Cybersicherheits-Compliance für Krane: Was zwei EU-Regelwerke von einem PLC-gesteuerten Kran verlangen, 2026 bis 2028

Geschrieben von Chen Wei, Leitender Konstruktionsingenieur bei SIEC Cranes. 28. Oktober 2026.

Seit dem 11. September 2026 hat jeder, der einen Kran mit vernetzter Steuerung für den EU-Markt herstellt, die gesetzliche Pflicht, aktiv ausgenutzte Schwachstellen in diesem Kran innerhalb von 24 Stunden zu melden, nachdem er davon Kenntnis erlangt hat. Diese Uhr läuft seit sechs Wochen. Die Maschinensicherheitsregeln, auf die sich die meisten Fabriken noch vorbereiten, beginnen erst am 20. Januar 2027. Die horizontalen Cybersicherheitsregeln, die das Ganze zu einer CE-Konformitätsakte machen, gelten erst ab 11. Dezember 2027 vollständig. Drei Termine, zwei Verordnungen, eine Maschine.

Die meisten Käufer, denen wir in Europa Angebote machen, haben von genau einer dieser Regelungen gehört. Meist von der Maschinenverordnung, weil ihre benannte Stelle danach fragt. Nach der Meldepflicht des CRA hat uns bisher fast niemand gefragt, und genau die läuft bereits.

Was sind die beiden Regelwerke, und warum trifft einen Kran beides?

Die Verordnung (EU) 2023/1230, die Maschinenverordnung, ersetzt die alte Maschinenrichtlinie 2006/42/EG und gilt für Maschinen, die ab dem 20. Januar 2027 auf dem Markt bereitgestellt werden. Es ist ein Sicherheitsrecht, das nun eine Cybersicherheitsanforderung enthält. Anhang III Abschnitt 1.1.9 trägt den Titel „Schutz gegen Korruption": Verbindungen zu anderen Geräten dürfen keine gefährlichen Situationen erzeugen, sicherheitsrelevante Hard- und Software sowie Daten müssen gegen versehentliche oder vorsätzliche Korruption geschützt und identifizierbar sein, und rechtmäßige wie unrechtmäßige Eingriffe müssen aufgezeichnet werden. Abschnitt 1.2.1 behandelt Sicherheit und Zuverlässigkeit von Steuerungssystemen.

Die Verordnung (EU) 2024/2847, der Cyber Resilience Act, ist ein Produkt-Cybersicherheitsrecht. Er ist am 10. Dezember 2024 in Kraft getreten. Kapitel IV über benannte Stellen gilt seit dem 11. Juni 2026. Die Meldepflichten begannen am 11. September 2026. Die wesentlichen Pflichten gelten ab dem 11. Dezember 2027.

Ein PLC-gesteuerter Brückenkran ist eine Maschine im Sinne der ersten und ein Produkt mit digitalen Elementen im Sinne der zweiten Verordnung. Die CRA-FAQ der Kommission ist unmissverständlich, was das bedeutet. Frage 2.4.1 besagt, dass Hersteller von Produkten, die unter beide Regelwerke fallen, „sowohl die in dieser Verordnung festgelegten grundlegenden Cybersicherheitsanforderungen als auch die in der Verordnung (EU) 2023/1230 festgelegten grundlegenden Gesundheits- und Sicherheitsanforderungen erfüllen sollten" und dass jede Synergie „vom Hersteller nachzuweisen ist". Frage 2.4.3 geht weiter: Die Konformitätsbewertung nach dem einen Rechtsakt „kann nicht automatisch als ausreichend angesehen werden, um auch das nach dem anderen Rechtsakt erforderliche Verfahren zu erfüllen".

Zwei Akten, zwei Erklärungen, ein Kran. Das ist die Form des Problems.

Punkt	Maschinenverordnung 2023/1230	Cyber Resilience Act 2024/2847
Worum es geht	Physische Sicherheit der Maschine sowie Schutz gegen Korruption von Sicherheitsfunktionen	Cybersicherheit des digitalen Produkts über seine gesamte Lebensdauer, einschließlich Updates
Gilt für einen Kran ab	20. Januar 2027	11. Dezember 2027 für die wesentlichen Pflichten, 11. September 2026 für die Meldung von Vorfällen
Wer bewertet	Selbstbewertung für die meisten Krane, benannte Stelle für in Anhang I gelistete Maschinen	Selbstbewertung als Standard, Dritte für „wichtige Produkte" in Anhang III
Ergebnis	Technische Unterlagen, EU-Konformitätserklärung, CE-Kennzeichnung, Betriebsanleitung mit Restrisiken	Technische Dokumentation, EU-Konformitätserklärung, CE-Kennzeichnung, SBOM, Supportzeitraum, Schwachstellenprozess
Fortlaufende Pflicht	Akte 10 Jahre aufbewahren, auf Vorfälle reagieren, die eine Nichtkonformität offenbaren	Schwachstellen während des gesamten Supportzeitraums bearbeiten, ausgenutzte innerhalb von 24 Stunden melden

Was gilt heute schon, und was liegt noch vor uns?

Das ist der Teil, der in Zusammenfassungen verloren geht. Der CRA ist keine einzelne Frist. Er ist eine Treppe, und der Abschnitt, der eine Fabrik am härtesten trifft, ist der bereits geltende.

