Wie Groz-Beckert CRA-Compliance zum Hebel für Digitalisierung macht

Der Cyber Resilience Act (CRA) wird die Industrie in den kommenden Jahren massiv beschäftigen. Für viele Unternehmen erscheint die Regulierung zunächst als zusätzliches Pflichtenheft, doch Christopher Kaufmann und Eduard Just von Groz-Beckert zeigten auf der Automation NEXT Conference 2026, dass sich hinter den Anforderungen weit mehr verbirgt als reine Compliance. Ihr Ansatz: Die neuen Vorgaben als Chance nutzen, um Transparenz, Investitionssicherheit und Digitalisierung voranzutreiben.

CRA als mehr als nur ein regulatorisches Übel

Gleich zu Beginn machte Christopher Kaufmann deutlich, dass sein Team den CRA nicht ausschließlich unter dem Gesichtspunkt der IT-Sicherheit betrachtet. Als Verantwortliche für digitale Systeme und das digitale Ökosystem rund um Maschinen nähmen sie bewusst eine größere Perspektive ein. „Wie können wir diese Compliance-Anforderungen, also dieses notwendige Übel, wenn man so will, nutzen, um eigentlich auch einen Mehrwert oder einen langfristigen Vorteil zu schaffen für ein Unternehmen?“

Die zentrale Botschaft des Vortrags war deshalb klar: Wer den CRA lediglich als Pflichtprogramm betrachtet, verschenkt Potenzial. Wer die Anforderungen intelligent umsetzt, schafft gleichzeitig die Basis für moderne, datengetriebene Produktionssysteme.

Groz-Beckert: Maschinenbauer im eigenen Werk

Zur Einordnung erläuterten die Referenten zunächst die besondere Rolle von Groz-Beckert. Das Unternehmen mit Sitz in Albstadt entwickelt und produziert Präzisionswerkzeuge für die textile Flächenbildung, darunter Stricknadeln, Filznadeln, Webschäfte und Werkzeuge für die Herstellung von Kunstrasen. Hinzu kommen Bereiche wie Schneidwerkzeuge für Lebensmittel-, Hygiene- oder Holzverarbeitungsanwendungen sowie technische Textilien für die Bauindustrie.

Eine Besonderheit dabei: Das Unternehmen betreibt einen umfangreichen eigenen Sondermaschinenbau. Die meisten Maschinen werden ausschließlich intern genutzt, lediglich eine Anlage wird extern verkauft. Dadurch nimmt Groz-Beckert gleichzeitig die Rolle des Herstellers und des Betreibers ein. Diese Doppelperspektive prägt auch den Umgang mit dem CRA.

CVEs werden zum Produktionsrisiko

Ein zentraler Ausgangspunkt der CRA-Diskussion sind bekannte Schwachstellen, sogenannte Common Vulnerabilities and Exposures (CVEs). Während solche Meldungen lange Zeit vor allem IT-Abteilungen beschäftigten, werden sie nun zunehmend für Produktionsumgebungen relevant.

Für Unternehmen stellen sich dann unmittelbar mehrere Fragen:

• Wie kritisch ist die gemeldete Schwachstelle?

• Welche Maschinen sind betroffen?

• Welche Werke sind betroffen?

• Welche Kunden sind betroffen?

• Muss unmittelbar gehandelt werden?

Nach Beobachtung von Groz-Beckert erfolgt diese Bewertung heute in vielen Unternehmen noch weitgehend manuell oder teilweise gar nicht. Das eigentliche Ziel müsse jedoch sein, innerhalb weniger Stunden belastbar einschätzen zu können, ob Handlungsbedarf besteht. Denn letztlich gehe es um nichts Geringeres als die Sicherstellung der Produktionsfähigkeit.

