In diesem Beitrag

Fachlich aktualisiert am 30. September 2026; vorheriger Prüfstand: 23. Juni 2026. Die frühere Fassung nannte eine allgemeine Übergangsfrist bis 14. Januar 2029. Dafür ließ sich in der Maschinenverordnung keine belastbare Grundlage finden; die Angabe wurde entfernt.

Ab dem 20. Januar 2027 gilt die Maschinenverordnung (EU) 2023/1230 — und mit ihr Cybersicherheitspflichten, die in Anhang III, Abschnitt 1.1.9 verankert sind. Was bisher in Sicherheitskonzepten oft fehlte, ist dann CE-relevant: Schutz gegen Korrumpierung von Maschinen, dokumentiert und nachweisbar.

Rechtsstand 30. September 2026: Die Maschinenverordnung ist weiterhin ab 20. Januar 2027 anwendbar. Industrieverbände fordern zwar eine Verschiebung der Cybersicherheitsanforderungen auf den 11. Dezember 2027, eine entsprechende Änderung ist bislang aber nicht beschlossen. Auch der Zeitplan für EN 50742 bleibt ein Planungsfaktor, keine garantierte Veröffentlichung. Hersteller sollten deshalb mit dem geltenden Termin arbeiten.

Cybersicherheit in der Maschinenverordnung (EU) 2023/1230

Die MVO ersetzt die Maschinenrichtlinie 2006/42/EG. Der Unterschied, der für Sicherheitsverantwortliche relevant ist: Anhang III, Abschnitt 1.1.9 adressiert explizit den Schutz gegen Korrumpierung — und Abschnitt 1.2.1(a) verlangt, dass Steuerungen vorhersehbaren äußeren Einwirkungen einschließlich böswilliger Eingriffe Dritter standhalten.

Der Gedanke dahinter ist konsequent: Ein externer Angriff ist für die MVO dann relevant, wenn daraus eine gefährliche Situation entstehen kann. Ob mechanische oder steuerungstechnische Schutzfunktionen betroffen sind, gehört in die Risikobeurteilung. Cybersicherheit ist damit keine IT-Angelegenheit mehr. Sie ist Konstruktionsaufgabe.

Die MVO schützt gegen drei konkrete Szenarien:

  • unbeabsichtigte Verbindungen von außen
  • böswillige Manipulationen über Netzwerkschnittstellen
  • Software-Eingriffe, die Sicherheitsfunktionen außer Kraft setzen

Die einschlägigen Anforderungen gelten für Maschinen im MVO-Anwendungsbereich, die ab dem 20. Januar 2027 in Verkehr gebracht oder in Betrieb genommen werden. Eine wesentliche Veränderung nach Art. 3 Nr. 16 kann nach Art. 18 neue Herstellerpflichten auslösen. Pflichten für den sicheren Betrieb bestehender Arbeitsmittel bleiben davon getrennt.

Wen betrifft die MVO-Cybersicherheitspflicht?

Betroffen sind insbesondere Hersteller von Maschinen im MVO-Anwendungsbereich. USB, Ethernet, WLAN oder Fernwartung sind wichtige Prüfpunkte, lösen aber nicht losgelöst vom Produkt und Risiko jede Anforderung aus. Entscheidend ist, ob eine Verbindung oder ein Eingriff eine gefährliche Situation verursachen kann.

Konkret relevant:

  • Maschinenbauer mit fernüberwachten oder ferngesteuerten Anlagen
  • Hersteller von Produktionsanlagen mit SPS-Steuerungen
  • Anbieter von Robotiksystemen und Cobots
  • Hersteller in Lebensmittel-, Chemie- und Pharmaindustrie
  • Druckmaschinen, Werkzeugmaschinen, Förderanlagen mit Datenschnittstellen

Was fordert Anhang III der MVO konkret?

Die MVO definiert Schutzziele, keine Technologien. Spielraum bei der Umsetzung — aber auch die Pflicht, die eigene Lösung zu begründen und zu dokumentieren.

Schutz vor unbeabsichtigten Verbindungen: Netzwerksegmentierung, Firewall-Regeln, Deaktivierung nicht benötigter Ports. Die technische Basis ist bekannt. Neu ist die CE-Relevanz.

