Maschinenverordnung Cybersicherheit

Ab 2027 reicht es im Maschinenbau nicht mehr, wenn eine Anlage „mechanisch sicher“ ist. Mit der EU-Maschinenverordnung (EU) 2023/1230 wird Cybersicherheit zu einem festen Bestandteil der Maschinensicherheit: Vernetzte Steuerungen, Fernzugriffe, Software‑Updates und Datenflüsse gehören offiziell zur Betrachtung dazu. Für Maschinenbauer und produzierende Unternehmen in Deutschland heißt das: Angriffe aus dem Netz, fehlerhafte Updates oder manipulierte Einstellungen werden rechtlich ähnlich ernst genommen wie defekte Not‑Halt-Taster oder fehlende Schutztüren.

Viele Betriebe sind davon schon heute betroffen, einfach, weil moderne Maschinen standardmäßig mit SPS, HMI, Remote-Service und Anbindung an OT‑Netze ausgeliefert werden. Gleichzeitig sitzen Entwicklung, IT/OT und Arbeitssicherheit oft in unterschiedlichen Silos. Die Maschinenverordnung Cybersicherheit zwingt diese Welten ein Stück weit zusammen: Software, Netzwerkanbindung und Fernwartung sind künftig keine „IT-Themen am Rand“ mehr, sondern Teil der Frage, ob eine Maschine überhaupt sicher in Verkehr gebracht und betrieben werden darf.

In diesem Artikel beleuchten wir, welche Cybersecurity-Anforderungen die Maschinenverordnung konkret stellt und was das praktisch für Maschinenbauer und Betreiber im produzierenden Gewerbe bedeutet. Wir schauen uns an, wo typische Schwachstellen in OT‑Netzen und Fernzugängen liegen, welche Rolle Normen wie IEC 62443 spielen, wie Sie Ihre Risikobeurteilung sinnvoll um Cyberaspekte erweitern und wie Sie Schritt für Schritt zu einem umsetzbaren Cybersecurity-Konzept für Ihre Maschinen kommen.

Warum Cybersicherheit jetzt Teil der Maschinensicherheit ist

Die Maschinenverordnung macht etwas offiziell, was in vielen Werken längst Realität ist: Eine Maschine besteht nicht mehr nur aus Mechanik, Hydraulik und ein paar Relais, sondern aus Steuerungen, Software und Netzwerken. Sobald eine SPS per Ethernet angebunden ist, ein HMI Daten in die Cloud sendet oder ein Servicepartner per Fernzugriff auf die Anlage geht, kann ein digitaler Fehler sehr schnell zu einer ganz realen Gefährdung führen, etwa wenn Bewegungen unkontrolliert starten, Sicherheitsfunktionen ausfallen oder Prozesse stehen bleiben. Genau an dieser Stelle setzt die Maschinenverordnung Cybersicherheit an: Sie behandelt vernetzte Funktionen als Teil der Maschinensicherheit, nicht als Komfort-Zugabe.

Für Maschinenbauer und Betreiber bedeutet das: Es reicht nicht mehr, nur zu prüfen, ob eine Schutztür zuverlässig verriegelt oder ein Not‑Halt abschaltet. Es kommt zusätzlich darauf an, ob etwa die Sicherheits-SPS, das HMI oder der Fernzugriff so ausgelegt sind, dass Fehler, Angriffe oder falsche Einstellungen nicht unbemerkt zu gefährlichen Situationen führen können. Die Verordnung spricht dabei von Schutz gegen „Korrumpierung“; gemeint ist im Kern, dass sicherheitsrelevante Informationen und Funktionen nicht einfach manipuliert werden dürfen, sei es durch Cyberangriffe, fehlerhafte Software-Updates oder unsaubere Schnittstellen.

Gleichzeitig verlangt die Maschinenverordnung keine Science-Fiction-Szenarien. Es geht nicht darum, jedes OT‑Netz in einen Hochsicherheitsbunker zu verwandeln, sondern um angemessenen Schutz: Wer vernetzte Maschinen entwickelt oder betreibt, soll wissen, welche digitalen Einfallstore es gibt, wie kritisch sie für die Sicherheit sind und welche technischen und organisatorischen Maßnahmen dazu passen. Im weiteren Verlauf dieses Artikels schauen wir uns deshalb konkret an, welche Cybersecurity-Anforderungen die Maschinenverordnung stellt, wie sie sich in der Praxis auf OT‑Netze, Router und Remote-Zugriffe auswirken und wie Normen wie IEC 62443 dabei helfen können, aus gesetzlichen Vorgaben handhabbare Schritte im Alltag zu machen.