Das Zeitfenster für Angreifer schrumpft dramatisch

Besonders eindrücklich war die Entwicklung der Reaktionszeiten nach Bekanntwerden von Schwachstellen. Eduard Just verwies auf eine Studie von Google: Noch vor wenigen Jahren vergingen durchschnittlich 63 Tage, bis bekannte Schwachstellen aktiv ausgenutzt wurden. Seit dem Aufstieg generativer KI und leistungsfähiger Automatisierung gehe diese Zeit jedoch massiv zurück.

Seine Einschätzung: „2026 gibt es keine Studien dazu, aber wir sind wahrscheinlich eher im Stundenbereich, bis eine Schwachstelle genutzt wird. Wenn nicht sogar Minuten.“

Dadurch schrumpfe das verfügbare Reaktionsfenster dramatisch. Ohne Transparenz über installierte Systeme und deren Softwarestände sei ein wirksames Vulnerability Management praktisch unmöglich.

CRA-Meldepflichten sind bereits Realität

Besondere Aufmerksamkeit widmeten die Referenten den bereits geltenden Meldepflichten. Seit September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen melden. Betroffen sind Hersteller, OEMs, Importeure und Vertriebspartner von Produkten mit digitalen Elementen.

Dabei gilt eine wichtige Unterscheidung: Meldepflichtig sind nicht bekannte Schwachstellen an sich, sondern Schwachstellen, die nachweislich aktiv ausgenutzt werden. Solche Vorfälle müssen innerhalb von 24 Stunden an die ENISA, die europäische Cybersecurity-Agentur, gemeldet werden. Nach Aussage der Referenten unterstützt anschließend das nationale BSI den weiteren Prozess.

Digitalisierung erhöht die Angriffsfläche

Die zunehmende Digitalisierung der Produktion verschärft die Situation zusätzlich. Ob Brownfield- oder Greenfield-Anlagen: Immer mehr Maschinen werden vernetzt, Daten werden abgegriffen und zusätzliche digitale Dienste ergänzt.

Wie Kaufmann erläuterte, entstehe die eigentliche Gefahr nicht allein durch Schwachstellen, sondern durch die ständig steigende Zahl vernetzter Assets.

„Nicht die Schwachstelle an sich verändert ja die Produktion, sondern dadurch, dass ich immer mehr Assets oder Betriebsmittel vernetzt habe, habe ich eine größere Notwendigkeit, darauf zu reagieren.“

Hinzu kommt die lange Lebensdauer industrieller Anlagen. Maschinen bleiben häufig 20 oder sogar 30 Jahre im Einsatz. Dadurch treffen moderne Sicherheitsanforderungen zwangsläufig auf veraltete Systeme und Technologien.

Der Auslöser: 200 Windows-XP-Maschinen

Der eigentliche Startschuss für das Security-Programm bei Groz-Beckert fiel bereits 2023. Ausgelöst wurde das Projekt durch eine konkrete Betriebssituation. Rund 200 Maschinen mit Windows XP waren in das Active Directory integriert. Als Microsoft die Unterstützung faktisch beendete, entstand akuter Handlungsbedarf.

Eduard Just schilderte die Situation plastisch: „Da war dann wirklich Brandlöschen angesagt.“ Um solche Situationen künftig zu vermeiden, startete das Unternehmen ein umfassendes OT-Security-Programm.

Ist KI der Tod des SPS-Programmierers?

In seiner Keynote „Tod eines SPS-Programmierers. Ein Realitätscheck“ spannte Steffen Winkler den Bogen von den globalen Entwicklungen im KI-Markt über geopolitische Machtverschiebungen, Energiebedarf und wirtschaftliche Realitäten bis hin zu den Auswirkungen auf die industrielle Automatisierung. Am Ende stand die Antwort auf die brennende Frage: Müssen wir uns um Daniel Developer Sorgen machen?

Philip Bittermann

Der gewählte Weg: Erst analysieren, dann priorisieren

Gemeinsam mit einer externen Beratung erfolgte zunächst eine vollständige Bestandsaufnahme. Erfasst wurden sämtliche Maschinen, Kommunikationswege und Anwendungsfälle. Anschließend führte das Unternehmen ein Assessment nach IEC 62443 durch. Als Zielzustand definierte man Security Level 2.

