digitalumstellen.de
Menü

Maschinenbau, Elektronik, Produktion

Digital umstellen im Bereich Hersteller & Industrie

Hersteller vernetzter und digitaler Produkte müssen seit 11.09.2026 ausgenutzte Schwachstellen nach dem Cyber Resilience Act melden und seit 12.09.2026 neue Geräte mit Datenzugang für Nutzer ausliefern.

Zeitstrahl Hersteller & Industrie

← wischen · 10 Stichtage →
  1. seit 194 TagenNIS2: beim BSI registrieren, Risiken managen
  2. seit 5 TagenCyber Resilience Act: Schwachstellen melden
  3. seit 4 TagenData Act: Datenzugang ab Werk (Access by Design)
  4. Stand der PrüfungHeute
  5. in 105 TagenEntwaldungsfreie Lieferketten (EUDR) – mittlere und große Unternehmen
  6. in 107 TagenE-Rechnung ausstellen – Umsatz über 800.000 €
  7. in 155 TagenDigitaler Batteriepass
  8. in 287 TagenEUDR – Kleinst- und Kleinunternehmen
  9. in 442 TagenHochrisiko-KI: Pflichten für Anbieter und Betreiber
  10. in 451 TagenCyber Resilience Act: alle Pflichten, CE-Kennzeichen
  11. in 1.384 TagenEU-weite E-Rechnung für grenzüberschreitende Umsätze (ViDA)

Was ändert sich für Hersteller & Industrie?

Für die Industrie ballen sich die Fristen im Herbst 2026: Meldepflicht nach CRA, Access by Design nach Data Act, dazu NIS2 für Betriebe ab 50 Beschäftigten im verarbeitenden Gewerbe.

Bis 11.12.2027 müssen alle Produkte mit digitalen Elementen die CRA-Anforderungen erfüllen, sonst gibt es kein CE-Kennzeichen. Dazu gehören Software-Stücklisten und ein definierter Update-Zeitraum.

Wer Batterien über 2 kWh verbaut oder in Verkehr bringt, braucht ab 18.02.2027 einen digitalen Batteriepass. Maschinen mit KI-Sicherheitsfunktionen fallen ab 02.08.2028 unter die Hochrisiko-Regeln.

Rechenbeispiel

Maschinenbauer mit 180 Beschäftigten

NIS2
wichtige Einrichtung
CRA-Meldeprozess
seit 11.09.2026
Data Act (neue Serie)
seit 12.09.2026
CE nach CRA
bis 11.12.2027

Drei Regelwerke, drei Meldewege: BSI für Betriebsvorfälle, ENISA für Produktschwachstellen, Bundesnetzagentur für Datenzugangsstreitigkeiten.

Woran scheitern Betriebe in der Praxis?

Bestandsprodukte beim CRA

Die Meldepflicht gilt auch für Produkte, die vor dem 11.09.2026 in Verkehr gebracht wurden. Ein Schwachstellen-Prozess muss für die gesamte Installed Base stehen.

Datenzugang nur für Neuprodukte

Access by Design betrifft Produkte, die ab 12.09.2026 erstmals in Verkehr gebracht werden. Der Auskunftsanspruch auf Daten gilt dagegen bereits seit 12.09.2025 für alle vernetzten Produkte.

Meldung über ENISA

CRA-Meldungen laufen über die Single Reporting Platform der ENISA, nicht über das BSI-Portal für NIS2. Beide Wege müssen im Notfallplan stehen.

Welche 10 Fristen gelten für Hersteller & Industrie?

  1. gilt
    gilt bereits

    NIS2: beim BSI registrieren, Risiken managen

    Wer: Wichtige und besonders wichtige Einrichtungen in 18 Sektoren – ab 50 Beschäftigten oder über 10 Mio. € Umsatz

    Registrierung im BSI-Portal (Nachfrist lief bis 31.07.2026), zehn Risikomanagement-Maßnahmen, Meldung erheblicher Vorfälle nach 24 Stunden, 72 Stunden und einem Monat. Die Geschäftsleitung muss sich schulen lassen.

    IT-SicherheitQuelle: BSI: NIS-2-BetroffenheitsprüfungRatgeber lesen

  2. gilt
    gilt bereits

    Cyber Resilience Act: Schwachstellen melden

    Wer: Hersteller von Produkten mit digitalen Elementen – auch für Bestandsprodukte

    Aktiv ausgenutzte Schwachstellen und schwere Vorfälle über die ENISA-Meldeplattform melden: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach 14 Tagen bzw. einem Monat.

