EU Data Act und Cyber Resilience Act (CRA), in vielen Unternehmen laufen die Vorbereitungen für beide Verordnungen bislang getrennt. Zwei Projekte, zwei Zeitpläne, zwei Verantwortliche.
Dabei stellen beide Verordnungen im Kern ähnliche technische Anforderungen an dieselben Maschinen. Wer das erkennt, kann Aufwand und Kosten deutlich reduzieren, wer es übersieht, baut häufig zweimal dieselbe Infrastruktur.
Der EU Data Act ist seit September 2025 weitgehend anwendbar. Der Cyber Resilience Act (CRA) wird ab Ende 2027 vollständig gelten. Beide verändern, welche Anforderungen Hersteller gegenüber Kunden, Zulieferern und Behörden erfüllen müssen, von der Bereitstellung von Daten über die Dokumentation bis hin zum Umgang mit Sicherheitsvorfällen.
Obwohl beide Verordnungen unterschiedliche Schwerpunkte setzen, betreffen sie häufig dieselben Maschinen, dieselben Entwicklungsabteilungen und teilweise sogar dieselben Daten. Wer sie isoliert betrachtet, schafft oft doppelte Prozesse und parallele Infrastrukturen.
In unserem Artikel zu Datenräumen im Maschinenbau haben wir erläutert, warum offene Dateninfrastrukturen zur Grundlage neuer Geschäftsmodelle werden. In diesem Beitrag gehen wir einen Schritt weiter: Welche Anforderungen stellen der Data Act und der CRA konkret? Welche Fristen sind relevant? Und wie lassen sich beide Verordnungen mit einer gemeinsamen technischen Grundlage umsetzen?
Für viele Maschinenbauer wirken Data Act und Cyber Resilience Act zunächst wie zwei voneinander unabhängige Gesetzespakete. Genau deshalb lohnt es sich, beide nicht aus regulatorischer, sondern aus technischer Sicht gemeinsam zu betrachten, denn beide verlangen dieselbe Grundlage: transparente Datenflüsse, nachvollziehbare Dokumentation und standardisierte Schnittstellen.
Der Data Act macht Maschinendaten erstmals zum Recht des Betreibers
Der Data Act verändert das bisherige Verständnis von Maschinendaten grundlegend. Während bislang häufig der Hersteller entschied, welche Informationen ein Betreiber erhält, räumt die Verordnung dem Betreiber grundsätzlich einen Anspruch auf die von seinem vernetzten Produkt erzeugten Daten ein.
Für Maschinenbauer ergeben sich daraus mehrere konkrete Anforderungen.
Datenzugang für Betreiber. Seit dem 12. September 2025 haben Betreiber grundsätzlich Anspruch auf die vom Data Act erfassten Daten ihrer vernetzten Produkte.
Für Produkte, die ab dem 12. September 2026 neu in Verkehr gebracht werden, schreibt der Data Act grundsätzlich einen direkten Datenzugang („Access by Design“) vor, sofern dieser technisch möglich und relevant ist. Für bereits im Markt befindliche Produkte bleibt, sofern ein direkter Zugriff nicht möglich ist, weiterhin ein indirekter Datenzugang über den Dateninhaber zulässig.
Was heißt das konkret? Anspruch auf Daten hat der Betreiber auf die Daten, die durch die Nutzung seiner Maschine entstehen, also Betriebs-, Sensor- und Zustandsdaten. Nicht erfasst sind Informationen, die der Hersteller aus diesen Rohdaten durch eigene Analyse, Modellbildung oder Algorithmik erzeugt, etwa veredelte Auswertungen oder proprietäre Optimierungsmodelle. Diese bleiben geschütztes Know-how.
Für Maschinenbauer und Steuerungstechniker stellt sich damit unmittelbar eine zweite Frage: Wie lässt sich diese Abgrenzung technisch umsetzen, wenn Rohdaten und veredelte Daten oft aus demselben System stammen? Die Antwort liegt in einer kontrollierten Dateninfrastruktur, die genau definiert, welche Daten in welchem Format an welchen Empfänger fließen, dazu mehr im Abschnitt zur gemeinsamen Datenraum-Infrastruktur weiter unten.
Standardisierte offene Schnittstellen werden damit zunehmend zum Standard und sind künftig nicht mehr lediglich ein Komfortmerkmal.
Weitergabe an Dritte. Betreiber können verlangen, dass ihre Daten an einen unabhängigen Serviceanbieter weitergegeben werden, beispielsweise für Wartung, Ersatzteilmanagement oder Optimierungsservices.
