Zum Inhalt springen
AMA SYSTEMS

Maschinenverordnung und Cybersecurity (Anhang III)

Geprüft von Alexandru Andronic (Siemens SITRAIN)·Stand:

Mit der neuen Maschinenverordnung (EU) 2023/1230 rückt die IT-Sicherheit eng an die funktionale Sicherheit (Safety) von Produktionsanlagen. Anhang III der Verordnung verpflichtet Hersteller von Neumaschinen ab dem 20. Januar 2027 dazu, Steuerungen gegen Manipulation abzusichern und bestimmte sicherheitsrelevante Software-Eingriffe nachvollziehbar zu machen.

Für Betreiber und die Instandhaltung bedeutet das: Die Maschinensicherheit ist im Betriebsalltag nur dauerhaft gewährleistet, wenn die organisatorischen und netzwerktechnischen Rahmenbedingungen am Aufstellort stimmen. Dieser Leitfaden ordnet die Anforderungen von Anhang III praxisnah ein und zeigt, wie Betriebstechnik und IT-Abteilung bei der Absicherung von Maschinennetzwerken zusammenarbeiten.

Was Anhang III der Maschinenverordnung fordert

Anhang III der Maschinenverordnung formuliert die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen. Neu ist die explizite Verknüpfung von Cybersecurity und Maschinensicherheit. Ein bösartiger oder versehentlicher Eingriff über das Netzwerk darf nicht dazu führen, dass die Maschine in einen gefährlichen Zustand übergeht.

Zwei Abschnitte im Anhang III sind für die Steuerungstechnik besonders relevant: Abschnitt 1.1.9 fordert den expliziten Schutz gegen Korrumpierung, während Abschnitt 1.2.1 die Sicherheit und Zuverlässigkeit von Steuerungen inklusive der Widerstandsfähigkeit gegen vorhersehbare böswillige Zugriffe behandelt. Konkret bedeutet das für die Auslegung von Automatisierungssystemen:

  • •Hardware- und Software-Schnittstellen (wie RJ45-Ports für Fernwartung oder WLAN-Anbindungen) dürfen keine unkontrollierten Eingriffe in die Sicherheitsfunktionen zulassen.
  • •Die Maschine muss Nachweise über legitime oder illegitime Eingriffe in installierte Software oder deren Konfiguration erfassen. Für Eingriffsdaten und hochgeladene Versionen sicherheitsbezogener Software muss ein Protokoll ausschließlich zum Konformitätsnachweis auf begründete Anfrage der zuständigen Behörde verfügbar sein – jeweils für fünf Jahre ab dem Upload.
  • •Fehler in der IT-Verbindung dürfen die Reaktionszeit der Sicherheitsfunktionen (wie Not-Halt-Ketten) nicht gefährlich verzögern.

Herstellerpflicht vs. Betreiberpflicht

Die MVO regelt das Inverkehrbringen durch den Hersteller. Welche betrieblichen Schutzmaßnahmen auf Betreiberseite erforderlich sind, ergibt sich aus der Gefährdungsbeurteilung, der BetrSichV, der TRBS 1115 und weiteren IT-Sicherheitsvorschriften. Segmentierung und Zugangskontrollen sind typische risikobasierte Maßnahmen, werden aber nicht in jeder Anlage wortgleich durch die MVO vorgeschrieben.

Bestandsschutz und wesentliche Veränderungen

Die Maschinenverordnung erfasst Maschinen, die ab dem 20. Januar 2027 erstmals rechtmäßig in Verkehr gebracht oder in Betrieb genommen werden. Bereits vorher rechtmäßig in Verkehr gebrachte Maschinen dürfen danach weiter auf dem Markt bereitgestellt werden. Für den sicheren Betrieb dieser Bestandsmaschinen gilt maßgeblich die Betriebssicherheitsverordnung (BetrSichV) in Verbindung mit der TRBS 1115 Teil 1.

