Maschinenverordnung: OT-Cybersecurity ab 2027 | Bayern

Ab dem 20. Januar 2027 gilt die Maschinenverordnung (EU) 2023/1230. Damit gibt es erstmals im Maschinenrecht selbst verbindliche Cybersecurity-Anforderungen für Maschinen: den Schutz gegen Korrumpierung (Anhang III 1.1.9) und sichere Steuerungen (Anhang III 1.2.1). Das betrifft alle Hersteller, die Maschinen in der EU in Verkehr bringen, soweit die Anforderungen für die jeweilige Maschine relevant sind, auch Schweizer Maschinenbauer mit Kunden in Deutschland oder Österreich. Wir setzen die Anforderungen mit Ihnen je Maschinentyp um, inklusive Schutzmaßnahmen, Protokollierung und Dokumentation, zu einem Pauschalpreis, den Sie vorher kennen.

Für wen ist diese Leistung?

Für Maschinenbauer und Anlagenhersteller, die ihre Maschine als Produkt sehen: Serienmaschinen, Sondermaschinen und verkettete Anlagen. Für Betreiber, die Maschinen selbst bauen oder wesentlich verändern und damit rechtlich zum Hersteller werden. Und für Lieferanten von KRITIS-Betreibern wie Stadtwerken sowie Unternehmen aus Wasser und Energie. Diese Betreiber müssen ihre Lieferkette im Rahmen von NIS2 absichern und fragen deshalb nach Security-Nachweisen. Unser Schwerpunkt sind Bayern, Salzburg und Tirol: Aus Rosenheim sind wir schnell bei Ihnen vor Ort. Wir arbeiten aber in ganz DACH.

Was verlangt die Maschinenverordnung bei der Cybersecurity?

Die Maschinenverordnung ersetzt die Maschinenrichtlinie 2006/42/EG. Neu ist, dass Cyberangriffe ausdrücklich als Sicherheitsrisiko gelten:

Anhang III 1.1.9 – Schutz gegen Korrumpierung: Wenn ein anderes Gerät angeschlossen wird oder jemand aus der Ferne zugreift, darf das nicht zu einer Gefährdung führen. Software und Daten, die für die Sicherheit wichtig sind, müssen als solche gekennzeichnet sein. Sie müssen gegen versehentliche und absichtliche Korrumpierung geschützt sein. Die Maschine muss jederzeit anzeigen können, welche Software für den sicheren Betrieb installiert ist. Außerdem muss sie Nachweise über berechtigte und unberechtigte Eingriffe sammeln.
Anhang III 1.2.1 – Sicherheit und Zuverlässigkeit von Steuerungen: Steuerungen müssen auch vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter standhalten, die zu einer Gefährdung führen könnten. Eingriffe müssen sich protokollieren lassen, ebenso jede Version der Sicherheitssoftware, die nach dem Inverkehrbringen aufgespielt wird. Diese Aufzeichnungen müssen über einen in der Verordnung festgelegten Zeitraum aufbewahrt werden.

Für Instandhaltung und Service heißt das ganz praktisch: Fernwartung, Servicelaptop, USB-Stick und Firmware-Update gehören zur Sicherheitsbetrachtung. Sie sind keine reinen Komfortfunktionen mehr.

So gehen wir vor

Maschinentyp aufnehmen: Gemeinsam mit Ihrer Konstruktion und Ihrem Service erfassen wir Steuerungen, Sicherheitssteuerung, HMI, Schnittstellen, den Fernwartungszugang und die sicherheitsrelevante Software. Das ist das Asset-Inventar Ihres Produkts.
Risiken bewerten: Wir ergänzen Ihre Risikobeurteilung um mögliche Angriffswege: Wer kann sich womit verbinden, und was passiert dann an der Maschine?
Schutz gegen Korrumpierung umsetzen (1.1.9): Wir schützen Schnittstellen und Programmierzugang, sichern Sicherheitsprogramm und Parameter ab und sorgen dafür, dass die Software eindeutig identifizierbar ist. Die Fernwartung richten wir nach SANS Critical Control 4 (Secure Remote Access) ein: kontrollierter Zugang statt Dauerverbindung.
Steuerungen absichern (1.2.1): Wir trennen Maschinennetz und Kundennetz nach Critical Control 2 (Defensible Architecture), härten die Konfiguration der Steuerungen und legen sichere Wege für Updates fest.
Protokollierung einrichten: Eingriffe und Software-Versionen werden nachvollziehbar erfasst. Das geschieht so, dass Ihr Service und Ihr Kunde im Ernstfall damit arbeiten können.
Dokumentieren: Wir erstellen Nachweise für die technischen Unterlagen und die Angaben für die Betriebsanleitung. Damit unterstützen wir Sie bei der Konformitätsbewertung und bei den Fragen Ihrer Kunden.

Wir begleiten auch die Umsetzung direkt an Ihrer Maschine. Sie bekommen also nicht nur Empfehlungen auf Papier.

Was haben Sie am Ende in der Hand?

