Die intelligente Fertigung wird softwaredefiniert. Industriesteuerungen, Edge-Gateways, Robotik, Bildverarbeitungssysteme, Cloud-Plattformen und Tools für die Fernwartung basieren heute auf KI-gestützten Entscheidungen und tauschen kontinuierlich Daten und Software-Updates aus. Dieser Wandel verändert das Risikoprofil grundlegend.
Für europäische Bürger geht das Risiko über Produktionsausfälle hinaus. Ein anfälliges Produkt kann die Sicherheit von Beschäftigten, die Produktqualität, personenbezogene Daten, kritische Lieferketten und das Vertrauen in vernetzte Infrastrukturen beeinträchtigen.
Mit der Einführung von KI in Fabriken wird Cybersicherheit zu einem Bestandteil der Produktsicherheit und des öffentlichen Vertrauens und nicht zu einem technischen Detail, das erst nach der Bereitstellung hinzugefügt wird.
Der EU-Markt bewegt sich von KI-Experimenten hin zu einer verantwortungsvollen Einführung
Die Einführung von KI beschleunigt sich in ganz Europa. Eurostat berichtet, dass 20,0 % der EU-Unternehmen mit 10 oder mehr Beschäftigten im Jahr 2025 mindestens eine KI-Technologie nutzten, gegenüber 13,5 % im Jahr 2024; in der Fertigung lag die Nutzung bei 17,3 %.
Die Botschaft für Führungskräfte in der Industrie ist eindeutig: Die Einführung von KI muss gemeinsam mit Sicherheit, Rückverfolgbarkeit und betrieblicher Resilienz skaliert werden.
Der EU Cyber Resilience Act (CRA) überführt diese Verantwortung in Produktanforderungen. Er gilt für viele Hardware- und Softwareprodukte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Die Pflichten zur Meldung von Schwachstellen und Sicherheitsvorfällen gelten ab dem 11. September 2026, während die wichtigsten Verpflichtungen ab dem 11. Dezember 2027 gelten.
Behandeln Sie CRA-Anforderungen als Engineering-Workflow: Risiken bewerten, Sicherheit integrieren, testen, Abhängigkeiten dokumentieren, Schwachstellen verwalten und während des gesamten Supportzeitraums Updates bereitstellen. Bauen Sie Compliance-Nachweise kontinuierlich auf, statt erst am Ende.
AI-native Softwareentwicklung ist besonders hilfreich, wenn KI über den gesamten Engineering-Lebenszyklus hinweg eingesetzt wird und nicht nur als Programmierassistent. Statt separater Übergaben verbindet sie drei kontinuierliche Aktivitäten: Rahmen, Entwickeln und Verifizieren.
Bild: Die drei Phasen sind keine sequenziellen Übergaben – sie teilen kontinuierlich Informationen, und die Erkenntnisse aus dem Testen fließen zurück in die Gestaltung der nächsten Anforderung.
Zuordnung des AI-Native SDLC zur CRA-Compliance
| Rahmen | Entwickeln | Verifizieren | Betrieb |
|---|---|---|---|
| Produktrisiken, Sicherheitsziele, Grenzen und CRA-Anforderungen definieren. | Sichere Entwicklung, genehmigte Abhängigkeiten, SBOM-Updates und nachvollziehbare Änderungen anwenden. | Tests und Schwachstellenmanagement automatisieren, unterstützt durch menschliche Prüfung und Compliance-Nachweise. | Produkte überwachen, Offenlegungen und Patches verwalten und die Sicherheit während des gesamten Supportzeitraums aufrechterhalten. |
Für Hersteller intelligenter Systeme bedeutet die Einhaltung des Cyber Resilience Act, Sicherheit über den gesamten Produktlebenszyklus hinweg zu integrieren. AI-native Softwareentwicklung kann diesen Ansatz stärken, indem Entwicklung, Verifizierung und Betrieb durch Secure-by-Design-Softwareentwicklung, Transparenz in der Lieferkette und menschliche Aufsicht miteinander verbunden werden.