Welche Cybersecurity-Anforderungen stellt die Maschinenverordnung?

Die Maschinenverordnung macht Cybersicherheit nicht zu einem eigenen Spezialkapitel, sondern verankert sie in den grundlegenden Sicherheits- und Gesundheitsschutzanforderungen. Entscheidend ist: Vernetzte Funktionen, Software und Daten werden wie „ganz normale“ Sicherheitsaspekte behandelt, also genau so verbindlich wie mechanische Schutzeinrichtungen. Für Hersteller und Betreiber heißt das: Cyberrisiken gehören künftig in jede ernst gemeinte Betrachtung zur Maschinensicherheit.

Schutz vor Manipulation („Korrumpierung“)

Kernbegriff der Verordnung ist der Schutz vor „Korrumpierung“. Gemeint ist damit ganz praktisch:

sicherheitsrelevante Informationen (z.B. Parameter, Konfigurationen, Programmstände)
und sicherheitsrelevante Funktionen (z.B. Abschaltungen, Überwachungen)

dürfen nicht einfach unbemerkt verändert werden, weder durch Angriffe von außen noch durch Fehler, falsche Updates oder unbedachte Eingriffe. Wenn eine Maschine per Fernzugriff gewartet wird, darf diese Verbindung nicht dazu führen, dass Schutzfunktionen aus Versehen oder durch Angreifer ausgehebelt werden können. Die Maschinenverordnung Cybersicherheit verlangt deshalb, dass solche Zugänge bewusst gestaltet und abgesichert werden, statt „irgendwie“ nebenbei mitzulaufen.

Sichere Steuerungen, Software und Updates

Ein zweiter Schwerpunkt liegt auf den Steuerungssystemen und der eingesetzten Software. Die Verordnung erwartet, vereinfacht gesagt:

Steuerungen müssen so ausgelegt sein, dass Fehler in Hardware, Software oder Kommunikation nicht unmittelbar zu Gefahrensituationen führen.
Sicherheitsfunktionen (z.B. sichere Stillsetzung, Überwachung von Bewegungen) dürfen nicht durch einfache Softwarefehler, defekte Schnittstellen oder unsichere Protokolle ausgehebelt werden.
Wenn Software aktualisiert oder neue Funktionen nachgeladen werden, muss klar sein, wie sich das auf die Sicherheit auswirkt.

Für die Praxis bedeutet das: Wer Maschinen mit SPS, HMI, Remote-Service und vernetzten Komponenten entwickelt oder betreibt, braucht ein Mindestmaß an Regeln für Updates, Freigaben und Tests. Spontane Änderungen „am lebenden Objekt“, nicht dokumentierte Remote-Eingriffe oder unkontrollierte Nachrüstung von Apps/Modulen passen nicht mehr zu den Erwartungen der Maschinenverordnung.

Umgang mit vernetzten und „intelligenten“ Funktionen

Schließlich adressiert die Maschinenverordnung auch vernetzte und teilweise „intelligente“ Funktionen – also etwa:

Maschinen, die mit anderen Anlagen oder Cloud-Diensten Daten austauschen,
Steuerungen, die Zustände automatisch optimieren,
erste KI‑Funktionen, die z.B. Fehlerbilder erkennen oder Bewegungen anpassen.

Die gute Nachricht: Die Verordnung verlangt nicht, dass jede Maschine plötzlich ein Hochglanz-KI-System hat. Sie sagt aber klar: Wenn solche Funktionen vorhanden sind, müssen sie beherrschbar und erklärbar sein. Das heißt vor allem:

Es muss nachvollziehbar sein, welche Daten für sicherheitsrelevante Entscheidungen genutzt werden.
Auch bei „lernenden“ Systemen muss sichergestellt sein, dass sie nicht in gefährliche Zustände „hineinlernen“.
Betreiber müssen in die Lage versetzt werden, diese Funktionen im Alltag zu verstehen und sicher zu bedienen.

