EU-Maschinenverordnung 2027: Was funktionale Sicherheit und Cybersicherheit verbindet
Maschinen werden immer digitaler und vernetzter. Damit entstehen neue Möglichkeiten, aber auch neue Sicherheitsrisiken. Mit der EU-Maschinenverordnung (EU) 2023/1230 trägt die EU diesem Wandel jetzt Rechnung. Sie legt fest, welche Sicherheitsanforderungen Maschinen erfüllen müssen, bevor sie auf dem europäischen Markt bereitgestellt oder erstmals in Betrieb genommen werden dürfen. Ab dem 20. Januar 2027 ersetzt sie die bisherige Maschinenrichtlinie 2006/42/EG und gilt unmittelbar in allen EU-Mitgliedstaaten.
Für Hersteller bedeutet das: bestehende Sicherheitskonzepte müssen neu geprüft, potenzielle Schwachstellen identifiziert und mögliche Lücken geschlossen werden. Während die technischen Grundlagen wie Normen überarbeitet und neue Anforderungen konkretisiert werden, rückt der Stichtag unaufhaltsam näher. Grund genug für eine Zwischenbilanz: Wo stehen wir aktuell bei Functional Safety, Cybersecurity und harmonisierten Standards? Und worauf sollten OEMs und Technologiezulieferer bereits achten?
Automatisch Erfolgreich
Der Technikpodcast von MOBA
1. Normen im Wandel: Die technische Grundlage wird angepasst
Die Europäische Kommission, das Europäische Komitee für Normung (CEN) und das Europäische Komitee für elektrotechnische Normung (CENELEC) arbeiten an einem umfangreichem Normungsprogramm zur Unterstützung der neuen Maschinenverordnung.
Zu den wichtigsten Schwerpunkten gehören:
- Überprüfung bestehender harmonisierter Normen im Hinblick auf die neuen grundlegenden Sicherheits- und Gesundheitsschutzanforderungen.
- Ermittlung regulatorischer und technischer Lücken.
- Entwicklung von Anforderungen an die sicherheitsbezogene Cybersicherheit.
- Berücksichtigung neuer Technologien, einschließlich KI-gestützter Sicherheitsfunktionen.
- Wahrung der Kontinuität bestehender Maschinennormen, soweit dies technisch und rechtlich angemessen ist.
Die Herausforderung ist erheblich: Hunderte bestehender Normen müssen bewertet, überführt oder überarbeitet werden. Gleichzeitig sollen bewährte Normen möglichst weiter genutzt werden können, soweit dies technisch und rechtlich angemessen ist.
2. Funktionale Sicherheit und Cybersicherheit gemeinsam betrachten
Für Maschinenhersteller bleibt die Einhaltung von Normen wie EN ISO 13849-1 oder IEC 62061 wesentlich. Bei der Bewertung digitaler Risiken muss jedoch zusätzlich betrachtet werden, ob Cyberbedrohungen die Sicherheitsfunktionen einer Maschine beeinträchtigen können.
Die neue Maschinenverordnung greift diesen Zusammenhang ausdrücklich auf: Besonders relevant sind die Anforderungen in Anhang III, Abschnitt 1.1.9 zum Schutz gegen Korrumpierung und Abschnitt 1.2.1 zur Sicherheit und Zuverlässigkeit von Steuerungen. Gemeint ist unter anderem der Schutz vor Veränderungen an Software, Daten oder Hardware, die zu gefährlichen Situationen führen können.
Für Hersteller ist eine technische Lückenanalyse deshalb ein sinnvoller Ausgangspunkt. Sie zeigt, welche Anforderungen bereits abgedeckt sind und wo Handlungsbedarf besteht. Dabei sollten insbesondere folgende Fragen untersucht werden:
- Software und Firmware: Wie wird sicherheitsrelevante Software vor unbefugten Veränderungen geschützt?
- Parameter: Wie werden unbefugte Änderungen sicherheitsrelevanter Einstellungen verhindert?
- Fernzugriff und Diagnose: Wie sind die Zugänge zur Maschine abgesichert?
- Softwarestände: Lassen sich Versionen und Änderungen eindeutig nachvollziehen?
- Schnittstellen und Kommunikation: Welche digitalen Eingriffe könnten gefährliche Situationen verursachen?
- Nachweise: Wie werden Änderungen und Eingriffe an sicherheitsrelevanter Software dokumentiert?
