Maschinenverordnung und Cybersicherheit: was 2023/1230 für Maschinenbauer in Deutschland bedeutet
Die EU-Maschinenverordnung (EU) 2023/1230 löst die Maschinenrichtlinie 2006/42/EG ab und gilt ab dem 20. Januar 2027. Erstmals adressieren ihre grundlegenden Gesundheits- und Sicherheitsanforderungen Cybersicherheit direkt: Anhang III Abschnitt 1.1.9 verlangt Schutz vor zufälliger oder vorsätzlicher Verfälschung sicherheitsrelevanter Software, Daten und Verbindungen, und Abschnitt 1.2.1 verlangt, dass Steuerungssysteme vernünftigerweise vorhersehbaren böswilligen Eingriffen standhalten, die eine Gefährdung verursachen könnten (Verordnung (EU) 2023/1230, EUR-Lex, gelesen 26.10.2026). Maschinen, die zugleich Produkte mit digitalen Elementen sind, müssen zusätzlich den Cyber Resilience Act erfüllen.
Wichtige Termine
| Datum | Was gilt |
|---|---|
| 19. Juli 2023 | Verordnung (EU) 2023/1230 tritt in Kraft |
| 20. Januar 2027 | Verordnung gilt verbindlich; die Richtlinie 2006/42/EG wird abgelöst |
| Vor dem 20. Januar 2027 | In Verkehr gebrachte Maschinen müssen die Maschinenrichtlinie erfüllen |
Der ursprüngliche Amtsblatttext druckte den 14. Januar 2027 als Geltungsdatum. Eine Berichtigung hat die Geltungsdaten korrigiert; maßgeblich ist der 20. Januar 2027.
Die Cybersicherheitsanforderungen in Anhang III
Abschnitt 1.1.9 – Schutz vor Verfälschung. Die Maschine muss so gestaltet sein, dass das Verbinden eines weiteren Geräts nicht zu einer Gefährdung führt; sicherheitsrelevante Hardware-Schnittstellen müssen angemessen geschützt sein, und legitime wie illegitime Eingriffe müssen nachweisbar sein; sicherheitsrelevante Software und Daten müssen als solche gekennzeichnet und geschützt sein; die Maschine muss die installierte, für den sicheren Betrieb notwendige Software identifizieren und diese Information jederzeit bereitstellen können.
Abschnitt 1.2.1 – Sicherheit und Zuverlässigkeit von Steuerungssystemen. Steuerungssysteme müssen unter anderem vernünftigerweise vorhersehbaren böswilligen Eingriffen Dritter standhalten, die zu einer Gefährdung führen könnten (Buchstabe a); Hardwarefehler und Logikfehler dürfen nicht zu Gefährdungen führen; eine Rückverfolgung von Eingriffen und hochgeladenen Versionen sicherheitsrelevanter Software muss für fünf Jahre aktiviert sein, allein zum Nachweis der Konformität auf begründete Anfrage einer nationalen Behörde (Buchstabe f).
Vermutungswirkung durch Zertifizierung. Nach Artikel 20(9) gilt für Maschinen, die nach einem Cybersicherheits-Zertifizierungsschema der Verordnung (EU) 2019/881 zertifiziert und im Amtsblatt referenziert sind, die Konformität mit 1.1.9 und 1.2.1 als vermutet, soweit das Zertifikat sie abdeckt.
Zusammenspiel mit dem Cyber Resilience Act
Erwägungsgrund 53 des CRA (Verordnung (EU) 2024/2847) besagt, dass Maschinen, die zugleich ein Produkt mit digitalen Elementen sind, beide Verordnungen erfüllen müssen und dass die Erfüllung der CRA-Anforderungen die Einhaltung von 1.1.9 und 1.2.1 erleichtern kann – der Hersteller muss dies aber nachweisen (Verordnung (EU) 2024/2847, EUR-Lex, gelesen 26.10.2026). Eine SPS, ein HMI, ein industrielles Gateway oder ein Fernwartungsrouter, die separat verkauft werden, sind selbst Produkte mit digitalen Elementen nach dem CRA; der Maschinenbauer, der diese Komponenten integriert, muss bei der Risikobewertung Sorgfalt walten lassen und trägt für die Maschine selbst, soweit sie digitale Elemente enthält, die CRA-Herstellerpflichten.