Sie wissen nicht, ob auch Ihr Unternehmen von der neuen Maschinenverordnung betroffen ist und wie Sie in diesem Fall vorgehen? In unserem Leitartikel nehmen wir das Thema speziell unter dem Gesichtspunkt Cybersecurity in den Blick und zeigen Ihnen, wie Sie einen Fahrplan bis 2027 entwickeln, der entlastet und Sicherheit schafft.

Sie möchten einen Überblick über die Pflichten, die mit der neuen Maschinenverordnung auf Betreiber zukommen? In diesem Artikel finden Sie eine Zusammenstellung und eine Checkliste für Ihr eigenes Unternehmen.

Cybersicherheit im OT-Netz und beim Remote-Zugriff

In der Theorie klingt Cybersicherheit oft abstrakt. In der Praxis entscheidet sie sich an ein paar ganz konkreten Stellen: OT-Netze, Router, Fernzugriffe und die Frage, wer im Alltag worauf zugreifen darf. Genau hier setzt die Maschinenverordnung im Bereich Cybersicherheit an: dort, wo digitale Technik direkt Einfluss auf Bewegungen, Antriebe und Sicherheitsfunktionen nimmt.

OT-Netze

In vielen Werken sieht die Realität so aus: Maschinen, Steuerungen, HMI-Panels, Engineering-Laptops und manchmal sogar Büro-PCs hängen „irgendwie“ am gleichen Netz. Solange nichts passiert, funktioniert das – aber aus Sicht der Maschinenverordnung ist klar: Wenn ein Vorfall in diesem Netz dazu führen kann, dass Sicherheitsfunktionen ausfallen oder unkontrollierte Bewegungen entstehen, ist das ein Risiko für die Maschinensicherheit.

Ohne in tiefe Netzwerktechnik einzusteigen, lassen sich drei einfache Prinzipien ableiten:

Trennen, was nicht zusammengehört: Produktionsnetze (OT) sollten von Büro-/IT-Netzen logisch getrennt sein – etwa durch VLANs und klar definierte Übergabepunkte.
Wenige, kontrollierte Übergänge: Wo OT mit IT oder dem Internet verbunden ist (z.B. für Fernzugriff oder Cloud-Dienste), sollten diese Verbindungen bewusst geplant und abgesichert sein – nicht „nebenbei“ über irgendeinen Router laufen.
Sichtbarkeit statt Blindflug: Wer Maschinen vernetzt, sollte wissen, welche Geräte überhaupt im OT-Netz hängen und welche Dienste sie anbieten. „Historisch gewachsene“ Netze ohne Dokumentation werden unter den Cybersecurity-Anforderungen der Maschinenverordnung zunehmend zum Problem.

Normen wie IEC 62443 sind an dieser Stelle kein zusätzlicher Zwang, sondern eine Art strukturiertes Kochrezept: Sie beschreiben, wie man industrielle Netze in Zonen und Leitungen aufteilt, Risiken bewertet und passende Schutzmaßnahmen auswählt, ohne dass jedes Unternehmen bei null anfangen muss.

Fernzugriff

Fernzugriffe sind aus dem Alltag kaum wegzudenken: Hersteller schalten sich auf Maschinen, um Fehler zu analysieren, Software zu aktualisieren oder Inbetriebnahmen zu unterstützen. Die Maschinenverordnung stellt das nicht in Frage, sie macht aber deutlich, dass solche Verbindungen Teil des Sicherheitskonzepts sind und nicht bloß Komfortfunktion.

Praktisch heißt das:

Klare Wege statt „irgendwie online“: Fernzugriffe sollten über definierte, abgesicherte Kanäle laufen (z.B. VPN mit starker Authentifizierung), nicht über frei erreichbare Portfreigaben oder Standard-Accounts.
Freigabe und Protokollierung: Es sollte nachvollziehbar sein, wer wann auf welche Maschine zugegriffen hat und welche Art Zugriff erlaubt ist (nur Lesen, Parametrieren, Programmieren etc.).
Notausstieg: Betreiber sollten im Zweifel den Stecker ziehen können – also in der Lage sein, einen Fernzugriff gezielt zu trennen oder zu sperren, wenn es sicherheitlich nötig ist.