Das erste Ergebnis fiel ernüchternd aus: Fast alle bewerteten Bereiche lagen bei null Punkten. Laut den Beratern sei dies jedoch keineswegs ungewöhnlich, insbesondere im OT-Umfeld. Auf Basis der Analyse wurden die Handlungsfelder priorisiert, eine Roadmap aufgebaut und mehrere Teilprojekte gestartet. Zum Zeitpunkt des Vortrags waren bereits vier Teilprojekte abgeschlossen.

Drei Fähigkeiten entscheiden über den Erfolg

Aus Sicht der Referenten lassen sich die CRA-Anforderungen auf drei Kernfähigkeiten reduzieren:

1. Transparenz schaffen

2. Kommunikation kontrollieren

3. Reaktionsfähigkeit herstellen

Transparenz ist notwendig, um Betroffenheiten schnell identifizieren zu können. Kommunikation muss kontrolliert werden können, da immer mehr Datenflüsse zwischen Maschinen, Edge-Systemen und Plattformen entstehen. Und letztlich muss ein Unternehmen in der Lage sein, tatsächlich auf Vorfälle zu reagieren.

Segmentierung als Grundlage der OT-Sicherheit

Zu den ersten umgesetzten Maßnahmen gehörte die Mikrosegmentierung von Maschinen. OT-Systeme wurden durch zusätzliche Firewalls abgesichert. Hintergrund war die Erkenntnis, dass zentrale IT-Firewalls allein nicht ausreichen. Wird die IT kompromittiert, ist ansonsten auch die OT vollständig exponiert.

Wann kommen die Humanoiden?

Auf der Automation Next Conference 2026 sprach Alexander Mühlens, Vice President Low Cost Automation bei Igus, über den praktischen Einsatz humanoider Roboter. Sein Vortrag war dabei bewusst kein Zukunftsmärchen, sondern eine Bestandsaufnahme aus Sicht eines Unternehmens, das humanoide Roboter sowohl entwickelt und vertreibt als auch selbst einsetzt.

Philip Bittermann

Deshalb setzt Groz-Beckert auf eine zusätzliche Absicherung direkt an der Maschine.

Logging wird zur Compliance-Grundlage

Ein weiteres Schlüsselthema ist das Logging. Für CRA-konforme Prozesse müssen Ereignisse nachvollziehbar und revisionssicher gespeichert werden. Manipulationen an Logdaten dürfen nach einem Sicherheitsvorfall nicht möglich sein. Dabei reicht es aus, wenn Personen indirekt identifiziert werden können. Der Name muss nicht zwingend direkt im Log erscheinen, sofern die Zuordnung über andere Systeme möglich bleibt.

SBOMs werden unverzichtbar

Besonders intensiv beschäftigte sich Groz-Beckert mit Software Bills of Materials (SBOMs). Da das Unternehmen eigene Software entwickelt, sollen SBOMs automatisiert in die Build-Pipeline integriert werden. Als Entwicklungsumgebung kommt dabei unter anderem Azure Devops zum Einsatz.

Gleichzeitig verwiesen die Referenten auf die Verantwortungskette: Nutzt ein Maschinenhersteller Komponenten eines anderen Herstellers, muss dieser die entsprechende SBOM bereitstellen und über Sicherheitslücken informieren.

Asset Management bleibt eine Baustelle

Bemerkenswert offen gingen die Referenten mit eigenen noch offenen Punkten um. So sieht man sich bei Groz-Beckert beim Asset Management selbst noch nicht am Ziel.

Der aktuelle Ablauf sei oft noch umständlich. Trifft eine neue CVE-Meldung ein, müssen SPS-Programmierer und Instandhalter zunächst mühsam herausfinden, welche Firmwareversionen tatsächlich auf den Anlagen laufen. Ein automatisiertes Inventarsystem existiert bislang noch nicht, soll aber folgen.

