CRA für Landtechnik und Agrartechnik

Warum Landtechnik unter den Cyber Resilience Act fällt

Ein moderner Traktor ist ein vernetztes System: Steuergeräte am Fahrzeugbus, ein ISOBUS-Terminal in der Kabine, ein GNSS-Empfänger für das Lenksystem, eine Telematikeinheit mit Mobilfunk und dahinter eine Farm-Management-Software in der Cloud. Im Stall bringen Melkroboter, Sensoren für Tier- und Klimadaten und Gateways Daten ins Internet. Der Cyber Resilience Act (Verordnung (EU) 2024/2847, CRA) gilt nach Art. 2 Abs. 1 für Produkte mit digitalen Elementen, „deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt“.

Was eine Datenverbindung ist, definiert der CRA nicht. Ergänzend lässt sich der Entwurf der Leitlinie der Kommission zur Anwendung des CRA, dessen Inhalt die Kommission am 27.07.2026 gebilligt hat (C(2026) 5252, bisher nur englisch; die förmliche Annahme steht aus) heranziehen. Nach der Begleitmitteilung der Kommission gilt die Leitlinie erst ab ihrer förmlichen Annahme, und auch dann ist sie nicht verbindlich; eine verbindliche Auslegung kann nur der Gerichtshof der Europäischen Union geben (Rn. 8). Er stellt in Rn. 26 bis 28 auf den Austausch digitaler Informationen ab; Signale, die eine Funktion nur auslösen oder versorgen, sieht er nicht als Datenverbindung. Ein Steuergerät, das über den Bus Nachrichten mit dem Terminal austauscht, hat nach unserer Einschätzung eine Datenverbindung, ein nur geschaltetes Ventil eher nicht. Prüfen Sie diese technische Ersteinschätzung je Produkt.

Gilt die Fahrzeug-Ausnahme für Traktoren? Eine Ersteinschätzung am Amtstext

Der Amtstext nimmt nicht pauschal alle Fahrzeuge aus. Art. 2 Abs. 2 Buchst. c CRA nimmt Produkte mit digitalen Elementen aus, auf die die Verordnung (EU) 2019/2144 Anwendung findet. Deren Anwendungsbereich regelt Art. 2 VO (EU) 2019/2144: Sie „gilt für Fahrzeuge der Klassen M, N und O im Sinne des Artikels 4 der Verordnung (EU) 2018/858“ und für Systeme, Bauteile und selbstständige technische Einheiten, die für solche Fahrzeuge konstruiert und gebaut werden. Nach Art. 4 Abs. 1 VO (EU) 2018/858 sind das Kraftfahrzeuge vorwiegend für die Beförderung von Personen (M) oder Gütern (N) und Anhänger (O).

Für land- und forstwirtschaftliche Fahrzeuge gibt es eine eigene Verordnung. Art. 2 Abs. 1 VO (EU) Nr. 167/2013 nennt Zugmaschinen (Klassen T und C), Anhänger (Klasse R) und gezogene auswechselbare Geräte (Klasse S). Die VO (EU) 2018/858 nimmt diese Fahrzeuge in Art. 2 Abs. 2 Buchst. a ausdrücklich aus ihrem eigenen Geltungsbereich aus: Sie gilt nicht für „landwirtschaftliche oder forstwirtschaftliche Fahrzeuge im Sinne der Verordnung (EU) Nr. 167/2013“.

Unsere technische Ersteinschätzung: Die Klassen T, C, R und S gehören nicht zu den Klassen M, N und O, auf die Art. 2 VO (EU) 2019/2144 verweist. Nach dem Wortlaut erfasst die Ausnahme in Art. 2 Abs. 2 Buchst. c CRA land- und forstwirtschaftliche Fahrzeuge nach VO (EU) Nr. 167/2013 daher nicht, ebenso wenig Systeme und Bauteile, die ausschließlich für sie gebaut werden. Für Fahrzeuge der Klasse L nach VO (EU) Nr. 168/2013 sieht die Delegierte Verordnung (EU) 2025/1535 eine eigene Ausnahme vor, mit einer Rückausnahme für bestimmte für den Pedalantrieb ausgelegte Fahrzeuge der Klasse L1e. Einen delegierten Rechtsakt nach Art. 2 Abs. 5 CRA, der Fahrzeuge nach VO (EU) Nr. 167/2013 ausnimmt, haben wir bis zum 01.11.2026 im Amtsblatt nicht gefunden. Auch der Leitlinienentwurf C(2026) 5252 behandelt in Abschnitt 9.3.1 (Rn. 241 bis 246) nur die VO (EU) 2019/2144 und die VO (EU) Nr. 168/2013. Diese Folgerung ist keine Rechtsberatung; wir markieren sie zur Prüfung durch Ihre Rechtsabteilung oder Kanzlei.