Datum	Was gilt	Was das für einen Kranhersteller bedeutet
10. Dezember 2024	CRA tritt in Kraft	Nichts operativ, aber die Konstruktionsuhr beginnt zu laufen
1. August 2025	Cybersicherheitsanforderungen der Funkanlagenrichtlinie (Delegierte Verordnung 2022/30)	Trifft bereits jede in die EU gelieferte Funkfernsteuerung
11. Juni 2026	CRA Kapitel IV, benannte Stellen	Bewertung durch Dritte wird buchbar
11. September 2026	Meldepflichten des CRA und die zentrale Meldeplattform von ENISA	Bereits in Kraft. Gilt für Produkte, die schon auf dem EU-Markt sind, nicht nur für neue
20. Januar 2027	Maschinenverordnung 2023/1230	Anhang III 1.1.9 und 1.2.1 werden Teil der CE-Akte
11. Dezember 2027	Wesentliche Pflichten des CRA	Vollständige CE-Kennzeichnung nach dem CRA, SBOM, in der Anleitung erklärter Supportzeitraum
11. Dezember 2027	Meldepflicht für Stewards von Open-Source-Software	Nur relevant, wenn Sie ein Projekt pflegen, das Sie auch kommerziell verkaufen

Die eigene Ankündigung der Kommission vom 11. September 2026 nannte das Detail, das viele überrascht: Die Meldepflichten gelten für alle Produkte mit digitalen Elementen, die in der EU bereitgestellt werden, „einschließlich der bereits auf dem Markt befindlichen". Ein Kran von 2019 mit einem 4G-Diagnosegateway, der seit sieben Jahren in einem niederländischen Werk steht, fällt unter diesen Satz. Die Pflicht knüpft am Hersteller an, nicht am Verkaufsjahr.

Was genau muss gemeldet werden, und wie schnell?

Zwei Kategorien, vier Uhren. Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt und ein schwerwiegender Sicherheitsvorfall sind unterschiedliche Auslöser, und sie enden zu unterschiedlichen Fristen.

Stufe	Frist	Was hineingehört
Frühwarnung	24 Stunden nach Kenntnis	Dass eine vermutete ausnutzbare Schwachstelle oder ein schwerwiegender Vorfall vorliegt, plus Eckdaten
Vollständige Meldung	72 Stunden	Allgemeine Angaben zum Produkt, Art der Ausnutzung oder des Vorfalls und erste Gegenmaßnahmen
Abschlussbericht, ausgenutzte Schwachstelle	14 Tage nach Verfügbarkeit einer Korrekturmaßnahme	Ursache, angewandte Behebung, betroffene Versionen, Maßnahmen für Nutzer
Abschlussbericht, schwerwiegender Vorfall	1 Monat nach der 72-Stunden-Meldung	Gleiche Form, plus was gegen eine Wiederholung getan wurde

Der Meldeweg ist ein einziges Portal. ENISA hat die zentrale Meldeplattform des CRA aufgebaut und betreibt sie, in Betrieb seit dem 11. September 2026. Ein Hersteller meldet einmal. Die Plattform leitet die Meldung an das CSIRT des Mitgliedstaats weiter, in dem der Hersteller seine Hauptniederlassung hat, und stellt die Informationen, sofern keine außergewöhnlichen Umstände vorliegen, gleichzeitig ENISA zur Verfügung. Das empfangende CSIRT gibt sie dann an die anderen nationalen CSIRTs der Länder weiter, in denen das Produkt verkauft wird.

Es gibt eine schmale Tür für Verzögerung. Am 11. Dezember 2025 hat die Kommission einen delegierten Rechtsakt angenommen, der die Bedingungen festlegt, unter denen ein CSIRT die Weitergabe an andere CSIRTs aus gerechtfertigten Cybersicherheitsgründen zurückhalten darf. Gehen Sie davon aus, dass Sie diese Bedingung nicht erfüllen. Planen Sie so, als erfahre die nationale Behörde Ihres Kunden am selben Tag davon, an dem Sie melden.

Für eine Fabrik in Zhejiang ohne Niederlassung in der EU lautet die praktische Frage: Wer meldet? Die Verordnung knüpft die Pflicht an den Hersteller, und ein Händler oder Einführer kann sie nicht übernehmen. Das ist der eine Punkt, an dem ein europäischer Vertriebspartner früh ins Gespräch geholt werden muss, denn die Plattform braucht eine benannte Organisation mit einem funktionierenden Vorfallprozess dahinter, kein Verkaufsbüro.

Welche Teile eines Krans sind Produkte mit digitalen Elementen?

Mehr Teile der Stückliste, als die meisten Angebote zugeben. Der Test lautet nicht „hat es einen Chip", sondern ob der Gegenstand ein Software- oder Hardwareprodukt ist, das direkt oder indirekt mit einem anderen Gerät oder Netzwerk verbunden ist.

Komponente an einem Standard-Brückenkran	Produkt mit digitalen Elementen?	Warum es in der Akte landet
PLC / Kransteuerung mit Ethernet oder Feldbus	Ja	Führt Sicherheitslogik aus, ist mit dem Werksnetz verbunden
Frequenzumrichter mit Konfigurationssoftware	Ja	Firmware, Parameter, die Brems- und Geschwindigkeitsgrenzen verändern
HMI-Panel oder Touchscreen	Ja	Läuft mit einem Betriebssystem, oft mit Webserver
Ferndiagnose-Gateway, 4G-Router, VPN-Box	Ja, und meist ein „wichtiges Produkt"	VPN-Gateways und Router sind in Anhang III Klasse I genannt
Sender und Empfänger der Funkfernsteuerung	Ja, und außerdem Funkanlage	Zwei Regelwerke gleichzeitig: Cybersicherheitsanforderungen der RED plus CRA
Schlingerdämpfungs- oder Positioniersteuerung	Ja	Firmware, die Bewegungen direkt befiehlt
Wägezelle, Anzeige der Lastbegrenzung, Überlastsicherung	Ja, wenn sie Daten verarbeitet und überträgt	Ein manipuliertes Lastsignal hebelt den eigenen Schutz der Maschine aus
Brückenträger, Endwagen, Trommel, Hakenflasche, Drahtseil	Nein	Keine Software, keine Verbindung. Stahl bleibt Stahl.