Die Cybersecurity-Anforderungen der Maschinenverordnung zielen nicht darauf, Fernwartung zu verbieten, sondern sie so zu gestalten, dass sie nicht zur unkontrollierten Schwachstelle wird. Für viele Unternehmen ist schon viel gewonnen, wenn Remote-Zugriffe aus der „Grauzone“ (privater Hotspot am Schaltschrank, unbekannte Modems) in klar definierte, dokumentierte Prozesse überführt werden.

Typische Schwachstellen

Wenn man die Anforderungen der Maschinenverordnung auf den Alltag herunterbricht, tauchen immer wieder ähnliche Muster auf:

Standard-Passwörter bleiben unverändert, auf Routern, HMIs oder Fernwartungsmodems.
Engineering-Laptops werden gleichzeitig für Internet, E‑Mail und SPS-Programmierung genutzt, ohne klare Trennung.
Dokumentation von Netz und Zugängen existiert nur in Köpfen („Fragen Sie Herrn X“), nicht in nachvollziehbarer Form.
Updates an Steuerungen oder sicherheitsrelevanter Software werden ad hoc eingespielt, ohne festen Prozess oder Prüfung der Auswirkungen.

Die Maschinenverordnung schreibt nicht jedes Detail vor, aber sie macht diese Punkte prüfbar: Wer vernetzte Maschinen in Verkehr bringt oder betreibt, sollte zeigen können, dass er solche grundlegenden Schwachstellen erkannt und angemessen adressiert hat. Genau hier helfen einfache, nachvollziehbare Regeln und eine Portion „gesunder Misstrauen“ gegenüber allem, was dauerhaft online ist.

IEC 62443 & Co

Sobald das Wort „IEC 62443“ fällt, zucken viele zusammen: „Noch eine Norm, die wir nie ganz lesen werden.“ Für die Maschinenverordnung Cybersicherheit kann IEC 62443 aber tatsächlich hilfreich sein, wenn man sie nicht als Pflichtlektüre, sondern als Werkzeugkiste versteht: Sie beschreibt in strukturierter Form genau das, was viele Betriebe sowieso brauchen, nämlich einen nachvollziehbaren Umgang mit Cyberrisiken in OT-Umgebungen.

Was steckt hinter IEC 62443?

Stark vereinfacht:

IEC 62443 ist eine Normenreihe für industrielle Cybersicherheit.
Sie betrachtet Anlagen und Maschinen als Kombination aus:
- Komponenten (z.B. SPS, HMI, Router),
- Netzwerken (OT-Zonen, Leitungen),
- und Organisation (Rollen, Prozesse, Verantwortlichkeiten).

Anstatt zu sagen „Schützen Sie alles irgendwie“, beschreibt sie einen Weg in Etappen:

Risiken verstehen: Wo hängen welche Systeme, wie kritisch sind sie, was könnte passieren?
Schutzziele festlegen: Welche Bereiche müssen besonders gut geschützt werden (z.B. Sicherheits-SPS, Fernzugänge)?
Maßnahmen auswählen: Passende Technik und Prozesse – von Passwortregeln bis zur Netzsegmentierung.

Die Maschinenverordnung legt fest, dass Sie Cybersicherheit berücksichtigen müssen. IEC 62443 hilft Ihnen dabei, wie Sie das strukturiert tun können.

Welche Teile sind für Maschinenbauer und Betreiber relevant?

Man muss nicht die gesamte Normenreihe im Detail kennen. Für Maschinenbauer und produzierende Unternehmen sind in der Praxis vor allem drei Bereiche interessant:

Sichere Produktentwicklung (IEC 62443-4-1):
Wie entwickelt man Komponenten und Steuerungen so, dass Cybersicherheit von Anfang an mitgedacht wird – statt später als „Patch“?
→ Relevant für Konstruktion/Entwicklung von Maschinen und Steuerungen.
Technische Anforderungen an Komponenten (IEC 62443-4-2):
Welche Sicherheitsfunktionen sollten z.B. eine Steuerung, ein Remote-Gateway oder ein HMI mitbringen (Benutzer- und Rechtekonzept, sichere Protokolle, Logging)?
→ Hilft beim Einkauf und bei der Auswahl von Komponenten.
Zonen- und Leitungsmodell (Teile der 62443-2 / -3):
Wie teile ich mein OT-Netz sinnvoll in Bereiche unterschiedlicher Schutzbedürftigkeit auf und wie schütze ich die Verbindungen dazwischen?
→ Relevanz für OT/IT und Instandhaltung.

