Maschinensicherheit 2027: CRA und MVO – Was Maschinenbauer jetzt wissen müssen

Cyber Resilience Act (CRA): Cybersicherheit wird Pflichtprogramm

Der Cyber Resilience Act (EU) 2024/2847 ist die erste umfassende EU-Verordnung, die Cybersicherheitsanforderungen direkt an Produkte mit digitalen Elementen knüpft. Ab dem 11. Dezember 2027 ist die Einhaltung verpflichtend. Allerdings: Die Meldepflicht für Sicherheitsvorfälle greift bereits ab dem 11. September 2026 – das ist der kritische Stichtag, auf den sich Hersteller vorbereiten müssen. Der CRA gilt für alle Produkte mit digitalen Elementen (PDEs), die auf dem EU-Markt bereitgestellt werden und eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk aufweisen. Konkret betroffen sind Steuerungen (SPS/PLC) mit Netzwerkanbindung, Maschinen und Anlagen mit eingebetteter Software, Firmware in Antrieben und Sensoren, Industriesoftware (SCADA, MES, HMI-Software) sowie Switches, Firewalls und Router im Industrieumfeld. Auch maßgeschneiderte Einzelprodukte mit digitalen Elementen fallen grundsätzlich vollständig unter den CRA – es gibt keine generelle Ausnahme für Sondermaschinen.

Was Hersteller konkret tun müssen

Die CRA-Anforderungen sind konkret und umfassend. Hersteller müssen ihre Produkte ohne bekannte ausnutzbare Schwachstellen ausliefern, eine sichere Standardkonfiguration (Security by Default) gewährleisten und die Vertraulichkeit sowie Integrität von Daten schützen. Automatische Sicherheitsaktualisierungen sind verpflichtend, ebenso wie die Minimierung der Angriffsfläche.

Das Schwachstellenmanagement ist zentral: Hersteller müssen alle Komponenten dokumentieren – inklusive Software Bill of Materials (SBOM) – Schwachstellen unverzüglich beheben und kostenlose Sicherheitsupdates bereitstellen. Regelmäßige Sicherheitstests sind erforderlich, und eine koordinierte Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure) muss als definierter Prozess etabliert sein. Viele Unternehmen unterschätzen die Bedeutung eines Cybersecurity Product Lifecycle Management Systems (CPLMS). Zwar schreibt der CRA ein CPLMS nicht ausdrücklich vor, doch die geforderten Prozesse lassen sich ohne ein entsprechendes Managementsystem nur schwer nachhaltig umsetzen. Ein CPLMS definiert Rollen und Verantwortlichkeiten, Governance- und Freigabeprozesse, die Zusammenarbeit zwischen Entwicklung, Qualitätsmanagement, Service und IT-Sicherheit sowie Vorgaben für die Pflege der technischen Dokumentation.

Strafen bei Nichteinhaltung

Der CRA ist kein zahnloser Tiger. Die Sanktionen sind erheblich: Nichteinhaltung der wesentlichen CRA Anforderungen wird mit bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet. Falsche Informationen gegenüber Behörden kosten bis zu 5 Millionen Euro oder 1 Prozent des Jahresumsatzes. Produkte ohne CRA-Konformität werden vom Markt genommen – der Marktzugang wird eingeschränkt oder verboten. Durchgesetzt wird das in Deutschland vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Bundesnetzagentur.

Maschinenverordnung (MVO) 2023/1230: Mehr als ein Update

Ab dem 20. Januar 2027 ersetzt die Maschinenverordnung (EU) 2023/1230 die jahrzehntealte Maschinenrichtlinie 2006/42/EG – unmittelbar und europaweit einheitlich, ohne nationalen Spielraum. Das ist ein entscheidender Unterschied: Während eine Richtlinie von jedem EU-Land in nationales Recht umgesetzt wird, gilt eine Verordnung sofort und einheitlich in allen 27 Mitgliedstaaten. Eine bestehende CE-Konformität nach alter Richtlinie reicht dann nicht mehr.

Die MVO bringt konkrete Neuerungen für Maschinenbauer. Sie betreffen Entwicklung, Dokumentation und das Inverkehrbringen – und damit praktisch jeden Hersteller, denn heute verfügt jede Maschine über Software, digitale Schnittstellen oder Netzwerkanbindung.

Kernforderung: Schutz vor Korrumpierung. Steuerungssysteme müssen gegen unbefugten Zugriff geschützt sein. Sicherheitsrelevante Software darf nicht unbemerkt verändert werden. Fernzugänge müssen abgesichert sein. Cybersecurity ist Pflicht, nicht Option. Sie ist jetzt integraler Bestandteil der Konformitätsbewertung.

Wesentliche Veränderung – neu definiert

Die MVO definiert erstmals klar, wann eine Veränderung einer Maschine als „wesentlich" gilt. Das ist entscheidend: Wer eine Maschine wesentlich verändert, übernimmt ALLE Herstellerpflichten – neue Risikobeurteilung, neue technische Dokumentation, neue CE-Kennzeichnung und Konformitätserklärung. Das Entscheidende: Eine wesentliche Veränderung kann auch ohne physische Änderungen entstehen – beispielsweise durch eine Software-Anpassung, die neue Sicherheitsfunktionen einführt bzw. verändert, oder durch die Integration neuer Netzwerkschnittstellen. Wer Maschinen im Einsatz hat, deren Software regelmäßig angepasst wird, sollte prüfen, ob diese Anpassungen wesentlich sind.

