Die Stückliste liegt in EPLAN
Welche SPS, welches HMI, welcher Switch verbaut ist, steht im Projektarchiv. Pro Auftrag, pro Revision, über Jahre verteilt.
Für Maschinen- und Anlagenbauer · Cyber Resilience Act
Welche Firmware läuft in Ihren Maschinen von 2021?
Seit dem 11. September 2026 müssen Sie aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden, auch für Maschinen, die längst beim Kunden stehen. Das geht nur, wenn Sie wissen, welche Steuerungen, HMIs und Router wo verbaut sind. Bestandswache gleicht Ihre EPLAN- und ERP-Stücklisten mit den Sicherheitswarnungen der Hersteller ab.
24 hbis zur Frühwarnung an CSIRT und ENISA
Art. 69Abs. 3: Pflicht gilt auch für Bestandsmaschinen
15 Mio. €oder 2,5 % des Jahresumsatzes als Bußgeldrahmen
Abgleich 06:05 Uhr
Beispieldaten
Hersteller-Advisory · eingelesen 06:00 · aktiv ausgenutzt
Fernwartungsrouter, Firmware < 4.3.2: Authentifizierung umgehbar
37Maschinen bei 21 Kunden
14Firmware im betroffenen Bereich
9Firmware-Stand unbekannt
| Seriennr. | Kunde | Firmware | Status |
|---|---|---|---|
| VM-2021-0418 | Molkerei, Allgäu | 4.1.0 | betroffen |
| VM-2022-0107 | Pharma-Lohnabfüller | ? | prüfen |
| MA-2023-0552 | Süßwarenwerk | 4.2.7 | betroffen |
| MA-2024-0031 | Getränkeabfüllung | 4.3.2 | gepatcht |
X1Ausgangslage
Das Wissen liegt verstreut
Wenn morgen früh eine Warnung zu einer Steuerungs-Firmware erscheint, beginnt die 24-Stunden-Frist. In den meisten Häusern beginnt dann erst die Suche.
Die Firmware kennt der Service
Was nach Inbetriebnahme und Updates tatsächlich läuft, weiß oft nur der Techniker, der zuletzt vor Ort war.
Die Warnungen liest niemand
Siemens, Beckhoff, Phoenix Contact, WAGO und Moxa veröffentlichen Advisories in eigenen Formaten. Systematisch ausgewertet werden sie selten.
Rechtsgrundlage: Verordnung (EU) 2024/2847, Art. 14 (Meldepflichten, anwendbar seit 11.09.2026), Art. 69 Abs. 3 (Geltung für vor dem 11.12.2027 in Verkehr gebrachte Produkte), Art. 64 (Sanktionen). Keine Rechtsberatung.
X2Meldekette
Drei Fristen, eine Uhr
Die Uhr läuft ab dem Moment, in dem Sie von einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt erfahren. Jede Meldung geht gleichzeitig an das zuständige CSIRT und an ENISA.
- 24 h
Frühwarnung
Betroffenes Produkt und Mitgliedstaaten, in denen es bereitgestellt wurde.
- 72 h
Meldung
Art der Ausnutzung, ergriffene Korrektur- und Abhilfemaßnahmen, Empfehlungen für Nutzer.
- 14 Tage
Abschlussbericht
Spätestens 14 Tage nachdem eine Korrektur verfügbar ist: Schweregrad, Ursache, Behebung.
X3Angebot
Der CRA-Bestandsscan
Ein fester Umfang, ein fester Preis. Sie sehen an Ihren eigenen Daten, ob heute etwas meldepflichtig wäre, bevor Sie über ein Werkzeug entscheiden.