Verschlüsselung und PKI als Standard

Große Bedeutung messen die Referenten dem Aufbau einer Public Key Infrastructure (PKI) bei. Daten, die Maschinen verlassen, werden verschlüsselt übertragen. Innerhalb der Maschine hängt die Umsetzung von den technischen Möglichkeiten der jeweiligen Systeme ab.

Dabei wurde auch betont, dass sich ältere Feldbusprotokolle oftmals nicht nachträglich absichern lassen, weil sie ursprünglich nie für Security-Anforderungen entwickelt wurden. Solche Risiken dürften akzeptiert werden, müssten jedoch nachvollziehbar begründet werden.

Governance zuerst, Compliance zuletzt

Eine bemerkenswerte Empfehlung lautete, mit Governance zu beginnen. In vielen mittelständischen Unternehmen sei ungeklärt, wer überhaupt die Verantwortung für OT-Security trägt. Erst wenn diese Zuständigkeiten geklärt seien, lohne es sich, in technische Detailmaßnahmen einzusteigen. Den eigentlichen Compliance-Nachweis sehen die Referenten dagegen bewusst am Ende des Prozesses.

Security und Digitalisierung gemeinsam denken

Ein zentrales strategisches Ziel von Groz-Beckert ist es, Security und Digitalisierung nicht getrennt zu behandeln. Parallel zu Security-Themen arbeitet das Team an standardisierten Maschinenschnittstellen, einheitlichen Datenmodellen, Edge-Computing-Architekturen sowie Plattformdiensten für Analytics und KI-Anwendungen.

Die Idee dahinter: Security wird nicht als Bremse verstanden, sondern als Fundament für eine langfristig skalierbare Digitalisierungsstrategie.

Wer ist zuständig: IT oder OT?

In der anschließenden Fragerunde wurde die Governance-Frage konkret gestellt: Liegt die Verantwortung für den CRA bei der IT oder bei der OT?

Die Antwort von Kaufmann fiel differenziert aus. Handelt es sich um klassische digitale Produkte, sei die IT stärker eingebunden. Sobald jedoch Maschinen mit Sensorik und Aktorik betroffen seien, müsse die Verantwortung aus seiner Sicht klar in der OT liegen.

KI ersetzt die „Excel-Schildkröte“

Zum Abschluss präsentierte Just noch ein internes Projekt, das die praktische Umsetzung von MVO, CRA und NIS2 erheblich vereinfachen soll. Ausgangspunkt war die Frustration über umfangreiche Excel-basierte Risikobewertungen mit teilweise mehr als 1.000 Zeilen. Daraus entstand das Tool „No Risk No Fun“; entwickelt mit Blazor Server und unterstützt durch KI-gestützte Entwicklung mit Github Copilot. Nach Aussage von Just hätte die klassische Umsetzung vermutlich viele Monate gedauert. Die KI-gestützte Entwicklung habe dagegen nur rund zehn Stunden effektive Arbeitszeit benötigt.

Das Tool ermöglicht:

• strukturierte Risikobewertungen,

• Stride-basierte Threat-Analysen,

• Verknüpfungen zu CRA, NIS2 und weiteren Anforderungen,

• digitale und revisionssichere Freigaben,

• Vorlagen für ähnliche Maschinen,

• Export im OSCAL-JSON-Format,

• Integration von SBOMs,

• automatisierte Schwachstellenprüfungen.

Für die Zukunft plant Just eine grafische Modellierung kompletter Maschinenarchitekturen, bei der Risiken und Gegenmaßnahmen automatisch abgeleitet werden. KI soll dabei neue Bedrohungsszenarien identifizieren und direkt in die Bewertung integrieren.

Das war die Automation NEXT Conference 2026

KI-Agenten, humanoide Roboter, Smart Factory und Cybersecurity: Die Automation NEXT Conference 2026 zeigte bei Bosch Rexroth in Ulm, welche Technologien bereits industriell einsetzbar sind – und welche Voraussetzungen Unternehmen für die nächste Automatisierungsstufe schaffen müssen.

Redaktion Automation NEXT