Digitale Betriebsanleitungen – erlaubt, aber geregelt

Anleitungen und weitere Dokumente dürfen künftig digital bereitgestellt werden – mit neuen Anforderungen an Verfügbarkeit, Zugänglichkeit und Format. Eine Papierausgabe ist nicht mehr Pflicht. Hersteller müssen die digitale Dokumentation mindestens 10 Jahre nach Auslieferung verfügbar halten. Für nicht-gewerbliche Nutzer müssen Sicherheitsinformationen weiterhin in Papierform vorliegen.

KI und autonome Systeme sind ausdrücklich erfasst

Selbstlernende oder KI-gestützte Maschinenkomponenten unterliegen klaren Anforderungen. Wer entsprechende Systeme verbaut, muss deren Verhalten dokumentieren und beherrschbar machen. Besonders wichtig: Wer KI in sicherheitsrelevanten Funktionen einsetzt, braucht zwingend eine notifizierte Stelle. Das bedeutet in der Praxis: MVO-Compliance heißt nachweislich sicher, nicht nur sicher.

Vernetzte Maschinen: Doppelte Anforderungen, einfache Lösung

Moderne Maschinen haben Software, digitale Schnittstellen und Netzwerkanbindung – daher fallen Maschinenbauer ab 2027 unter MVO und CRA. Das bedeutet nicht doppelte Arbeit: Wer beide Regelwerke strukturiert zusammen angeht – basierend auf IEC 62443 – kann viele Anforderungen parallel erfüllen und spart Zeit und Ressourcen.

Ein praktisches Beispiel: Eine Roboterzelle mit Schutzzaun, Schutztürenschalter und Not-Halt erfüllt heute die Safety-Anforderungen nach EN ISO 13849. Ab 2027 reicht das nicht mehr aus.

Die MVO fordert zusätzlich ein Security-Konzept in der Risikobeurteilung:

• Offene Schnittstellen (Ethernet, USB, Teach-Panel) identifizieren und bewerten
• Fernwartung über VPN mit Benutzerverwaltung absichern
• Netzwerk segmentieren
• Alle Zugriffe und Softwareänderungen protokollieren

Der CRA geht weiter: Der Maschinenbauer muss eine SBOM (Stückliste aller Software- und Firmware Komponenten) erstellen und ein Schwachstellenmanagement etablieren. Werden nach der Auslieferung Sicherheitslücken bekannt, muss er den Betreiber informieren und mindestens fünf Jahre lang Sicherheitsupdates bereitstellen.

Das Ergebnis: Eine nachweislich sichere Roboterzelle und ein Maschinenbauer, der als verlässlicher, zukunftsfähiger Partner wahrgenommen wird.

Was Maschinenbauer jetzt konkret tun sollten

Die Fristen laufen. Technische Dokumentationen, Sicherheitsarchitekturen und interne Prozesse lassen sich nicht über Nacht anpassen. Maschinenbauer sollten sofort handeln:

• Betroffenheitsanalyse: Welche Ihrer Produkte und Maschinen fallen unter CRA und/oder MVO?
• Gap-Analyse: Wo weichen Ihre aktuellen Prozesse von den neuen Anforderungen ab?
• Meldepflichten: Haben Sie Prozesse für die Meldung von Sicherheitsvorfällen? (Pflicht ab 11.09.2026)
• Security-Risikobeurteilung: Haben Sie ein Industrial-Security-Konzept für Ihre Maschinen?
• Dokumentation prüfen: Sind Ihre technischen Unterlagen und Betriebsanleitungen MVO-konform?
• Normen prüfen: Arbeiten Sie bereits nach IEC 62443?

ROTH begleitet Sie zur Compliance

Die ROTH Steuerungstechnik GmbH vereint seit über 40 Jahren Expertise in Steuerungstechnik, Maschinensicherheit und Digitalisierung. Das macht ROTH zu einem der wenigen Partner, der CRA und MVO aus einer Hand begleiten kann. Wir unterstützen Sie dabei, beide Verordnungen gemeinsam und effizient umzusetzen – von der Betroffenheitsanalyse bis zur Konformitätserklärung:

• Betroffenheitsanalyse und Gap-Analyse
• Risikobeurteilung nach MVO inkl. Industrial-Security-Analyse
• Cybersicherheits-Risikobeurteilung (TARA) nach IEC 62443
• Aufbau eines Secure Development Lifecycle
• Erstellung technischer Dokumentation und EU-Konformitätserklärung
• Kombination von MVO- und CRA-Prozessen für maximale Effizienz

Wir kennen die Normen. Wir kennen die Maschinen. Wir kennen die Praxis. Sprechen Sie uns an – für eine erste, unverbindliche Einschätzung, wie CRA und MVO Ihr Unternehmen betreffen.

Stand: Juli 2026. Alle Angaben basieren auf dem Cyber Resilience Act (EU 2024/2847) sowie der Maschinenverordnung (EU) 2023/1230.