Wie zahlt IEC 62443 auf die Maschinenverordnung ein?

Die gute Nachricht: Maschinenverordnung Cybersicherheit und IEC 62443 laufen in die gleiche Richtung.

Ein paar Beispiele:

Die Maschinenverordnung fordert, dass sicherheitsrelevante Software und Daten vor Manipulation geschützt werden.
→ IEC 62443 beschreibt, wie Sie Benutzer, Rollen, Rechte, Protokolle und Updates so gestalten, dass genau das funktioniert.
Die Maschinenverordnung will, dass vernetzte Funktionen beherrschbar bleiben – auch bei Störungen und Fehlern.
→ IEC 62443 hilft Ihnen, Netze zu strukturieren, kritische Verbindungen zu identifizieren und angemessen zu schützen.
Die Maschinenverordnung erwartet eine nachvollziehbare Betrachtung von Cyberrisiken.
→ IEC 62443 liefert dafür eine Vorgehensweise, die sich gut in bestehende Risikobeurteilungen (EN ISO 12100) integrieren lässt.

Sie müssen also nicht „Maschinenverordnung oder IEC 62443“ machen – sinnvoll ist Maschinenverordnung + ein pragmatisch eingesetztes IEC‑62443‑Denken. Das Ziel: Cybersecurity nicht als Sonderthema behandeln, sondern als natürlichen Teil von Konstruktion, OT‑Netz und Betriebsorganisation.

Wie gehe ich als Maschinenbauer oder Betreiber konkret vor?

Die gute Nachricht: Für die Maschinenverordnung Cybersicherheit müssen Sie nicht alles neu erfinden. Vieles können Sie aufbauen auf dem, was es ohnehin schon gibt, Risikobeurteilungen, CE-Prozesse, OT-Strukturen, Instandhaltung. Wichtig ist, das Thema bewusst zu fassen und nicht dem Zufall zu überlassen.

Schritt 1: Sichtbar machen, was heute schon vernetzt ist

Bevor Sie an Normen, Tools oder Firewalls denken, brauchen Sie ein Bild davon, wo überall digitale „Berührungspunkte“ an Ihren Maschinen sitzen.

Typische Fragen:

Welche Maschinen und Anlagen haben SPS, HMI, Router, Fernwartungsmodems, OPC‑UA, MQTT & Co.?
Wo gehen Leitungen aus dem Schaltschrank „nach draußen“ – ins OT‑Netz, in die IT oder ins Internet?
Welche Systeme können sicherheitsrelevante Funktionen beeinflussen (z.B. Sicherheits-SPS, Safety‑Relais, Antriebsparameter)?

Es reicht für den Anfang völlig, wenn das als überschaubare Liste oder Skizze vorliegt:

Anlage A: SPS + HMI, Remote-VPN des Herstellers, angebunden ans Fertigungsnetz
Anlage B: alte Steuerung, kein Fernzugriff, nur lokale Bedienung
Anlage C: neue Linie mit Cloud-Anbindung für OEE, mehrere Lieferanten, zentrales OT‑Netz

Diese einfache „Landkarte“ ist die Basis, um die Cybersecurity-Anforderungen der Maschinenverordnung strukturiert anzugehen: Sie sehen, wo der größte Hebel liegt.

Schritt 2: Cyberrisiken in die bestehende Risikobeurteilung integrieren

Die meisten Unternehmen haben bereits eine Risikobeurteilung nach EN ISO 12100 oder ähnliche Verfahren. Statt ein neues System daneben zu stellen, ist es sinnvoll, Cyberthemen dort zu ergänzen, wo sie hingehören.

Beispiele:

Bei Gefährdungen durch unerwartete Bewegungen nicht nur an mechanische Fehler denken, sondern auch an:
- fehlerhafte oder manipulierte Steuersignale,
- falsche Parameter,
- Ausfälle oder Störungen in der Kommunikation.

Bei der Betrachtung von Schutzeinrichtungen prüfen:

- - Was passiert, wenn eine Sicherheits-SPS oder ein sicherer Antrieb falsche Daten bekommt?
  - Können Netz-Störungen oder Remote-Zugriffe dazu beitragen?

