Cyber Resilience Act: was er für vernetzte Energieanlagen bedeutet

1Was der Cyber Resilience Act regelt

Der Cyber Resilience Act richtet sich an Hersteller. Die Verordnung (EU) 2024/2847 verpflichtet sie, bei Produkten mit digitalen Elementen Sicherheit über den gesamten Lebenszyklus herzustellen und aufrechtzuerhalten. Adressat ist jeweils derjenige, der ein Produkt auf dem europäischen Markt bereitstellt. Für Betreiber ist die Verordnung deshalb vor allem beim Einkauf relevant.

Ein Produkt mit digitalen Elementen ist alles, was Software enthält und Daten mit einem Gerät oder Netz austauschen kann. In einer typischen Energieanlage betrifft das mehr Komponenten, als in einer Beschaffung üblicherweise erfasst werden:

• das Gateway oder der Datenlogger, der die Anlage anbindet
• die Regelung des Wärmeerzeugers und frei programmierbare Steuerungen
• Wechselrichter und Batteriewechselrichter samt Herstellerportal
• Wärmepumpenregelungen mit Cloudanbindung
• Ladecontroller und Backends für Ladepunkte
• Softwareplattformen für Monitoring, Steuerung und Optimierung

1.1Der Unterschied zu NIS2

Beide Regelwerke behandeln Cybersicherheit, haben aber unterschiedliche Adressaten. NIS2 verpflichtet Einrichtungen, die eine Anlage oder einen Dienst betreiben. Der Cyber Resilience Act setzt bei den Unternehmen an, die ein Produkt auf den Markt bringen. Für einen Versorger, der ohnehin unter NIS2 fällt, greifen beide ineinander. Ein Teil der Angaben, die er von seinen Lieferanten einholen muss, wird bei diesen künftig bereits vorliegen.

2Die Zeitachse

Die Verordnung ist am 10. Dezember 2024 in Kraft getreten, ihre Pflichten greifen gestaffelt.

2.1Was ab September 2026 gilt

Erfährt ein Hersteller, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird, greift die Meldekette nach Artikel 14. Die Frühwarnung ist binnen 24 Stunden fällig, die vollständige Meldung binnen 72 Stunden, jeweils ab Kenntnis. Der Abschlussbericht folgt binnen 14 Tagen. Diese Frist läuft ab dem Zeitpunkt, zu dem eine Korrektur- oder Abhilfemaßnahme verfügbar ist. Bei einem schwerwiegenden Sicherheitsvorfall gelten dieselben ersten beiden Fristen, der Abschlussbericht ist einen Monat nach der 72-Stunden-Meldung fällig. Empfänger sind das zuständige nationale CSIRT und die ENISA über eine zentrale Meldeplattform.

Diese Meldung geht an die Behörden und nicht an die Kunden des Herstellers. Sie ersetzt damit weder Ihre eigene Meldepflicht nach NIS2 noch die Information, die Sie vertraglich von Ihrem Lieferanten erwarten.

2.2Was ab Dezember 2027 gilt

Ab diesem Datum darf ein Produkt nur noch in Verkehr gebracht werden, wenn es die grundlegenden Anforderungen erfüllt. Dazu gehören:

• eine sichere Standardkonfiguration im Auslieferungszustand
• keine bekannten ausnutzbaren Schwachstellen bei der Auslieferung
• die Fähigkeit, Sicherheitsupdates zu erhalten
• ein Schwachstellenmanagement über einen festgelegten Supportzeitraum, der der erwarteten Nutzungsdauer entspricht und mindestens fünf Jahre beträgt
• eine technische Dokumentation einschließlich einer Stückliste der eingesetzten Komponenten
• die Konformitätserklärung, sichtbar über die CE-Kennzeichnung

2.3Was mit Bestandsanlagen passiert

Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, fallen nicht rückwirkend unter diese Produktanforderungen. Erfasst werden sie erst, wenn danach eine wesentliche Änderung vorgenommen wird. Ein reines Sicherheitsupdate zählt ausdrücklich nicht dazu, ein Update mit neuen Funktionen oder Schnittstellen dagegen schon. Die Meldepflicht nach Artikel 14 gilt für den Bestand ohnehin.

