‍Cybersicherheit ist längst Teil der Maschinensicherheit. Mit dem Cyber Resilience Act und der neuen Maschinenverordnung treffen zwei Cybersicherheits-Pflichten auf demselben vernetzten Produkt zusammen. Der Leitgedanke bleibt dabei immer gleich: Security-Maßnahmen dürfen Safety-Funktionen niemals beeinträchtigen.

‍

Vernetzte Steuerungen, Fernwartung, Sensorik mit Ethernet-Schnittstelle: Was die Produktion effizienter macht, öffnet zugleich neue Angriffsflächen. Der Gesetzgeber hat darauf reagiert. Ab dem 20. Januar 2027 gilt die Maschinenverordnung (EU) 2023/1230, ab dem 11. Dezember 2027 der Cyber Resilience Act (EU) 2024/2847 in vollem Umfang – und schon ab dem 11. September 2026 greifen die ersten Meldepflichten des CRA. Für Hersteller vernetzter Maschinen heißt das: Cybersicherheit wird zum festen Bestandteil der CE-Kennzeichnung. Wer beide Regelwerke getrennt abarbeitet, produziert doppelten Aufwand. Wer sie zusammen denkt, spart Aufwand – und baut sicherere Maschinen.

‍

‍Zwei Regelwerke, ein Produkt – zwei Schutzziele

Beide Verordnungen berühren die Cybersicherheit, verfolgen aber unterschiedliche Ziele. Diese Unterscheidung ist der Schlüssel zum Verständnis der ganzen Schnittstelle.

Die Maschinenverordnung verfolgt ein Safety-Ziel: Sie schützt Menschen vor Gefahren, die von einer Maschine ausgehen. Neu ist, dass zu diesen Gefahren auch böswillige Eingriffe Dritter zählen. Wenn ein Angreifer die Steuerung einer Presse manipuliert und dadurch eine Person verletzt wird, ist das ein Safety-Problem mit Security-Ursache. Konkret verlangt Anhang III erstmals den Schutz gegen Korrumpierung (Abschnitt 1.1.9) sowie die Sicherheit und Zuverlässigkeit von Steuerungen (Abschnitt 1.2.1).

Der Cyber Resilience Act verfolgt ein Security-Ziel: Er schützt Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus vor Cyberangriffen – unabhängig davon, ob eine physische Gefahr entsteht. Datenverlust, Ransomware oder der Missbrauch eines Geräts als Teil eines Botnets sind CRA-relevante Szenarien ohne unmittelbaren Bezug zur physischen Maschinensicherheit.

Beide Rechtsakte gelten parallel. Eine vernetzte Maschine kann zugleich Maschinenprodukt im Sinne der MVO und Produkt mit digitalen Elementen im Sinne des CRA sein – und muss dann beide Anforderungsprofile erfüllen.

‍

‍Der Grundsatz: Security darf Safety nie schwächen

So sehr Security und Safety zusammenrücken – gleichrangig sind sie nicht. In der Maschinensicherheit hat der Schutz von Leib und Leben Vorrang. Daraus folgt ein Grundsatz, der jede Cybersicherheitsmaßnahme an einer Maschine bindet: Eine Security-Maßnahme darf eine Safety-Funktion niemals außer Kraft setzen oder verzögern.

Das klingt selbstverständlich, hat in der Praxis aber Zähne:

- Ein Sicherheitsupdate darf eine sicherheitsgerichtete Funktion nicht deaktivieren oder in einen undefinierten Zustand versetzen.

- Eine Zugriffskontrolle oder Authentifizierung darf einen Not-Halt nie blockieren – der sichere Zustand muss jederzeit erreichbar bleiben.

- Verschlüsselung oder Netzwerksegmentierung dürfen die Reaktionszeit sicherheitsrelevanter Signale nicht über das zulässige Maß hinaus verlängern.

- Ein „Härten“ der Steuerung darf nicht dazu führen, dass sich die Maschine im Fehlerfall nicht mehr sicher stillsetzen lässt.

Dieser Vorrang der Safety ist auch in der einschlägigen Integrationsleitlinie für funktionale Sicherheit und Security (IEC TR 63069) verankert. Für die Konstruktion heißt das: Safety- und Security-Anforderungen werden nicht nacheinander, sondern gemeinsam betrachtet – mit klarer Priorität, sobald sie in Konflikt geraten.

‍

‍Die Berührungspunkte im CE-Prozess

Für den praktischen CE-Prozess entstehen konkrete Touchpoints, an denen Safety und Security ineinandergreifen:

- Risikobeurteilung erweitern: Neben den bekannten Safety-Gefährdungen ist zu betrachten, wie ein böswilliger Eingriff eine gefährliche Situation auslösen könnte. Die Bedrohungsanalyse wird Teil der Risikobeurteilung.

- Schutz gegen Korrumpierung nachweisen: Die MVO verlangt, dass sich sicherheitsrelevante Software, Parameter und Daten nicht unbemerkt manipulieren lassen (Anhang III, 1.1.9) und dass Steuerungen zuverlässig gegen Fehlbeeinflussung geschützt sind (1.2.1).

