Viele digitale Dokumentationsprojekte im Maschinen- und Anlagenbau konzentrieren sich zuerst auf Betriebsanleitung, QR-Code und Sprachversionen. Bei vernetzten Maschinen kommt inzwischen ein weiterer Block hinzu: Cybersecurity-Informationen über den gesamten Supportzeitraum.
Genau hier wird digitale Dokumentation strategisch relevant. Denn mit dem Cyber Resilience Act (CRA) hat die EU einen horizontalen Rechtsrahmen für Produkte mit digitalen Elementen geschaffen. Dazu zählen nach Artikel 2 Absatz 1 Produkte, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst.
Für Maschinenhersteller heißt das nicht automatisch, dass jede klassische Anleitung neu geschrieben werden muss. Aber es heißt sehr wohl: Wenn eine Maschine, Baugruppe oder zugehörige Software in den CRA-Bereich fällt, sollten Supportende, digitale Kontaktwege und sicherheitsbezogene Produktinformationen in der bereitgestellten Dokumentation sauber auffindbar sein.
Warum das für docks.io ein naheliegendes Thema ist
docks.io adressiert den Punkt, an dem physische Maschine und digitale Information zusammenkommen: QR-Code am Produkt, browserbasierter Zugriff, verknüpfte Inhalte über Jahre. Genau dort entstehen auch die neuen Anforderungen vernetzter Produkte:
- Wo findet der Betreiber den aktuellen Supportzeitraum?
- Über welchen Kontaktweg lassen sich sicherheitsrelevante Rückfragen oder Meldungen adressieren?
- Wie bleibt nachvollziehbar, welche digitale Information zu welcher Maschinenvariante gehört?
Diese Fragen sind nicht nur organisatorisch sinnvoll. Sie werden durch den CRA für viele vernetzte Produkte auch regulatorisch deutlich wichtiger.
Was der Cyber Resilience Act dokumentationsseitig verändert
Die Europäische Kommission fasst in ihrer CRA-Zusammenfassung die Herstellerpflichten so zusammen: Zusammen mit dem Produkt sollen unter anderem folgende Angaben bereitgestellt werden:
- Typ-, Chargen- oder Serienkennzeichnung oder ein anderes Identifikationselement,
- Name bzw. Marke des Herstellers,
- Postanschrift, E-Mail-Adresse oder andere digitale Kontaktdaten,
- gegebenenfalls die Website, über die der Hersteller erreichbar ist,
- die Informationen und Anweisungen für Nutzer nach Anhang II,
- einschließlich des Enddatums des Supportzeitraums.
Wichtig ist dabei nicht nur das Vorhandensein dieser Angaben. Die Kommission betont außerdem, dass das Enddatum des Supportzeitraums bereits zum Zeitpunkt des Kaufs klar und verständlich angegeben werden muss.
Für digitale Produktdokumentation ist das ein klarer Hinweis: Eine Anleitung ist bei vernetzten Produkten nicht mehr nur Nutzungsinformation, sondern auch ein dauerhafter Träger von Lifecycle- und Sicherheitsinformationen.
Supportzeitraum: kein Detail, sondern Betriebsinformation
Die CRA-Zusammenfassung verweist auf die Pflicht des Herstellers, einen Supportzeitraum festzulegen, in dem Schwachstellen wirksam behandelt werden. In der offiziellen EUR-Lex-Fassung wird dieser Zeitraum in Artikel 13 Absatz 8 grundsätzlich mit mindestens fünf Jahren unterlegt.
Für Betreiber und Serviceorganisationen ist das keine Nebensache. Im Maschinenumfeld stellt sich praktisch oft die Frage:
- Ist die vernetzte Komponente noch im unterstützten Zeitraum?
- Gibt es für diese Steuerung, HMI-Komponente oder Gateway-Lösung noch sicherheitsbezogene Pflege?
- Wo findet der Betreiber verlässlich den aktuellen Stand?
Wenn diese Information nur in Angeboten, E-Mails oder Produktblättern steckt, ist sie im späteren Betrieb oft nicht mehr greifbar. Eine digitale Dokumentationsumgebung mit maschinenbezogener Zuordnung ist dafür deutlich robuster.
Was Hersteller digital sichtbar machen sollten
Aus den CRA-Pflichten folgt nicht automatisch ein bestimmtes UX-Muster. Aber aus Dokumentationssicht sind einige Punkte naheliegend:
- Supportende sichtbar am Produktkontext statt nur im Vertragsarchiv.
- Kontaktweg für sicherheitsbezogene Anfragen direkt neben der produktbezogenen Dokumentation.
- Eindeutige Zuordnung von Information zu Modell, Version, Variante oder Serienlogik.
- Verknüpfung von Betriebsanleitung, Update-Hinweisen und Produktidentität, damit Betreiber nicht in getrennten Systemen suchen müssen.
Gerade QR-Code-gestützte Dokumentation kann diesen Zusammenhang gut abbilden: Scan zur konkreten Maschine, dann Zugriff auf genau die Inhalte, die im Feld tatsächlich benötigt werden.
Die Grenze: Ein Portal allein macht noch keine CRA-Compliance
Der CRA schafft keinen simplen Checklisten-Effekt. Das zeigt auch die ENISA/JRC-Analyse zu den CRA-Anforderungen. Dort wird ausdrücklich festgehalten, dass kein einzelner bestehender Standard allein alle CRA-Anforderungen vollständig abdeckt. Für industrielle Automatisierungs- und Steuerungssysteme wird die IEC 62443-Familie zwar als starke, aber sektorspezifische Referenz eingeordnet.
Für die Praxis heißt das: Eine gute Dokumentationsplattform ist wichtig, ersetzt aber nicht die eigentliche Produkt- und Prozessarbeit. Hersteller brauchen weiterhin belastbare Abläufe für
- Schwachstellenbehandlung,
- Update- und Supportprozesse,
- Produktidentifikation,
- interne Verantwortlichkeiten zwischen Entwicklung, Service und technischer Redaktion.
Digitale Dokumentation ist also ein Träger und Ordnungsrahmen – nicht der vollständige Compliance-Nachweis an sich.
Vier Einführungsfragen für Maschinenhersteller
- Welche unserer Maschinen, Baugruppen oder Software-Komponenten fallen als Produkt mit digitalen Elementen in den CRA-Kontext?
- Wo ist das Enddatum des Supportzeitraums heute dokumentiert – und ist es für Betreiber später noch auffindbar?
- Gibt es einen klar benannten digitalen Kontaktweg für sicherheitsbezogene Rückfragen oder Meldungen?
- Sind diese Informationen maschinenbezogen verknüpft, oder liegen sie verteilt in Vertrieb, Servicepostfächern und Dateifreigaben?
Fazit
Bei vernetzten Maschinen wird digitale Dokumentation zunehmend zum Lifecycle-Interface zwischen Hersteller und Betreiber. Der Cyber Resilience Act macht deutlich, dass Nutzerinnen und Nutzer nicht nur eine funktionale Anleitung brauchen, sondern auch klar auffindbare Informationen zu Supportzeitraum, Herstellerkontakt und sicherheitsbezogenem Produktkontext.
Für docks.io ist das unmittelbar anschlussfähig: Wer Dokumentation per QR-Code langfristig bereitstellt, kann genau die Informationen sichtbar machen, die im Betrieb später fehlen, wenn sie nur in Einmaldokumenten oder internen Systemen abgelegt wurden.