OT-Cyber.de
Notfall 24/7 · +49 8031 8603164Kontakt

Teil von CRA How-To für Kleinbetriebe · kostenfreies Muster, keine Rechtsberatung

Vernetzte Hackschnitzel­heizung: in neun Schritten zur CE-Kennzeichnung

Ein kostenfreies Muster für Heizungsbauer nach Maschinenverordnung und Cyber Resilience Act. Durchgespielt an einem Betrieb mit zwei Personen und Partnerfirmen, mit 30 Dokumenten als leere Vorlage und als ausgefülltes Beispiel.

Verfahren als PDF Alle Vorlagen (ZIP)
Schnitt durch die vernetzte Hackschnitzelheizung Hackschnitzellager mit Rührwerk, Förderschnecke, Zellradschleuse, Kessel mit Flamme, Kamin, Schaltschrank mit Gateway und Verbindung zur Cloud. Hackschnitzellager Gateway Schaltschrank Portal EU SF4 SF1 SF2 SF3 SF9 Z3 Z4

Die Anlage und ihre Schutzfunktionen

Hackgutkessel NWT HACKTHERM 60 connect mit Raumaustragung, Zellradschleuse und Sicherheitssteuerung Siemens SIMATIC S7-1200 G2 (CPU 1214FC). Tippen Sie auf einen Punkt in der Grafik.

  • SF4
    Lagerraumtür

    Tür offen: Rührwerk und Austragung stehen sofort, Anlauf gesperrt. Codierter Sicherheitsschalter, PL d.

  • SF1
    Rückbrandschutz

    Zellradschleuse trennt Feuerraum und Lager. Bei Übertemperatur schließt sie, die Löscheinrichtung arbeitet thermisch ohne Strom.

  • SF2
    Übertemperatur

    Sicherheitstemperaturbegrenzer bei 105 °C, fest verdrahtet, plus Überwachung durch die Sicherheitssteuerung.

  • SF3
    Not-Halt

    Not-Halt am Kessel und Heizungsnotschalter vor dem Heizraum setzen alle Antriebe still.

  • SF9
    Aschebox

    Deckel offen oder Box entnommen: Ascheschnecken stehen. Kein Start aus der Ferne.

  • Z3
    Gateway

    Einziger Weg ins Netz. Nur ausgehende, verschlüsselte Verbindungen, Secure Boot, signierte Updates. Kein Schreibzugriff auf Sicherheitsdaten.

  • Z4
    Portal und App

    Fernwartung nur nach Freigabe durch den Betreiber, mit MFA, Zeitlimit und Protokoll. Gesperrt: alles, was Bewegung auslöst.

Orange sind Sicherheitsfunktionen nach EN ISO 13849, blau Zonen nach IEC 62443. Der wichtigste Grundsatz: Temperaturbegrenzer, Ablaufsicherung, Sicherheitsventil und Löschung wirken ohne Software und Netzwerk. Ein Angriff über das Internet kann sie nicht abschalten.

Zwei Personen, sechs Partner, ein Hersteller

Wer eine Anlage unter eigenem Namen verkauft, ist Hersteller, auch wenn Partner fertigen und programmieren. Das Muster zeigt, wie ein kleiner Betrieb das organisiert.

Nordwald Wärmetechnik GmbH

Fiktiver Heizungsbauer, bringt den Hackgutkessel unter eigener Marke in Verkehr.

Michael BergerHeizungsbaumeister, Geschäftsführung, CE-Koordination, Unterschrift unter der Erklärung
Jonas WeißMechatroniker, Technik, Sicherheitsfunktionen, Product Security, Meldewesen
  • Kesselbau Alpenrand GmbHKesselkörper, Austragung, Zellradschleuse
  • Schaltanlagen Hofer GmbHSchaltschrank, Stückprüfung
  • Datenwerk Embedded GmbHGateway, Portal, App, SBOM, Updates
  • Ingenieurbüro LechnerSicherheitsfunktionen, Validierung
  • Sichtwerk Security GmbHPentest, Bereitschaft für Meldungen
  • Prüfinstitut Feuerungstechnik SüdTypprüfung EN 303-5, EMV

Partner liefern Leistungen. Die Pflichten aus Maschinenverordnung und CRA bleiben beim Hersteller. Deshalb regelt ein Pflichtenanhang Meldewege in Stunden, 15 Jahre Updates, Aufbewahrung und Quellcode-Hinterlegung.

