintergrund: [CRA-Meldepflicht: 24 Stunden, ab Kenntnis](https://logiccloud.de/cra-meldepflicht-24-stunden-ab-kenntnis/) und das [CRA Knowledge Center](https://logiccloud.de/cra/).

Hinweis: Diese Checkliste ordnet die Rechtslage ein und ersetzt keine Rechtsberatung. Welche Pflichten Ihr Unternehmen konkret treffen, hängt von Ihren Produkten ab. Die CRA-Konformität des Endprodukts liegt in der Verantwortung des Herstellers.

## Mehrere Punkte offen?

Im CRA-Assessment gehen wir die Checkliste mit Ihnen an Ihren Maschinen durch — und machen daraus einen Maßnahmenplan.

[CRA-Assessment anfordern](https://logiccloud.de/kontakt/) [Demo anfragen](https://logiccloud.de/demo/)