Die Liste ist wichtig, weil der CRA nicht verlangt, jede Schraube zu zertifizieren. Er verlangt, dass Sie wissen, welche Positionen digital sind, wer sie hergestellt hat, welche Version sie haben und wie eine Schwachstelle in einer davon während des Supportzeitraums behoben wird. Das ist zuerst ein Inventarproblem und dann ein Konstruktionsproblem.

Ein Standard-Einträgerlaufkran mit Kettenzug und Hängetaster trägt in der Regel drei oder vier dieser Positionen. Kommt ein Ferndiagnose-Gateway hinzu, verdoppelt sich die Zahl. Ein separat verkauftes Hebezeug- und Zubehörpaket bringt seine eigene Erklärung mit, denn das Hebezeug ist ein eigenes Produkt mit digitalen Elementen, wenn es mit Umrichter und Steuerplatine geliefert wird.

Ist ein Brückenkran ein „wichtiges Produkt" nach Anhang III?

Nein. Die Kommission hat die technischen Beschreibungen wichtiger Produkte mit digitalen Elementen in der Durchführungsverordnung (EU) 2025/2392 festgelegt, und Krane stehen nicht darin. Das ist eine gute Nachricht, denn Produkte der Klasse I und II tragen schwerere Konformitätsbewertungswege.

Bei den Komponenten sieht es anders aus. Die Liste der Klasse I enthält Dinge, die jede Woche auf Kran-Stücklisten auftauchen:

Kategorie der Klasse I in Anhang III	Wo sie an einem Kran auftaucht
Produkte mit der Funktion eines virtuellen privaten Netzwerks	Der Fernwartungstunnel, den Sie einbauen, damit Ihr Ingenieur sich aus Zhejiang einloggen kann
Router, für den Internetanschluss bestimmte Modems und Switches	Der 4G-Router im Schaltschrank, der dem Kran seine SIM-Karte gibt
Physische und virtuelle Netzwerkschnittstellen	Ethernet-, WLAN- und Feldbus-Schnittstellenkarten und -Adapter
Betriebssysteme	Das Echtzeitbetriebssystem oder Windows-Build im HMI-Panel
Identitätsverwaltung und Verwaltung privilegierter Zugriffe	Das Fernzugriffskontosystem, das Ihr Serviceteam nutzt
Systeme für Sicherheitsinformationen und Ereignisverwaltung	Nur wenn Sie werkseitige Überwachung zusammen mit dem Kran weiterverkaufen

Artikel 7 Absatz 1 des CRA schützt Sie vor einer Kaskade: Die Integration eines Produkts, das die Kernfunktionalität einer Kategorie der Klasse I oder II hat, zieht das Wirtsprodukt nicht allein in diese Verfahren hinein. Sie müssen aber weiterhin sicherstellen, dass der Lieferant seine Arbeit getan hat, und wenn es für diese Komponente keine Konformitätserklärung und keine CE-Kennzeichnung gibt, liegt die Verantwortung bei Ihnen. Schreiben Sie das in die Bestellung, nicht in ein Telefonat.

Wie lange muss ein Kran unterstützt werden?

Fünf Jahre sind die Untergrenze, und für Industrieausrüstung sagt Ihnen der Erwägungsgrund, weiter zu gehen. Erwägungsgrund 60 des CRA besagt, dass der Supportzeitraum nicht kürzer als fünf Jahre sein sollte, es sei denn, die Lebensdauer des Produkts ist kürzer, und fügt hinzu, dass Produkte, die „für die Verwendung in industriellen Umgebungen bestimmt sind, wie industrielle Steuerungssysteme, häufig über deutlich längere Zeiträume im Einsatz sind".

Lesen Sie das neben einer realen Nutzungsdauer eines Krans von 20 bis 30 Jahren, und die Lücke ist offensichtlich. Niemand erwartet, dass eine PLC von 2027 im Jahr 2052 noch Patches erhält. Was die Verordnung erwartet, ist, dass Sie schriftlich sagen, wann die Patches aufhören.

Anhang II verlangt, dass das Enddatum des Supportzeitraums dem Nutzer zusammen mit dem Produkt mitgeteilt wird. Diese eine Zeile in der Betriebsanleitung ist es, mit der ein Instandhaltungsleiter die Nachrüstung plant, und sie ist das, was ein Marktüberwachungsbeamter zuerst liest.

