Maschinenverordnung: Ab 20. Januar 2027 ist Cybersicherheit Maschinensicherheit

Am 20. Januar 2027 endet eine Ära. Die Maschinenrichtlinie 2006/42/EG, die den europäischen Maschinenbau fast zwei Jahrzehnte geprägt hat, wird durch die Maschinenverordnung (EU) 2023/1230 ersetzt. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, eine nationale Umsetzung entfällt. Maschinen, die ab diesem Tag in Verkehr gebracht werden, brauchen eine Konformitätsbewertung nach dem neuen Recht.

Was neu ist

Die Verordnung bringt zahlreiche Änderungen: genauere Regeln dafür, wann ein Umbau als wesentliche Veränderung gilt, die Möglichkeit, Betriebsanleitungen digital bereitzustellen, und strengere Verfahren für bestimmte Maschinenkategorien. Für vernetzte Anlagen ist eine Neuerung besonders wichtig: Cybersicherheit wird ausdrücklich Teil der grundlegenden Sicherheitsanforderungen.

Schutz gegen Korrumpierung

Anhang III, Nummer 1.1.9 verlangt, dass Maschinen so konstruiert sind, dass der Anschluss anderer Geräte oder Fernzugriffe nicht zu gefährlichen Situationen führen. Sicherheitsrelevante Software und Daten müssen gegen unbeabsichtigte und vorsätzliche Veränderung geschützt sein, und Eingriffe müssen nachvollziehbar bleiben. Wie das technisch umzusetzen ist, schreibt die Verordnung nicht vor. In der Praxis werden sich Hersteller an Normen wie der Reihe IEC 62443 orientieren.

Das Zusammenspiel mit dem CRA

Maschinenverordnung und Cyber Resilience Act greifen ineinander. Die Maschinenverordnung fragt, ob ein Cyberangriff die Sicherheit von Menschen gefährden kann. Der CRA verlangt grundsätzlich sichere Produkte mit digitalen Elementen, Updates und die Meldung von Schwachstellen. Viele Maschinen werden beide Regelwerke erfüllen müssen. Wer die Risikobeurteilung für die Maschinenverordnung ohnehin um Cyberrisiken erweitert, schafft damit auch eine Grundlage für den CRA, dessen Hauptpflichten ab 11. Dezember 2027 gelten.

Was Hersteller jetzt tun sollten

Für Maschinen, die nach dem 20. Januar 2027 ausgeliefert werden, muss die Dokumentation stehen. Dazu gehört eine Risikobeurteilung, die Fernzugriffe, Netzwerkschnittstellen und Software-Updates einschließt. Steuerungen, Edge-Rechner und Gateways sollten auf Zugriffsschutz, signierte Software und Protokollierung geprüft werden. Und wo Zulieferkomponenten vernetzt sind, braucht es Nachweise der Lieferanten.

Einordnung

Die Verordnung macht offiziell, was in vernetzten Fabriken längst gilt: Eine Maschine ist nur so sicher wie ihre Software. Für Betreiber steigt damit die Qualität dessen, was sie einkaufen. Für Hersteller ohne Security-Kompetenz wird der Stichtag zur Belastungsprobe. Dieser Beitrag ersetzt keine Rechtsberatung.