Schutz vor böswilliger Manipulation: Authentifizierung und Zugriffssteuerung müssen verhindern, dass Unbefugte auf sicherheitsrelevante Funktionen zugreifen. Welche Authentifizierung und Rollensteuerung dafür geeignet sind, muss die Risikobeurteilung ergeben. Ein bestimmtes Verfahren schreibt die MVO nicht pauschal vor.

Software-Integrität: Sicherheitsrelevante Software und Daten sind gegen unbeabsichtigte und absichtliche Korrumpierung zu schützen. Code Signing und sichere Update-Kanäle können dafür geeignete Maßnahmen sein.

Nachvollziehbarkeit: Die Maschine muss Nachweise über Eingriffe in sicherheitsrelevante Hardware sowie Software oder deren Konfiguration sammeln. Anhang III 1.2.1 enthält außerdem eine besondere Rückverfolgbarkeitsregel für nachträglich hochgeladene Sicherheitssoftware.

Dokumentation: In der technischen CE-Dokumentation muss stehen, welche Cybersicherheitsrisiken identifiziert und welche Maßnahmen ergriffen wurden. Das ist der Nachweis für die Marktüberwachungsbehörde — und im Schadensfall für das Gericht.

Zeitplan und Fristen

Datum Meilenstein
19. Juli 2023 MVO in Kraft getreten
20. Januar 2025 Finaler EU-Normungsauftrag an CEN/CENELEC
März 2026 DIN-Entwurf prEN 50742 veröffentlicht
Ende 2026 Angestrebte Veröffentlichung EN 50742; Termin nicht garantiert
20. Januar 2027 MVO vollständig anwendbar (aktuell gültiger Termin)
11. Dezember 2027 Von Industrieverbänden geforderter Ausweichtermin; nicht beschlossen

MVO, CRA und prEN 50742 — Das Zusammenspiel

Maschinenbauer stehen aktuell vor drei Regelwerken, die sich überschneiden:

Maschinenverordnung (MVO): Maschinen, Cybersicherheit als Teil der Maschinensicherheit, anwendbar ab Januar 2027.

Cyber Resilience Act (CRA): Produkte mit digitalen Elementen im CRA-Anwendungsbereich, Schwerpunkt Cybersicherheit und Schwachstellenmanagement. Meldepflichten nach Art. 14 gelten seit 11. September 2026, die vollständige Anwendung folgt am 11. Dezember 2027.

prEN 50742: Normenentwurf für Maschinen-Cybersicherheit, der MVO-Anhang III 1.1.9 und 1.2.1(a) konkretisieren soll. Der DIN-Entwurf erschien im März 2026. Erst eine finale Norm und ihre Referenzierung im EU-Amtsblatt können eine Konformitätsvermutung begründen.

Drei Regelwerke, aber erhebliche inhaltliche Überschneidungen. Eine koordinierte Umsetzung – eine Risikoanalyse, ein Maßnahmenkonzept, eine Dokumentationsstruktur – ist deutlich effizienter als drei parallele Projekte.

KI in Maschinen: Verordnung (EU) 2026/1744

Am 8. Juli 2026 hat der Unionsgesetzgeber die Verordnung (EU) 2026/1744 erlassen. Sie steht im Amtsblatt vom 24. Juli 2026. Die Maschinenverordnung wandert im Anhang I der KI-Verordnung von Abschnitt A nach Abschnitt B. Für KI-Systeme, die dadurch Hochrisiko-KI nach Artikel 6 Absatz 1 sind, gelten aus der KI-Verordnung nur noch Artikel 6 Absatz 1, Artikel 60a und die Artikel 102 bis 112. Die materiellen Anforderungen sollen ins Maschinenrecht, nicht als zweites volles Regelwerk daneben.

Artikel 8 der Maschinenverordnung erhält neue Absätze. Die Kommission erlässt danach delegierte Rechtsakte, die Anhang III um Gesundheits- und Sicherheitsanforderungen für Hochrisiko-KI ergänzen, wenn diese ein Sicherheitsbauteil einer Maschine ist oder selbst eine Maschine ist. Abzubilden sind Kapitel III Abschnitt 2 sowie die Artikel 17, 19, 72 und 73 der KI-Verordnung. Diese delegierten Rechtsakte sind bis zum 2. August 2028 anzuwenden.

