Die Frist des Cyber Resilience Act ist der 11. Dezember 2027: Ersatzteile sind betroffen

Ersatzteile enthalten Firmware, und Firmware birgt Risiken

Eine Ersatz-Sensorplatine für einen kollaborativen Roboterarm sieht wie ein Massenprodukt aus: eine Leiterplatte, ein Stecker, ein Gehäuse. Aber wenn diese Platine einen Mikrocontroller mit eingebetteter Software enthält, ist sie ein „Produkt mit digitalen Elementen” gemäß der Verordnung (EU) 2024/2847, dem Cyber Resilience Act (CRA). Die Verordnung gilt ab dem 11. Dezember 2027 und befreit Ersatzteile, die separat auf dem Markt bereitgestellt werden, nicht. Für ein Servicenetzwerk, das After-Sales-Support für chinesische Roboterhersteller aufbaut, die nach Europa kommen, ändert dies, wie Ersatzteile dokumentiert, aktualisiert und zurückverfolgt werden müssen.

Der CRA definiert ein „Produkt mit digitalen Elementen” als jedes Software- oder Hardwareprodukt und dessen Fernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die separat auf dem Markt bereitgestellt werden. Ein Motorcontroller, der mit Firmware geliefert wird, ist ein solches Produkt. Eine Sensorplatine, die Kalibrierungsroutinen ausführt, ist ein solches Produkt. Selbst ein einfaches I/O-Modul mit einem Bootloader qualifiziert sich. Nur Teile, die keine programmierbare Logik und keine Software enthalten, die aktualisiert oder ausgenutzt werden kann, fallen nicht darunter.

Warum eine Ersatzplatine nicht nur eine Komponente ist

Im After-Sales-Kontext wird ein Ersatzteil oft als Reparaturartikel behandelt, nicht als neues Produkt. Aber der CRA betrachtet den Zeitpunkt des Inverkehrbringens, nicht die Endnutzung. Wenn ein Händler oder ein Servicenetzwerk einen Ersatz-Motorcontroller lagert und an einen Wartungsdienstleister verkauft, wird dieser Controller als eigenständiges Produkt auf dem Markt bereitgestellt. Er muss dieselben wesentlichen Cybersicherheitsanforderungen erfüllen wie die Originalausrüstung.

Das bedeutet, dass das Ersatzteil so entworfen, entwickelt und hergestellt werden muss, dass es frei von bekannten ausnutzbaren Schwachstellen ist, eine sichere Standardkonfiguration aufweist und mit Sicherheitsupdates für die erwartete Produktlebensdauer unterstützt wird. Der Hersteller muss außerdem eine Software-Stückliste (SBOM) bereitstellen und aktiv ausgenutzte Schwachstellen an die EU-Agentur für Cybersicherheit (ENISA) melden. Diese Verpflichtungen sind für Ersatzteile nicht optional.

Nur-Hardware-Teile vs. Teile mit Firmware

Die Unterscheidung ist praktisch. Eine Metallhalterung, ein Kabel, ein passiver Filter oder eine mechanische Dichtung hat keine digitalen Elemente. Sie kann nicht aktualisiert, nicht ausgenutzt werden und benötigt keine Sicherheitsupdate-Richtlinie. Aber eine Ersatz-Sensorplatine mit einem Mikrocontroller, ein Motorcontroller mit einem CAN-Stack oder ein Vision-Modul mit eingebetteter Bildverarbeitung ist eine andere Kategorie. Die folgende Tabelle fasst die wichtigsten Unterschiede zusammen.

Aspekt	Nur-Hardware-Teil	Teil mit Firmware
Definition unter CRA	Kein Produkt mit digitalen Elementen	Produkt mit digitalen Elementen
Beispiele	Halterung, Kabel, Kühlkörper, Schraube	Sensorplatine, Motorcontroller, I/O-Modul
Cybersicherheitsanforderungen	Keine	Sicheres Design, Schwachstellenbehandlung, Update-Support
Dokumentation	Basis-Datenblatt	SBOM, Konformitätsbewertung, EU-Konformitätserklärung
Update-Verpflichtung	Nicht anwendbar	Sicherheitsupdates für erwartete Lebensdauer
Marktüberwachungsrisiko	Niedrig	Hoch bei Nichtkonformität

Was das für Servicenetzwerke und Hersteller bedeutet

Für ein Servicenetzwerk, das zur Unterstützung chinesischer Roboterhersteller aufgebaut wird, ist die praktische Konsequenz, dass die Ersatzteillogistik als Produktkonformitätslogistik behandelt werden muss. Jedes Teil mit Firmware muss auf eine CE-Kennzeichnung zurückverfolgbar sein, die die CRA-Anforderungen einschließt. Der Hersteller muss eine einzige Anlaufstelle für Sicherheitsprobleme haben, und das Servicenetzwerk muss in der Lage sein, zu identifizieren, welche Softwareversion auf jedem Teil installiert ist.

