Konstruktionsleiter-Forum SPOTLIGHT 2026 Beginn an mitdenken

Wie sich typische Fehler auf dem Weg zur CRA-Compliance vermeiden lassen und welche Methoden sich in der Praxis bewährt haben, das steht im Mittelpunkt eines Vortrags auf dem Konstruktionsleiter-Forum SPOTLIGHT 2026 am 28. Oktober 2026 in Würzburg.

Der EU Cyber Resilience Act (CRA) verpflichtet ab Dezember 2027 alle Hersteller von Produkten mit digitalen Elementen zu umfassenden Sicherheitsmaßnahmen. Der CRA verlangt von Herstellern eine Bewertung der Cybersicherheitsrisiken ihrer Produkte. Das bedeutet, dass sie mögliche Angriffsszenarien analysieren müssen und den erforderlichen Schutz für industrielle Kommunikation bewerten.

Das heißt in der Praxis: Sobald eine Maschine digitale Elemente enthält, entscheidet die Konstruktion über CRA-Konformität mit – bei jeder Stückliste, jedem Lastenheft, jedem Änderungsantrag. In seinem Vortrag „CRA aus Sicht einer Prüfstelle: Do's & Don'ts für Konstruktionsleiter“ berichtet Florian Schmidt, Senior Expert Cybersecurity bei TÜV SÜD, aus Sicht einer unabhängigen Prüfstelle, woran Produkte in Assessments wirklich scheitern, und macht daraus konkrete Do’s and Don’ts für Konstruktionsleiter.

In diesem Zusammenhang geht der Referent unter anderem auf bewährte Vorgehensweisen für den Entwicklungsprozess sowie Zukaufteile und die Dokumentation ein. Denn aus seiner Erfahrung heraus entsteht CRA-Compliance nicht im Audit, sondern am Konstruktionsarbeitsplatz.

Warum ist das Thema Ihres Vortrags für Konstrukteure und Entwickler relevant?

Im Maschinen- und Anlagenbau entsteht CRA-Konformität nicht in der IT-Abteilung, sondern in der Konstruktion – und zwar in genau den Artefakten, die Konstruktionsleiter täglich verantworten: In der Stückliste entscheidet sich, welche Steuerungen, HMIs und Funkmodule mit welcher (unbekannten) Firmware verbaut werden – die Lieferkette wird zur größten Angriffsfläche. Im Lastenheft entscheidet sich, ob Lieferanten Security-Angaben und SBOMs liefern müssen oder nicht. Im Änderungsprozess entscheidet sich, ob ein Security-Update sauber in Maschine und Dokumentation kommt – oder eine zertifizierte Safety-Funktion bricht. Entwickler und Ingenieure setzen diese Vorgaben um; das Management trägt die Terminverantwortung: Meldepflichten ab September 2026, Vollanwendung Ende 2027 – und ab Januar 2027 zusätzlich die neue Maschinenverordnung (EU) 2023/1230, mit der CE im Maschinenbau ohne Security nicht mehr zu haben ist. Wer Cybersicherheit weiter als nachgelagertes IT-Thema behandelt, konstruiert Nichtkonformität ein. Der Vortrag setzt genau dort an – am Konstruktionsarbeitsplatz

Was sind die wichtigsten Aspekte des Vortrags?

Der Vortrag verdichtet Prüfstellen-Erfahrung in ein direkt anwendbares Do’s-and-Don’ts-Format. Nach einem kompakten Überblick, was der CRA von der Konstruktion konkret verlangt (Anhang I als Landkarte, bewusst ohne Paragraphen-Vortrag), folgen fünf typische Fehler aus unseren Projekten, je mit anonymisiertem Praxisbeispiel: Zukaufteile, die blind verbaut werden; Risikoanalysen, die fürs Audit statt fürs Produkt geschrieben werden; Security, die ans Projektende geschoben wird; Updates ohne Änderungsprozess; Schwachstellenmeldungen, die im toten Postfach enden.

wie sie ihre Entwicklungsabteilungen und Prozesse aufstellen müssen

Die Maschinenverordnung (MVO) und der Cyber Resilience Act (CRA) stellen neue Anforderungen an Security-Maßnahmen für vernetzte Komponenten und Systeme. Dies stellt Hersteller und Betreiber von Maschinen und Anlagen sowie Zulieferer von Komponenten und Systemen vor große Herausforderungen.
Das Konstruktionsleiter-Forum SPOTLIGHT schärft das Bewusstsein für die Anforderungen sowie deren Konsequenzen, die auf Unternehmen zukommen.

Jetzt anmelden!

Jedem Don’t steht ein Do als Antwort gegenüber: Lieferanten Security-fähig auswählen (Security-Anforderungen und SBOM-Pflicht ins Lastenheft), eine gemeinsame Risikoanalyse fürs Produkt, testbar formulierte Security-Anforderungen als Konstruktionsprinzip, konstruierte Update-Fähigkeit inklusive Re-Qualifizierung – und das Heben vorhandener Nachweise: EN-18031-Evidenzen bei Funkmodulen, IEC-62443- und Safety-Dokumentation als Brücke in den CRA.

Was lernen die Teilnehmer durch Ihren Vortrag?

Die Teilnehmer sehen ihre eigene Konstruktionspraxis mit den Augen einer Prüfstelle – und erkennen, an welchen der fünf typischen Scheiterstellen ihr Haus heute steht. Sie nehmen konkrete Handlungsregeln mit: Kriterien, nach denen Zukaufteile und Lieferanten künftig ausgewählt werden sollten (belastbare Security-Angaben, SBOM-Lieferung, Update-Zusagen im Lastenheft); den Unterschied zwischen einer Risikoanalyse, die ein Prüfer akzeptiert, und einer, die fürs Audit geschrieben wurde; und das Prinzip, Security-Anforderungen so testbar zu formulieren wie Toleranzen und Normteile. Sie verstehen, warum Update-Fähigkeit eine Konstruktionsentscheidung ist – inklusive Update-Pfad, Rollback und Re-Qualifizierung zertifizierter Funktionen – und wie das Änderungsmanagement um Security erweitert wird. Wer Funkmodule verbaut, erfährt, welche vorhandenen RED-/EN-18031-Nachweise unter dem CRA weitertragen.