Was wir machen
und was wir bewusst nicht machen.

Die Betriebsanleitung ist rechtlich Bestandteil des Produkts. Eine Maschine ohne konforme Anleitung ist nicht verkehrsfähig, unabhängig davon, wie sicher sie gebaut ist.

Wir prüfen gegen alle vierundzwanzig Mindestangaben des Anhangs III Nr. 1.7.4.2, soweit sie für Ihre Maschine einschlägig sind, und erstellen die fehlenden Kapitel. Erfahrungsgemäß fehlen in gewachsenen Anleitungen vor allem vier Dinge:

• die EU-Konformitätserklärung oder ein Verweis darauf, Internetadresse oder maschinenlesbarer Code genügen (Buchst. c)
• die Angaben zu den Restrisiken, die trotz Schutzmaßnahmen fortbestehen (Buchst. l)
• die Vorkehrungen, Geräte und Mittel für die sofortige und schonende Rettung von Personen — neu gegenüber der Richtlinie und immer dann zu prüfen, wenn nach der Risikobeurteilung eine Person eingeschlossen oder eingeklemmt werden kann (Buchst. v)
• soweit einschlägig die Hinweise zu sicherheitsrelevanter Software, Updates und Fernzugriff, einschließlich des Schutzes gegen Korrumpierung

Auf Wunsch bereiten wir die Anleitung zusätzlich für die digitale Bereitstellung nach Artikel 10 Absatz 7 auf, einschließlich der Anforderungen an Zugangsweg, Druckbarkeit und zehnjährige Verfügbarkeit.

Die Risikobeurteilung nach DIN EN ISO 12100 ist die Grundlage für alles Weitere. Wir führen sie über alle Lebensphasen (Transport, Montage, Einrichten, Betrieb, Reinigung, Störung, Instandhaltung, Demontage) und stellen die Rückverfolgbarkeit her: von den verbleibenden Restrisiken und den Schutzmaßnahmen, die beim Nutzer liegen, zur zugehörigen Stelle in der Anleitung.

Dazu die technischen Unterlagen nach Anhang IV Teil A und der Entwurf der EU-Konformitätserklärung nach Anhang V. Unterschrieben wird die Erklärung von Ihnen.

Wenn sich bei der Beurteilung ein sicherheitstechnischer Befund ergibt, bekommen Sie ihn schriftlich, bevor wir weiterarbeiten. Das ist unangenehm und im Zweifel das Wertvollste am ganzen Auftrag.

Der Cyber Resilience Act trifft nicht nur Softwarehäuser. „Produkt mit digitalen Elementen" kann auch Maschinen mit Fernwartungszugang, Steuerungen mit Netzwerkanbindung, Sensoren mit eigener Firmware und Bediengeräte mit Weboberfläche umfassen. Ob der CRA greift, ist je Produkt zu prüfen.

Wir erstellen die Nutzerinformationen nach Anhang II, die technische Dokumentation nach Anhang VII, das Verfahren zur Behandlung von Schwachstellen und die Meldewege nach Artikel 14, und wir sagen Ihnen, welche Ihrer Produkte überhaupt betroffen sind.

Nach Artikel 28 Absatz 3 darf eine einzige gemeinsame Konformitätserklärung alle einschlägigen Rechtsakte abdecken. Wo Maschinenverordnung und Cyber Resilience Act zusammentreffen, bauen wir die Dokumentation von vornherein so auf.

Eilig wegen des 11. September: der Meldeweg als Festpreis-Paket →

Sie schicken uns eine bestehende Betriebsanleitung als PDF. Wir prüfen sie gegen die vierundzwanzig Mindestangaben des Anhangs III Nr. 1.7.4.2 und schicken Ihnen binnen fünf Arbeitstagen einen schriftlichen Ergebnisbericht.

Im Bericht steht je Mindestangabe der Status (erfüllt, teilweise, fehlt oder nicht anwendbar), die Fundstelle in Ihrem Dokument und eine kurze Anmerkung. Dazu eine Gesamteinschätzung in Klartext und die Prüfgrundlage mit Fassung und Datum, damit in fünf Jahren nachvollziehbar ist, wogegen geprüft wurde.

Was der Check nicht ist: eine dokumentarische Prüfung der Anleitung: keine Prüfung der Maschine, keine Konformitätsbewertung und keine Rechtsberatung. Ihre Herstellerverantwortung bleibt unberührt.

Ihre Unterlagen behandeln wir vertraulich, geben sie nicht an unberechtigte Dritte weiter und löschen sie drei Monate nach Zustellung des Berichts, sofern Sie nichts anderes wünschen. Auf Wunsch unterzeichnen wir vorab Ihre Geheimhaltungsvereinbarung.

Bevor Sie über Dokumentation nachdenken, muss eine andere Frage beantwortet sein: Welche Ihrer Produkte fallen überhaupt unter den Cyber Resilience Act, und in welche Kategorie? An dieser Einordnung hängt alles Weitere. Wir nehmen sie Ihnen ab, kostenlos wie den Anleitungs-Check.