Bei Umbauten an der Steuerungstechnik stellt sich die Frage nach einer wesentlichen Veränderung. Bis zum 19. Januar 2027 ist das BMAS-Interpretationspapier von 2015 eine wichtige Auslegungshilfe. Ab dem 20. Januar 2027 gilt die Legaldefinition in Art. 3 Nr. 16 MVO. Eine wesentliche Veränderung liegt vor, wenn eine vom Hersteller nicht vorgesehene physische oder digitale Änderung nach dem Inverkehrbringen oder der Inbetriebnahme eine neue Gefährdung schafft oder ein Risiko erhöht und deshalb entweder neue Schutzeinrichtungen erfordert, deren Integration die bestehende Sicherheitssteuerung ändert, oder zusätzliche Maßnahmen zu Stabilität oder mechanischer Festigkeit nötig macht.

Die natürliche oder juristische Person, die diese wesentliche Veränderung durchführt, gilt als Hersteller. Sie übernimmt die Pflichten nach Art. 18 MVO, führt die Konformitätsbewertung durch und stellt die EU-Konformitätserklärung aus – eine Benannte Stelle übernimmt diese Erklärung nicht. Das kann der Betreiber selbst oder ein beauftragter Integrator sein.

Unabhängig vom Herstellerstatus bewertet der Arbeitgeber nach § 10 BetrSichV den Umbau. Beeinflusst ein Retrofit die Sicherheit, ist vor der nächsten Verwendung eine Prüfung nach § 14 Abs. 3 BetrSichV erforderlich. Die DIN EN 60204-1 kann hierfür eine geeignete Prüfgrundlage sein; die genauen Prüfschritte werden projektspezifisch festgelegt.

Technische Maßnahmen im Maschinennetzwerk

Damit die vom Hersteller implementierten Sicherheitsmechanismen im Alltag greifen, muss die Instandhaltung die Kommunikationswege in der Halle kontrollieren. Die folgende Tabelle zeigt bewährte Schutzmaßnahmen im OT-Umfeld.

Maßnahmen zur Absicherung von Maschinennetzwerken
MaßnahmeWarum?Typischer Fehler im Betrieb
Inventarisierung der FernzugriffeSchafft Transparenz über alle Modems und LTE-Router in den Schaltschränken.Ein Maschinenbauer installiert einen eigenen Router ohne Freigabe der lokalen IT.
OT/IT-Segmentierung (VLANs & Routing)Trennt Broadcast-Domänen und ermöglicht die Filterung des Traffics per Firewall/ACL.Es werden zwar VLANs eingerichtet, das Routing dazwischen bleibt aber unkontrolliert offen.
Personalisierte WartungszugängeSichert die Nachvollziehbarkeit bei Störungen (wer hat Parameter X geändert?).Einheitliches Passwort für das gesamte HMI-Panel oder den Industrie-PC.
SPS-Backups & VersionsständeErlaubt schnelle Wiederherstellung und Abgleich nach Manipulation oder Hardware-Defekt.Der letzte TIA-Portal-Abzug liegt ausschließlich lokal auf dem Laptop eines externen Programmierers.
Sperren ungenutzter PortsErschwert das unbefugte Aufstecken von Programmiergeräten (PG) am Switch.Alle Switch-Ports im Schaltschrank bleiben permanent für jedes Endgerät aktiviert.

Aufgabentrennung: Lieferant, Instandhaltung und IT

Cybersecurity im Maschinenbau scheitert oft an unklaren Zuständigkeiten. Eine klare Trennung der Aufgaben zwischen den Fachbereichen ist für den sicheren Betrieb zwingend erforderlich.

Aufgaben des Maschinenlieferanten

  • •Lieferung der Steuerung mit sicherer Grundkonfiguration, bei der nicht benötigte Dienste deaktiviert sind.
  • •Dokumentation aller zwingend benötigten Netzwerkports und Protokolle für die Firewall-Regeln.
  • •Integration einer benutzerbasierten Zugriffssteuerung in das HMI und die Steuerung, sofern vom Betreiber beauftragt.

Aufgaben der Instandhaltung und Betriebstechnik

  • •Verwaltung der physischen Schlüssel für den Schaltschrank und den Schlüsselschalter für den Fernwartungsmodus.
  • •Pflege der SPS-Projektstände (Offline/Online-Vergleich) zur Erkennung unautorisierter Code-Änderungen.
  • •Betriebliche Bewertung von Anlagenstillständen im Kontext von Wartungsfenstern.

