EU-Maschinenverordnung 2027 Cybersicherheit wird zur Maschinensicherheit

Anbieter zum Thema

Omron Electronics GmbH

Bürklin GmbH & Co. KG

CSA Group Bayern GmbH

MES Electronic Connect GmbH & Co. KG

Am 20. Januar 2027 tritt die neue EU-Maschinenverordnung in Kraft und bringt tiefgreifende Änderungen für die europäische Industrie mit sich. Da es keine Übergangsfrist gibt, müssen Hersteller jetzt aktiv werden. Safety und Security gehören künftig untrennbar zusammen. Was muss bis zum Stichtag alles erledigt sein?

„Die neue Maschinenverordnung ist kein reines Gesetzes-Update, sondern der Startschuss für eine neue Ära der digitalen und physischen Sicherheit“, betonte Peter Goebbels, Marketing Specialist Safety bei Omron. Im Rahmen der Fachpressetage des Redaktionsbüro Stutensee erläuterte er die Hürden, die Maschinenbauer jetzt nehmen müssen. Der Termin steht fest: Am 20. Januar 2027 löst die Verordnung (EU) 2023/1230 die alte Maschinenrichtlinie (2006/42/EG) endgültig ab.

Dass aus der Richtlinie nun eine Verordnung wird, hat konkrete Folgen. Während Richtlinien erst noch in nationales Recht umgesetzt werden mussten, was oft Spielraum für Interpretationen ließ, gilt die Verordnung direkt und unmittelbar in allen EU-Mitgliedstaaten. Goebbels wies in seinem Vortrag eindringlich darauf hin, dass die Zeit drängt: „Es gibt keinen Puffer. Die vollständige Konformität muss am Stichtag erreicht sein.“ Das heißt im Klartext: Produkte, die am Stichtag nicht den neuen Regeln entsprechen, dürfen im europäischen Markt nicht mehr verkauft werden.

Bildergalerie

Bildergalerie mit 8 Bildern

Zudem fügt sich die Verordnung nahtlos in das „New Legislative Framework“ (NLF) ein. Das sorgt dafür, dass sie strukturell zu anderen kommenden Gesetzen passt, wie etwa dem Cyber Resilience Act oder der KI-Verordnung. Inhaltlich konzentriert sich das Regelwerk vor allem auf drei Punkte: Cybersicherheit wird Pflicht, es gibt klare Regeln für KI bzw. autonome Systeme, und auch Dokumentationspflichten werden moderner.

Robotik und ihre Regularien

„Es kommt ja kein Prüfer vorbei. Es fragt erst einer nach, wenn ein Finger weh tut.“

Grundlegender Wandel: Schutz vor „Korrumpierung“

Die wohl wichtigste Änderung ist das Verschmelzen von funktionaler Sicherheit (Safety) und Angriffssicherheit (Security). Bisher war Cybersicherheit meist Sache der IT-Abteilung und wurde oft nur organisatorisch gelöst. Jetzt wird sie zur zwingenden Pflicht für den Hersteller, wenn er das CE-Zeichen anbringen will.

Dieser Schritt ist eine Reaktion auf die massiv gestiegene Bedrohungslage. Branchenverbände schätzen den Schaden durch Cyberangriffe in Deutschland allein für das Jahr 2024 auf 178 Milliarden Euro, Tendenz steigend. In der vernetzten Produktion können digitale Angriffe schnell physische Folgen für die Operational Technology (OT) haben, etwa wenn jemand Sicherheitsfunktionen manipuliert oder ganze Fertigungslinien lahmlegt.

Anhang III der Verordnung fordert deshalb ausdrücklich Maßnahmen zum „Schutz vor Korrumpierung“. Das bedeutet: Sicherheitsrelevante Funktionen müssen gegen vorsätzliche oder versehentliche Manipulation gehärtet sein. Dabei spielt es für den Gesetzgeber keine Rolle, ob ein Hacker von außen angreift, ein Mitarbeiter intern manipuliert oder ein technischer Übertragungsfehler vorliegt. Eine Maschine gilt künftig nur dann als sicher, wenn ihre Systeme auch gegen unbefugte Zugriffe geschützt sind. Die Risikobeurteilung muss solche Cyber-Bedrohungen also zwingend abdecken und entsprechende Gegenmaßnahmen definieren.