3. Cybersicherheit: EN 50742 und die Arbeit von CENELEC
Wie lässt sich der Schutz vor digitalen Eingriffen technisch umsetzen? Mit dieser Frage beschäftigt sich das Normungsprojekt prEN 50742 zum Schutz gegen Korrumpierung, das im technischen Komitee CENELEC TC 44X erarbeitet wird. Der Entwurf behandelt den Zusammenhang zwischen Cyberbedrohungen und Maschinensicherheit, insbesondere die Anforderungen aus Anhang III, Abschnitte 1.1.9 und 1.2.1.
Für Hersteller soll dadurch eine strukturierte Grundlage entstehen, um entsprechende Risiken zu bewerten und Schutzmaßnahmen abzuleiten. Dabei bleibt eine Unterscheidung wichtig: Ein Normenentwurf begründet noch keine Konformitätsvermutung. Dafür muss die Fundstelle der entsprechenden harmonisierten Norm im Amtsblatt der Europäischen Union veröffentlicht sein. Die Konformitätsvermutung bezieht sich dann auf die Anforderungen, die von der Norm abgedeckt werden.
4. Harmonisierte Normen: Der Übergang ist noch nicht abgeschlossen
Neben der Entwicklung neuer Normen spielt die Überführung bestehender harmonisierter Normen in den Rechtsrahmen der Maschinenverordnung eine wichtige Rolle. Die Europäische Kommission bereitet hierfür die entsprechenden Grundlagen vor.
Dennoch müssen Hersteller unterscheiden zwischen:
- Normen, die derzeit unter der Richtlinie 2006/42/EG harmonisiert sind.
- Normen, die in die neue Verordnung (EU) 2023/1230 übernommen werden sollen.
- Normen, die sich in Überarbeitung oder Entwicklung befinden.
- Normen, deren Fundstellen unter der neuen Verordnung offiziell veröffentlicht wurden.
Diese Unterscheidung hilft dabei, vorhandene Nachweise richtig einzuordnen. Denn eine bestehende Norm deckt nicht automatisch sämtliche neuen Anforderungen ab – insbesondere im Bereich der sicherheitsbezogenen Cybersicherheit. Hersteller sollten daher prüfen, welche Anforderungen durch die verwendeten Normen erfasst werden und wo ergänzende Bewertungen erforderlich sind.
5. Der Cyber Resilience Act: Ein weiterer Rechtsrahmen für digitale Produkte
Die Maschinenverordnung ist nicht der einzige Rechtsrahmen, der bei vernetzten Maschinen und Komponenten berücksichtigt werden muss. Mit dem Cyber Resilience Act (CRA), der Verordnung (EU) 2024/2847, kommen zusätzliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen hinzu.
Für Hersteller elektronischer Steuergeräte, programmierbarer Steuerungen, Sensoren, Gateways und vernetzter Maschinensysteme wird es deshalb zunehmend wichtig, das Zusammenspiel beider Verordnungen zu verstehen.
Dabei haben die Maschinenverordnung und der CRA unterschiedliche Anwendungsbereiche und Geltungsfristen. Unternehmen müssen daher für ihre jeweiligen Produkte prüfen, welche Anforderungen gelten und wie diese gemeinsam berücksichtigt werden können.
Was sollten OEMs und Technologiezulieferer jetzt tun[?
Für die Bereiche Krane und Hebetechnik sowie mobile Off-Highway-Arbeitsmaschinen sollte die Priorität damit klar sein: Jetzt mit der technischen Lückenanalyse beginnen, anstatt auf die endgültigen harmonisierten Normen zu warten. Hersteller sollten ihre Sicherheitsarchitekturen, Prozesse im Softwarelebenszyklus, Fernverbindungen, Cybersicherheitsmaßnahmen und technischen Dokumentationen überprüfen.
Die entscheidende Frage geht dabei über die funktionale Sicherheit der Maschine hinaus: Kann die Maschine auch dann sicher bleiben, wenn ihre digitale Steuerungsumgebung vorhersehbaren Cyberbedrohungen ausgesetzt ist?
Die nächste Generation der Konformität von Maschinen wird eine deutlich engere Verzahnung von funktionaler Sicherheit, Cybersicherheit und Systems Engineering erfordern. Januar 2027 ist nicht der Beginn dieses Übergangs. Es ist die Frist, bis zu der die Vorbereitungen abgeschlossen sein müssen.
Diesen Beitrag auf Social Media teilen