Ziel ist nicht, jede denkbare Hacker-Attacke zu simulieren, sondern offensichtliche digitale Risiken systematisch mitzudenken. Damit erfüllen Sie den Kern der Maschinenverordnung: Cybersecurity ist Teil der Maschinensicherheit, nicht ein loses Anhängsel.

Schritt 3: Wenige, klare Spielregeln für Passwörter, Remote und Updates

Statt dutzende Maßnahmen parallel anzustoßen, sind ein paar klare Grundregeln oft wirkungsvoller und leichter im Unternehmen zu verankern:

Passwörter & Accounts:

- Keine Standard-Passwörter auf SPS, HMI, Routern, Fernwartungsmodems.
- Rollenbasiertes Konzept, wo möglich: Bediener / Instandhaltung / Hersteller-Service mit unterschiedlichen Rechten.

Remote-Zugriffe:

- Nur definierte Wege (z.B. zentral verwaltetes VPN) statt „irgendwelche Modems“ an einzelnen Schaltschränken.
- Kurze, dokumentierte Freigabeprozesse: Wer gibt frei, wer schaut im Zweifel zu, wer schließt wieder.

Updates & Änderungen:

- Klare Regel: An sicherheitsrelevanten Steuerungen wird nicht ohne Freigabe „im Vorbeigehen“ programmiert.
- Mindestens eine kurze Bewertung: Könnte diese Änderung Sicherheitsfunktionen beeinflussen? Wenn ja, zusätzliche Prüfung.

Diese einfachen Regeln schaffen die Grundlage, um gegenüber Kunden, Auditoren oder Behörden zeigen zu können: Wir haben die Cybersecurity-Anforderungen der Maschinenverordnung verstanden und praxisnah umgesetzt.

Schritt 4: Zuständigkeiten und Kommunikation klären

Cybersicherheit im Sinne der Maschinenverordnung betrifft immer mehrere Bereiche:

Konstruktion / Entwicklung
OT-/IT-Verantwortliche
Instandhaltung
Arbeitssicherheit / CE

Statt die Verantwortung „ins Leere“ zu hängen, hilft eine sehr einfache Festlegung:

Wer ist fachlich verantwortlich für Cybersicherheit an Maschinen (z.B. ein kleiner Kreis aus CE-/Sicherheitsverantwortlichen und OT/IT)?
Wer entscheidet im Zweifel, ob eine geplante Änderung oder ein neues Fernwartungskonzept so okay ist oder nicht?
Über welchen Kanal werden sicherheitsrelevante Änderungen an Maschinen intern kommuniziert?

Hier braucht es keine komplexen Organigramme. Oft reicht ein fester Ansprechpartner oder ein kleines Team, das bei Fragen zur Maschinenverordnung Cybersicherheit einbezogen wird, und die Aufgabe hat, Technik, Organisation und Recht zusammenzudenken.

Schritt 5: Mit Pilotanlagen starten statt theoretisch zu planen

Gerade im Maschinenbau und im produzierenden Gewerbe funktioniert Lernen am besten an einer konkreten Anlage:

Wählen Sie 1–2 typische Maschinen oder Linien, idealerweise mit etwas „Digitalanteil“ (SPS, Remote, OT‑Netz).

Wenden Sie dort die obigen Schritte an:

- Landkarte erstellen
- Cyberrisiken in die Risikobeurteilung integrieren
- einfache Regeln für Passwörter, Remote, Updates definieren
- Zuständigkeiten festlegen

Dokumentieren Sie knapp, was Sie verändert haben und warum.

Das Ergebnis ist kein Hochglanz-Cybersecurity-Programm, aber ein greifbarer Referenzfall: Sie können ihn intern als Blaupause für weitere Maschinen nutzen. Und extern zeigen, wie Sie die Cybersecurity-Vorgaben der Maschinenverordnung in der Praxis umsetzen.

FAQ

Bedeutet die Maschinenverordnung, dass jede Maschine jetzt ein „Hochsicherheits-IT-Projekt“ werden muss?

