Am 20. Jänner 2027 löst die Maschinenverordnung (EU) 2023/1230 die bisherige Maschinenrichtlinie 2006/42/EG ab. Vieles bleibt vertraut: Risikobeurteilung, grundlegende Sicherheits- und Gesundheitsschutzanforderungen, CE-Kennzeichnung. Eine Neuerung trifft Maschinenbauer und Steuerungstechniker aber direkt: Der Schutz vor Manipulation und Cyberangriffen ist jetzt ausdrücklich Teil der Maschinensicherheit. Wer eine Maschine in Verkehr bringt, muss zeigen, dass ein Eingriff über Netzwerk oder Software keinen gefährlichen Zustand auslösen kann.

Was ist neu?

  • Verordnung statt Richtlinie: Sie gilt in allen EU-Mitgliedstaaten unmittelbar und ohne nationale Umsetzung. Unterschiedliche Auslegungen von Land zu Land fallen weg.
  • Software zählt mit: Auch Software, die eine Sicherheitsfunktion erfüllt und separat bereitgestellt wird, kann ein Sicherheitsbauteil sein.
  • Wesentliche Veränderung: Wer eine Maschine nachträglich so verändert, dass neue Gefährdungen entstehen, gilt als Hersteller. Das betrifft auch Retrofits und Software-Erweiterungen.
  • Digitale Betriebsanleitung: Sie ist zulässig. Auf Wunsch des Kunden muss es die Anleitung aber weiterhin auf Papier geben.

Die zwei Anforderungen zur IT-Sicherheit

Die IT-Sicherheit steckt in Anhang III der Verordnung, in zwei Abschnitten:

1.1.9 Schutz gegen Korrumpierung

  • Das Anschließen eines anderen Geräts, auch über Fernzugriff, darf zu keiner gefährlichen Situation führen.
  • Hardware, über die sicherheitsrelevante Signale oder Daten laufen, muss gegen versehentliche und vorsätzliche Manipulation geschützt sein.
  • Software und Daten, die für die Sicherheit der Maschine entscheidend sind, müssen benannt und geschützt werden.
  • Die Maschine muss Nachweise über berechtigte und unberechtigte Eingriffe in diese Software und ihre Konfiguration sammeln.

1.2.1 Sicherheit und Zuverlässigkeit von Steuerungen

  • Steuerungen müssen auch böswilligen Versuchen Dritter standhalten, die zu einer gefährlichen Situation führen könnten.
  • Eingriffe in die Steuerung und hochgeladene Versionen der Sicherheitssoftware müssen protokolliert werden. Diese Aufzeichnungen müssen fünf Jahre verfügbar sein, damit der Hersteller auf Verlangen der Behörde die Konformität belegen kann.

Für die Praxis heißt das: Ein Zugriffsschutz allein reicht nicht. Es muss auch nachvollziehbar sein, wer wann was an der sicherheitsrelevanten Software geändert hat.

Cyber Resilience Act und IEC 62443

Parallel dazu kommt der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847). Er gilt für Produkte mit digitalen Elementen, also auch für Steuerungen, HMIs und viele Maschinen mit Netzwerkanschluss. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten seit 11. September 2026, die übrigen Anforderungen ab 11. Dezember 2027. Der CRA verlangt unter anderem Security by Design, Schwachstellenmanagement und Sicherheitsupdates über den Lebenszyklus.

Beide Verordnungen sind aufeinander abgestimmt: Wer die CRA-Anforderungen erfüllt, deckt die Cybersecurity-Anforderungen der Maschinenverordnung weitgehend mit ab. Als technische Grundlage hat sich die Normenreihe IEC 62443 etabliert:

  • IEC 62443-3-2: Risikobeurteilung, Aufteilung der Anlage in Zonen und Verbindungen (Conduits)
  • IEC 62443-3-3: Sicherheitsanforderungen an das System, abgestuft nach Security Level
  • IEC 62443-4-1 und 4-2: sicherer Entwicklungsprozess und Anforderungen an Komponenten

Harmonisierte Normen speziell für die Cybersecurity-Anforderungen der Maschinenverordnung sind noch in Arbeit. Bis dahin ist die IEC 62443 der sinnvollste Maßstab.

