Eine vernetzte Maschinensteuerung mit Fernwartungszugang, die Sie ab 2027 in den Verkehr bringen, unterliegt gleich zwei EU-Regelwerken auf einmal: der Maschinenverordnung und dem Cyber Resilience Act. Viele Hersteller starten daraufhin zwei getrennte Compliance-Projekte. Das kostet doppelt, obwohl beide Verordnungen an denselben Sicherheitsanforderungen ansetzen.
- Vernetzte Maschinen mit einer Datenverbindung fallen ab 2027 gleichzeitig unter die Maschinenverordnung (Verordnung (EU) 2023/1230) und den Cyber Resilience Act (Verordnung (EU) 2024/2847). Keines der beiden Regelwerke nimmt das jeweils andere aus.
- Die Geltungsbeginne liegen auseinander: Die Maschinenverordnung gilt ab dem 20. Januar 2027, der CRA ab dem 11. Dezember 2027. Einzelne CRA-Pflichten greifen bereits schon 2026.
- Die Sicherheitsanforderungen greifen inhaltlich ineinander: Die Maschinenverordnung verlangt Schutz gegen Korrumpierung und zuverlässige Steuerungen, der CRA knüpft daran an. Wer den CRA erfüllt, erleichtert die Konformität nach der Maschinenverordnung.
- Wer Risikobeurteilung, technische Dokumentation und Konformitätsbewertung als ein Projekt aufsetzt, vermeidet Doppelarbeit, statt zwei parallele Spuren zu pflegen.
Was bedeutet es, Maschinenverordnung und CRA gemeinsam umzusetzen?
Maschinenverordnung und CRA gemeinsam umsetzen heißt: Sie behandeln die Cybersicherheitsanforderungen der Maschinenverordnung (Verordnung (EU) 2023/1230) und die Anforderungen des Cyber Resilience Act (Verordnung (EU) 2024/2847) für eine vernetzte Maschine in einem Projekt statt in zwei getrennten Compliance-Spuren. Beide Regelwerke gelten ab 2027 parallel, greifen inhaltlich aber ineinander.
Gelten Maschinenverordnung und CRA wirklich beide für dieselbe Maschine?
Ja. Für eine vernetzte Maschine gelten beide Verordnungen nebeneinander, ohne dass eine die andere verdrängt. Das grundlegende Zusammenspiel von CRA und Maschinenverordnung haben wir an anderer Stelle im Detail eingeordnet. Hier geht es um die praktische Umsetzung: Wie organisieren Sie die Pflichten beider Regelwerke in einem Projekt?
Was regelt die Maschinenverordnung, was der CRA?
Die Maschinenverordnung erfasst Maschinen, auswechselbare Ausrüstungen, Sicherheitsbauteile, Lastaufnahmemittel, Ketten, Seile und Gurte sowie abnehmbare Gelenkwellen (Art. 2 MVO). Ihr Bezugspunkt ist das physische Produkt und die von ihm ausgehende Gefährdung.
Der Cyber Resilience Act erfasst Produkte mit digitalen Elementen, die eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließen (Art. 2 Abs. 1 CRA). Sein Bezugspunkt ist die digitale Komponente und ihre Vernetzung.
Der entscheidende Unterschied liegt also im Anknüpfungspunkt: Die Maschinenverordnung fragt nach der funktionalen Sicherheit der Maschine, der CRA nach der Cybersicherheit ihrer digitalen Elemente. Bei einer vernetzten Maschine trifft beides auf dasselbe Produkt zu.
Warum es keine gegenseitige Ausnahme gibt
Der CRA nimmt in seinem Anwendungsbereich einzelne Produktgruppen ausdrücklich aus, etwa Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, bestimmte Erzeugnisse der zivilen Luftfahrt und Schiffsausrüstung. Maschinen nach der Maschinenverordnung stehen nicht auf dieser Liste. Es gibt also keine Klausel, die eine Maschine vom CRA freistellt, nur weil sie bereits der Maschinenverordnung unterliegt.
Eine vernetzte Maschine mit einer Datenverbindung unterliegt gleichzeitig dem CRA und der Maschinenverordnung, und beide Konformitätsbewertungen sind erforderlich. CRA, Maschinenverordnung und die Funkanlagenrichtlinie zählt der Verband zu den drei großen regulatorischen Herausforderungen für Maschinenbauer in der EU.
| Merkmal der Maschine | Maschinenverordnung | Cyber Resilience Act |
|---|---|---|
| Physische Maschine, Sicherheitsbauteil, Lastaufnahmemittel, abnehmbare Gelenkwelle | fällt in den Anwendungsbereich (Art. 2 MVO) | nur bei vorhandenen digitalen Elementen |
| Produkt mit digitalen Elementen und direkter oder indirekter Datenverbindung zu Gerät oder Netz | nicht ausschlaggebend | fällt in den Anwendungsbereich (Art. 2 Abs. 1 CRA) |
| Vernetzte Maschine mit Steuerung und Datenverbindung | ja | ja |
| Medizinprodukte, Kraftfahrzeuge und weitere sektorale Fälle | eigene Sektorregeln | ausgenommen (Art. 2 Abs. 2 bis 4 CRA) |
Zwei Geltungsbeginne, ein Zeitfenster: Wann müssen Sie was erfüllen?