Kranklasse und Beanspruchung	Typische Nutzungsdauer	Vertretbarer erklärter Supportzeitraum
Leichter Werkstattkran, A3-A4, 1-10 t	15-20 Jahre	5 Jahre für die digitalen Komponenten, so ausgewiesen
Produktionskran, A5-A6, 10-50 t	20-25 Jahre	8-10 Jahre, mit dokumentiertem Upgrade-Pfad für die Steuerung
Schwerlast- oder Prozesskran, A7-A8, 50-100 t	25-30 Jahre	10 Jahre, plus vertragliches Migrationsfenster
Kran nur mit Funkfernsteuerung, ohne Netzwerk	15-20 Jahre	Supportzeitraum durch die Funkanlage bestimmt, oft 5-7 Jahre

Diese Zeiträume sind unsere eigenen Planungsannahmen aus chinesischen und europäischen Serviceaufzeichnungen, keine veröffentlichte Statistik. Die Untergrenze von fünf Jahren ist Gesetz; alles darüber ist eine kaufmännische Entscheidung, die mit dem Käufer vor der Bestellung getroffen werden sollte, denn es ist viel billiger, zehn Jahre mit einer Steuerungs-Roadmap zu versprechen, als im sechsten Jahr darüber zu streiten.

Was gehört in die technischen Unterlagen, und was ist eine SBOM?

Die Anforderung an die technische Dokumentation ist der Teil, der die vorhandene CE-Akte einer Fabrik in ein funktionierendes Dokument verwandelt. Eine für die alte Maschinenrichtlinie geschriebene Kranakte enthält typischerweise Zeichnungen, Berechnungen, Risikobeurteilung, Prüfberichte und eine Erklärung. Sie enthält fast nie ein Komponentenverzeichnis mit Versionsständen.

Punkt	Wie er an einem Kran aussieht	Häufige Lücke heute
Allgemeine Beschreibung und bestimmungsgemäße Verwendung	Tragfähigkeit, Spannweite, Beanspruchungsklasse, Umgebung, Schnittstellen	Meist vorhanden, erwähnt aber selten die Netzwerkschnittstelle
Risikobeurteilung einschließlich Cyberrisiko	Was mit der Bewegung passiert, wenn ein Signal gefälscht oder wiedergegeben wird	Fehlt. Die Sicherheits-Risikobeurteilung endet bei mechanischen Gefährdungen
Software-Stückliste	Jede Fremdbibliothek und jeder Firmware-Stand in Steuerung, HMI und Gateway	Existiert nicht. Erwägungsgrund 77 erwartet eine, verlangt aber nicht, dass sie öffentlich ist
Prozess zur Schwachstellenbehandlung	Wer eine Meldung erhält, wer sie bewertet, wie eine Behebung zu einem Kran in Spanien gelangt	Fehlt, und genau diese Klausel wird die IT-Abteilung eines Käufers prüfen
Sicherer Aktualisierungsmechanismus	Signierte Firmware, Rollback und ein Weg, der ohne Internetverbindung funktioniert	Meist ein USB-Stick und eine E-Mail, undokumentiert
Richtlinie zur koordinierten Offenlegung und Kontakt	Ein öffentlicher Sicherheitskontakt, kein Vertriebspostfach	Fehlt, und es ist der billigste Punkt auf der Liste

Zwei Dinge sollten zur SBOM klar gesagt werden. Erstens zwingt die Verordnung Sie nicht, sie zu veröffentlichen. Erwägungsgrund 77 sagt, Hersteller „sollten nicht verpflichtet sein, die SBOM öffentlich zu machen". Zweitens ist sie nutzlos, wenn sie einmal erstellt wird. Der Wert liegt darin, innerhalb eines Tages beantworten zu können, ob eine letzte Woche offengelegte Bibliothek in Ihrer Steuerungsfirmware steckt. Das ist eine Datenbank, kein PDF.

Wer ist rechtlich verantwortlich: die Fabrik, der Exporteur oder der EU-Einführer?

Alle drei, auf unterschiedliche Weise, und der Einführer trägt mehr, als die meisten chinesischen Lieferanten annehmen. Nach dem CRA ist der Einführer das EU-Rechtssubjekt, das ein Produkt mit dem Namen eines Nicht-EU-Herstellers auf dem Markt bereitstellt. Er muss prüfen, dass der Hersteller die grundlegenden Cybersicherheitsanforderungen erfüllt hat und Prozesse zur Schwachstellenbehandlung eingerichtet hat, dass die Konformitätsbewertung durchgeführt wurde, dass die technische Dokumentation vorliegt und dass die CE-Kennzeichnung angebracht ist. Ein Einführer, der das nicht tut, ist kein passiver Kanal, sondern eine haftende Partei.

Der Hersteller kann einen Bevollmächtigten in der Union durch schriftliches Mandat bestellen, um festgelegte Aufgaben wahrzunehmen. Das ist optional und kein Ersatz für die eigenen Pflichten des Herstellers, aber es ist der Mechanismus, der eine 24-stündige Meldepflicht für ein Unternehmen überlebbar macht, dessen Ingenieure schlafen, während Europa wach ist.

Rolle	Kernpflicht nach dem CRA	Wo es üblicherweise bricht
Hersteller	Konstruktion, Konformitätsbewertung, CE, Dokumentation, Supportzeitraum, Schwachstellenbehandlung, 24-Stunden-Meldung	Kein Prozess, der ein Wochenende übersteht
Bevollmächtigter	Im schriftlichen Mandat aufgeführte Aufgaben, typischerweise Behördenkontakt und Aufbewahrung der Dokumentation	Mandat unterschrieben, aber keine technische Kompetenz dahinter
Einführer	Konformität, CE, Dokumentation und Schwachstellenprozess des Herstellers prüfen, bevor das Produkt bereitgestellt wird	Behandelt den Kran wie jede andere Maschine und fragt nur nach einem CE-Zertifikat
Händler	CE und Erklärung prüfen, bevor das Produkt bereitgestellt wird, bei Nichtkonformität handeln	Speichert ein PDF und prüft nie die Version

Die Sanktionen erklären, warum Einführer anfangen zu fragen. Artikel 64 sieht Geldbußen von bis zu 15.000.000 EUR oder 2,5 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist, bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen und die Herstellerpflichten. Dokumentations- und Verfahrensfehler liegen bei 10.000.000 EUR oder 2 %. Die Lieferung falscher, unvollständiger oder irreführender Informationen an eine benannte Stelle oder eine Marktüberwachungsbehörde liegt bei 5.000.000 EUR oder 1 %.