Sie schicken
- Stücklisten von 5 ausgelieferten Maschinen, gern aus unterschiedlichen Baujahren
- EPLAN-Artikelstückliste (Excel oder XML) oder ERP-Auftragsstückliste als CSV
- Falls vorhanden: Inbetriebnahme- oder Serviceprotokolle mit Firmware-Ständen, auch als Scan
Sie erhalten in 72 Stunden
- Inventar aller vernetzten Komponenten je Seriennummer
- Bekannte Schwachstellen je Komponente, abgeglichen mit Hersteller-Advisories, CISA-ICS-Warnungen und der CISA-KEV-Liste
- Fälle, die heute meldepflichtig wären, mit Begründung
- Lücken: Komponenten ohne bekannten Firmware-Stand und was zu prüfen ist
Festpreis
1.490 €
zzgl. USt., per Rechnung. Wird voll auf eine spätere Jahreslizenz angerechnet.
Scan anfragenX4Im Ernstfall
Der Morgen einer Warnung
Ein Hersteller meldet eine aktiv ausgenutzte Lücke in einer Router-Firmware. So läuft es heute, und so mit Bestandswache.
Heute
- Die Warnung erscheint. Niemand im Haus bemerkt sie.
- Ein Kunde ruft an und fragt, ob seine Anlage betroffen ist.
- Suche in EPLAN-Archiven und Serviceberichten. Die 24-Stunden-Frist ist längst vorbei.
Mit Bestandswache
- Das Advisory wird eingelesen, betroffene Produkte und Versionen werden extrahiert.
- Abgleich: 37 Maschinen bei 21 Kunden, 14 im betroffenen Bereich, 9 mit unbekanntem Stand.
- Ihr Leiter Automatisierung bestätigt. Frühwarnung und Kundenbriefe sind vorausgefüllt, alles ist protokolliert.
X5Passt es?
Gebaut für den Mittelstand ohne PSIRT
- Branchen
- Verpackung, Montageautomation, Sondermaschinen, Intralogistik, Lebensmittel- und Pharmamaschinen
- Größe
- 80 bis 1.000 Mitarbeitende
- Flotte
- 30 bis 500 vernetzte Maschinen pro Jahr, meist mit Fernwartung
- Systeme
- EPLAN Electric P8 und ein ERP wie proALPHA, SAP, abas oder PSIpenta
- Ansprechpartner
- Leitung Elektrokonstruktion oder Automatisierung, CE-Koordination, technische Geschäftsführung
X6Fragen
Häufige Fragen
Entscheidet eine KI, ob wir melden müssen?
Nein. Die KI liest Advisories und normalisiert Artikelnummern. Ob eine Komponente im betroffenen Versionsbereich liegt, prüft eine regelbasierte Logik. Eine Betroffenheit wird nie automatisch ausgeschlossen, und die Meldeentscheidung treffen Sie.
Was passiert mit unseren Stücklisten?
Wir schließen vor der Übergabe auf Wunsch eine Vertraulichkeitsvereinbarung und einen Auftragsverarbeitungsvertrag. Die Daten werden nur für Ihren Scan genutzt und auf Anfrage nach Abschluss gelöscht.
Wir kennen die Firmware-Stände im Feld nicht. Lohnt sich der Scan trotzdem?
Ja. Schon die Typen aus der Stückliste zeigen, welche Produktfamilien von bekannten Schwachstellen betroffen sind. Komponenten ohne bekannten Stand markieren wir als offen und sagen Ihnen, was Ihr Service vor Ort prüfen sollte.
Welche Hersteller werden abgedeckt?
Im Scan werten wir die Advisories von Siemens, Beckhoff, Phoenix Contact, WAGO und Moxa aus sowie die ICS-Warnungen und die Liste bekannter ausgenutzter Schwachstellen der US-Behörde CISA. Weitere Hersteller aus Ihren Stücklisten nehmen wir auf Anfrage auf.
Ist das eine Rechtsberatung?
Nein. Bestandswache ist ein Werkzeug für die technische Betroffenheitsanalyse. Für die rechtliche Bewertung Ihrer Pflichten nach CRA und Maschinenverordnung wenden Sie sich an Ihre Rechtsberatung.
X7Anfrage
Scan anfragen
Wir melden uns innerhalb eines Werktags mit einem Termin für ein 15-minütiges Vorgespräch und der Liste der benötigten Exporte.
Ihre Anfrage ist vorbereitet
Bitte schicken Sie den folgenden Text an . Wir antworten innerhalb eines Werktags.