Der Hersteller muss dies ermöglichen, auch dann, wenn der beauftragte Dienstleister im Servicegeschäft ein Wettbewerber ist.
Datenzugang für Behörden. In gesetzlich definierten Ausnahmesituationen, etwa bei außergewöhnlichem öffentlichem Interesse, können auch Behörden einen zeitlich begrenzten und zweckgebundenen Datenzugang verlangen (Business-to-Government, B2G).
Geschäftsgeheimnisse bleiben geschützt. Ein häufiges Missverständnis besteht darin, dass künftig sämtliche Maschinendaten uneingeschränkt offengelegt werden müssten. Der Data Act schützt ausdrücklich Geschäftsgeheimnisse, die Abgrenzung haben wir oben skizziert. Entscheidend ist, diese Klassifizierung frühzeitig und sauber vorzunehmen, denn im Zweifel geht es nicht nur um Rechtssicherheit, sondern auch darum, ob geschütztes Entwicklungs-Know-how ungewollt an Dritte, im Zweifel sogar an Wettbewerber im Servicegeschäft, gelangt.
OPC UA:
Daten strukturiert und
kontrolliert teilen
Technisch lässt sich diese Abgrenzung besonders sauber über ein klar definiertes OPC-UA-Informationsmodell umsetzen. Aus den oft unstrukturiert wirkenden Rohdaten einer Maschine oder Steuerung entsteht dabei ein strukturiertes, semantisch beschriebenes Datenmodell, in dem jeder Datenpunkt eindeutig benannt und eingeordnet ist. Auf dieser Basis lässt sich präzise festlegen, wer auf welche Daten Zugriff erhält, der Betreiber auf seine Betriebsdaten, ein Servicepartner nur auf Wartungsdaten, während veredelte Auswertungen und proprietäre Algorithmen außerhalb des freigegebenen Modells und damit geschützt bleiben.
Der Cyber Resilience Act macht Cybersicherheit zur Daueraufgabe
Während der Data Act den Zugang zu Daten regelt, stellt der Cyber Resilience Act die Cybersicherheit vernetzter Produkte in den Mittelpunkt.
Der CRA versteht Sicherheit nicht als einmalige Zertifizierung zum Zeitpunkt der Markteinführung, sondern als dauerhafte Verpflichtung über den gesamten Produktlebenszyklus hinweg. Hersteller müssen Sicherheitslücken beobachten, bewerten, beheben und dokumentieren, bei Maschinen, die häufig über Jahrzehnte im Einsatz sind.
Die wichtigsten Fristen
11. September 2026. Die Meldepflicht für aktiv ausgenutzte Schwachstellen tritt in Kraft. Innerhalb von 24 Stunden ist eine erste Meldung an ENISA erforderlich, innerhalb von 72 Stunden folgen ergänzende Informationen. Nach Abschluss der Analyse ist ein Abschlussbericht bereitzustellen.
11. Dezember 2027. Ab diesem Zeitpunkt gelten sämtliche Anforderungen des Cyber Resilience Acts.
Für neu in Verkehr gebrachte Produkte gelten die CRA-Anforderungen unabhängig davon, wann der zugrunde liegende Maschinentyp entwickelt wurde.
Sicherheitsupdates. Hersteller müssen Sicherheitsupdates grundsätzlich mindestens fünf Jahre oder, sofern kürzer, entsprechend der erwarteten Produktlebensdauer bereitstellen.
Damit wird Softwarewartung zu einem festen Bestandteil des Produktlebenszyklus.
Die Software Bill of Materials (SBOM)
Ein zentrales Instrument des CRA ist die Software Bill of Materials (SBOM). Sie dokumentiert sämtliche Softwarebestandteile eines Produkts, einschließlich Bibliotheken, Open-Source-Komponenten, Firmware und Drittanbieter-Software, in einer versionierten Übersicht.
Die SBOM muss nicht veröffentlicht werden, jedoch Marktüberwachungsbehörden auf Anfrage zur Verfügung stehen.
Nur wer nachvollziehen kann, welche Software verbaut wurde, kann bei bekannt gewordenen Schwachstellen schnell und gezielt reagieren.
Wer trägt welche Verantwortung?
Viele Maschinenbauer entwickeln nicht sämtliche Komponenten selbst.
Steuerungen stammen häufig von Anbietern wie Siemens oder Beckhoff, während der OEM den SPS-Code entwickelt und die Gesamtmaschine integriert.