Ein oft unterschätzter Aspekt ist dabei die zeitliche Dimension. Die Verantwortung des Herstellers endet nicht mehr mit der Auslieferung an der Laderampe. Da Software dynamisch ist und Updates zum Alltag gehören, muss das Sicherheitskonzept den gesamten Lebenszyklus abdecken. Das wirft in der Praxis neue Fragen auf: Gilt ein Software-Update, das Jahre später aufgespielt wird, als „wesentliche Veränderung“ der Maschine? Wenn durch einen Patch in der Steuerungsebene plötzlich sicherheitskritische Reaktionszeiten verändert werden könnten, muss die Konformität neu bewertet werden. Hersteller müssen also Mechanismen implementieren, die sicherstellen, dass Updates die verifizierte Sicherheitslogik nicht unbemerkt aushebeln.

„Selbstentwickelndes Verhalten“ statt KI

Auch technologisch geht die Verordnung mit der Zeit. Zwar vermeidet der Text den Begriff „künstliche Intelligenz“, um technologieoffen zu bleiben, reguliert aber streng das sogenannte „selbstentwickelnde Verhalten“ und entsprechende Logiken. Gemeint sind lernfähige Systeme, wie sie in modernen Cobots, autonomen mobilen Robotern (AMR) oder adaptiven Steuerungen arbeiten.

Hier sind die Anforderungen besonders hoch, da klassische Methoden an ihre Grenzen stoßen. „Systeme, die dazulernen, müssen nachweisen, dass sich ihr Verhalten nicht gefährlich verändert“, erklärte Goebbels. Ein Beispiel wäre eine Sicherheitssteuerung mit KI, die selbstständig entscheidet, wann welche Schutzfunktion aktiv ist oder Sicherheitszonen dynamisch anpasst. Solche Systeme müssen über ihren gesamten Lebenszyklus validiert werden, da sich ihre Parameter im laufenden Betrieb ändern können.

Hersteller müssen sicherstellen, dass Sicherheitsgrenzwerte auch während der Lernphasen strikt eingehalten werden. Das erfordert Schutzmechanismen, die das System in einen sicheren Zustand bringen, falls die KI sich falsch entwickelt. Da es derzeit noch kaum harmonisierte Normen für KI-Sicherheitssteuerungen gibt, ist eine enge Abstimmung mit Komponentenherstellern und Prüfinstituten unerlässlich, um Risiken frühzeitig zu erkennen und rechtssicher zu dokumentieren.

Lösungsansatz: „Defense in Depth“

Wie setzt man diesen „Schutz vor Korrumpierung“ technisch um? Omron empfiehlt das Prinzip der „Defense in Depth“ (gestaffelte Verteidigung). Statt nur auf eine einzige Schutzmaßnahme zu setzen, wie etwa eine Firewall an der Außengrenze, werden mehrere Sicherheitsebenen hintereinandergeschaltet. Fällt eine Barriere, greift die nächste.

Zu den Maßnahmen, die Goebbels für ein robustes Sicherheitskonzept empfiehlt, gehören:

• Netzwerksegmentierung: Die strikte Trennung von Office-IT und Maschinen-Netzwerken sowie die Unterteilung der Produktion in verschiedene Sicherheitszonen. Das verhindert, dass sich Schadsoftware ungehindert im gesamten Netzwerk ausbreitet.

• Verschlüsselte Kommunikation: Der Einsatz von Protokollen wie OPC UA mit TLS-Verschlüsselung und Zertifikaten. Das sichert nicht nur die Vertraulichkeit, sondern schützt die Datenintegrität vor Manipulationen während der Übertragung („Man-in-the-Middle“-Angriffe).

• Zugriffskontrolle: Rollenbasierte Benutzerkonten stellen sicher, dass nur autorisiertes Personal kritische Parameter ändern darf. Das schützt auch vor Fehlbedienungen durch eigene Mitarbeiter.

• Integritätsprüfung & Patch-Management: Hashcodes und digitale Signaturen helfen dabei, Manipulationen an Software oder Firmware sofort zu erkennen. Ergänzend braucht es Prozesse, um Sicherheitslücken durch regelmäßige Updates (Patches) schnell zu schließen.