Für Komponenten, die in mehreren Fahrzeugwelten verbaut werden, ist der Wortlaut von Art. 2 VO (EU) 2019/2144 der Ausgangspunkt: Erfasst sind Systeme und Bauteile, die „für solche Fahrzeuge konstruiert und gebaut werden“. Der Leitlinienentwurf liest das in Rn. 244 und 245 so, dass nur Bauteile ausgenommen sind, die ausschließlich für den Einbau in diese Fahrzeuge gebaut sind, während generische Komponenten dem CRA unterliegen. Bieten Sie eine Telematikeinheit sowohl für Lkw als auch für Traktoren an, spricht nach unserer Ersteinschätzung viel dafür, dass sie unter den CRA fällt. Die Abgrenzung für Straßenfahrzeuge, Nachrüstteile und Zubehör beschreibt unsere Seite CRA und Automotive.

Typische Produkte und ihre wahrscheinliche Einordnung

Ob ein Produkt als wichtig (Anhang III) oder kritisch (Anhang IV) gilt, richtet sich nach seiner Kernfunktion (Art. 7 Abs. 1, Art. 8 Abs. 1). Ein integriertes Bauteil mit Anhang-III-Kernfunktion führt nach Art. 7 Abs. 1 Satz 2 für sich genommen nicht dazu, dass das Gesamtprodukt den Verfahren für wichtige Produkte unterliegt. Die technischen Beschreibungen der Kategorien stehen in der Durchführungsverordnung (EU) 2025/2392. Die Tabelle ist eine technische Ersteinschätzung, keine verbindliche Einordnung.

Bei Telematik und Stall-Gateways entscheidet die Kernfunktion: Die Durchführungsverordnung führt zellulare Modems und Router mit oder ohne Modem in Nr. 12 auf. Ein Gerät, das Maschinendaten erfasst und über ein eingebautes Modem überträgt, nutzt das Modem als Bauteil. Ein Gateway, das vor allem Sensoren und andere Geräte im Stall ans Internet anbindet, kann dagegen die Kernfunktion eines Routers haben. Bei der Farm-Management-Software gehört der Cloud-Teil zum Produkt, wenn er die Begriffsbestimmung der Datenfernverarbeitung in Art. 3 Nr. 2 erfüllt. Die Vorschrift enthält drei Merkmale: entfernt stattfindende Verarbeitung, Software vom Hersteller oder unter seiner Verantwortung, und ohne sie könnte das Produkt eine seiner Funktionen nicht erfüllen; der Leitlinienentwurf erläutert sie in Abschnitt 8. Mehr dazu unter CRA-Produktklassen.

Maschinenverordnung: eigene Cybersicherheitsanforderungen ab 20.01.2027

Die Maschinenverordnung (EU) 2023/1230 gilt nach Art. 54 in der berichtigten Fassung (Berichtigung, ABl. L 169 vom 04.07.2023, S. 35) ab dem 20.01.2027. Ihr Anhang III enthält zwei grundlegende Anforderungen mit Bezug zur Cybersicherheit. Nr. 1.1.9 (Schutz gegen Korrumpierung) verlangt, dass der Anschluss einer anderen Einrichtung, auch über eine Fernzugriffseinrichtung, nicht zu einer gefährlichen Situation führt, dass sicherheitsrelevante Software und Daten angemessen gegen unbeabsichtigte oder vorsätzliche Korrumpierung geschützt sind und dass die Maschine Nachweise für ein rechtmäßiges oder unrechtmäßiges Eingreifen in die Software oder ihre Konfiguration sammelt. Nr. 1.2.1 (Sicherheit und Zuverlässigkeit von Steuerungen) verlangt in Buchst. a, dass Steuerungen, wenn den Umständen und Risiken angemessen, auch „vernünftigerweise vorhersehbare böswillige Versuche Dritter, die zu einer Gefährdungssituation führen“, standhalten.

Diese Anforderungen gelten neben dem CRA. Nach Erwägungsgrund 53 CRA sollen Hersteller von Produkten, die unter die Maschinenverordnung fallen und zugleich Produkte mit digitalen Elementen sind, beide Anforderungskataloge erfüllen und die Konformitätsbewertungsverfahren beider Verordnungen befolgen. Derselbe Erwägungsgrund hält fest, dass die Einhaltung der CRA-Anforderungen die Erfüllung von Nr. 1.1.9 und 1.2.1 erleichtern könnte; solche Synergien muss der Hersteller nachweisen. Die Blickrichtung ist verschieden: Die Maschinenverordnung fragt, ob ein Eingriff zu einer Gefährdung führt, der CRA verlangt zusätzlich etwa die Behandlung von Schwachstellen über den Unterstützungszeitraum (Anhang I Teil II) und die Meldepflicht nach Art. 14.

Für die Landtechnik zählt Art. 2 Abs. 2 Buchst. i der Maschinenverordnung. Ausgenommen sind land- und forstwirtschaftliche Zugmaschinen sowie Systeme, Bauteile, Teile und Ausrüstungen, die für solche Zugmaschinen konstruiert und gebaut wurden und in den Anwendungsbereich der VO (EU) Nr. 167/2013 fallen, „mit Ausnahme der auf diesen Zugmaschinen angebrachten Maschinen“. Die Vorschrift nennt nur Zugmaschinen. Unsere technische Ersteinschätzung: Für den Traktor selbst gilt die Maschinenverordnung nach dieser Vorschrift nicht; Anbaugeräte, gezogene Geräte und Stalltechnik wie Melkroboter können dagegen als Maschinen oder auswechselbare Ausrüstungen (Art. 2 Abs. 1) erfasst sein. Auch das markieren wir zur rechtlichen Prüfung. Den Maschinenbau allgemein behandelt unser Beitrag CRA im Maschinenbau.