Nein. Die Maschinenverordnung verlangt angemessene Cybersicherheit – bezogen auf Risiko und Einsatzbereich der Maschine. Eine rein mechanische Vorrichtung ohne Elektronik bleibt weitgehend außen vor, eine vernetzte Linie mit SPS, HMI, Remote-Service und Cloud-Anbindung braucht dagegen deutlich mehr Aufmerksamkeit. Entscheidend ist: Wo digitale Funktionen Einfluss auf Bewegungen, Antriebe oder Sicherheitsfunktionen haben, müssen Sie zeigen können, dass diese Funktionen vor Fehlern und Manipulation geschützt sind.

Betrifft die Maschinenverordnung Cybersicherheit nur Hersteller oder auch Betreiber?

Formal richtet sich die Maschinenverordnung an Hersteller, Einführer, Händler und bestimmte Inverkehrbringer. Cybersicherheit wird dort als Teil der Maschinensicherheit definiert, also in erster Linie bei Konstruktion, Entwicklung und Inverkehrbringen. Für Betreiber in Deutschland bedeutet das aber indirekt: Sie übernehmen Maschinen, deren Sicherheit (inklusive Cyberaspekten) beschrieben ist, und müssen diese Konzepte im Betrieb sinnvoll weiterführen. Wer Fernzugriffe zulässt, OT‑Netze betreibt oder Updates einspielt, hat damit automatisch auch eine organisatorische Cybersecurity-Rolle – sonst passt der Betriebsalltag nicht mehr zu dem, was der Hersteller zugesichert hat.

Reicht eine Firewall im Werk aus, um die Cybersecurity-Anforderungen der Maschinenverordnung zu erfüllen?

Eine zentrale Firewall ist ein Baustein, aber keine Komplettlösung. Die Maschinenverordnung zielt nicht auf ein einzelnes Produkt, sondern auf ein stimmiges Gesamtkonzept: Wie sind OT‑Netze strukturiert, gibt es Zonen, klare Übergänge und definierte Fernzugangswege? Welche Steuerungen, HMIs oder Gateways haben sicherheitsrelevante Funktionen, und wie sind sie abgesichert (Passwörter, Rollen, Protokolle)? Wie werden Änderungen (Updates, Remote-Service, Umbauten) bewertet und dokumentiert? Eine Firewall kann viele Angriffe abfangen. Wenn aber im Schaltschrank Standard-Passwörter verwendet werden oder Remote-Modems unkontrolliert offen sind, bleiben große Lücken, auch wenn „außen“ etwas steht, das Firewall heißt.

Müssen wir jetzt alle unsere Maschinen nach IEC 62443 zertifizieren lassen?

Nein. Die Maschinenverordnung schreibt keine generelle IEC‑62443‑Zertifizierung für jede Maschine vor. IEC 62443 ist vor allem ein Orientierungsrahmen: Sie beschreibt, wie man OT-Sicherheit strukturiert angeht (Zonen, Leitungen, Komponenten, Prozesse). Sinnvoll ist, die Denkweise der Norm zu nutzen – zum Beispiel zur Strukturierung von OT‑Netzen oder zur Festlegung von Security-Anforderungen an Steuerungen und Remote-Gateways. Eine formale Zertifizierung lohnt sich eher bei besonders kritischen Anlagen oder als strategische Entscheidung (z.B. für bestimmte Produktlinien), nicht als Pflicht für jede Standardmaschine.

Ab wann gilt Cybersicherheit in der Maschinenverordnung als „Pflicht“ – und was heißt das zeitlich für uns?

Die EU-Maschinenverordnung (EU) 2023/1230 gilt ab 20. Januar 2027 verbindlich für das Inverkehrbringen neuer Maschinen im EU-Binnenmarkt. Ab diesem Zeitpunkt gehören Cybersecurity-Aspekte fest zu den grundlegenden Sicherheitsanforderungen. Praktisch heißt das: Neue Maschinen und wesentliche Veränderungen müssen ab 2027 die Cybersecurity-Vorgaben berücksichtigen. Die Zeit bis dahin ist für Hersteller und Betreiber in Deutschland die Phase, um: Entwicklung und Risikobeurteilungen um Cyberthemen zu ergänzen, OT‑Netze und Remote-Konzepte zu überprüfen, einfache, klare Regeln für Passwörter, Updates und Zugriffe zu etablieren. Wer das 2025/2026 in Pilotprojekten durchspielt, vermeidet, 2027 in Hektik zu geraten.