Stellen Sie sich vor, jemand manipuliert per Fernzugriff absichtlich Ihre Sicherheitssteuerung, sodass beispielsweise eine offene Schutztür als geschlossen gemeldet oder die Nothalt-Funktion softwareseitig kompromittiert wird. Genau dieses Szenario gezielter Eingriffe adressiert der europäische Gesetzgeber nun mit der neuen Maschinenverordnung (Verordnung (EU) 2023/1230).

Cybersecurity als grundlegende Sicherheitsanforderung

Cybersecurity wird erstmals zu einer essenziellen Sicherheitsanforderung für Maschinen. Was wie ein reines IT-Thema wirkt, betrifft künftig jeden Maschinenhersteller, unabhängig von bisherigen Berührungspunkten mit Netzwerksicherheit.

Bisher lag der Fokus der Risikobeurteilung primär auf Hardwareausfällen und dem Personenschutz. Gegen Gefährdungen durch defekte Sensoren oder Steuerungsfehler bewähren sich fehlertolerante Architekturen nach EN ISO 13849-1. Durch redundante Strukturen wird sichergestellt, dass Sicherheitsfunktionen den erforderlichen Performance Level (PLr) erreichen. Diese klassische Safety-Betrachtung übersieht jedoch Eingriffe von außen. Manipulierte Software-Updates, unautorisierte Fernzugriffe oder kompromittierte USB-Sticks machen die Sicherheitsfunktion selbst zum potenziellen Angriffsziel.

Die Vorgaben der neuen Maschinenverordnung (MVO)

Die neue EU-Maschinenverordnung (Verordnung (EU) 2023/1230) greift dieses Risiko unter dem Begriff der „Korrumpierung“ auf. Anhang III, Ziffer 1.1.9 fordert zwingend, dass sicherheitsrelevante Hard- und Softwarekomponenten gegen unbeabsichtigte sowie vorsätzliche Eingriffe geschützt werden. Zudem wird eine aktive Nachverfolgbarkeit verlangt. Die Maschine muss sicherheitsrelevante Ereignisse und Systemeingriffe nachvollziehbar protokollieren sowie Informationen über die eingesetzten Cybersicherheitsmaßnahmen und deren aktuellen Status bereitstellen.

Für Hersteller ändert sich die Praxis in drei konkreten Punkten:

1.  Erweiterte Risikobeurteilung: Neben der klassischen Analyse nach EN ISO 12100 ist künftig eine Bedrohungsanalyse erforderlich. Es muss systematisch geklärt werden: Welche Schnittstellen (Netzwerk, USB, Cloud) existieren? Wer könnte zugreifen und welche sicherheitskritischen Folgen hätte das?

2.  Normative Umsetzung: Die im Entwurf befindliche prEN 50742 („Schutz gegen Korrumpierung“) liefert Herstellern ohne IT-Security-Erfahrung ein Konzept mit vier abgestuften Schutzniveaus. Erfahrene Anwender können stattdessen etablierte Prozesse der IEC 62443 direkt für den Konformitätsnachweis heranziehen.

3.  Strikter Zeitplan: Die MVO gilt verbindlich ab dem 20. Januar 2027. Da es keine separate Übergangsfrist für Cybersecurity-Anforderungen gibt, müssen neu in Verkehr gebrachte Maschinen ab diesem Stichtag konform konstruiert sein.

Abgrenzung zum Cyber Resilience Act (CRA)

Beide Regelwerke (CRA und MVO) greifen ineinander, müssen aber klar unterschieden werden:

• MVO: Betrachtet IT-Sicherheit ausschließlich im Kontext des Personenschutzes („Safety“). Externe Eingriffe dürfen niemals zu einer gefährlichen Maschinensituation führen.
• CRA: Legt Anforderungen an die Cybersicherheit vernetzter Produkte und Software fest. Hersteller müssen Schwachstellen systematisch behandeln, Sicherheitsupdates bereitstellen und die Cybersecurity des Produkts über den vorgesehenen Lebenszyklus sicherstellen.

Vernetzte Maschinen mit Sicherheitssteuerung müssen künftig beide Regelwerke parallel erfüllen.

Praktische Handlungsempfehlung

Die Trennung von klassischer Maschinensicherheit (Konstruktion) und IT-Security (IT-Abteilung) ist veraltet. Beide Disziplinen müssen verschmelzen. Hersteller sollten umgehend drei Kernfragen klären:

Welche Schnittstellen erlauben externe Einflüsse auf Sicherheitsfunktionen?
- Ist der Entwicklungsprozess ganzheitlich auf Safety und Security ausgerichtet?
- Wie lässt sich dies in der technischen Dokumentation rechtssicher nachweisen?

Wer dies vor Januar 2027 löst, minimiert sein Compliance-Risiko erheblich. Gern unterstützen wir Sie bei Ihren Fragen rund um die Themen Cybersecurity und Maschinenverordnung.