Warum Produktsicherheit im Cyberbereich zu einer Anforderung der Fertigungsindustrie wird
Mit der Konvergenz von IT und OT können Schwachstellen in der Cybersicherheit Produktion und physische Abläufe beeinträchtigen. Eine wirksame Industrial-IoT-Sicherheit muss Verfügbarkeit, Sicherheit, Wiederherstellung und Zugriff berücksichtigen und gleichzeitig Engineering und Werksbetrieb aufeinander abstimmen. Die Konvergenz von IT und OT schafft neue Cybersicherheitsrisiken.
Intelligente Fabriken verbinden Steuerungen, Sensoren, Robotik, Cloud-Dienste und Tools für den Fernzugriff und vergrößern damit die Angriffsfläche. Cybersicherheit in der intelligenten Fertigung muss daher Produkte, Software-Updates, Schnittstellen und die Betriebsumgebungen schützen, in denen diese ausgeführt werden.
Vernetzte Produkte können jahrelang im Einsatz bleiben, wodurch Produktsicherheit über den gesamten Lebenszyklus unverzichtbar wird. Hersteller benötigen Transparenz über eingesetzte Produkte und deren Komponenten, um Schwachstellen zu verwalten und sichere Updates bereitzustellen. Der EU Cyber Resilience Act (CRA) stärkt diesen Lebenszyklusansatz und macht Cybersicherheit während der gesamten Betriebsdauer eines Produkts zu einer fortlaufenden Verantwortung.
Die Compliance-Anforderungen wachsen, da die Fertigung softwaredefiniert und KI-gestützt wird
Die Fertigung unterliegt bereits etablierten Anforderungen an Sicherheit, Qualität und Regulierung. Da Produkte und Produktionsumgebungen softwaredefiniert werden, kommt eine zusätzliche Ebene softwarebezogener Anforderungen an Sicherheit, Verifizierung, Rückverfolgbarkeit und Lebenszyklus hinzu.
Wenn diese Software KI-gestützt wird, müssen Hersteller eine weitere Ebene von Verpflichtungen berücksichtigen, darunter den EU AI Act und Datenschutzanforderungen wie die DSGVO. Cybersicherheit und betriebliche Resilienz bringen zusätzliche Verantwortlichkeiten mit sich, wobei der EU Cyber Resilience Act (CRA) Secure-by-Design, Schwachstellenmanagement, Meldepflichten und Lebenszyklussicherheit in die Produktentwicklung integriert.
Die Herausforderung ist daher kumulativ: Hersteller ersetzen nicht einen Compliance-Rahmen durch einen anderen; sie fügen Software-, KI-, Datenschutz-, Cybersicherheits- und Resilienzanforderungen zu Prozessen hinzu, die weiterhin bestehende Anforderungen an industrielle Sicherheit und funktionale Sicherheit erfüllen müssen.
Die Berücksichtigung all dieser Dimensionen innerhalb etablierter Engineering-Prozesse kann den Übergang zu Industry 5.0 komplex machen und eine Beschleunigung erschweren.
Calsoft begegnet dieser Herausforderung, indem das Unternehmen Fachwissen aus dem Fertigungsbereich mit maschinen- und KI-gestütztem Engineering verbindet und Hersteller dabei unterstützt, konforme Frameworks in der tatsächlichen Fertigungsumgebung zu entwerfen, zu entwickeln, funktional zu testen, abzusichern und bereitzustellen – mit ungefähr einem Drittel der klassischen Entwicklungszeit und unter Beibehaltung einer starken Human-in-the-Loop-Aufsicht und -Kontrolle bei kritischen Engineering- und Governance-Entscheidungen.
Für Produkte der intelligenten Fertigung bedeutet dies, mehrere Disziplinen in das Engineering zu integrieren:
- Risikobewertung sowie Secure-by-Design- und Secure-by-Default-Entscheidungen vor der Produktion.
- Umgang mit Schwachstellen, koordinierte Offenlegung, Sicherheitsupdates und ein definierter Supportzeitraum.
- Technische Dokumentation, Rückverfolgbarkeit von Komponenten und Informationen zur Software Bill of Materials (SBOM), um Transparenz in der Lieferkette zu unterstützen.
- Konformitätsbewertung, eine EU-Konformitätserklärung und CE-Kennzeichnung, sofern zutreffend.