- Security-by-Design und Schwachstellenmanagement: Der CRA verlangt sichere Entwicklung, ein aktives Schwachstellenmanagement und Sicherheitsupdates über einen angemessenen Unterstützungszeitraum – bei vielen Produkten mindestens fünf Jahre.

- Meldeketten aufbauen: Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gemeldet werden – die Erstmeldung binnen 24 Stunden, die Folgemeldung binnen 72 Stunden, der Abschlussbericht binnen 14 Tagen.

- Dokumentation und Betriebsanleitung: Sichere Inbetriebnahme, empfohlene Konfiguration und der Umgang mit Updates gehören in die technische Dokumentation und in die Betriebsanleitung.

Jeder dieser Punkte erzeugt Nachweise – und genau hier entscheidet sich, ob aus der doppelten Pflicht doppelte Arbeit wird.

‍

‍Doppelte Pflicht, ein Nachweis: Synergien nutzen

Die gute Nachricht: Die parallele Geltung bedeutet nicht zwangsläufig doppelte Arbeit. Der Unionsgesetzgeber hat die Überschneidung ausdrücklich adressiert. Nach Erwägungsgrund 53 des CRA kann die Einhaltung der grundlegenden Cybersicherheitsanforderungen des CRA zugleich die sicherheitsrelevanten Anforderungen der Abschnitte 1.1.9 und 1.2.1 des Anhangs III der Maschinenverordnung abdecken – sofern der Hersteller dies nachweist.

Praktisch heißt das: eine Risikoanalyse, ein Maßnahmenkonzept, eine Dokumentationsstruktur – statt drei paralleler Projekte. Voraussetzung ist, dass die Nachweise sauber aufeinander verweisen und konsistent bleiben.

Auf der Normungsseite zeichnet sich mit prEN 50742 („Schutz von Maschinen gegen Korrumpierung“) eine wichtige Brücke ab, die die MVO-Anforderungen konkretisieren soll. Wichtig: Solange die Norm nicht final verabschiedet und im Amtsblatt der EU gelistet ist, begründet sie noch keine Konformitätsvermutung. Bis dahin bleibt die fachliche Ableitung aus dem Stand der Technik gefragt.

‍

‍Was Hersteller jetzt tun sollten

Der Fahrplan ist eng – die drei Stichtage 11.09.2026, 20.01.2027 und 11.12.2027 kommen schneller, als es scheint. Sinnvolle erste Schritte:

- Produkt-Screening: Welche Maschinen sind vernetzt oder enthalten digitale Elemente? Welche Schnittstellen existieren?

- Betroffenheit klären: Fällt das Produkt unter MVO, CRA oder beide? Greift eine der CRA-Produktkategorien mit strengerer Konformitätsbewertung?

- Integrierte Risikoanalyse: Safety- und Security-Betrachtung zusammenführen, mit klarer Safety-Priorität bei Konflikten.

- Security-by-Design verankern: Sichere Architektur, Update-Fähigkeit und Schwachstellenmanagement von Anfang an mitdenken.

- Nachweise und Meldeprozesse aufbauen: Dokumentation, Rückverfolgbarkeit und eine belastbare 24-Stunden-Meldekette etablieren.

Wer diese Schritte früh geht, hat 2027 keine Feuerwehrübung, sondern einen geordneten Prozess.

‍

‍Eine Datenquelle für Safety und Security

Genau an dieser Stelle zeigt sich der Wert einer durchgängigen Datenbasis. Wenn Risikobeurteilung, Maßnahmen, Betriebsanleitung und Konformitätsnachweise aus einer einzigen Quelle stammen, lassen sich Safety- und Security-Anforderungen widerspruchsfrei verknüpfen – und ein Nachweis kann für beide Regelwerke wiederverwendet werden, statt ihn doppelt zu pflegen.

CERTAIN ist auf dieses Prinzip ausgelegt: Single Source of Truth, Konsistenz zwischen Risikobeurteilung und Betriebsanleitung sowie eine durchgängige Versionskontrolle. Das macht Änderungen nachvollziehbar – ein Vorteil, wenn eine Marktüberwachungsbehörde nach dem Zusammenspiel von Safety und Security fragt oder ein Sicherheitsvorfall dokumentiert werden muss.

‍

‍Abschließende Gedanken

Der Cyber Resilience Act und die Maschinenverordnung markieren einen Wendepunkt: Cybersicherheit wird zum verbindlichen Bestandteil der Maschinensicherheit und der CE-Kennzeichnung. Die eigentliche Kunst liegt nicht darin, zwei Regelwerke getrennt abzuarbeiten, sondern sie an ihren Berührungspunkten zusammenzuführen – mit einem klaren Grundsatz als Leitplanke: Security stärkt die Safety, schwächt sie aber nie. Wer Safety und Security in einem konsistenten, nachvollziehbaren Prozess zusammenführt, macht aus einer doppelten Pflicht einen echten Wettbewerbsvorteil.

Sie möchten Safety und Security in einem durchgängigen, prüffähigen CE-Prozess abbilden? Lernen Sie CERTAIN kennen unter certain-cloud.com.

‍