Die Verantwortung ist daher aufgeteilt.
Der Controller-Hersteller verantwortet die CRA-Konformität seines Controllers als eigenständiges Produkt.
Der Maschinenbauer trägt hingegen die Verantwortung für die Konformität der vollständigen Maschine. Die Klassifizierung einzelner Komponenten überträgt sich dabei nicht automatisch auf das Gesamtsystem.
Eine wichtige Ausnahme besteht dann, wenn eigener SPS-Code die Sicherheitseigenschaften des Controllers verändert oder dessen ursprünglich vorgesehenen Verwendungszweck wesentlich erweitert. In diesem Fall kann nach Artikel 22 CRA eine sogenannte wesentliche Änderung vorliegen. Für den geänderten Teil übernimmt der Integrator die Herstellerverantwortung.
In der Praxis bedeutet das:
SBOM und Sicherheitsdokumentation von Komponentenlieferanten einfordern.
Eigenentwicklungen auf neue Schwachstellen prüfen.
Verantwortlichkeiten vertraglich eindeutig regeln.
Diese Abstimmungen sollten nicht erst kurz vor Inkrafttreten erfolgen.
Eine Infrastruktur,
zwei Verordnungen
Warum beide Verordnungen gemeinsam gedacht werden sollten
Data Act und Cyber Resilience Act verfolgen unterschiedliche Ziele, stellen aber überraschend ähnliche technische Anforderungen.
Wer beide Verordnungen unabhängig voneinander umsetzt, baut häufig zwei getrennte Systeme: eines für den Datenzugang, eines für SBOM, Sicherheitsmeldungen und Compliance-Dokumentation.
Das erhöht Aufwand, Kosten und Komplexität. Eine gemeinsame Infrastruktur kann beide Anforderungen gleichzeitig unterstützen.
Wie eine gemeinsame Datenraum-Infrastruktur aussieht
Ein Maschinenbauer liefert eine vernetzte Anlage an einen Automobilzulieferer. Der Betreiber erhält seine Betriebsdaten über den Datenraum, ein Servicepartner bekommt ausschließlich Wartungsdaten, der Steuerungshersteller stellt aktualisierte SBOM-Informationen bereit, und im Sicherheitsfall können relevante Dokumente revisionssicher an Behörden übermittelt werden. Alle Beteiligten nutzen dieselbe Infrastruktur, mit jeweils unterschiedlichen Berechtigungen.
Für den Data Act können Maschinendaten beispielsweise über OPC UA erfasst und kontrolliert bereitgestellt werden. Über Usage Policies lässt sich definieren, welche Beteiligten welche Daten für welchen Zweck und für welchen Zeitraum nutzen dürfen. Gleichzeitig werden sämtliche Zugriffe protokolliert und damit revisionssicher dokumentiert.
Für den Cyber Resilience Act kann dieselbe Infrastruktur genutzt werden, um versionierte SBOMs, Konformitätserklärungen, Risikoanalysen und Sicherheitsinformationen bereitzustellen. Komponentenlieferanten können ihre Dokumentation strukturiert einbringen, während der OEM daraus eine vollständige Maschinen-SBOM erzeugt. Sicherheitswarnungen lassen sich als authentifizierte Assets, beispielsweise nach dem CSAF-Standard, mit Zeitstempel und Empfangsnachweis verteilen.
Die technische Grundlage bildet dabei die Verwaltungsschale (Asset Administration Shell, AAS). Sie ermöglicht es, Maschinen über ihren gesamten Lebenszyklus hinweg mit aktuellen Betriebsdaten, Dokumentationen und Sicherheitsinformationen zu verknüpfen.
Ein gemeinsamer Einstieg für beide Verordnungen
Für viele Unternehmen bietet sich der Data Act als sinnvoller Einstieg an: Standardisierte Datenzugänge schaffen zugleich die Grundlage für zahlreiche Anforderungen des Cyber Resilience Acts. So entsteht keine doppelte Compliance-Infrastruktur, sondern eine gemeinsame Basis für kontrollierte Datenflüsse, nachvollziehbare Dokumentation und den gesamten Lebenszyklus einer Maschine.
Compliance ist dabei nur der Anfang. Wer diese Infrastruktur heute schafft, kann sie zugleich für digitale Services, effizientere Zusammenarbeit in Wertschöpfungsnetzwerken und neue datenbasierte Geschäftsmodelle nutzen. Auch weitere regulatorische Anforderungen wie der Digital Product Passport (DPP) lassen sich darauf aufbauen.