Konkret an der Maschine: TIA Portal und SINUMERIK

Die gute Nachricht: Viele der benötigten Mechanismen sind in aktuellen Siemens-Steuerungen bereits vorhanden. Sie müssen nur konsequent genutzt werden.

  • Zugriffsschutz der CPU: Schutzstufen der S7-1500 und der PLC der SINUMERIK ONE mit Passwort aktivieren, damit niemand ohne Berechtigung Programme lädt oder ändert.
  • Benutzerverwaltung: Mit der zentralen Benutzerverwaltung im TIA Portal (UMAC) erhalten Personen eigene Konten und Rollen statt eines gemeinsamen Passworts. Das ist die Grundlage für nachvollziehbare Eingriffe.
  • Safety-Programm absichern: F-Passwort setzen und die Gesamtsignatur des Sicherheitsprogramms dokumentieren. Jede Änderung ist dann über die Signatur erkennbar.
  • Sichere Kommunikation: Die gesicherte PG/HMI-Kommunikation über TLS nutzen und unsichere Dienste wie den Webserver oder nicht benötigte Protokolle abschalten.
  • Netzwerk trennen: Maschinennetz und Firmennetz an getrennten Schnittstellen führen, dazwischen eine Firewall oder einen Security-Router. Fernwartung nur über einen definierten, protokollierten Zugang.
  • Bedienebene absichern: In SINUMERIK Operate die Zugriffsstufen mit Kennwort und Schlüsselschalter so einstellen, dass der Bediener nur das ändern kann, was er für seine Aufgabe braucht.
  • Know-how-Schutz: Bausteine mit Know-how- und Kopierschutz versehen. Das schützt das geistige Eigentum und verhindert unbemerkte Änderungen an kritischer Logik.

Checkliste für Maschinenbauer bis 2027

  1. Bestandsaufnahme: Welche Schnittstellen hat die Maschine (Ethernet, USB, Fernwartung, WLAN)? Welche Software und Parameter sind sicherheitsrelevant?
  2. Risikobeurteilung erweitern: Manipulation und Fernzugriff als Gefährdungsquelle aufnehmen, am besten nach IEC 62443-3-2.
  3. Schutzkonzept festlegen: Zugriffsschutz, Benutzerverwaltung, Netzwerktrennung und Härtung als Standard für alle Maschinentypen definieren.
  4. Protokollierung einrichten: Eingriffe und Software-Stände der Sicherheitsfunktionen aufzeichnen und fünf Jahre aufbewahren.
  5. Update- und Schwachstellenprozess: Festlegen, wie Sicherheitsmeldungen der Hersteller ausgewertet und Updates zum Kunden gebracht werden.
  6. Dokumentation anpassen: Technische Unterlagen, Betriebsanleitung und Konformitätserklärung auf die neue Verordnung umstellen.
  7. Lieferanten einbinden: Von Zulieferern für Steuerungen, Antriebe und Software Nachweise zur Cybersecurity einfordern.

Fazit

Mit der neuen Maschinenverordnung wird IT-Sicherheit vom Zusatzthema zur Pflicht. Für Maschinenbauer heißt das nicht, alles neu zu erfinden: Die Werkzeuge in TIA Portal und SINUMERIK sind da, die IEC 62443 gibt den Rahmen vor. Entscheidend ist, die Maßnahmen früh und einheitlich in den Maschinenstandard aufzunehmen. Bis Jänner 2027 bleibt dafür nicht mehr viel Zeit.

Hinweis: Dieser Artikel gibt einen technischen Überblick und ersetzt keine Rechtsberatung. Maßgeblich ist der Text der Verordnung im Amtsblatt der EU.