24 Stunden: Der Cyber Resilience Act erreicht den Aufzugsschacht

In vielen Maschinenräumen steckt heute mehr Netzwerktechnik, als man einem Aufzug zutraut. Ein Notrufgerät mit Mobilfunkmodul, ein kleines Gateway für die Fernüberwachung, eine Steuerung, die Störungen von selbst an die Servicezentrale schickt. Für genau diese Art Gerät gilt seit dem 11. September 2026 eine neue Pflicht. Und zwar auch dann, wenn es schon seit Jahren an der Wand hängt.

Was seit September gilt

Der Cyber Resilience Act, kurz CRA, ist eine EU-Verordnung und gilt ohne Umweg über ein deutsches Gesetz. Er betrifft alle Produkte mit digitalen Elementen, also Hardware und Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. So beschreibt es das BSI. Ausgenommen sind wenige Bereiche wie Medizinprodukte, Fahrzeuge, Luftfahrt und Schiffsausrüstung. Aufzüge stehen nicht auf dieser Liste.

Der größte Teil der Verordnung greift erst im Dezember 2027. Eine Regel ist aber schon jetzt in Kraft: Artikel 14. Danach müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden, und zwar schnell. Die erste Warnung muss innerhalb von 24 Stunden raus, die eigentliche Meldung innerhalb von 72 Stunden. Gemeldet wird über eine zentrale Plattform der EU-Agentur ENISA, gleichzeitig an das zuständige nationale Computer-Notfallteam. In Deutschland wird das nach Einschätzung der Kanzlei Heuking voraussichtlich das CERT-Bund beim BSI sein.

Auch für Geräte, die längst verbaut sind

Der Punkt, der in vielen Zusammenfassungen untergeht: Die Meldepflicht kennt kein Baujahr. Nach Artikel 69 Absatz 3 erfasst sie auch alles, was vor dem 11. Dezember 2027 auf den Markt gekommen ist. Ein Notrufgerät aus dem Jahr 2019 braucht also keine neue CE-Kennzeichnung nach dem CRA. Wird darin aber eine Lücke bekannt, die tatsächlich ausgenutzt wird, muss der Hersteller sie melden. Entscheidend ist der Bestand am Markt, wie es bei Heuking heißt, nicht das Baujahr.

Wer meldet, und was bleibt beim Betreiber?

Melden muss der Hersteller, nicht die Hausverwaltung und nicht die Eigentümergemeinschaft. Importeure und Händler werden selbst zum Hersteller, wenn sie ein Gerät unter eigenem Namen verkaufen oder wesentlich verändern. Für Betreiber ändert sich formal also wenig. Praktisch aber schon, denn eine Meldung allein schließt keine Lücke. Irgendjemand muss das Update auch einspielen, und das passiert im Aufzug selten von allein.

Ab Dezember 2027 kommt eine zweite Regel dazu, die Betreiber direkt spüren werden. Hersteller müssen dann für einen Supportzeitraum von in der Regel mindestens fünf Jahren kostenlose Sicherheitsupdates liefern und das Ende dieses Zeitraums schon vor dem Kauf angeben. So fassen es das BSI und die IHK Rhein-Neckar zusammen. Wer jetzt Notrufgeräte oder Fernüberwachung neu beschafft, kann diese Frage schon heute stellen.

Fünf Fragen für das nächste Gespräch mit der Servicefirma

• Welche Teile der Anlage sind überhaupt vernetzt: Notrufgerät, Fernüberwachung, Steuerung, Zugangssystem?
• Wer ist für jedes dieser Geräte der Hersteller im Sinne des CRA, und gibt es dort eine Kontaktstelle für Sicherheitsmeldungen?
• Wie erfahren wir als Betreiber von einer gemeldeten Lücke, und wer spielt das Update ein?
• Bis wann liefert der Hersteller Sicherheitsupdates?
• Ist das Einspielen von Updates im Wartungsvertrag enthalten, oder wird es extra berechnet?

Was noch offen ist

Ganz fertig ist das System nicht. Die Meldeplattform der ENISA ist neu, und welche nationale Stelle formal zuständig ist, war bis zuletzt nur erwartet und nicht offiziell benannt. Auch das Zusammenspiel mit dem klassischen Aufzugsrecht wird sich erst in der Praxis zeigen. Die Aufzugsrichtlinie regelt, dass eine Anlage sicher fährt. Der CRA regelt, dass die Elektronik darin nicht zum Einfallstor wird. Beides gilt nebeneinander.

Ernst gemeint ist die Verordnung trotzdem: Bei Verstößen gegen die grundlegenden Pflichten sind Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist, wie Asshoff Legal zusammenfasst. Das trifft die Hersteller. Die Fragen oben helfen dem Betreiber, nicht der Letzte zu sein, der von einer Lücke erfährt.