- Schnelle, strukturierte Meldung über die CRA Single Reporting Platform, sobald qualifizierende Schwachstellen oder Vorfälle festgestellt werden.
Warum AI-native Softwareentwicklung gut geeignet ist
KI verändert den Softwarelebenszyklus, indem Kontext früher verfügbar und Feedback schneller wird. Mit AI-native Softwareentwicklung können Teams Anforderungen mit Architektur, Quellcode, Testabdeckung, Laufzeitsignalen und bekannten Schwachstellen verbinden. Dies hilft, Sicherheitslücken früher zu erkennen, die Sicherheit von KI-generiertem Code zu stärken und die Rückverfolgbarkeit aufrechtzuerhalten, während sich Software und vernetzte Produkte weiterentwickeln.
Die traditionelle Entwicklung behandelt Anforderungen, Programmierung, Tests und Compliance häufig als separate Übergaben. AI-native Softwareentwicklung verändert dieses Betriebsmodell. KI wird eingesetzt, um den gesamten Engineering-Lebenszyklus zu verstehen und miteinander zu verbinden, während Menschen die Verantwortung für Entscheidungen, Risikoakzeptanz und Rechenschaft behalten.
Wo AI-Native Development auf den EU Cyber Resilience Act trifft
1. Anforderungen im vollständigen Kontext formulieren
Eine Anforderung sollte mehr definieren als das, was eine Maschine oder Anwendung tun muss. Sie sollte auch Systemstruktur, Geschäftsprozess, Laufzeitinstrumentierung, Sicherheitskontrollen, Compliance-Verpflichtungen und sichere Wartung erfassen. Wenn diese Dimensionen gemeinsam spezifiziert werden, kann ein KI-System von Anfang an nachvollziehen, wie sich eine funktionale Änderung auf Cybersicherheit, Nachweise und Betrieb auswirkt.
2. Code, Tests und Änderungsintelligenz gemeinsam entwickeln
KI-gestützte Entwicklung kann Software zusammen mit strukturellen, funktionalen und Sicherheitstests erzeugen. Sie kann außerdem eine Änderungsfolgenkarte erstellen: welche Komponenten wahrscheinlich betroffen sind, wenn sich ein Modell, ein Dienst, eine Geräteintegration oder ein Workflow ändert. Dadurch werden inkrementelle Updates kontrollierter und das Risiko reduziert, eine zertifizierte oder sicherheitsrelevante Funktion zu beeinträchtigen.
3. Kontinuierlich und angemessen testen
Tests werden zu einer kontinuierlichen Fähigkeit statt zu einem abschließenden Gate. KI kann Unit-, Integrations- und Systemtests mit Workflow-, Kontext- und Sicherheitstests kombinieren. Sie kann die wertvollsten Prüfungen für jede Änderung priorisieren, die Verifizierung ausweiten, wenn der Einfluss einer Änderung groß ist, und sie fokussieren, wenn das Risiko begrenzt ist.
4. Mit Nachweisen und kontrollierter Weiterentwicklung arbeiten
Observability, Reaktion auf Schwachstellen, Patch-Governance und Compliance-Nachweise sollten auch nach der Bereitstellung miteinander verbunden bleiben. Dies unterstützt den Lebenszyklusansatz des CRA und hilft Engineering-Teams zu zeigen, was geändert wurde, warum es geändert wurde, wie es getestet wurde und wie Nutzer geschützt werden.
Wie Calsoft das Modell in eine Engineering-Praxis überführt
Calsoft setzt KI über den gesamten Produktentwicklungslebenszyklus hinweg ein, nicht als isolierte Produktfunktion, sondern zur Bereitstellung fortschrittlicher, sicherer und konformer Kundenlösungen.
Calsoft führt diese Ebenen in einem einheitlichen Engineering-Ansatz zusammen. Durch die Kombination von Fertigungs-Know-how mit maschinen- und KI-gestützter Entwicklung, Automatisierung, Tests und Governance kann Calsoft gemeinsam mit Herstellern ein vollständig sicheres, konformes und funktional getestetes Framework direkt in der Fertigungsumgebung entwerfen, entwickeln und bereitstellen – mit ungefähr einem Drittel der klassischen Entwicklungszeit.