Aufgaben der IT-Abteilung

  • •Bereitstellung isolierter Netzwerksegmente und Konfiguration der Router/Firewalls.
  • •Zentrale Verwaltung der VPN-Zugänge für externe Techniker.
  • •Monitoring des Netzwerkverkehrs auf Anomalien (Intrusion Detection) in Abstimmung mit der OT.

Schrittfolge: Maschinen-Fernzugriff strukturieren

Ein häufiger Angriffsvektor auf Produktionsanlagen ist ein unzureichend reglementierter Fernwartungszugang. Um Manipulationsrisiken zu senken, sollte die Einrichtung eines Zugangs nach einem strikten Schema erfolgen:

  1. Zentrale Einwahl nutzen: Externe Dienstleister wählen sich über ein vom Betreiber kontrolliertes VPN-Gateway ein, statt direkte Internetverbindungen der Maschine zu nutzen.
  2. Zugriff limitieren: Die Firewall reglementiert, dass der Dienstleister nur auf die spezifische IP-Adresse seiner eigenen Anlage zugreifen darf.
  3. Lokale Freigabe erzwingen: Der Fernzugriff ist in der Anlage standardmäßig deaktiviert. Der Maschinenbediener gibt ihn vor Ort per Schlüsselschalter oder HMI-Button temporär frei.
  4. Aktivität dokumentieren: Änderungen, die während der Fernwartung am Steuerungsprogramm vorgenommen werden, im Change-Log des Betreibers nachhalten.
  5. Verbindung trennen: Nach Abschluss der Diagnose wird der Fernzugang aktiv wieder geschlossen.

Permanente VPN-Tunnel prüfen

Permanente Tunnel (Always-On) ins Netzwerk des Maschinenbauers erhöhen die Angriffsfläche des Betreibernetzes. Sie sollten vermieden werden, es sei denn, sie sind für den Betrieb zwingend erforderlich, auf das absolute Minimum beschränkt und kontinuierlich überwacht.

Häufige Fragen

Müssen alte Maschinen wegen der neuen Maschinenverordnung nachgerüstet werden?

Nein, es gibt keine direkte Nachrüstpflicht durch die MVO für Bestandsmaschinen. Handlungsbedarf entsteht jedoch bei wesentlichen Veränderungen der Maschine. Soweit das Unternehmen in den Anwendungsbereich der NIS-2-Richtlinie fällt, gelten in Deutschland zudem die Pflichten des NIS-2-Umsetzungsgesetzes beziehungsweise des neuen BSIG (voraussichtlich ab 6. Dezember 2025).

Wer haftet, wenn eine Maschine durch einen Cyberangriff unsicher wird?

Der Maschinenhersteller ist für die Konformität des Produkts verantwortlich. Der Arbeitgeber beziehungsweise Betreiber verantwortet den sicheren Betrieb und die Aufrechterhaltung der Schutzmaßnahmen am Aufstellort. Die vertragliche und deliktische Haftung nach einem Vorfall hängt immer von der konkreten Pflichtverletzung und Kausalität im Einzelfall ab.

Welche Rolle spielt die Norm DIN EN 50742 im Zusammenhang mit der MVO?

DIN EN 50742:2026-03 liegt derzeit als Norm-Entwurf auf Basis der prEN 50742:2025 vor. Sie ist noch keine endgültige harmonisierte Norm mit Konformitätsvermutung für die MVO. Ihr Status und eine spätere Fundstellenveröffentlichung im EU-Amtsblatt müssen vor einer Nutzung als Nachweispfad erneut geprüft werden.

Wann gilt Software als Sicherheitsbauteil im Sinne der MVO?

Software ist nach Art. 3 Nr. 3 MVO ein Sicherheitsbauteil, wenn sie eine Sicherheitsfunktion erfüllt, gesondert in Verkehr gebracht wird, ihr Ausfall die Sicherheit gefährdet und sie für das Funktionieren der Maschine nicht zwingend erforderlich ist oder durch normale Bauteile ersetzt werden kann.

Grundlagen & Quellen