Maschinenverordnung: Cybersicherheit und Maschinensicherheit

Die Verordnung gilt unmittelbar in der EU und ist grundsätzlich ab dem 20. Januar 2027 anzuwenden. Prüfen Sie die jeweiligen Pflichten für das Inverkehrbringen oder die Inbetriebnahme: Es handelt sich um unterschiedliche rechtliche Vorgänge.

Artikel 52 Absatz 1 schützt die weitere Bereitstellung von Produkten auf dem Markt, die vor dem 20. Januar 2027 im Einklang mit der Richtlinie 2006/42/EG in Verkehr gebracht wurden. Nach Artikel 52 Absatz 2 bleiben nach der Richtlinie erteilte EG-Baumusterprüfbescheinigungen und Zulassungen bis zu ihrem Ablauf gültig. Das Datum allein verlangt keine erneute Konformitätsbewertung jeder bereits genutzten Maschine.

Davon zu unterscheiden ist die wesentliche Veränderung. Artikel 3 Nummer 16 und Artikel 18 betreffen physische oder digitale Veränderungen nach dem Inverkehrbringen oder der Inbetriebnahme, die die Voraussetzungen der Verordnung erfüllen. Dazu gehört eine vom Hersteller nicht vorgesehene oder geplante Veränderung, die durch eine neue Gefährdung oder ein erhöhtes bestehendes Risiko die Sicherheit beeinträchtigt und die in Artikel 3 Nummer 16 genannten Schutzmaßnahmen erforderlich macht. Ein Softwareupdate ist nicht automatisch eine wesentliche Veränderung. Eine Veränderung, die diese Voraussetzungen erfüllt, kann jedoch Herstellerpflichten für die verändernde Person auslösen.

Anhang III Teil B Nummern 1.1.9 und 1.2.1 verbinden den Schutz gegen Korrumpierung mit der Sicherheit und Zuverlässigkeit von Steuerungen. Zu den einschlägigen Anforderungen gehören:

• Eine Verbindung mit einem anderen Gerät, auch aus der Ferne, darf keine gefährliche Situation verursachen.
• Hardware-Bauteile, die Signale oder Daten für den Zugang zu konformitätskritischer Software übertragen, müssen geschützt werden. Nachweise über rechtmäßige oder unrechtmäßige Eingriffe in diese Bauteile sind zu erfassen.
• Konformitätskritische Software und Daten müssen identifiziert und gegen unbeabsichtigte oder vorsätzliche Korrumpierung geschützt werden. Die Identifikation installierter Software, die für den sicheren Betrieb erforderlich ist, muss leicht zugänglich sein.
• Nachweise über Eingriffe in die Software sowie Änderungen an Software oder Konfiguration sind zu erfassen.
• Steuerungen müssen so konstruiert und gebaut sein, dass sie den Umständen und Risiken entsprechend vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter standhalten, die zu gefährlichen Situationen führen können.
• Nach Nummer 1.2.1 Buchstabe f ist ein Rückverfolgungsprotokoll über Daten im Zusammenhang mit einem Eingriff und über Versionen der Sicherheitssoftware zu führen, die nach dem Inverkehrbringen oder der Inbetriebnahme hochgeladen wurden: für fünf Jahre nach dem Hochladen. Dies ist eine konkrete Rückverfolgbarkeitsanforderung, keine fünfjährige Aufbewahrungspflicht für sämtliche Sicherheitsprotokolle.

Eine unbefugte Änderung einer Geschwindigkeitsgrenze, einer Verriegelungskonfiguration oder eines Steuerbefehls kann das physische Verhalten einer Maschine verändern. Auch ein Verfügbarkeitsverlust kann relevant sein, wenn der sichere Betrieb von einer Steuerungsfunktion abhängt.

Berücksichtigen Sie solche vorhersehbaren Abläufe in der Risikobeurteilung der Maschine und zeigen Sie, wie die daraus abgeleiteten Maßnahmen die jeweiligen Risiken mindern. Cybersicherheitsbefunde müssen mit Gefährdungen, Betriebsbedingungen und Schutzmaßnahmen verknüpft werden, statt in einer getrennten Sicherheitsakte zu verbleiben. Dieser Zusammenhang ersetzt nicht die umfassende Risikobeurteilung der Maschine.