Diese Beschleunigung beseitigt nicht die menschliche Verantwortung. Eine starke Human-in-the-Loop-Aufsicht und -Kontrolle bleiben integraler Bestandteil von Anforderungen, Architektur, Risikoentscheidungen, Validierung, Compliance-Nachweisen und Bereitstellung. So können Hersteller KI für mehr Engineering-Geschwindigkeit nutzen und gleichzeitig die Governance aufrechterhalten, die für sicherheitskritische und regulierte Umgebungen erforderlich ist.
- Geschäfts- und Softwareentwicklung entwickeln sich gemeinsam: Nutzer-Workflows, operative Ziele und technische Architektur werden als ein System betrachtet.
- Compliance, Governance und Sicherheit werden in Anforderungen, Architektur, Tests und Bereitstellung integriert und nicht später hinzugefügt oder als nachträglicher Gedanke behandelt.
- Vollständige End-to-End-Lösungen decken Discovery, Architektur, UX, Entwicklung, Integration, Validierung, Bereitstellung und Lebenszyklusmanagement ab.
- Ein einheitlicher Engineering-Ansatz verschafft Nutzern Transparenz über Geschäfts- und Engineering-Prozesse und unterstützt Zusammenarbeit, Governance sowie schnellere und sicherere Innovation.
- Fachwissen aus dem jeweiligen Bereich wird mit KI-gestützten Engineering-Praktiken kombiniert, um Lösungen auf Enterprise-Niveau für komplexe industrielle Umgebungen zu entwickeln.
Das Ergebnis: sicherere Innovation mit öffentlichem Mehrwert
Für europäische Hersteller besteht die Chance nicht einfach darin, Software schneller zu produzieren. Es geht darum, Industrieprodukte zu schaffen, die auch während ihrer Weiterentwicklung sicher, erklärbar, wartbar und vertrauenswürdig bleiben. Ein AI-natives Engineering-Modell macht dies möglich, indem Compliance und Cybersicherheit zu lebendigen Eigenschaften des Produktlebenszyklus werden. Calsofts Kompetenzen in den Bereichen KI, Cloud, Infrastruktur und Produktentwicklung sollen Kunden dabei unterstützen, von fragmentierter Bereitstellung zu einer einheitlichen Engineering-Kontrolle überzugehen. Ziel ist es, Herstellern den Sprung zu Industry 5.0 zu ermöglichen, ohne funktionale Sicherheit, KI-Governance, Datenschutz, Cybersicherheit und Resilienz als getrennte nachträgliche Maßnahmen zu behandeln.
Häufig gestellte Fragen
Was ist der EU Cyber Resilience Act?
Der EU Cyber Resilience Act legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über deren gesamten Lebenszyklus fest.
Gilt der Cyber Resilience Act für Software?
Ja. Er gilt für Softwareprodukte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden.
Gilt der CRA für Produkte der intelligenten Fertigung?
Ja. Er kann für vernetzte Maschinen, eingebettete Software, Edge-Gateways und industrielle Anwendungen gelten.
Wie unterstützt AI-native Softwareentwicklung die CRA-Compliance?
Sie verbindet Secure Design, Programmierung, Tests, SBOM-Management, Schwachstellenmanagement und Sicherheitsupdates.
Verursacht KI-generierter Code Cybersicherheitsrisiken im Rahmen des CRA?
Ja. Er kann unsicheren Code oder anfällige Abhängigkeiten einführen. Menschliche Prüfung, Tests und Sicherheitsscans sind unerlässlich.
Warum ist eine SBOM für die CRA-Compliance wichtig?
Eine SBOM listet Softwarekomponenten und Versionen auf und hilft Herstellern, Schwachstellen schneller zu identifizieren und zu beheben.
Welche CRA-Fristen gelten für Hersteller?
Die Meldepflichten beginnen am 11. September 2026, während die wesentlichen CRA-Verpflichtungen ab dem 11. Dezember 2027 gelten.
Wie können sich Hersteller auf die CRA-Compliance vorbereiten?
Produktrisiken bewerten, Secure-by-Design-Entwicklung einführen, AI DevSecOps implementieren, eine SBOM pflegen, Schwachstellen verwalten und Nachweise kontinuierlich dokumentieren.
