In diesem Beitrag

Fachlich aktualisiert am 30. September 2026; vorheriger Prüfstand: 23. Juni 2026.

Die Maschinenverordnung fordert Cybersicherheit — aber wie genau soll das aussehen? Die MVO nennt Schutzziele, keine Technologien, keine Protokolle. Das ist technologieneutral und sinnvoll, lässt Hersteller aber mit einer schwierigen Frage zurück: Wie weise ich nach, dass meine Konstruktion die Anforderungen erfüllt?

Eine mögliche Antwort liefert prEN 50742 — der aktuelle Entwurf einer europäischen Norm für Cybersicherheit in Maschinen, im März 2026 als DIN-Entwurf veröffentlicht. Der Entwurf selbst begründet noch keine Konformitätsvermutung. Dafür braucht es die finale Norm und ihre Referenzierung im EU-Amtsblatt.

Was ist die prEN 50742?

prEN 50742 entsteht im Normungsauftrag der EU-Kommission, erarbeitet von CENELEC. Der Auftrag wurde am 20. Januar 2025 final erteilt. Der Entwurf durchlief Ende 2025 das Enquiry-Verfahren (Kommentarfrist bis Februar 2026), die DIN-Entwurfsfassung erschien im März 2026.

Die Norm adressiert gezielt zwei Abschnitte der Maschinenverordnung:

  • Anhang III, 1.1.9: Schutz gegen Korrumpierung — Schutz vor externen Eingriffen, die gefährliche Situationen verursachen können
  • Anhang III, 1.2.1(a): Widerstandsfähigkeit der Steuerung gegen vorhersehbare äußere Einwirkungen einschließlich böswilliger Eingriffe Dritter

IEC 62443 liefert technische Konzepte für industrielle Automatisierungs- und Steuerungssysteme. Diese können die Vorbereitung unterstützen. Welche Teile der Normenreihe prEN 50742 konkret referenziert oder übernimmt, muss anhand des Entwurfs geprüft werden; die öffentlich zugängliche DIN-Katalogbeschreibung belegt das nicht im Detail.

prEN 50742 ist eine horizontale Norm — sie gilt für alle Maschinen im Anwendungsbereich der MVO, unabhängig von Branche oder Maschinentyp.

Aktueller Stand und Zeitplan

Der Weg zur harmonisierten Norm verläuft in mehreren Schritten:

  • Dezember 2025: Enquiry-Verfahren (öffentliche Kommentierung)
  • März 2026: DIN-Entwurf veröffentlicht (DIN EN 50742)
  • Ende 2026: angestrebte Veröffentlichung als EN; Termin nicht garantiert
  • Danach: mögliche Referenzierung im EU-Amtsblatt und damit Konformitätsvermutung

Ob diese Schritte vor dem MVO-Anwendungsdatum gelingen, ist offen. Industrieverbände fordern parallel eine Verschiebung der MVO-Cybersicherheitsanforderungen auf den 11. Dezember 2027. Rechtsstand 30. September 2026 ist diese Änderung nicht beschlossen.

Warum ist prEN 50742 für Maschinenbauer relevant?

Ohne harmonisierte Norm muss ein Hersteller selbst argumentieren, warum seine Maßnahmen die MVO-Schutzziele aus 1.1.9 und 1.2.1(a) erfüllen. Das ist möglich; die Nachweisführung muss die konkreten Risiken und Anforderungen nachvollziehbar abdecken.

Erst eine finale Norm mit veröffentlichter Referenz im EU-Amtsblatt kann eine Konformitätsvermutung für die von ihr abgedeckten Anforderungen begründen. Eine Veröffentlichung als EN allein reicht nicht. Für die CE-Dokumentation ist das ein erheblicher praktischer Vorteil.

Praktische Vorbereitung auf maschinenbezogene Cybersicherheit

Die folgenden Punkte sind praktische Arbeitsfelder aus MVO-Schutzzielen und technischer Security-Praxis, keine klauselscharfe Wiedergabe des kostenpflichtigen Normenentwurfs. Für verbindliche Aussagen zu einzelnen prEN-Anforderungen muss die konkrete Entwurfsfassung geprüft werden.

Sicherheitsanforderungen in der Konstruktionsphase

Für die Vorbereitung sind insbesondere diese Schritte sinnvoll:

  • eine Cybersecurity-Risikobeurteilung durchführen — strukturiert, dokumentiert, analog zur Sicherheitsrisikoanalyse nach EN ISO 12100
  • Bedrohungen systematisch identifizieren (Threat Modeling)
  • Schutzmaßnahmen in die Konstruktion einarbeiten — nicht nachträglich ergänzen
  • Konstruktionsentscheidungen nachvollziehbar begründen

Technische Schutzmaßnahmen

Mögliche technische Maßnahmen, deren Auswahl von der Risikobeurteilung abhängt:

  • Authentifizierung: Zugriffe auf sicherheitsrelevante Funktionen begrenzen; gemeinsam genutzte Standardzugänge vermeiden. Das konkrete Verfahren muss zum Risiko und Nutzungskontext passen.
  • Netzwerkminimierung: Nicht benötigte Ports und Protokolle deaktivieren und erforderliche Schnittstellen kontrollieren.
  • Update-Mechanismus: Integrität und Authentizität sicherheitsrelevanter Updates vor der Installation prüfen.
  • Protokollierung: Die geforderten Eingriffsnachweise und Rückverfolgbarkeit sicherheitsrelevanter Software umsetzen; zusätzliche Ereignisprotokolle nach Risiko und Zweck auswählen.
  • Robustheit: Vorhersehbare Angriffe wie Netzwerküberlastung, fehlerhafte Eingaben oder Missbrauch bei der Bewertung gefährlicher Situationen berücksichtigen.