Was Maschinenbauer jetzt tun sollten
- Software pro Maschinentyp inventarisieren. SPS-Firmware, HMI-Software, Antriebe, Gateways und eingebettete PCs mit Versionen erfassen – Grundlage für 1.1.9 und für eine SBOM nach dem CRA.
- Sicherheitsrelevante Software und Daten kennzeichnen und deren Schutz festlegen.
- Cyber-Bedrohungen in die Risikobewertung aufnehmen: Fernzugriff, USB, Engineering-Laptops, Netzwerkexposition als vorhersehbare böswillige Eingriffe.
- Nachweisfähigkeit einplanen: Audit-Logs für Konfigurations- und Softwareänderungen, fünfjährige Rückverfolgung für sicherheitsrelevante Software-Uploads.
- Schnittstellen absichern: Wartungsports einschränken, Authentifizierung für den Engineering-Zugang verlangen, Maschinennetzwerk segmentieren.
Für die CRA-Seite siehe den Leitfaden zum Cyber Resilience Act. SoftWSP erstellt Maschinen-SBOMs und Schwachstellenberichte aus den gelieferten Komponenten, ohne etwas auf der Maschine zu installieren, und bildet Befunde auf 1.1.9, 1.2.1 und den CRA ab: siehe Leistungen für Maschinenbauer. Die ausführlichere englischsprachige Fassung dieses Leitfadens steht unter Machinery Regulation Cybersecurity Guide.
Dieser Leitfaden bietet allgemeine Informationen und ist keine Rechtsberatung.
Frequently asked questions
Ab wann gilt die Maschinenverordnung (EU) 2023/1230?
Sie gilt verbindlich ab dem 20. Januar 2027. Eine Berichtigung hat das im ursprünglichen Amtsblatttext gedruckte Datum (14. Januar 2027) korrigiert. Vor dem 20. Januar 2027 in Verkehr gebrachte Maschinen müssen die Maschinenrichtlinie 2006/42/EG erfüllen.
Welche Anforderungen der Maschinenverordnung betreffen Cybersicherheit?
Vor allem Anhang III Abschnitt 1.1.9 (Schutz vor Verfälschung) und Abschnitt 1.2.1 (Sicherheit und Zuverlässigkeit von Steuerungssystemen), wonach Steuerungssysteme vernünftigerweise vorhersehbaren böswilligen Eingriffen Dritter standhalten müssen, die zu einer Gefährdung führen könnten.
Muss eine Maschine zusätzlich den Cyber Resilience Act erfüllen?
Wenn die Maschine oder eine Komponente ein Produkt mit digitalen Elementen ist, gelten beide Verordnungen. Erwägungsgrund 53 des CRA besagt, dass die Erfüllung des CRA die Einhaltung von 1.1.9 und 1.2.1 erleichtern kann, der Hersteller dies aber nachweisen muss.
Was bedeutet 'die Software identifizieren' in der Praxis?
Abschnitt 1.1.9 verlangt, dass die Maschine die für den sicheren Betrieb notwendige installierte Software identifiziert und diese Information jederzeit in leicht zugänglicher Form bereitstellt. Eine maschinenbezogene Software-Inventur, ähnlich einer SBOM, ist der übliche Weg dafür.
Kann SoftWSP deutsche Maschinenbauer bei der Umsetzung unterstützen?
Ja. Maschinen-SBOM und Schwachstellenanalyse werden remote, weltweit erbracht, ohne Installation auf der Maschine; Netbase JSC, das Unternehmen hinter SoftWSP, hat mit Kunden in 80 Ländern zusammengearbeitet. Vertrag und Zahlung laufen über Netbase JSC per Banküberweisung oder PayPal Business; Ansprechpartner ist Huy Nguyen (David), CEO, per WhatsApp (wa.me/84937869689) oder [email protected].