Für die Beschaffung ist eine Feinheit wichtig: Der Bestandsschutz hängt am einzelnen Gerät, nicht an der Baureihe. Ein Gerät, das am Stichtag noch im Lager liegt und erst danach ausgeliefert wird, muss die Anforderungen erfüllen.

Für die Heizzentrale von 2018 mit dem Router aus dem Elektrofachmarkt und einer Fernwartung über ein Sammelkonto ändert sich damit zunächst nichts. Dort bleibt es bei Bestandsaufnahme und Nachrüstung. Wirksam wird die Verordnung bei neuen Installationen.

3Was Hersteller künftig liefern müssen

Aus Betreibersicht sind die Herstellerpflichten Leistungsmerkmale, die sich vertraglich einfordern lassen:

• ein Auslieferungszustand ohne Standardpasswörter und ohne unnötig offene Dienste
• die Möglichkeit, Sicherheitsupdates zu beziehen und einzuspielen, bei vielen Produkten automatisiert
• ein benannter Supportzeitraum, in dem Schwachstellen behoben werden
• ein öffentlicher Meldeweg für Schwachstellen, auch für Melder ohne Kundenkonto
• eine Stückliste der eingesetzten Komponenten als Teil der technischen Dokumentation

Diese Pflichten trägt der Hersteller des Produkts. Montage, Parametrierung und Inbetriebnahme durch einen Fachbetrieb ändern daran nichts. Zum Hersteller wird ein Betrieb erst, wenn er ein Produkt unter eigenem Namen ausliefert oder es vor der Übergabe wesentlich verändert, etwa durch eine eigene Applikation auf einer Steuerung (Artikel 22).

3.1Warum die Stückliste nicht öffentlich ist

Eine Stückliste, meist als Software Bill of Materials bezeichnet, listet die Komponenten und Bibliotheken auf, aus denen eine Software besteht. Sie ist die Voraussetzung dafür, dass ein Hersteller innerhalb von Stunden beantworten kann, ob eine neu bekannt gewordene Schwachstelle sein Produkt betrifft.

Öffentlich einsehbar sein muss sie nach der Verordnung nicht. Eine offene Komponentenliste wäre für Angreifer eine Landkarte auf verwundbare Stellen. Marktüberwachungsbehörden erhalten die Stückliste auf begründete Anfrage, Kunden im Rahmen der vertraglichen Zusammenarbeit.

4Wie sektoreins den Cyber Resilience Act umsetzt

sektoreins ist selbst ein Produkt mit digitalen Elementen und fällt damit unter die Verordnung. Das betrifft die Plattform ebenso wie die Software auf dem Gateway. Die fünf Punkte aus dem vorigen Kapitel beantworten wir deshalb der Reihe nach auch für uns selbst.

4.1Auslieferungszustand

Ein Gateway wird über einen kurzlebigen, nur einmal nutzbaren Token in Betrieb genommen und erhält danach eigene Zugangsdaten mit begrenzter Laufzeit. Es gibt kein Standardpasswort, das über alle Installationen gleich bleibt. Aus dem Internet ist das Gateway nicht erreichbar, es baut alle Verbindungen selbst auf.

4.2Updates beziehen und einspielen

Updates werden als Images bereitgestellt. Das Gateway holt sie in festen Abständen selbst ab und prüft sie vor der Installation. Ein Eingriff vor Ort ist dafür nicht nötig. Auf der Anlage läuft kein frei einbringbarer Code, Regellogik wird vorher in der Plattform validiert.

4.3Supportzeitraum

Anlagentechnik läuft 15 bis 20 Jahre. Kaum ein Gerätehersteller sagt Softwarepflege über diesen Zeitraum zu.

sektoreins wird als Dienst betrieben und nicht einmalig verkauft. Plattform und Gateway-Software werden laufend weiterentwickelt. Sicherheitsupdates gehören zum Betrieb und werden für die Dauer des Vertragsverhältnisses geliefert. Eine eingefrorene Version, die im Feld liegen bleibt und irgendwann keine Pflege mehr erhält, entsteht dabei nicht. Wie lange ein bestimmtes Gateway-Gerät mit Updates versorgt werden kann, hängt von seiner Hardware ab. Diese Angabe machen wir je Gerätegeneration.