Anforderungen an die Dokumentation

Eine zweckmäßige Dokumentationsstruktur kann enthalten:

  • Ergebnis der Cybersecurity-Risikobeurteilung
  • Beschreibung der implementierten Schutzmaßnahmen
  • Hinweise für Betreiber zur sicheren Konfiguration
  • Kontaktpunkt für Schwachstellenmeldungen (Vulnerability Disclosure)

Ein Kontaktpunkt für Schwachstellenmeldungen unterstützt die Zusammenarbeit mit Meldenden. Bei CRA-Anwendbarkeit sind die zugehörigen Vorgaben insbesondere aus Anhang I Teil II und Anhang II zusätzlich zu beachten.

prEN 50742 im Kontext von IEC 62443 und CRA

IEC 62443: Internationale Normenreihe für IACS-Sicherheit. Zonen und Konduits, Security Levels und Security Requirements können die technische Planung unterstützen. Ihr Einsatz ersetzt weder den konkreten MVO-Nachweis noch die Prüfung der einschlägigen prEN-Anforderungen.

Cyber Resilience Act (CRA): Gilt für Produkte mit digitalen Elementen in seinem Anwendungsbereich. prEN 50742 adressiert die maschinenbezogenen MVO-Anforderungen, der CRA das Produkt als solches — SBOM, Schwachstellenmanagement, Meldepflichten. Inhaltliche Überschneidungen sind groß genug für eine koordinierte Umsetzung.

EN ISO 13849 / IEC 62061: Die klassischen Safety-Normen für maschinenspezifische Steuerungssysteme. prEN 50742 ergänzt sie um die Security-Perspektive. Ein Cyberangriff kann eine Safety-Funktion außer Kraft setzen — Safety und Security müssen deshalb gemeinsam in der Risikobeurteilung betrachtet werden.

So bereiten Sie sich vor — 5 Schritte

  1. Bestandsaufnahme: Welche Produktlinien sind betroffen? Welche Schnittstellen existieren? Welche Software ist eingebettet?

  2. Cybersecurity-Risikobeurteilung: Bedrohungen und Schwachstellen systematisch identifizieren — für jede betroffene Maschinenreihe. STRIDE oder ähnliche Methoden als Strukturrahmen.

  3. Maßnahmen priorisieren: Sicherheitsrelevante Funktionen und exponierte Schnittstellen kommen zuerst.

  4. Entwicklungsprozesse anpassen: prEN 50742 ist kein nachträgliches Audit. Cybersicherheit muss Teil des Konstruktionsprozesses werden — Anpassungen in Entwicklungsmethodik und Projektdokumentation sind nötig.

  5. Dokumentation vervollständigen: Die technische CE-Dokumentation muss die Cybersecurity-Risikobeurteilung und alle Maßnahmen vollständig enthalten. Kein Dokument — kein Nachweis.

OT-Security-Beratung: Wie ich Industrieunternehmen bei der OT-Absicherung nach IEC 62443 und den Anforderungen der Maschinenrichtlinien unterstütze, finden Sie unter OT Security · IEC 62443.

Häufige Fragen zur prEN 50742

Ist EN 50742 bereits als harmonisierte Norm veröffentlicht?

Noch nicht. Im März 2026 erschien der DIN-Entwurf (DIN EN 50742). Eine finale europäische Norm und ihre Referenzierung im EU-Amtsblatt stehen aus. Der Entwurf kann für die Vorbereitung genutzt werden; Änderungen bis zur finalen Fassung bleiben möglich.

Was ist der Unterschied zwischen prEN 50742 und IEC 62443?

IEC 62443 ist eine internationale Normenreihe für industrielle Automatisierungs- und Steuerungssysteme — von der Systemebene bis zur Komponentenebene. prEN 50742 adressiert den Schutz von Maschinen gegen Korrumpierung, die gefährliche Situationen verursachen kann. Ob eine IEC-62443-Maßnahme den benötigten MVO-Nachweis liefert, muss am konkreten Produkt und Risiko geprüft werden.

Muss ich prEN 50742 anwenden, oder kann ich auch andere Normen nutzen?

Die Anwendung bleibt grundsätzlich freiwillig. Eine Konformitätsvermutung setzt eine finale Norm und ihre Referenzierung im EU-Amtsblatt voraus und reicht nur so weit wie die abgedeckten Anforderungen. Andere technische Lösungen sind möglich, benötigen aber einen nachvollziehbaren Nachweis. Bei der Wahl des MVO-Bewertungsverfahrens sind zusätzlich die Voraussetzungen von Art. 25 zu beachten.

Wer muss prEN 50742 erfüllen — Hersteller oder Betreiber?

prEN 50742 adressiert maschinenbezogene Anforderungen an die Konstruktion. Betreiberpflichten ergeben sich in Deutschland insbesondere aus der Betriebssicherheitsverordnung, etwa der Gefährdungsbeurteilung nach § 3. NIS2-/BSIG-Pflichten kommen nur bei entsprechender Betroffenheit hinzu. Wer eine wesentliche Veränderung vornimmt, kann nach Art. 18 MVO selbst Herstellerpflichten übernehmen. IEC 62443 kann die technische Planung des sicheren Betriebs unterstützen.

Wie lange dauert die Cybersecurity-Risikobeurteilung für eine Maschinenreihe?

Abhängig von der Komplexität: Für eine mittelkomplexe vernetzte Maschine dauert eine strukturierte Beurteilung inklusive Dokumentation zwei bis sechs Wochen. Der Aufwand zahlt sich aus — eine fundierte Risikobeurteilung ist die Grundlage für alle weiteren Maßnahmen und erspart spätere Nacharbeiten bei der CE-Kennzeichnung.

Quellenstand