Verstoß	Höchstbetrag der Geldbuße
Grundlegende Cybersicherheitsanforderungen, Herstellerpflichten	15.000.000 EUR oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Pflichten von Einführern, Händlern und andere Verfahrenspflichten	10.000.000 EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Falsche, unvollständige oder irreführende Informationen gegenüber Behörden	5.000.000 EUR oder 1 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist

Für einen mittelgroßen Kranhersteller greift der Prozentzweig selten. Der Zweig von 15 Millionen EUR kümmert sich nicht um Ihre Mitarbeiterzahl, und die Anweisung, ein Modell vom EU-Markt zurückzuziehen, kostet mehr als jede Geldbuße.

Ist die Bedrohung real, oder ist das Papierarbeit?

Industrielle Steuerungssysteme sind kein theoretisches Ziel. Allein die Offenlegungskette erzählt eine Geschichte: Die Zahl der veröffentlichten Warnmeldungen zu industriellen Steuerungssystemen steigt weiter, und die Schwere steigt mit.

Kennzahl	Wert	Quelle
2025 veröffentlichte ICS-Warnmeldungen	508, mit 2.155 CVEs (erstes Jahr über 500)	Forescout Research, Februar 2026, auf Basis von CISA-Daten
Durchschnittlicher CVSS dieser Warnmeldungen	8,07, plus 25 % gegenüber 6,44 im Jahr 2010; 82 % hoch oder kritisch	Forescout Research, Februar 2026
Kumulierte Warnmeldungen seit 2010	3.637 Warnmeldungen, 12.174 Schwachstellen, 2.783 Produkte, 689 Hersteller	Forescout Research, Februar 2026
OT-Geräte mit bekannten ausgenutzten Schwachstellen	12 % von mehr als 940.000 Geräten in 270 Organisationen	Claroty Team82, State of CPS Security 2025
Organisationen mit solchen Geräten, die im Internet exponiert sind	40 %, steigend auf 31 % in der Teilmenge, in der die Schwachstelle mit Ransomware verbunden ist	Claroty Team82, State of CPS Security 2025
Ransomware-Wachstum im verarbeitenden Gewerbe, 2024 bis 2025	61 %, der stärkste Anstieg aller kritischen Sektoren	Claroty, 31. Oktober 2025

Lesen Sie die vierte und fünfte Zeile zusammen. Etwa vier von zehn der untersuchten Werke hatten unsicheren Fernzugriff auf Assets, die bereits eine bekannte ausgenutzte Schwachstelle trugen. Genau diese Konstellation entsteht durch ein Diagnose-Gateway, das an einen Kran geschraubt wird, damit die Fabrik dem Kunden helfen kann, ohne einen Ingenieur zu schicken. Das Gateway ist nicht das Problem. Das Gateway mit einem geteilten Passwort und ohne Update-Pfad ist es.

Was muss eine Funkfernsteuerung heute nachweisen?

Funkfernsteuerungen waren zuerst auf dieser Feier. Die Delegierte Verordnung (EU) 2022/30 der Kommission hat die grundlegenden Cybersicherheitsanforderungen in Artikel 3 Absatz 3 Buchstaben d, e und f der Funkanlagenrichtlinie ab dem 1. August 2025 für die gelisteten Kategorien von Funkanlagen verbindlich gemacht. Ein Paar aus Sender und Empfänger für Krane ist eine Funkanlage, also fällt jede seit diesem Datum in die EU gelieferte Handeinheit darunter.

Die harmonisierten Normen sind EN 18031-1:2024 für internetverbundene Funkanlagen und EN 18031-2:2024 für Geräte, die personenbezogene Daten verarbeiten. Sie sind im Amtsblatt mit Einschränkungen zitiert, und eine Einschränkung ist ungewöhnlich konkret. Das Zitat im Durchführungsbeschluss (EU) 2025/138 enthält den Hinweis, dass EN 18031-1 keine Konformitätsvermutung verleiht, wenn bei Anwendung der Abschnitte 6.2.5.1 und 6.2.5.2 „dem Nutzer gestattet wird, kein Passwort festzulegen und zu verwenden".

Dieser eine Satz disqualifiziert eine Menge Hardware. Ein Sender, der mit einem festen Kopplungscode und ohne die Anforderung geliefert wird, ein Passwort zu setzen, kann sich nicht auf die harmonisierte Norm stützen. Das macht das Produkt nicht automatisch illegal, aber es entfernt den einfachsten Weg, die Konformität nachzuweisen, und die Compliance-Abteilung eines Käufers wird das finden.