Die beiden Verordnungen werden nicht am selben Tag wirksam. Für die Projektplanung ist das ein Vorteil: Sie können die frühere Maschinenverordnungs-Frist als Taktgeber nehmen und die CRA-Anforderungen im selben Zug mitziehen.
Die Maschinenverordnung gilt ab dem 20. Januar 2027. Die Hauptpflichten des CRA gelten ab dem 11. Dezember 2027. Einzelne CRA-Pflichten sind vorgezogen: Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten ab dem 11. September 2026, das Kapitel zur Notifizierung benannter Stellen ab dem 11. Juni 2026.
| Datum | Regelwerk | Was gilt ab diesem Tag |
|---|---|---|
| 11. Juni 2026 | CRA | Notifizierung benannter Stellen anwendbar |
| 11. September 2026 | CRA | Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle |
| 20. Januar 2027 | Maschinenverordnung | Maschinenverordnung gilt vollständig |
| 11. Dezember 2027 | CRA | CRA-Hauptpflichten gelten vollständig |
| 11. Juni 2028 | CRA | EU-Baumusterprüfbescheinigungen aus anderen Harmonisierungsvorschriften verlieren spätestens ihre Gültigkeit |
Wo greifen die Sicherheitsanforderungen von Maschinenverordnung und CRA ineinander?
Die beiden Regelwerke stehen nicht beziehungslos nebeneinander. Die Maschinenverordnung enthält bereits eigene Anforderungen an die Cybersicherheit der Maschine, und der CRA knüpft ausdrücklich daran an.
Was die Maschinenverordnung an Security verlangt
Die Maschinenverordnung stellt in ihrem Anhang mit den grundlegenden Sicherheits- und Gesundheitsschutzanforderungen zwei Abschnitte, die die Cybersicherheit adressieren:
- Der Abschnitt zum Schutz gegen Korrumpierung (Anhang III 1.1.9 MVO) verlangt, dass der Anschluss einer anderen Einrichtung nicht zu einer gefährlichen Situation führt, dass die Hardware für sicherheitsrelevante Software gegen Korrumpierung geschützt ist, dass für die Konformität wesentliche Software und Daten kenntlich gemacht und geschützt werden und dass sich Eingriffe nachweisen lassen.
- Der Abschnitt zur Sicherheit und Zuverlässigkeit von Steuerungen (Anhang III 1.2.1 MVO) verlangt, dass Steuerungen auch gegen vorhersehbare böswillige Versuche Dritter ausgelegt sind, dass ein Defekt der Hard- oder Software der Steuerung nicht zu einer Gefährdungssituation führt und dass die Grenzen der Sicherheitsfunktionen in der Risikobeurteilung berücksichtigt werden.
Wie der CRA daran anknüpft
Der CRA erkennt diese Überschneidung selbst an. Nach seinem Erwägungsgrund 53 müssen Hersteller, deren Produkt zugleich unter den CRA und unter die Maschinenverordnung fällt, beide Anforderungssätze erfüllen. Der CRA hält aber fest, dass die Erfüllung der CRA-Anforderungen die Konformität mit der Maschinenverordnung erleichtern kann. Die Konformitätsbewertungsverfahren beider Verordnungen sind einzuhalten, und die Normung soll auf Kohärenz zwischen beiden Regelwerken ausgerichtet werden.
EN 50742 und IEC 62443 als gemeinsame technische Brücke
Auf der technischen Ebene laufen beide Welten über dieselben Normen zusammen. Die EN 50742, derzeit als Entwurf prEN 50742 veröffentlicht, ist als harmonisierte Norm zum Schutz von Maschinen gegen Korrumpierung vorgesehen und adressiert damit den Anforderungsabschnitt der Maschinenverordnung. Der Normentwurf bietet zwei Wege zur Konformität. Der eine Weg ist eigenständig, der andere Weg verweist für Maschinen auf die IEC 62443-3-3 und für Komponenten auf die IEC 62443-4-2, jeweils in Verbindung mit einem Entwicklungsprozess nach IEC 62443-4-1.
Für Hersteller heißt das: Wer den Apparat der EN 50742 und der IEC 62443 ohnehin für den CRA aufbaut, kann ihn über diesen Weg zugleich für die Maschinenverordnung nutzen. Die IEC 62443 ist dabei kein Sonderweg, sondern der etablierte Stand der Technik für die industrielle Cybersicherheit im Maschinenbau.