    IT-SicherheitQuelle: BSI: Cyber Resilience Act – Meldepflicht startetRatgeber lesen

  3. gilt
    gilt bereits

    Data Act: Datenzugang ab Werk (Access by Design)

    Wer: Hersteller vernetzter Produkte, die ab 12.09.2026 neu in Verkehr kommen

    Nutzungsdaten müssen für Kunden einfach, sicher und kostenlos abrufbar sein – direkt am Gerät oder über einen Server. Bestandsprodukte müssen nicht umgebaut werden.

    DatenQuelle: Bundesnetzagentur: Datenzugang und DatennutzungRatgeber lesen

  4. noch 105 Tage
    kommt

    Entwaldungsfreie Lieferketten (EUDR) – mittlere und große Unternehmen

    Wer: Wer Holz, Kakao, Kaffee, Soja, Palmöl, Rinder oder Kautschuk bzw. Erzeugnisse daraus in Verkehr bringt; Holzprodukte (ehem. EUTR) unabhängig von der Größe

    Vor dem Inverkehrbringen eine Sorgfaltserklärung mit Geodaten der Anbaufläche im EU-Informationssystem abgeben.

    LieferketteQuelle: EU-Kommission (Access2Markets): EUDR-Verschiebung

  5. noch 107 Tage
    kommt

    E-Rechnung ausstellen – Umsatz über 800.000 €

    Wer: Unternehmen mit mehr als 800.000 € Gesamtumsatz im Jahr 2026

    Rechnungen an andere Unternehmen im Inland nur noch als E-Rechnung. PDF per E-Mail oder Papier sind für diese Betriebe ab 01.01.2027 nicht mehr zulässig.

    E-RechnungQuelle: § 27 Abs. 38 UStGRatgeber lesen

  6. noch 155 Tage
    kommt

    Digitaler Batteriepass

    Wer: Wer Industriebatterien über 2 kWh, Traktionsbatterien oder E-Auto-Akkus in Verkehr bringt

    Jede Batterie braucht einen per QR-Code abrufbaren digitalen Pass mit Angaben zu Herkunft, CO₂-Fußabdruck und Recyclinganteil.

    ProduktdatenQuelle: Verordnung (EU) 2023/1542, Art. 77

  7. noch 287 Tage
    kommt

    EUDR – Kleinst- und Kleinunternehmen

    Wer: Kleinst- und Kleinunternehmen mit EUDR-Rohstoffen (außer Holzprodukte nach alter EUTR)

    Gleiche Pflicht zur Sorgfaltserklärung, ein halbes Jahr später als für größere Betriebe.

    LieferketteQuelle: EU-Kommission (Access2Markets): EUDR-Verschiebung

  8. noch 442 Tage
    kommt

    Hochrisiko-KI: Pflichten für Anbieter und Betreiber

    Wer: Unternehmen mit KI in Personalauswahl, Kreditprüfung, kritischer Infrastruktur u. a. (Anhang III)

    Risikomanagement, Protokollierung, menschliche Aufsicht und Dokumentation. Der Stichtag wurde vom 02.08.2026 verschoben; für KI in Produkten nach Anhang I gilt der 02.08.2028.

    Künstliche IntelligenzQuelle: Verordnung (EU) 2026/1744 (Digital Omnibus KI)Ratgeber lesen

  9. noch 451 Tage
    kommt

    Cyber Resilience Act: alle Pflichten, CE-Kennzeichen

    Wer: Hersteller, Importeure und Händler von Produkten mit digitalen Elementen

    Security by Design, Sicherheitsupdates über den Supportzeitraum, Software-Stückliste (SBOM) und Konformitätsbewertung werden Voraussetzung für das CE-Kennzeichen.

    IT-SicherheitQuelle: BSI: Cyber Resilience ActRatgeber lesen

  10. noch 1.384 Tage
    kommt

    EU-weite E-Rechnung für grenzüberschreitende Umsätze (ViDA)

    Wer: Unternehmen mit B2B-Umsätzen in andere EU-Mitgliedstaaten

    Innergemeinschaftliche Rechnungen nur noch elektronisch nach EN 16931 und Meldung der Umsatzdaten nahezu in Echtzeit statt Zusammenfassender Meldung.

    E-RechnungQuelle: Richtlinie (EU) 2025/516 (ViDA)Ratgeber lesen