// Normen und Nachweise
Welche Nachweise liefert IndustrialFlow?
Zuletzt fachlich geprüft: · Andreas Schönfeld
Für jedes Release ein Nachweispaket aus PDF-Bericht, Originalartefakten und einem Manifest mit Hashes, gegliedert nach dem Regelwerk, das für Sie gilt.
Nachweispaket · Release v4.8.3Demo-Szenario
/01
PDF-Bericht
gegliedert nach dem Regelwerk, das für Sie gilt
/02
ZIP mit Originalartefakten
Bausteine, Testprotokoll, SBOM
/03
JSON-Manifest
Hashes aller Dateien, Signatur je Artefakt
Ändert sich nachträglich eine Datei, passt ihr Hash nicht mehr zum Manifest.
// 01 Fristen
Ab wann gilt was?
Die Meldepflicht des Cyber Resilience Act gilt seit dem 11.09.2026, die übrigen Pflichten folgen 2027.
11.09.2026
Seit diesem Tag gilt die Meldepflicht des Cyber Resilience Act, Frühwarnung binnen 24 Stunden.
Quelle: Verordnung (EU) 2024/284720.01.2027
Ab diesem Tag gilt die Maschinenverordnung mit Schutz gegen Korrumpierung und Erfassung von Eingriffen.
Quelle: Verordnung (EU) 2023/123011.12.2027
Ab diesem Tag gelten alle Pflichten des Cyber Resilience Act einschließlich Software-Stückliste.
Quelle: Verordnung (EU) 2024/2847// 02 Regelwerke
Welches Regelwerk verlangt was?
Acht Regelwerke für Hersteller, Betreiber und Systemhäuser, jedes mit dem Nachweis, der aus Build und Historie entsteht.
| Regelwerk | Für | Was es verlangt | Nachweis aus IndustrialFlow |
|---|---|---|---|
| Cyber Resilience Act (EU) 2024/2847 | Hersteller | Meldung aktiv ausgenutzter Schwachstellen seit 11.09.2026, Frühwarnung binnen 24 Stunden; ab 11.12.2027 alle Pflichten einschließlich Software-Stückliste. | SBOM je Build, Betroffenheitsabfrage über die Flotte, Supportende je Maschine |
| Maschinenverordnung (EU) 2023/1230, Anhang III 1.1.9 | Hersteller | Ab 20.01.2027 Schutz gegen Korrumpierung, Erfassung von Eingriffen, Kennzeichnung sicherheitsrelevanter Software. | Audit-Trail je Stand, Hash und Signatur je Artefakt, Versionsnachweis je Maschine |
| IEC 62443-4-1 | Hersteller | Sicherer Entwicklungsprozess beim Hersteller. | Secret-Scan, SBOM, CVE-Prüfung, signierte Artefakte; Bericht aus dem Audit-Log |
| IEC 61508 / IEC 61511 | Hersteller | Traceability von der Anforderung zum Test, Coverage, Reviews. | Trace-Matrix, Coverage-Report und Review-Protokolle je Release |
| § 30 Abs. 2 Nr. 3 und Nr. 5 BSIG | Betreiber | Backup-Management und Wiederherstellung; Sicherheit bei Erwerb, Entwicklung und Wartung. | Sicherungsstände und Wiederherstellungstests je Station; Änderungsprotokoll mit Merge Request und Freigabe, auch für Dienstleister |
| § 32 und § 39 BSIG | Betreiber | Meldungen nach 24 Stunden, 72 Stunden und einem Monat; Nachweis alle drei Jahre bei kritischen Anlagen. | Vorfallansicht mit Fristen; Nachweisstatus je kritischer Anlage |
| B3S WA / IT-Sicherheitskatalog nach EnWG | Betreiber | Branchenstandard Wasser und Abwasser bzw. ISMS nach ISO/IEC 27001. | Export gegliedert nach den Maßnahmen des jeweiligen Standards |
| IEC 62443-2-4 | Systemhäuser | Anforderungen an Dienstleister für industrielle Automatisierungssysteme. | Änderungen, Fernzugriffe und Sicherungen je Dienstleister, exportierbar je Kunde |
Fristen nach dem Stand vom 04.10.2026: Verordnung (EU) 2024/2847, § 30 BSIG, § 32 BSIG.
Die SBOM orientiert sich an den Mindestangaben der CISA.
// 03 Aus dem Build
Wann entstehen die Belege?
Die Belege entstehen aus dem Build und der Historie, nicht in der Woche vor dem Audit.
Jeder Build liefert eine SBOM in CycloneDX und SPDX mit VEX-Angaben, ob eine Schwachstelle im Produkt ausnutzbar ist.
Irgendwann fragt jemand von außen.
Beim Maschinenbauer ist es der Kunde nach einer Schwachstellenmeldung, der wissen will, ob seine drei Anlagen betroffen sind.
Beim Versorger ist es die Prüfstelle im Nachweiszyklus nach § 39 BSIG: Wer hat am Hochbehälter zuletzt geändert, und ist der Stand davor gesichert?
Die Antwort sollte dann in einem Export stehen und nicht im Gedächtnis eines Kollegen, der gerade im Urlaub ist.
Whitepaper · 22 Seiten · PDF · Oktober 2026
Welcher Programmstand läuft auf Ihren Maschinen?
Was ein Maschinenbauer von einer CI/CD-Plattform verlangen muss und wie IndustrialFlow es umsetzt: SPS-Code in Git, Tests gegen eine virtuelle Steuerung, Deployment nur im Wartungsfenster.
Kostenlos · per E-Mail
Nächster Schritt
Erstgespräch zum Pilot.
Ob sich ein Pilot für Ihre Anlagen lohnt, klären wir vorher.
Im Erstgespräch gehen wir Toolchain, Baureihe oder Anlage und die Rolle Ihres Systemhauses durch, und Sie wissen danach, wie die erste Pipeline aussähe.
30 Minuten · unverbindlich · kein Vertriebsgespräch