Fristen

Maßgeblich ist der Tag, an dem jede einzelne Anlage in Verkehr gebracht wird.

  1. Meldepflicht nach Art. 14 CRA gilt bereits, auch für schon ausgelieferte vernetzte Anlagen.

  2. Maschinenrichtlinie 2006/42/EG mit EG-Konformitätserklärung.

  3. Maschinenverordnung (EU) 2023/1230, ohne Abverkaufsfrist.

  4. CRA vollständig, CE-Kennzeichnung auch nach CRA.

Neun Schritte von der Einstufung bis zur Betreuung im Feld

Zu jedem Schritt gibt es die Dokumente als leere, ausfüllbare Vorlage und als ausgefülltes Beispiel der Nordwald Wärmetechnik.

  1. Einstufen

    Gelten Maschinenverordnung und CRA, und sind wir Hersteller?

    Wer: Berger (GF), Prüfung durch WeißIm Beispiel: Nov 2026

    Was zu tun ist
    1. Wir sind betroffen, weil wir eine Gesamtheit von Maschinen erstellen: mehrere Maschinen, die so angeordnet und gesteuert sind, dass sie zusammen als eine Anlage funktionieren. Damit sind wir Hersteller nach Maschinenverordnung. Bei der Übergabe an den Kunden bringen wir diese Gesamtheit in Verkehr. Weil sie über Netzwerktechnik vernetzt ist, ist sie ein Produkt mit digitalen Elementen und fällt auch unter den CRA.
    2. Rechtsakte und Fristen festlegen: MVO ab 20.01.2027, CRA vollständig ab 11.12.2027, Meldepflicht seit 11.09.2026.
    3. CRA-Klasse bestimmen: Kernfunktion Wärmeerzeugung, keine Kategorie in Anhang III oder IV, also Standardprodukt.
    4. Bewertungsverfahren wählen: interne Kontrolle in beiden Rechtsakten, keine notifizierte Stelle.

    Welche Rolle haben wir? Drei Fälle

    • Fall A: eigener Name oder eigene Marke. Die Anlage geht unter unserem Namen oder unserer Marke an den Kunden, auch wenn Partner Teile fertigen. Maschinenverordnung: volle Herstellerpflichten. CRA: volle Herstellerpflichten.
    • Fall B: Gesamtheit von Maschinen, ohne eigene Produktmarke. Wir kombinieren Kessel, Raumaustragung, Zellradschleuse und Steuerung verschiedener Lieferanten zu einer Anlage und übergeben sie beim Kunden funktionsfähig. Das ist bei uns der entscheidende Grund, die eigene Marke kommt dazu. Maschinenverordnung: Hersteller der Gesamtheit, eigener Name auf dem Typenschild, eigene Erklärung. CRA: Hersteller der Gesamtanlage, wenn sie vernetzt ist; für Steuerung und Gateway stützen wir uns auf Erklärung, SBOM und Updates der Lieferanten.
    • Fall C: reiner Einbau fertiger Geräte ohne Veränderung. Wir bauen ein fertiges, CE-gekennzeichnetes Gerät nach Herstelleranleitung ein, ohne es mit anderen Maschinen zu einer Anlage zu verbinden und ohne Software oder Sicherheitseinstellungen zu ändern. Keine Herstellerpflichten, nur Händler- und Montagepflichten. Wer Sicherheitsfunktionen abschaltet, Fernzugänge selbst einrichtet oder Software ändert, prüft neu: Das kann eine wesentliche Änderung sein.