Lange Nutzungsdauer, Ersatzteile und Interoperabilität

Für langlebige Landmaschinen ist das wichtig: Den Unterstützungszeitraum legt der Hersteller so fest, dass er die voraussichtliche Nutzungsdauer widerspiegelt; er beträgt mindestens fünf Jahre, sofern das Produkt nicht kürzer im Betrieb ist (Art. 13 Abs. 8).

Ersatzteile sind nach Art. 2 Abs. 6 ausgenommen, wenn sie identische Komponenten ersetzen und nach denselben Spezifikationen hergestellt werden. Ein Ersatzsteuergerät mit geänderten Protokollen, Kryptoverfahren oder Zugriffskontrollen ist nach unserer Einschätzung möglicherweise nicht mehr identisch und dann ein eigenes Produkt; so sieht es auch der Leitlinienentwurf (Rn. 100 und 101), der außerdem erwartet, dass der Reparaturzweck aus der Lieferung erkennbar ist (Rn. 97).

Damit Traktor, Terminal und Anbaugeräte verschiedener Hersteller zusammenarbeiten, müssen viele Geräte Interoperabilitätsstandards einhalten. Erwägungsgrund 55 CRA nennt diesen Fall: Ist eine grundlegende Anforderung nicht anwendbar, etwa weil der Hersteller weithin anerkannte Interoperabilitätsnormen befolgen muss, begründet er das in der Risikobewertung. Der Leitlinienentwurf ergänzt in Rn. 31 und 32, dass Hersteller die Risiken solcher Einschränkungen bewerten und ausgleichende Maßnahmen umsetzen sollen.

Pflichten und Fristen

• Seit 11.09.2026: Meldepflicht nach Art. 14 (Art. 71 Abs. 2). Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden Sie über die einheitliche Meldeplattform nach Art. 16, mit einer Frühwarnung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Die Pflicht gilt nach Art. 69 Abs. 3 auch für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden. Einzelheiten: CRA-Meldepflicht seit September 2026.
• Ab 11.12.2027: alle übrigen Pflichten (Art. 71 Abs. 2), darunter die grundlegenden Anforderungen nach Anhang I, Risikobewertung (Art. 13 Abs. 2 und 3), technische Dokumentation und Konformitätsbewertung.
• Bestandsprodukte: Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden, unterliegen den Anforderungen nur bei einer späteren wesentlichen Änderung (Art. 69 Abs. 2); die Meldepflicht bleibt davon unberührt.

Am 01.11.2026 war im Amtsblatt keine harmonisierte Norm zum CRA veröffentlicht. Planen Sie die Nachweise daher zunächst direkt an Anhang I.

Ein konstruiertes Beispiel

Das folgende Beispiel ist frei zusammengestellt und beschreibt kein bestimmtes Unternehmen. Ein mittelständischer Hersteller baut Feldspritzen mit eigenem ISOBUS-Jobrechner, einer Telematikeinheit und einer App mit Cloud-Anbindung für Auftragsdaten. Er erfasst je Produkt die Datenverbindungen und gibt die Fahrzeugfrage mit der Herleitung über Art. 2 der VO (EU) 2019/2144 und der VO (EU) Nr. 167/2013 an seine Rechtsabteilung. Für Jobrechner, Telematik und App geht er technisch von der Kategorie Standard aus und dokumentiert die Kernfunktion. Weil die Feldspritze als Maschine in Frage kommt, führt er die Risikobewertung für CRA und Nr. 1.1.9 und 1.2.1 der Maschinenverordnung in einem Modell zusammen. Den Meldeprozess für aktiv ausgenutzte Schwachstellen richtet er vorrangig ein, weil diese Pflicht bereits gilt.

Nächste Schritte

1. Produkte mit Datenverbindung erfassen, vom Terminal bis zur App.
2. Die Fahrzeugfrage je Produkt dokumentieren und zur Prüfung durch Ihre Rechtsabteilung markieren.
3. Die Kernfunktion je Produkt mit Anhang III und IV und der Durchführungsverordnung (EU) 2025/2392 abgleichen.
4. Meldeprozess und Schwachstellenbehandlung aufsetzen, weil Art. 14 bereits gilt.
5. Anforderungen aus CRA und Maschinenverordnung in einer Risikobewertung zusammenführen.

Wir schätzen Anwendungsbereich und Produktklasse Ihrer Landtechnik technisch ein und markieren die rechtlich offenen Fragen zur Prüfung durch Ihre Rechtsabteilung oder Kanzlei. Ein erster Schritt ist der Betroffenheits-Check; den Stand je Produkt misst die CRA-Gap-Analyse, den Meldeprozess behandelt Meldeprozess und PSIRT. Für ein Gespräch: Kontakt aufnehmen.