4.4Meldeweg

Schwachstellen können ohne Kundenkonto an security@sektoreins.de gemeldet werden, maschinenlesbar unter /.well-known/security.txt nach RFC 9116. Reaktionszeiten, Geltungsbereich und der Umgang mit Meldungen stehen in den Sicherheitshinweisen. Wird eine Schwachstelle in unserem Produkt aktiv ausgenutzt, läuft die Meldung nach Artikel 14 an das zuständige CSIRT und die ENISA.

4.5Stückliste

Für unsere Software führen wir eine Stückliste der eingesetzten Komponenten. Sie ist Teil der technischen Dokumentation und wird Kunden auf Anfrage vertraulich bereitgestellt. Schwachstellen in diesen Komponenten verfolgen wir fortlaufend und bewerten sie danach, ob sie im Kontext unseres Produkts tatsächlich ausnutzbar sind.

4.6Was passiert, wenn die Anlage erweitert wird

Diese Frage stellt sich in der Praxis regelmäßig: Zwei Jahre nach der Inbetriebnahme kommen ein Batteriespeicher und eine zweite Wärmepumpe dazu. Muss dann irgendetwas neu bewertet werden, und wer ist dafür zuständig?

Bei sektoreins werden neue Geräte über die Konfiguration angebunden. Die Software auf dem Gateway bleibt dieselbe und arbeitet nur mit einer erweiterten Konfiguration. Das Produkt selbst verändert sich dadurch nicht, es liegt also keine wesentliche Änderung im Sinne der Verordnung vor. Die Verantwortung für die Konformität bleibt damit bei uns und geht nicht auf Sie als Betreiber oder auf den ausführenden Fachbetrieb über.

Für den ausführenden Fachbetrieb gilt dasselbe. Eine Erweiterung, die in der Konfiguration stattfindet, ist eine Installations- und Inbetriebnahmeleistung und kein Inverkehrbringen eines Produkts. Die Herstellerrolle nach Artikel 22 entsteht erst dort, wo eigene Applikationen auf Steuerungen aufgespielt oder Geräte unter eigenem Namen übergeben werden.

Security by Design, nicht nachgerüstet

Ihre Haustür lassen Sie auch nicht offen

Wir schließen immer doppelt ab: sektoreins kommuniziert vollständig verschlüsselt und erfüllt höchste Sicherheitsanforderungen.

IT-Security Sicherheitshinweise

5Warum wir das jetzt schon machen

Die vollständigen Herstellerpflichten greifen erst Ende 2027. Wir richten uns trotzdem heute danach aus, aus zwei Gründen.

Der erste ist unser Kundenkreis. Stadtwerke, Energieversorger und Contractoren stehen seit Dezember 2025 selbst unter NIS2 und müssen ihre Lieferanten bewerten. Wer dafür keine Unterlagen vorlegen kann, verzögert die Nachweisführung seines Kunden. In der Praxis entscheidet das über Projekte, lange bevor über Funktionen gesprochen wird.

Der zweite Grund liegt in der Bauweise. Sicherheit, die erst nachträglich in ein gewachsenes System eingezogen wird, bedeutet einen Umbau. Wir haben diese Punkte deshalb früh in der Architektur gelöst.

Nachprüfen lässt sich das an mehreren Stellen. Der Meldeweg ist seit September 2026 öffentlich, samt zugesagter Reaktionszeiten. Das Gateway nimmt keine eingehende Verbindung an. Änderungen an Konfiguration und Regelung sind mit Benutzer und Zeitpunkt nachvollziehbar. Das ist der Stand im laufenden Betrieb.

Dieser Artikel gibt unsere Einschätzung als sektoreins wieder und erhebt keinen Anspruch auf Vollständigkeit. Er ersetzt keine rechtliche Beratung. Für die verbindliche Beurteilung wenden Sie sich bitte an eine fachkundige Rechtsanwaltschaft oder Ihren Informationssicherheitsbeauftragten.