Für jeden Maschinentyp bekommen Sie eine umgesetzte Lösung für 1.1.9 und 1.2.1, eine funktionierende Protokollierung und eine Dokumentation, die Sie für weitere Maschinen dieses Typs wiederverwenden können. Ihr Vertrieb kann die Security-Fragen von Einkäufern beantworten. Ihr Service weiß, wie Fernwartung und Updates künftig ablaufen. Beim Kunden sinkt das Risiko für die Produktion: Ein manipuliertes Gerät am Netz soll nicht zu Stillstand oder Gefährdung führen.

Wie hängen Maschinenverordnung, CRA, NIS2 und IEC 62443 zusammen?

Der Cyber Resilience Act (CRA) regelt die Cybersecurity von Produkten mit digitalen Elementen. Darunter können auch Steuerungen, Gateways und je nach Einzelfall die Maschine selbst fallen. Für Maschinenbauer können MVO und CRA deshalb ineinandergreifen. Maßnahmen und Nachweise lassen sich dann gemeinsam aufbauen, das bedeutet weniger Doppelarbeit. Laufende CRA-Pflichten wie die Behandlung von Schwachstellen decken wir mit CRA as a Service und dem OT-Schwachstellen-Management ab (Critical Control 5). Ihre Kunden mit NIS2-Pflichten müssen ihre Lieferkette absichern und fragen deshalb nach genau solchen Nachweisen. Als technische Grundlage nutzen wir die IEC 62443: Teil 4-1 für den Entwicklungsprozess, Teil 4-2 für Komponenten und Teil 3-3 für Systeme.

Wo fangen Sie am besten an?

Mit der Maschinenverordnung wird Cybersecurity Teil der Maschinensicherheit. Ein Sicherheitsprogramm, das sich unbemerkt ändern lässt, passt nicht zur Pflicht, Nachweise über Eingriffe zu sammeln. Welche Schutzmaßnahmen im Einzelnen nötig sind, ergibt sich aus der Risikobeurteilung. Ein sinnvoller Einstieg ist der Maschinentyp, den Sie am häufigsten ausliefern, mit Fernwartung und Programmierzugang als ersten Themen. Die fünf Critical Controls helfen, sich auf das Wesentliche zu konzentrieren statt auf Einzellösungen.

Warum OT-Cyber?

Wir beraten nicht nur, wir setzen auch um. Dabei behalten wir Schaltschrank, SPS und Security-Konzept gleichermaßen im Blick. Die Technik wählen wir herstellerübergreifend aus. Sie bekommen einen festen Ansprechpartner und einen Pauschalpreis, den Sie vorher kennen.

Kontakt

Sie bauen Maschinen und wollen bis zum 20. Januar 2027 rechtzeitig vorbereitet sein? Schreiben Sie uns über die Kontaktseite und nennen Sie Ihren Maschinentyp. Wir melden uns mit einem Vorschlag für das Vorgehen und einem Pauschalangebot.

Max Gilg | OT-Cyber

Erstgespräch vereinbaren Live-Demo buchen

Häufige Fragen

Was bedeutet die Maschinenverordnung für Maschinenbauer bei der Cybersecurity?

Neue Maschinen müssen ab dem 20. Januar 2027 die Anforderungen aus Anhang III 1.1.9 und 1.2.1 der Maschinenverordnung (EU) 2023/1230 erfüllen, soweit sie für die Maschine relevant sind. Dazu gehören der Schutz gegen Korrumpierung, Steuerungen, die böswilligen Eingriffen standhalten, und Nachweise über Eingriffe. Fehlt das, obwohl es für die Maschine relevant ist, ist eine grundlegende Sicherheitsanforderung für die CE-Kennzeichnung nicht erfüllt.

Darf unser Servicetechniker nach 2027 noch per Fernwartung auf die SPS der Maschine?

Ja, wenn der Zugang die Maschine nicht in einen gefährlichen Zustand bringen kann, abgesichert ist und Eingriffe nachvollziehbar protokolliert werden. Wir richten die Fernwartung nach SANS Critical Control 4 (Secure Remote Access) ein. So bleibt der Service schnell, ohne dass ein offener Dauerzugang entsteht.

Gilt die Maschinenverordnung auch für Maschinen, die schon bei Kunden laufen?

Die Maschinenverordnung gilt für Maschinen, die ab dem 20. Januar 2027 in Verkehr gebracht oder in Betrieb genommen werden. Für Bestandsmaschinen gilt sie nicht rückwirkend. Wer eine Maschine aber wesentlich verändert, wird dadurch selbst zum Hersteller und muss die Anforderungen erfüllen.

Wer hilft Maschinenbauern in Bayern, Salzburg, Tirol oder der Schweiz bei der Cybersecurity nach Maschinenverordnung?

OT-Cyber aus Rosenheim unterstützt Maschinenbauer in ganz DACH und ist in Bayern, Salzburg und Tirol schnell vor Ort. Schweizer Hersteller, die in die EU liefern, müssen die Maschinenverordnung ebenfalls erfüllen. Wir setzen die Anforderungen je Maschinentyp um und dokumentieren sie, zu einem Pauschalpreis, den Sie vorher kennen.