Die technischen Unterlagen müssen die anwendbaren Anforderungen belegen, einschließlich Risikobeurteilung, Schutzmaßnahmen, einschlägiger Spezifikationen und Prüfergebnisse. Anhang IV unterscheidet die Unterlagen für Maschinen und dazugehörige Produkte von denen für unvollständige Maschinen.

Als technische Nachweise können etwa ein Schnittstellenverzeichnis, identifizierte sicherheitsrelevante Software mit Versionsständen, eine mit Gefährdungen verknüpfte Bedrohungsanalyse, Zugriffs- und Updatekontrollen, Eingriffsaufzeichnungen und Prüfergebnisse dienen. Dies sind praktische Beispiele unterstützender Nachweise; nicht jedes Beispiel ist als eigenständiges Dokument gesetzlich vorgeschrieben.

IEC 62443-4-1 kann Nachweise zur sicheren Produktentwicklung und -pflege unterstützen. IEC 62443-4-2 kann Nachweise über technische Sicherheitsfähigkeiten einer industriellen Komponente unterstützen. Dies ist ein fachlicher Zusammenhang zwischen den Geltungsbereichen, kein vollständiger Crosswalk einzelner Anforderungen. Keine der beiden Normen begründet allein Konformität mit der Maschinenverordnung oder die Sicherheit der gesamten Maschine.

Die Anwendung einer Norm ist nicht gleichbedeutend mit einer Konformitätsvermutung. Artikel 20 knüpft diese an die jeweiligen Voraussetzungen und die abgedeckten Anforderungen; bei harmonisierten Normen müssen die einschlägigen Fundstellen im Amtsblatt veröffentlicht sein. Ein Harmonisierungsstatus der beiden IEC-Teile wird hier nicht behauptet.

Eine Maschine, die zugleich ein Produkt mit digitalen Elementen ist, kann unter beide Regelwerke fallen. Erwägungsgrund 53 des CRA erläutert, dass die Erfüllung der CRA-Cybersicherheitsanforderungen die Einhaltung der Anforderungen der Maschinenverordnung erleichtern kann. Der Hersteller muss diese Synergie jedoch nachweisen. Die Wiederverwendung von Nachweisen erfordert eine risikobasierte Zuordnung; eine automatische Gleichwertigkeit besteht nicht.

Jedes anwendbare Konformitätsbewertungsverfahren bleibt erforderlich. Daraus folgen weder zwei zwingende externe Audits noch zwei getrennte Erklärungsdokumente: Artikel 21 Absatz 3 der Maschinenverordnung sieht eine einzige EU-Konformitätserklärung für die anwendbaren Rechtsakte der Union vor.

Artikel 9 der Maschinenverordnung betrifft Risiken, die durch andere Harmonisierungsrechtsvorschriften der Union spezifischer erfasst werden. Seine Wirkung ist auf diese Risiken und Vorschriften begrenzt; die Anwendbarkeit des CRA begründet keine pauschale Ausnahme.

Die Termine unterscheiden sich: Die Meldepflichten nach Artikel 14 CRA gelten seit dem 11. September 2026. Die Maschinenverordnung ist grundsätzlich ab dem 20. Januar 2027 anzuwenden, der CRA grundsätzlich ab dem 11. Dezember 2027. Der allgemeine CRA-Geltungsbeginn ist daher kein Grund, die Arbeiten zur Maschinenverordnung aufzuschieben.

Bestimmen Sie das Produkt, den Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme, die sicherheitsrelevante Software und die zugänglichen Schnittstellen. Prüfen Sie die anwendbaren Rechtsvorschriften und verknüpfen Sie Cybersicherheitsnachweise mit der Risikobeurteilung der Maschine. Die folgenden Ressourcen betreffen unterstützende Prozesse und CRA-Fragen; keiner der beiden CRA-Fragebögen bewertet die Konformität mit der Maschinenverordnung.