Angriffsklasse gegen industrielle Funkfernsteuerungen	Was der Angreifer tut	Frage an den Lieferanten
Abfangen und Wiedergeben	Zeichnet ein gültiges Telegramm auf und sendet es später erneut, um den Kran in Bewegung zu setzen	Ist die Verbindung verschlüsselt, und sind Telegramme durch Zähler oder Zeitstempel gegen Wiederholung geschützt?
Befehlsinjektion	Dekodiert die Telegrammstruktur und setzt einen anderen Befehl ein	Gibt es eine Nachrichtenauthentifizierung über die Befehlsnutzlast, nicht nur über die Adresse?
Bösartige Neuprogrammierung	Schreibt die Zuordnung zwischen einem Bedienelement und einem Maschinenausgang um	Kann die Firmware ohne signiertes Image und ohne physischen Serviceschritt geschrieben werden?
Bösartige Neukopplung	Emuliert den ursprünglichen Sender, damit der Empfänger einen neuen akzeptiert	Erfordert die Kopplung physischen Zugang zum Empfänger und einen autorisierten Schlüssel?

Die vier Angriffsklassen oben sind die Taxonomie, die HBC-radiomatic in ihrem veröffentlichten Whitepaper zur Sicherheit industrieller Funkfernsteuerungen verwendet. Das Whitepaper weist auch darauf hin, dass das Unternehmen seit mehr als einem Jahrzehnt vollständig verschlüsselte Funkübertragung bietet und Systeme, wo machbar, externen Penetrationstests unterzieht. Das ist der Standard, an dem ein ernsthafter Lieferant heute arbeitet. Es ist auch ein vernünftiger Maßstab für einen Käufer, der eine europäische Fernsteuerung mit einer billigeren vergleicht: Die Frage ist nicht, ob im Datenblatt „verschlüsselt" steht, sondern welche der vier Klassen geschlossen ist und wie Sie das beweisen würden.

Was kostet IEC 62443, und ersetzt es die CE-Arbeit?

IEC 62443 ist die industrielle Antwort auf die Frage „wie zeige ich, dass ich das ordentlich gemacht habe", und sie ersetzt nicht die CE-Kennzeichnung. Sie ist eine Zertifizierung Ihres Entwicklungsprozesses und der technischen Sicherheitsanforderungen Ihres Produkts. Die CE-Akte muss trotzdem existieren.

Drei Teile sind für einen Kranhersteller relevant: 4-1 für den sicheren Entwicklungslebenszyklus, 4-2 für die technischen Sicherheitsanforderungen der Komponente und 3-3 für das System. Die veröffentlichten Systemgebühren und Bewertungsspannen für 2026 geben eine brauchbare Größenordnung.

Was zertifiziert wird	Norm	Systemgebühr	Bewertung, typische Spanne
Sicherer Entwicklungslebenszyklus	62443-4-1	1.500 USD pro Jahr	15.000-35.000 EUR auf Reifegrad 2
Komponente	62443-4-2	1.200 USD pro Komponente oder 1.500 pro Familie, pro Jahr	25.000-50.000 EUR zusätzlich zu einem zertifizierten 4-1-Prozess
System	62443-3-3	1.200 USD pro Jahr	30.000-50.000 EUR
Erste Gerätezertifizierung, alles inklusive	ISASecure-System	Oben enthalten	50.000-75.000 USD, laut FAQ des Systems selbst

Die Normen selbst sind die billigste Position und die am häufigsten übersprungene. IEC verkauft jeden Teil einzeln: 62443-4-1 kostet 335 CHF und 62443-4-2 kostet 405 CHF, das Minimum-Set für einen Produktlieferanten liegt also bei 740 CHF. Der vollständige Satz, den man braucht, um zu verstehen, woran ein Werk seine Dienstleister messen wird, liegt unter 3.000 CHF. Die Norm zu kaufen ist billiger, als einen Berater dafür zu bezahlen, sie zusammenzufassen.

Es gibt einen zweiten Weg, der speziell für die Maschinenverordnung relevant ist. Eine Zertifizierung nach einem auf Grundlage der Verordnung (EU) 2019/881 angenommenen Cybersicherheitssystem verleiht die Konformitätsvermutung mit Anhang III Abschnitte 1.1.9 und 1.2.1 der Maschinenverordnung. Das aktuelle System ist der EUCC, eingeführt durch die Durchführungsverordnung (EU) 2024/482, anwendbar seit 27. Februar 2025, mit zwei Vertrauensstufen, „erheblich" und „hoch". Eine Selbstbewertung ist unter dem EUCC nicht zulässig. Für einen Kranhersteller, der ein Zertifikat möchte, das beiden Gesetzen dient, ist das der Mechanismus, und er ist preislich wie ein ernsthaftes Projekt kalkuliert, nicht wie eine Dokumentenprüfung.

Was kostet Compliance tatsächlich, pro Kran?

Niemand in dieser Branche veröffentlicht eine Zahl pro Einheit, also hier unsere. Die folgenden Zahlen sind Planungsschätzungen von SIEC für eine Modellreihe von drei PLC-gesteuerten Kranen, erstellt aus unseren eigenen Angeboten für Prüf- und Dokumentationsarbeiten. Sie sind keine veröffentlichte Statistik und werden sich mit dem Umfang des Steuerungssystems verändern.