    Nicht maßgeblich ist, ob die Anlage bei uns oder beim Kunden zusammengebaut wird. Eine Anlage nur für den eigenen Betrieb fällt nicht unter den CRA, wohl aber unter die Maschinenverordnung. Wie Behörden die Montage beim Kunden im Einzelfall sehen, ist noch nicht abschließend geklärt; die Herstellerrolle deshalb schriftlich mit Kunde und Lieferanten festlegen.

    Ergebnis: Regelwerksmatrix, Normenliste und Bewertungsverfahren stehen fest.

  2. Betrieb aufstellen

    Wie decken zwei Personen alle Herstellerpflichten ab?

    Wer: Berger, Weiß, PartnerfirmenIm Beispiel: Nov 2026

    Was zu tun ist
    1. Rollen mit Vertretung verteilen: Geschäftsführung und CE bei Berger, Technik, Safety und Product Security bei Weiß.
    2. Partner vertraglich binden: Meldewege, Supportzusage 15 Jahre, Aufbewahrung, Quellcode-Hinterlegung.
    3. Meldefähigkeit herstellen: Zugang zur ENISA-Meldeplattform, Bereitschaft, Notfallkarte, Meldeübung.
    4. Schulungen planen und nachweisen.

    Ergebnis: Organisation steht, der Betrieb kann Schwachstellen und Vorfälle fristgerecht melden.

  3. Anlage beschreiben

    Was genau bringen wir in Verkehr, und wofür?

    Wer: Weiß, Freigabe BergerIm Beispiel: Dez 2026

    Was zu tun ist
    1. Produktdaten, Baugruppen und Schnittstellen festhalten.
    2. Bestimmungsgemäße Verwendung und vorhersehbare Fehlanwendung beschreiben, auch beim Fernzugriff.
    3. Grenzen und Lebensphasen festlegen, einschließlich Update und Außerbetriebnahme.
    4. Anforderungen mit Quelle in die Anforderungsliste aufnehmen.

    Ergebnis: Anlagenbeschreibung und Anforderungsliste als Grundlage für alle weiteren Schritte.

  4. Sicher konstruieren

    Wie bleibt die Heizung sicher, auch wenn jemand angreift?

    Wer: Weiß mit Ingenieurbüro und Software-PartnerIm Beispiel: Dez 2026

    Was zu tun ist
    1. Sicherheitssteuerung auswählen: SIMATIC S7-1200 G2 CPU 1214FC mit IEC-62443-4-2-Zertifikat.
    2. Sicherheitsfunktionen SF1 bis SF10 mit PLr festlegen.
    3. Grundsatz: STB, Ablaufsicherung, Sicherheitsventil und Löschung wirken ohne Software und Netzwerk.
    4. Zonen und Conduits nach IEC 62443 planen, Fernwartung nur nach Freigabe, signierte Updates.

    Ergebnis: Steuerungs- und Sicherheitskonzept sowie Netzwerkarchitektur.

  5. Risiken beurteilen

    Welche Gefahren bleiben, und sind sie akzeptabel?

    Wer: Weiß, Berger, Ingenieurbüro, Security-PartnerIm Beispiel: Jan 2027

    Was zu tun ist
    1. Gefährdungen nach EN ISO 12100 für alle Lebensphasen bewerten und mit dem Drei-Stufen-Verfahren mindern.
    2. Cyber-Bedrohungen nach IEC 62443-3-2 bewerten und CRA Anhang I zuordnen.
    3. Nachweisen, dass ein Angriff keine Sicherheitsfunktion aushebelt (MVO 1.1.9, 1.2.1).
    4. Restrisiken für die Anleitung festhalten.

    Ergebnis: Zwei Risikobeurteilungen mit gemeinsamem Cyber-Safety-Nachweis.

  6. Prozesse einführen

    Was muss im Betrieb dauerhaft laufen?