Sie senden uns eine Kurzbeschreibung oder ein Datenblatt je Produkt mit Firmware und sagen uns dazu: Schnittstellen, Update-Weg, Fernzugriff, und ob Sie unter eigenem Namen liefern. Wir ordnen jedes Produkt einzeln ein: fällt darunter, fällt nicht darunter oder Einordnung offen, jeweils mit Begründung und Fundstelle in der Verordnung. Für die Produkte, die darunter fallen, folgt die Kategorie. Wer in keinem der Anhänge III und IV steht, fällt nicht aus dem CRA heraus, sondern ist Standardprodukt.

Maßgeblich für die Kategorie ist die Kernfunktionalität des Produkts, nicht die eingebetteten Komponenten. So legt es die Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025 fest. Die bloße Integration eines VPN-Clients macht ein Gerät nicht automatisch zum VPN-Produkt. Wie das genau funktioniert →

Was der Check nicht ist: eine dokumentarische Einordnung Ihrer Produkte: keine Sicherheitsprüfung Ihrer Firmware, kein Penetrationstest, keine Konformitätsbewertung und keine Rechtsberatung. Ob ein Produkt technisch sicher ist, sagt der Check nicht; er sagt, welche Pflichten dafür gelten.

Sie wollen vorher sehen, was Sie bekommen: Wir haben einen vollständigen CRA-Bericht für fünf erfundene Produkte geschrieben — vom Sensormodul ohne Datenverbindung bis zur Konfigurationssoftware. Aufbau, Tiefe und Sprache entsprechen dem, was Sie nach einem Check erhalten. Musterbericht ansehen (PDF, 4 Seiten) →

Seit dem 11. September 2026 muss jeder Hersteller eines Produkts mit digitalen Elementen eine aktiv ausgenutzte Schwachstelle und schwere Sicherheitsvorfälle melden, die Frühwarnung binnen 24 Stunden. Wer den Weg dafür erst im Ernstfall sucht, hält die Frist nicht.

Wir richten den Meldeweg mit Ihnen ein, an einem Arbeitstag:

• eine benannte verantwortliche Person mit Vertretung
• eine veröffentlichte Eingangsadresse, unter der Schwachstellenmeldungen von außen ankommen
• ein schriftlich festgelegtes Verfahren: wer bewertet, wer entscheidet, wer innerhalb welcher Frist über die einheitliche Meldeplattform der ENISA an das zuständige CSIRT und die ENISA meldet
• ein Textgerüst für Frühwarnung, Meldung und Abschlussbericht, damit im Ernstfall nur noch Fakten eingesetzt werden

Das Ergebnis ist ein Dokument von wenigen Seiten, abgestimmt auf Ihre Organisation, mit Freigabevermerk. Keine Rechtsberatung, keine Sicherheitsprüfung Ihrer Produkte. Sie bekommen den Meldeweg selbst, fertig eingerichtet.

Nach Artikel 10 Absatz 7 muss die Betriebsanleitung in der vom jeweiligen Mitgliedstaat festgelegten, für die Nutzer leicht verständlichen Sprache vorliegen. In Deutschland ist das Deutsch. Ohne Anleitung in dieser Sprache darf die Maschine dort nicht bereitgestellt werden.

Wir übernehmen die Fachübersetzung mit durchgängiger Terminologie und führen die Terminologiedatenbank über alle Ihre Dokumente hinweg. Bei einer späteren Änderung wird nur der geänderte Abschnitt neu übersetzt, nicht das ganze Dokument.

Artikel 3 Nummer 16 beschreibt, wann eine Änderung an einer bereits in Verkehr gebrachten Maschine dazu führt, dass sie als neue Maschine gilt, mit vollständiger Konformitätsbewertung und neuer Erklärung. Wer eine Anlage umbaut, retrofittet oder verkettet, sollte das vorher wissen und nicht hinterher.

Wir beurteilen den geplanten Umbau anhand der Definition und dokumentieren das Ergebnis nachvollziehbar, auch wenn es lautet, dass keine wesentliche Veränderung vorliegt. Gerade dieser Fall will belegt sein.

Fachbeitrag: Wann eine Gebrauchtmaschine neu CE braucht →

Gekauft, importiert, verlagert oder umgebaut: bei Gebrauchtmaschinen fehlt die Anleitung, liegt in der falschen Sprache vor oder passt nach dem Umbau nicht mehr zur Maschine. Für diesen Fall gibt es unsere Leistungen als Paket: Bestandsaufnahme, Beurteilung der wesentlichen Veränderung, Anleitung nachziehen, Übersetzung.

Das Paket im Einzelnen →

Ein Abonnement, kein Projekt. Wir werten monatlich das Amtsblatt, die Durchführungsbeschlüsse zu harmonisierten Normen und die Änderungen im nationalen Recht aus und schreiben auf, was das für bestehende Dokumentation bedeutet.

In der produktbezogenen Stufe gleichen wir die Änderungen gegen die Normen ab, die in Ihren Dokumenten zitiert werden. Sie erfahren dann nicht nur, dass eine Norm zurückgezogen wurde, sondern in welchem Kapitel welcher Anleitung sie steht und ob sie in Ihrer Konformitätserklärung genannt ist.

Eine zurückgezogene Norm macht eine bereits ausgestellte Konformitätserklärung nicht rückwirkend unrichtig. Für neue Konformitätsbewertungen trägt sie aber keine Vermutungswirkung mehr. Wer sie weiter anwendet, muss die Konformität auf anderem Weg begründen. Genau diese Unterscheidung ist der Wert der Meldung.