Diese Maßnahmen erfüllen nicht nur die Maschinenverordnung, sondern bereiten Unternehmen auch auf den kommenden Cyber Resilience Act (CRA) vor, der ab Ende 2027 greift. Dabei ist das Zusammenspiel der Gesetze entscheidend: Die Maschinenverordnung fungiert als vertikale Spezialgesetzgebung (Lex specialis) für den Bereich Safety. Sie hat Vorrang, deckt aber nur die sicherheitskritischen Aspekte ab. Der CRA hingegen spannt als horizontales Gesetz den Schirm über das gesamte Produkt, inklusive aller nicht-sicherheitsrelevanten digitalen Komponenten. Für den Maschinenbauer bedeutet das: Erfüllt er die Cybersecurity-Anforderungen der Maschinenverordnung, hat er den sicherheitskritischen Teil des CRA meist schon mit abgedeckt. Wer diese Synergien jetzt in der Designphase nicht nutzt, dokumentiert und prüft später doppelt.

Endlich digital: Die Betriebsanleitung

Eine deutliche Erleichterung für Hersteller und eine Anpassung an die heutige Praxis bringt die Verordnung bei der Dokumentation. Für gewerbliche Nutzer ist es nun ausdrücklich erlaubt, die Betriebsanleitung und die Konformitätserklärung rein digital bereitzustellen.

Peter Goebbels stellte jedoch klar, was der Gesetzgeber unter „digital“ versteht: Es geht nicht darum, einfach einen USB-Stick beizulegen, sondern primär um eine Online-Verfügbarkeit, die sicherstellt, dass die Inhalte aktuell bleiben.

Dabei gelten klare Bedingungen, um rechtlich auf der sicheren Seite zu sein:

• 1. Langzeitverfügbarkeit: Die Dokumente müssen über die gesamte voraussichtliche Lebensdauer der Maschine online bleiben – mindestens jedoch für 10 Jahre nach dem Verkauf.

• 2. Zugänglichkeit: Der Zugang muss direkt am Produkt (z. B. per Link oder QR-Code auf dem Typenschild) oder über Begleitunterlagen einfach möglich sein.

• 3. Nutzbarkeit: Der Nutzer muss die Möglichkeit haben, die Anleitung herunterzuladen und lokal zu speichern, damit er auch offline darauf zugreifen kann.

Diese Regelung ist besonders für Zulieferer interessant, die sogenannte „unvollständige Maschinen“ (z. B. Antriebssysteme oder Robotergelenke) liefern. Auch hier entfällt die Pflicht zur gedruckten Montageanleitung. Stattdessen können die Einbauerklärung und die Montageanleitung digital übermittelt werden. Da diese Komponenten oft tief in komplexen Anlagen verschwinden, erleichtert der digitale Zugriff über eine Datenbank oder einen Link die Wartung und Integration erheblich.

Wichtig: Wünscht der Kunde beim Kauf ausdrücklich eine Papierversion, muss der Hersteller diese weiterhin liefern können. Das gilt aber nur für den Zeitpunkt des Vertragsabschlusses: Wer Monate nach dem Kauf plötzlich Papier fordert, hat keinen Anspruch mehr darauf. Für Maschinen, die an Verbraucher verkauft werden, bleibt die gedruckte Anleitung aus Sicherheitsgründen weiterhin Pflicht.

Industrie 4.0 trifft auf funktionale Sicherheit

Warum es keine funktionale Sicherheit ohne IT-Security gibt

Fazit: Jetzt handeln

Auch wenn der 20. Januar 2027 noch fern scheint, ist der Handlungsdruck real, denn es gibt keine Übergangsfrist. Die nötigen Anpassungen in der Konstruktion, der Software und der Dokumentation brauchen Vorlauf. Maschinenbauer sollten daher ihre Risikoanalysen zeitnah überprüfen und klären, inwieweit Komponenten und Zulieferteile bereits „Secure by Design“ sind. Dass Safety und Security zusammenwachsen, ist nicht mehr optional, sondern die Voraussetzung, um im europäischen Markt überhaupt noch teilnehmen zu dürfen. Wer diese Anforderungen frühzeitig umsetzt, sichert sich nicht nur die Compliance, sondern auch einen Wettbewerbsvorteil durch robustere Produkte. (mc)

(ID:50710870)