Hinweis: Das Beitragsbild wurde mit künstlicher Intelligenz erzeugt.
Ab Januar 2027 greifen im Maschinenbau zwei EU-Verordnungen gleichzeitig: die Maschinenverordnung (EU) 2023/1230, kurz MVO, und der Cyber Resilience Act (EU) 2024/2847, kurz CRA. Beide Regelwerke betreffen oft dasselbe Produkt. Wer sie getrennt behandelt, macht einen systematischen Fehler.
Zwei Verordnungen, ein Produkt
Die MVO schreibt erstmals explizit Cybersicherheitsanforderungen für Maschinensicherheit fest. Der CRA definiert umfassende Vorgaben für digitale Produkte und eingebettete Software. Im Maschinen- und Anlagenbau treffen beide Regelwerke auf dieselben vernetzten Systeme.
Das stellt Hersteller, Betreiber und Komponentenzulieferer vor eine gemeinsame Aufgabe: Safety und Security müssen von Beginn an gemeinsam in der Entwicklung geplant werden. Wer das nicht tut, riskiert lückenhafte Risikobeurteilungen, inkonsistente Sicherheitsfunktionen und fehlende Update-Konzepte.
Die Konsequenzen sind konkret. Behörden können Vertriebsverbote aussprechen, Rückrufe anordnen und Bußgelder verhängen. Haftungsrisiken kommen hinzu. Bestehende Entwicklungsprozesse genügen diesen Anforderungen in vielen Unternehmen bislang nicht.
Safety und Security methodisch verzahnen
Unterschiedliche Ziele, gemeinsamer Kern
Die Safety-Risikobeurteilung nach ISO 12100 analysiert physische Gefährdungen. Die Security-Risikoanalyse nach IEC 62443 bewertet Bedrohungsakteure, Angriffsvektoren und Schwachstellen. Beide Verfahren haben unterschiedliche Zielrichtungen, teilen aber einen gemeinsamen prozessualen Kern.
Für Konstruktionsleiter bedeutet das: Beide Analysen lassen sich methodisch im Entwicklungsprozess verzahnen. Das spart Ressourcen und vermeidet Widersprüche zwischen Safety- und Security-Maßnahmen. Werkzeuge dafür sind verfügbar; der Aufwand für die Integration liegt vor allem auf der Organisations- und Prozessebene.
Schutz vernetzter Steuerungen nach EN 50742
Die neue Norm EN 50742 konkretisiert die MVO-Anforderungen zum Schutz von Maschinen gegen unbefugte externe Eingriffe. Gemeint sind Zugriffe über Schnittstellen, Netzwerke und Cloud-Anbindungen. Steuerungen müssen künftig nachweislich gegen Korrumpierung geschützt sein.
Das betrifft nicht nur die Konstruktion selbst, sondern auch die Dokumentation, die Konformitätsbewertung und die gesamte Lieferkette. Zulieferer von Komponenten und Teilsystemen sind eingebunden, sobald ihre Produkte in eine kennzeichnungspflichtige Maschine eingehen.
Welche Teams müssen eingebunden werden
Security by Design ist ab 2027 keine Option mehr, sondern eine regulatorische Pflicht. Das verändert, wer an der Produktentwicklung beteiligt sein muss.
Konstruktion und Softwareentwicklung müssen von Projektbeginn an gemeinsam arbeiten. Qualitätssicherung muss Sicherheitsanforderungen in ihre Prüfprozesse integrieren. Rechtliche Abteilungen müssen Konformitätsbewertungen und Haftungsfragen frühzeitig begleiten. Ein sequenzieller Prozess, bei dem Security erst am Ende geprüft wird, scheitert an den neuen Anforderungen.
Auch die NIS-2-Richtlinie ist in diesem Kontext relevant. Sie stellt Anforderungen an den cybersicheren Betrieb wesentlicher und wichtiger Einrichtungen und gilt für Betreiber von Maschinen und Anlagen. Betreiber und Hersteller sind damit aus unterschiedlichen Richtungen regulatorisch adressiert.
Wo die größten Lücken liegen
Typische Schwachstellen in Unternehmen sind unvollständige Risikobeurteilungen, die Cybersicherheit noch nicht berücksichtigen. Hinzu kommen fehlende Update- und Patch-Konzepte für Software in Maschinen sowie unzureichende Dokumentation der Sicherheitsarchitektur.
Viele Entwicklungsprozesse wurden für die alte Maschinenrichtlinie aufgesetzt. Die MVO ist kein Update dieser Richtlinie, sondern ein eigenständiges Regelwerk mit neuen Anforderungen. Eine Lückenanalyse gegenüber beiden Verordnungen ist der notwendige erste Schritt.
Fazit
Der Januar 2027 ist kein fernes Datum mehr. Entwicklungszyklen im Maschinenbau dauern Monate, Konformitätsbewertungen brauchen Zeit. Unternehmen ohne strukturierte Antwort auf MVO und CRA geraten unter Druck. Die regulatorische Anforderung ist eindeutig: Safety und Security gehören in einen gemeinsamen Prozess, von der ersten Risikobeurteilung bis zur Markteinführung. Wer das organisatorisch noch nicht abgebildet hat, sollte damit unmittelbar beginnen.
