Hinweis: Das Beitragsbild wurde mit künstlicher Intelligenz erzeugt.
Die Maschinenverordnung (EU) 2023/1230 tritt im Januar 2027 in Kraft. Parallel dazu greift der Cyber Resilience Act (EU) 2024/2847 schrittweise. Für Konstruktions- und Entwicklungsleiter im Maschinenbau bedeutet das die größte regulatorische Verschiebung seit Einführung der CE-Kennzeichnung.
Was sich strukturell ändert
Bisher konnten Safety und Cybersecurity in der Produktentwicklung weitgehend getrennt behandelt werden. Das ist künftig nicht mehr möglich. Beide Aspekte müssen von Projektbeginn an gemeinsam in den Entwicklungsprozess einfließen – das betrifft Risikobeurteilungen, Stücklisten, Lastenhefte und Änderungsanträge gleichermaßen.
Rüdiger Krauß, Fachbereichsleiter Maschinensicherheit bei Dekra Testing and Certification, hat analysiert, wo bei Unternehmen derzeit die größten Lücken bestehen. Sein Befund: Bestehende Entwicklungsprozesse genügen den neuen Anforderungen häufig nicht. Ein unmodifiziertes Weiterarbeiten wie bisher ist keine zulässige Option mehr.
Neue Normpflichten für Steuerungen
Anhang III der Maschinenverordnung 2023/1230 fordert explizit Schutz gegen sogenannte Korrumpierung sowie Sicherheit und Zuverlässigkeit von Steuerungen. Die Norm EN 50742, derzeit noch im Entwurfsstatus, soll einen systematischen Weg liefern, diese Anforderung zu erfüllen.
Peter Goebbels, Marketing Specialist Safety bei Omron Electronics, erläutert, welche Konsequenzen die Norm für Konstruktion, Systems Engineering und Risikobeurteilung hat. Besonderes Gewicht erhält dabei die Traceability, also die lückenlose Nachvollziehbarkeit von Entscheidungen im Entwicklungsprozess. Das gilt auch bei Retrofit-Projekten, wo nachträgliche Anpassungen an bestehenden Anlagen die Normpflicht auslösen können.
Security-Risikoanalyse nach IEC 62443
Der Cyber Resilience Act verlangt Security-Risikoanalysen nach IEC 62443. Diese Norm unterscheidet sich methodisch deutlich von der Safety-Risikobeurteilung nach ISO 12100, die im Maschinenbau etabliert ist. Konstruktionsteams müssen beide Vorgehensweisen kennen und anwenden können.
Hendrik Stupin von IBF Solutions zeigt, wo die methodischen Unterschiede liegen und welcher gemeinsame prozessuale Kern Safety- und Security-Analyse verbindet. Dieser Kern bietet den praktischen Ansatzpunkt, um beide Anforderungen im Entwicklungsprozess effizient zu verzahnen, ohne doppelte Strukturen aufzubauen.
Wer konkret betroffen ist
Sobald eine Maschine digitale Elemente enthält, ist der Cyber Resilience Act relevant. Das betrifft vernetzte Antriebe, SPS-Steuerungen und Sensorik mit Datenkommunikation. Ab Dezember 2027 sind Hersteller verpflichtet, mögliche Angriffsszenarien zu analysieren und den erforderlichen Schutz für industrielle Kommunikation nachzuweisen.
Das schließt Zulieferer von Komponenten und Systemen ausdrücklich ein. Wer Teile an Maschinenhersteller liefert, muss die Konformitätsanforderungen seiner Produkte kennen und dokumentieren. Fehlende Nachweise können den Einbau in CE-kennzeichnungspflichtige Maschinen blockieren.
Fazit
Die Fristen für MVO und CRA sind verbindlich. Konstruktionsabteilungen, die ihre Prozesse, Normenkenntnis und Dokumentationsstrukturen noch nicht angepasst haben, sollten das jetzt angehen. Der Handlungsbedarf betrifft Großunternehmen ebenso wie mittelständische Maschinenbauer und deren Komponentenlieferanten. Wer bis Ende 2026 keine belastbare Bestandsaufnahme gemacht hat, wird 2027 unter Zeitdruck agieren.