Arbeitspaket	Erstes Jahr	Wiederkehrend
Bedrohungsmodell und Cyber-Risikobeurteilung zur Sicherheitsakte hinzugefügt	5-8 Ingenieurtage	1-2 Tage pro Modelländerung
SBOM-Erstellung und -Aktualisierung für Steuerung, HMI und Gateway	4-6 Tage	1-2 Tage pro Quartal
Externer Penetrationstest von Gateway und Funkstrecke	8.000-15.000 EUR	8.000-15.000 EUR alle 2-3 Jahre
Dokumentation, Konformitätserklärung, Aktualisierung der Betriebsanleitung	3-5 Tage	1-2 Tage pro Jahr
Schwachstellenbehandlung und 24-Stunden-Meldepflicht	Prozessaufbau, 3-4 Tage	4-8 Tage pro Jahr plus Rufbereitschaft
Optional: EUCC- oder IEC-62443-4-2-Zertifizierung	40.000-90.000 EUR	Systemgebühren plus Überwachungsaudit
Summe ohne Zertifizierung durch Dritte	25.000-55.000 EUR	10.000-25.000 EUR pro Jahr

Auf die Stückzahl umgelegt ändert sich das Bild vollständig. Bei vierzig Kranen im Jahr liegen die Erstjahreskosten bei 625 bis 1.375 EUR pro Einheit. Bei acht Kranen im Jahr sind es 3.100 bis 6.900 EUR pro Einheit, was derselben Größenordnung entspricht wie die Fracht für eine einzelne 20-Tonnen-Maschine. Die wiederkehrende Zahl entscheidet darüber, ob ein kleiner Hersteller in diesem Segment bleiben kann: 10.000 bis 25.000 EUR pro Jahr skalieren nicht mit dem Volumen, also steigen die Fixkosten pro Kran, wenn der Auftragsbestand schrumpft.

Die eine Position, die unterschätzt wird, ist die Meldepflicht. Eine 24-Stunden-Uhr bedeutet, dass jemand um 3 Uhr europäischer Zeit aus Zhejiang erreichbar sein muss. In der Praxis heißt das entweder ein europäischer Servicepartner mit einem Vorfallprozess oder ein Schichtplan. Beides kostet Geld, und keines davon steht in einem Angebot.

Was sollte die Anfrage enthalten?

Käufer, die die beiden Regelwerke verstehen, schreiben andere Bestellungen als Käufer, die es nicht tun. Das sind die Klauseln, die wir heute in europäischen Anfragen sehen, und die, die wir selbst auf die Käuferseite setzen würden.

Klausel	Formulierung, die funktioniert
1. Inventar	Jedes Produkt mit digitalen Elementen im Kran auflisten, mit Hersteller, Modell und Firmware-Version
2. Erklärungen	Die CE-Konformitätserklärung für jede Fremdkomponente vorlegen oder schriftlich erklären, dass keine existiert
3. Supportzeitraum	Das Support-Enddatum in der Betriebsanleitung angeben und die dafür verantwortliche Person benennen
4. Fernzugriff	Nur ausgehende Verbindung, kein eingehender Port, Zugangsdaten pro Standort, kein gemeinsames Servicekonto
5. Funkstrecke	Verschlüsselte Übertragung, Replay-Zähler, zwingendes Passwort bei Erstnutzung, physischer Kopplungsschritt
6. Updates	Signierte Firmware, dokumentierter Offline-Update-Pfad, Rollback-Verfahren
7. SBOM	Auf Anfrage innerhalb von fünf Arbeitstagen unter NDA liefern, bei jedem Firmware-Release aktualisiert
8. Meldung	Den Käufer innerhalb von 24 Stunden informieren, nachdem eine aktiv ausgenutzte Schwachstelle bekannt wird, die den Kran betrifft
9. Eskalation	Benannter Sicherheitskontakt mit Reaktionszeit, keine allgemeine Vertriebsadresse
10. Änderungskontrolle	Jeder Austausch von Steuerung, HMI oder Gateway erfordert schriftliche Freigabe und eine aktualisierte Akte

Klausel 10 ist die, die den Käufer vor dem häufigsten Fehler in der Praxis schützt. Eine Steuerung wird in der Fabrik wegen einer Lieferverzögerung getauscht, niemand aktualisiert die Dokumentation, und achtzehn Monate später entspricht der Kran vor Ort nicht mehr der erklärten Akte. Nach der Maschinenverordnung ist das ein Konformitätsproblem. Nach dem CRA ist es ein Dokumentationsfehler im Bereich von 10 Millionen EUR.

Wie sieht ein realistischer Zeitplan für eine Lieferung 2027 aus?

Bestellungen, die jetzt eingehen, fallen in das Fenster, in dem sich die beiden Regelwerke überschneiden, und die Reihenfolge ist wichtiger als das Papier.

Stufe	Zeitpunkt	Was fertig sein muss
Bestellung und Design-Freeze	Q4 2026 bis Q1 2027	Komponentenverzeichnis und Lieferantenerklärungen mit der Bestellung fixiert, nicht danach
Maschinenverordnung gilt	20. Januar 2027	Nachweise zu Anhang III 1.1.9: Konnektivitätsarchitektur, protokollierte Eingriffe, geschützte Sicherheitssoftware
Meldepflicht des CRA für den Bestand	Bereits in Kraft seit 11. September 2026	Ein benannter Kontakt und ein schriftlicher Bewertungsprozess für jeden bereits in der EU befindlichen vernetzten Kran
Wesentliche Pflichten des CRA	11. Dezember 2027	CRA-Konformitätsbewertung, Erklärung, CE, SBOM, erklärter Supportzeitraum
Erster CRA-Auditzyklus	2028	Nachweise, dass der Schwachstellenprozess tatsächlich lief, nicht nur, dass er geschrieben wurde

Die praktische Konsequenz ist, dass ein in der zweiten Hälfte 2027 gelieferter Kran bei Lieferung die Maschinenverordnung erfüllen muss und binnen Monaten im CRA-Regime steckt. Die Akte einmal für beides zu entwerfen ist billiger, als eines ins andere nachzurüsten. Das Steuerungssystem ist der Bereich, in dem sich beide überschneiden: 1.1.9 fragt, ob ein Eingriff eine Sicherheitsfunktion korrumpieren kann, und der CRA fragt, ob Sie davon erfahren und es beheben können.