Artikel 20 erhält einen neuen Absatz 10. Bis eigene harmonisierte Normen oder gemeinsame Spezifikationen der Maschinenverordnung für diese Hochrisiko-KI referenziert oder erlassen sind, gilt die Konformitätsvermutung für die einschlägigen Anforderungen in Anhang III, wenn die Normen oder gemeinsamen Spezifikationen nach Artikel 40 und 41 der KI-Verordnung eingehalten werden. Erwägungsgrund 42 beschreibt diesen Übergang. Das ersetzt nicht die Prüfung, ob die konkrete Maschine überhaupt eine solche Hochrisiko-KI enthält. Die Einordnung von KI in Maschinen bespreche ich in der EU-AI-Act-Beratung. Die Produktsicherheit dazu liegt unter CRA und Maschinenverordnung.

Quelle: Verordnung (EU) 2026/1744.

Typischer Projektablauf bei TPC Security

In meiner Beratungspraxis läuft das in fünf Schritten:

  1. Produkt-Screening: Welche Maschinenlinien sind betroffen? Welche Schnittstellen existieren?
  2. Cybersecurity-Risikoanalyse: Systematische Bedrohungsidentifikation analog zur Sicherheitsrisikoanalyse nach EN ISO 12100
  3. Maßnahmenplanung: Technische und organisatorische Schutzmaßnahmen auf Basis der identifizierten Risiken
  4. Umsetzung: Integration in Konstruktion, Softwareentwicklung, Fertigungsprozesse
  5. Dokumentation und CE: Aktualisierung der technischen Unterlagen, Risikobeurteilung, Konformitätserklärung

MVO & CRA-Beratung: Wie ich Maschinenhersteller bei der MVO-konformen Cybersicherheit und CE-Dokumentation unterstütze, finden Sie unter CRA & Maschinenverordnung.

Häufige Fragen zur Maschinenverordnung und Cybersicherheit

Gilt die MVO-Cybersicherheitspflicht auch für ältere Maschinen?

Eine vor dem MVO-Anwendungsdatum rechtmäßig bereitgestellte Bestandsmaschine muss nicht allein wegen des Datums neu nach MVO bewertet werden. Inbetriebnahme, wesentliche Veränderungen nach Art. 3 Nr. 16 und die Herstellerpflichten aus Art. 18 sind gesondert zu prüfen. Für den sicheren Betrieb gelten daneben die einschlägigen Arbeitsmittel- und Arbeitsschutzregeln.

Wird die Cybersicherheitspflicht der MVO wirklich auf Dezember 2027 verschoben?

Rechtsstand 30. September 2026 ist das weiterhin eine Forderung von Industrieverbänden, keine beschlossene Änderung. Hersteller sollten sich nicht auf eine Verschiebung verlassen und mit dem geltenden Anwendungstermin 20. Januar 2027 planen.

Welche Norm konkretisiert die Cybersicherheitsanforderungen der MVO?

Die prEN 50742, deren DIN-Entwurf im März 2026 erschienen ist. Der Entwurf allein begründet keine Konformitätsvermutung. Dafür braucht es die finale Norm und ihre Referenzierung im EU-Amtsblatt. Ergänzend kann IEC 62443 als technische Orientierung herangezogen werden, soweit sie zum konkreten Produkt und Risiko passt.

Muss ich eine externe Zertifizierung für MVO-Cybersicherheit durchführen lassen?

Außerhalb von Anhang I gilt die interne Fertigungskontrolle (Modul A). Bei Kategorien in Anhang I Teil A ist eine notifizierte Stelle einzubeziehen. Für Teil B lässt Art. 25 Abs. 3 Modul A nur zu, wenn die maschinenspezifischen harmonisierten Normen oder gemeinsamen Spezifikationen alle einschlägigen Anforderungen abdecken. Eine eigenständige pauschale Drittprüfungspflicht nur für Cybersicherheit besteht nicht.

Wie hängen MVO und CRA zusammen — muss ich beide erfüllen?

Wenn das Produkt in beide Anwendungsbereiche fällt, sind beide Regelwerke zu erfüllen. Die MVO adressiert Maschinensicherheit, der CRA die Cybersicherheit des Produkts und sein Schwachstellenmanagement. Gemeinsame Maßnahmen und Unterlagen können helfen, erfüllen die MVO aber nicht automatisch: Nach CRA-Erwägungsgrund 53 muss der Hersteller die Synergien nachweisen. Beide einschlägigen Bewertungsverfahren bleiben zu erfüllen.

Quellenstand