    Wer: Weiß (PSO), Berger, Software-PartnerIm Beispiel: Dez 2026 bis Mär 2027

    Was zu tun ist
    1. 20 Prozesse nach Prozesshandbuch einführen: Entwicklung, SBOM, Schwachstellen, Updates, Änderungen, Marktbeobachtung.
    2. Lieferanten und Komponenten bewerten.
    3. Richtlinie zur koordinierten Offenlegung und security.txt veröffentlichen.
    4. Jedes Release mit SBOM und Security-Freigabe ausliefern.

    Ergebnis: Gelebte Prozesse mit Nachweisen für die technische Dokumentation.

  7. Prüfen und validieren

    Funktioniert alles so, wie geplant?

    Wer: Weiß, Ingenieurbüro, Prüflabor, PartnerIm Beispiel: Jan bis Mär 2027

    Was zu tun ist
    1. Typprüfung EN 303-5 und EMV beim akkreditierten Labor.
    2. Jede Sicherheitsfunktion mit Fehlerinjektion validieren.
    3. Penetrationstest und Kommunikationsausfalltest.
    4. Stückprüfung je Seriennummer einführen.

    Ergebnis: Prüfberichte, Validierungsprotokolle, Stückprüfprotokoll.

  8. Dokumentieren und erklären

    Was braucht es für die CE-Kennzeichnung?

    Wer: Berger (Unterschrift), WeißIm Beispiel: Mär 2027

    Was zu tun ist
    1. Technische Dokumentation vollständig zusammenstellen.
    2. Nutzerinformationen veröffentlichen, mit vereinfachter Konformitätserklärung nach Anhang VI und dem Ende des Unterstützungszeitraums je Einheit (15 Jahre ab Übergabe).
    3. Checkliste abarbeiten, dann die gemeinsame EU-Konformitätserklärung unterschreiben: mit dem Satz, dass die Erfüllung von Anhang I nachgewiesen ist, Geltung ab 11.12.2027 und Normen mit Ausgabe.
    4. Typenschild, CE-Kennzeichnung und Supportende-Etikett anbringen.

    Ergebnis: Unterschriebene Erklärung, CE-Kennzeichnung, Freigabe zum Inverkehrbringen.

  9. Ausliefern und betreuen

    Was gilt nach dem Verkauf, 15 Jahre lang?

    Wer: Weiß (Service, PSO), BergerIm Beispiel: ab Mär 2027

    Was zu tun ist
    1. Inbetriebnahme mit Sicherheits-Erstkonfiguration.
    2. Schwachstellen behandeln, Nutzer informieren, Updates kostenlos bereitstellen.
    3. Änderungen auf wesentliche Veränderung prüfen.
    4. Korrekturmaßnahmen umsetzen und Behörden informieren, wenn nötig.

    Ergebnis: Konformität und Sicherheit über den gesamten Unterstützungszeitraum.

Alle 30 Dokumente

D sind Konzepte und Nachweise, F sind Formulare für den laufenden Betrieb.

Komplett herunterladen

Das Verfahren mit Links zu allen Dokumenten und beide Pakete als ZIP.

Verfahren (PDF) Vorlagen (ZIP) Beispiele (ZIP)

Bitte beachten

  • Für den CRA und für MVO Anhang III 1.1.9 gibt es noch keine harmonisierte Norm im Amtsblatt. Die Lösungen werden in der technischen Dokumentation begründet.
  • Risikozahlen, Kennwerte und Fristen sind Beispielwerte. Jeder Hersteller bewertet sein eigenes Produkt.
  • Kleinstunternehmen zahlen für eine verpasste 24-Stunden-Frühwarnung kein Bußgeld. Die Meldepflicht selbst gilt.
  • Keine Rechtsberatung. Alle Firmen, Personen und Daten sind fiktiv. Stand 05.11.2026.

Zuletzt aktualisiert: 06.11.2026

Seite teilen: LinkedInXINGFacebookXWhatsAppE-Mail