Konformitätsbewertung: Was Sie doppelt machen und was einmal reicht
Zwei Verordnungen bedeuten zwei Konformitätsbewertungen. Das ist die schlechte Nachricht. Die gute Nachricht: Die inhaltliche Grundlage ist in weiten Teilen dieselbe, und für Cybersicherheitsnachweise gibt es eine Übergangsregel, die Doppelprüfungen vermeidet.
Für die Maschinenverordnung entscheidet die Risikoeinstufung über das Verfahren. Maschinen mit hohem Risiko listet die Maschinenverordnung in ihrem Anhang I in zwei Listen. Für diese Kategorien ist eine strengere Konformitätsbewertung vorgesehen, bei der eine benannte Stelle einzubinden ist. Der CRA wiederum stuft Produkte nach ihrem Cybersicherheitsrisiko ein. Ein Produkt mit digitalen Elementen kann der Hersteller im Regelfall über die interne Konformitätskontrolle (Modul A) selbst bewerten. Wichtige Produkte und kritische Produkte unterliegen dagegen den strengeren Verfahren, die die Einbindung einer benannten Stelle (Modul B+C oder H) oder die Verwendung eines Schemas nach dem Cybersecurity Act verlangen. Eine vernetzte Maschine fällt unter dem CRA aber typischerweise nicht in diese besonderen Kategorien, sofern sie nicht deren Kernfunktionen erfüllt.
Für Nachweise sieht der CRA eine Übergangsregel vor: EU-Baumusterprüfbescheinigungen aus anderen Harmonisierungsrechtsvorschriften, darunter die Maschinenverordnung, bleiben bis zum 11. Juni 2028 gültig, sofern sie nicht vorher ablaufen.
Wie sich diese Regel praktisch auswirkt, führt der Leitlinien-Entwurf der Kommission aus. Dieser Entwurf ist nicht rechtsverbindlich, gibt aber die Auslegungsrichtung an. Danach gilt: Deckt eine EU-Baumusterprüfbescheinigung nach der Maschinenverordnung bestimmte Cybersicherheitsrisiken ab, insbesondere die aus den Abschnitten zum Schutz gegen Korrumpierung und zu den Steuerungen, so ist für diese Risiken keine erneute Bewertung nach dem CRA nötig, solange die Bescheinigung gilt. Identifiziert die CRA-Risikobewertung dagegen zusätzliche Cybersicherheitsrisiken, die die Bescheinigung nicht abdeckt, bleibt der Hersteller für diese nach dem CRA verantwortlich.
| Projektbaustein | Deckt ab |
|---|---|
| Risikobeurteilung und Risikobewertung | beide (ein gemeinsamer Prozess ist möglich) |
| Technische Dokumentation | beide (getrennte Nachweisteile, gemeinsame Basis) |
| Konformitätsbewertung | beide (je Verordnung ein eigenes Verfahren) |
| Meldewege und Schwachstellenbehandlung | CRA |
Die Zuordnung in der Spalte “beide” ist eine Einordnung aus unserer Beratungspraxis, keine ausdrückliche Vorgabe der Verordnungen. Sie zeigt, wo sich Projektbausteine sinnvoll bündeln lassen und wo eine Pflicht nur in einem der beiden Regelwerke steht: Meldewege und die laufende Schwachstellenbehandlung fordert der CRA, die Maschinenverordnung kennt sie in dieser Form nicht.
Wie setzen Sie Maschinenverordnung und CRA gemeinsam um?
Der größte Hebel liegt bei der Risikobewertung. Beide Verordnungen verlangen eine strukturierte Risikoanalyse als Grundlage. Erfahrungsgemäß bedient ein gemeinsamer Bewertungsprozess die Anforderungen beider Regelwerke, statt sie zweimal zu durchlaufen. Das ist eine Einordnung aus der Praxis: Die Verordnungen schreiben diesen konkreten Prozess nicht vor, aber er lässt sich so kombinieren, dass er beide Welten erfüllt.
Als Orientierung für ein kombiniertes Projekt haben sich in unserer Beratungspraxis vier Schritte bewährt:
- Anwendungsbereich klären. Prüfen Sie je Maschine, ob sie eine Datenverbindung im Sinne des CRA aufweist und damit unter beide Regelwerke fällt.
- Eine gemeinsame Risikobewertung aufsetzen. Führen Sie funktionale Sicherheit und Cybersicherheit in einem Prozess zusammen, etwa entlang der IEC 62443-3-2.
- Nachweise doppelt nutzen. Bauen Sie ihre Nachweise so auf, dass sie über die Konformitätsvermutung und ggf. die Übergangsregel für beide Verordnungen zählen.
- Konformitätsbewertung nach Risikoklasse planen. Ordnen Sie früh, welche Verfahren eine benannte Stelle verlangen, und planen Sie das Projekt mit der früheren Frist der Maschinenverordnungs.
So entsteht aus zwei Pflichtenkatalogen ein Projekt mit einer gemeinsamen Grundlage und zwei Nachweiszielen.
Kommentar hinzufügen