Mit der neuen Maschinenverordnung (EU) 2023/1230, die ab dem 20. Januar 2027 verpflichtend gilt, wird Cybersicherheit zur gesetzlichen Pflicht für Maschinenhersteller.
Die zentrale Botschaft: „Keine funktionale Sicherheit ohne Cybersicherheit.“
Dieser Leitfaden zeigt, wie die Anforderungen in der Praxis umgesetzt werden können – mit einem strukturierten Konzept, basierend auf der Normreihe IEC 62443, ergänzt durch konkrete Werkzeuge, Prozesse und Dokumentationen.
Ziele
- CE-Konformität durch Cybersicherheitsmaßnahmen sicherstellen
- Robuste OT-Sicherheitsarchitektur etablieren
- Erfüllung der gesetzlichen Anforderungen
- Nachvollziehbare Dokumentation für Audits und Behörden bereitstellen
Relevante MVO-Abschnitte
- Schutz gegen Korruption (Anhang III, Abschnitt 1.1.9)
- Sicherheit von Steuerungssystemen (Anhang III, Abschnitt 1.2.1)
- Technische Dokumentation (Anhang IV, Teil A)
Ablauf und Meilensteine
Das ist zu machen:
- Mit dem Gesetzestext vertraut machen
- Asset-Inventar erstellen
- Risikobewertung durchführen
- Maßnahmen definieren und umsetzen
- Dokumentation und Nachweispflicht
Bausteine
1. Asset-Inventar
Man kann nur Schützen was man kennt.
- Inventarliste mit allen sicherheitsrelevanten Komponenten erstellen
2. Risikobewertung
First-things-first. Nicht zu kompliziert denken oder overengineeren. Welche Bedrohungen oder Maßnahme machen für euch am meisten Sinn. Oft fällte eine gleich was an, was einen unter den Nägeln brennt. Das sind die Findings die man benötigt! Und immer daran denken: Security ist ein Prozess.
- Bedrohungskatalog erstellen
- Bewertung nach Wahrscheinlichkeit und Auswirkung (vor allem bezüglich Safety)
- Daraus ergibt sich eine Priorisierung der notwendigen Maßnahmen
Beispiele für den Bedrohungskatalog:
| Bedrohung | Angriffsvektor | Maßnahme |
| Unautorisierter Netzwerkzugriff | Direkter Zugriff auf kritische Komponenten durch flache Netze | Zugangsbeschränkung durch Firewall mit Deny-by-Default, Implementierung von Firewall-Regeln |
| Standard-Passwörter | Ausnutzung von nicht geänderten herstellerseitigen Zugangsdaten | Sofortiges Ändern aller Default-Credentials, zentrale und sicher Verwaltung |
| Leicht zugängliche USB-Schnittstellen | Ransomware-Infektion für externes Medium | Medienkontrolle, Schnittstellen deaktivieren |
3. Maßnahmen
Technische Maßnahmen
Vorgehensweise nach Defense in Depth (Security by Design & Default). Wir errichten eine Festung mit mehreren Schutzbarrieren. Fällt die erste Mauer, ist trotzdem nicht gleich die ganze Burg eingenommen.
- Anlagen- und physische Sicherheit
- Netzwerksicherheit
- Systemsicherheit
Organisatorische Maßnahmen
- Zuständigkeiten definieren
- Prozesse definieren oder anpassen
Personelle Maßnahmen
- Awareness-Trainings
- Know-how aufbauen
4. Dokumentation und Nachweispflicht
Alle Maßnahmen und Entscheidungen nachvollziehbar dokumentieren.
Erkenntnisse aus der Praxis
- OT hat andere Prioritäten – das ist auch bezüglich Security sehr wichtig zu betrachten
- Safety ≠ Security – Checksummen allein reichen nicht aus
- Dokumentation ist Pflicht – jede Maßnahme muss nachvollziehbar sein
- Frühzeitig starten – Cybersicherheit gehört in die Planungsphase
- Aufwand skalieren – MVO ist Pflicht, IEC 62443 kann je nach Projektumfang selektiv angewendet werden
Fazit
Die Maschinenverordnung ist kein reines Compliance-Thema – sie ist eine Chance, OT-Sicherheit zu professionalisieren und Vertrauen bei Kunden aufzubauen.
Mit einem klaren Konzept, strukturierten Prozessen und technischer Umsetzung kann Cybersicherheit im Maschinenbau praxisnah und auditfähig realisiert werden.
Bernhard Hörl 