Was ist die ehrliche Zusammenfassung?

Cybersicherheits-Compliance für Krane ist kein europäischer Trick, um chinesische Krane draußen zu halten. Es ist ein Dokumentations- und Prozessrecht, und eine Fabrik, die bereits eine ordentliche CE-Akte aufbaut, ist näher an der Konformität, als die Frist vermuten lässt. Was sie tatsächlich bestraft, ist die Konstellation, auf die sich die meisten Exporteure derzeit verlassen: eine Fremd-PLC und ein Fremd-Gateway, ein geteiltes Passwort, ein undokumentierter Update-Pfad und niemand, der die Frage verantwortet.

Die Meldepflicht ist der Teil, der zuerst zu reparieren ist, denn sie gilt bereits und ihre ordnungsgemäße Einrichtung kostet fast nichts. Ein benannter Kontakt, ein kurzer schriftlicher Bewertungsprozess und die Regel, dass jede Kundenmeldung über ungewöhnliches Kranverhalten diesen Kontakt innerhalb einer Stunde erreicht. Das ist eine Woche Arbeit. Die Alternative ist, die Pflicht mitten in einem Vorfall zu entdecken, mit einer bereits laufenden 24-Stunden-Uhr und einem Einführer, der fragt, warum er nichts erfahren hat.

Häufig gestellte Fragen

Gilt der Cyber Resilience Act für einen Kran ohne Internetverbindung?

Ja, wenn ein Teil davon ein Produkt mit digitalen Elementen ist, das direkt oder indirekt mit einem anderen Gerät verbunden ist. Ein Kran mit einer PLC und einem HMI in einem lokalen Netzwerk, ohne Route ins Internet, fällt weiterhin in den Geltungsbereich. Die Verordnung erfasst auch die indirekte Verbindung, und ein Technician-Laptop, der im Schaltschrank eingesteckt wird, ist eine Verbindung. Was sich ohne Internetzugang ändert, ist das praktische Risiko, nicht der rechtliche Geltungsbereich.

Wir exportieren nur über einen europäischen Händler. Macht ihn das zum Hersteller?

Nein. Trägt der Kran Ihren Namen oder Ihre Marke, sind Sie Hersteller im Sinne des CRA, und die Meldepflicht liegt bei Ihnen. Ihr Händler ist Einführer, wenn er das Produkt auf dem Markt bereitstellt, was ihm Prüfpflichten auferlegt, Ihre Pflichten aber nicht überträgt. Ihren Markennamen auf die Maschine und den Namen Ihres Händlers auf die Papiere zu setzen, verschiebt die Haftung nicht.

Wird eine Funkfernsteuerung doppelt erfasst, durch die RED und durch den CRA?

Die Funkfernsteuerung ist Funkanlage und zugleich Produkt mit digitalen Elementen. Die Cybersicherheitsanforderungen der Funkanlagenrichtlinie gelten seit 1. August 2025 über die Delegierte Verordnung 2022/30, mit EN 18031-1 und EN 18031-2 als harmonisierten Normen. Der CRA fügt eine eigene horizontale Ebene hinzu, die das gesamte Produkt und seinen Lebenszyklus abdeckt. Gehen Sie nicht davon aus, dass ein Zertifikat das andere abdeckt; nach der Leitlinie der Kommission zur Kombination von Rechtsakten muss der Hersteller die Synergien nachweisen.

Was passiert, wenn wir eine Schwachstelle entdecken und sie nicht innerhalb von 72 Stunden beheben können?

Sie melden trotzdem. Die Frist von 72 Stunden gilt für die vollständige Meldung, nicht für die Behebung. Der Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle ist spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme fällig, was eine andere Uhr ist und anerkennt, dass eine Behebung länger dauert als eine Meldung. Was Sie nicht tun dürfen, ist, auf die Behebung zu warten, bevor Sie jemanden informieren.

Brauchen wir eine IEC-62443-Zertifizierung, um in die EU zu verkaufen?

Nein. IEC 62443 ist nicht als harmonisierte Norm referenziert, die unter dem CRA automatisch die Konformitätsvermutung verleiht. Die Maschinenverordnung sieht jedoch vor, dass eine Zertifizierung nach einem auf Grundlage der Verordnung (EU) 2019/881 angenommenen System die Konformitätsvermutung mit Anhang III Abschnitte 1.1.9 und 1.2.1 verleiht. IEC 62443 ist der praktische Weg, den Prozess aufzubauen, und ein Käufer kann sie verlangen, aber sie ist nicht das rechtliche Tor. Für ein als separates Produkt verkauftes Hebezeug gilt dieselbe Logik für seine eigene Steuerung und Erklärung.

Wir haben Krane in Europa, die 2018 verkauft wurden. Sind wir wirklich einer Meldepflicht ab 2026 ausgesetzt?

Ja. Die Kommission hat am 11. September 2026 klargestellt, dass die Meldepflichten für alle Produkte mit digitalen Elementen gelten, die in der EU bereitgestellt werden, einschließlich der bereits auf dem Markt befindlichen. Die Pflicht knüpft am Hersteller an, nicht am Verkaufsdatum. In der Praxis haben die meisten Krane von 2018 keine Fernverbindung und keine Möglichkeit für Sie, von einer ausgenutzten Schwachstelle zu erfahren, was ein Argument dafür ist, diesen Umstand zu dokumentieren, statt anzunehmen, die Frage werde nicht gestellt.