Dies ist nicht nur eine Papierlast. Der CRA verlangt, dass Schwachstellen gemäß Anhang I der Verordnung behandelt werden, was Verpflichtungen zur Information der Benutzer und der ENISA umfasst. Ein Servicenetzwerk, das einen Motorcontroller ersetzt, muss wissen, ob das neue Teil die neueste Firmware hat und ob bekannte Schwachstellen gepatcht sind. Wenn das Netzwerk ein veraltetes Teil installiert, könnte es haftbar gemacht werden, weil es eine Schwachstelle in das Robotersystem eingeführt hat.

Praktische Schritte für die Ersatzteile-Konformität

1. Klassifizieren Sie jedes Ersatzteil: Bestimmen Sie, ob es programmierbare Logik oder Firmware enthält.
2. Für Teile mit Firmware: Besorgen Sie die EU-Konformitätserklärung und die SBOM vom Hersteller.
3. Stellen Sie sicher, dass der Sicherheitsupdate-Zeitraum des Teils klar angegeben ist und das Servicenetzwerk Zugriff auf Updatedateien hat.
4. Führen Sie Aufzeichnungen darüber, welche Softwareversion in jedem Teil installiert ist und wann es aktualisiert wurde.
5. Überprüfen Sie, dass der Hersteller einen Prozess zur Meldung von Schwachstellen an die ENISA und zur Benachrichtigung der Benutzer hat.

Fristen und Übergangszeiten

Der CRA trat am 10. Dezember 2024 in Kraft. Die meisten Verpflichtungen gelten ab dem 11. Dezember 2027, dem Datum, bis zu dem Produkte, die auf dem Markt bereitgestellt werden, konform sein müssen. Für die Meldepflichten gibt es eine kürzere Übergangsfrist, die ab dem 11. September 2026 gilt. Für Ersatzteile ist das Schlüsseldatum dasselbe: Ab dem 11. Dezember 2027 muss jedes Ersatzteil mit Firmware, das auf dem Markt bereitgestellt wird, CRA-konform sein.

Es ist erwähnenswert, dass die Verordnung keine separate Kategorie für Ersatzteile hat. Sie werden wie jedes andere Produkt mit digitalen Elementen behandelt. Das bedeutet, dass ein Hersteller nicht argumentieren kann, dass ein Ersatzteil „nur zur Reparatur” dient und daher ausgenommen ist. Der Leitfaden der Europäischen Kommission zum CRA, der auf ihrer Digitalstrategie-Seite verfügbar ist, bestätigt, dass die Verordnung für Produkte gilt, die auf dem Markt bereitgestellt werden, unabhängig von ihrer beabsichtigten Verwendung.

Was je nach Land variiert und was zu überprüfen ist

Obwohl der CRA eine Verordnung ist und in allen EU-Mitgliedstaaten unmittelbar gilt, werden Marktüberwachung und Durchsetzung von nationalen Behörden durchgeführt. Das bedeutet, dass das Maß an Kontrolle von Land zu Land variieren kann. Einige Behörden konzentrieren sich möglicherweise auf Hochrisikoprodukte, während andere Stichproben durchführen. Servicenetzwerke sollten bei der nationalen Marktüberwachungsbehörde in jedem Land, in dem sie tätig sind, nachfragen, um die lokalen Durchsetzungsprioritäten zu verstehen.

Darüber hinaus ist der CRA mit harmonisierten Normen abgestimmt, die noch entwickelt werden. Bis diese Normen veröffentlicht sind, können Hersteller andere technische Spezifikationen verwenden, um die Konformität nachzuweisen. Servicenetzwerke sollten die technischen Unterlagen anfordern, die die CE-Kennzeichnung unterstützen, einschließlich der Risikobewertung und der angewandten Sicherheitsanforderungen.

Fazit: Ersatzteile sind eine Konformitätsgrenze

Der Cyber Resilience Act betrifft nicht nur neue Roboter oder intelligente Geräte. Er reicht bis in das After-Sales-Ökosystem, wo täglich Ersatzteile mit Firmware auf den Markt gebracht werden. Für ein lokales Servicenetzwerk, das zur Unterstützung chinesischer Roboterhersteller aufgebaut wird, ist die Botschaft klar: Behandeln Sie jedes Ersatzteil mit Firmware als ein Produkt, das dieselben Cybersicherheitsstandards erfüllen muss wie die Originalausrüstung. Das bedeutet, die richtigen Dokumente anzufordern, Softwareversionen zu verfolgen und bereit zu sein, Sicherheitsupdates zu unterstützen. Die Frist ist der 11. Dezember 2027, und sie wird schneller kommen, als viele erwarten.

Quellen

• EUR-Lex — Verordnung (EU) 2024/2847 (CRA) — https://eur-lex.europa.eu/eli/reg/2024/2847/oj (abgerufen am 26.08.2026)
• Europäische Kommission — Cyber Resilience Act — https://digital-strategy.ec.europa.eu/ (abgerufen am 26.08.2026)