Maschinenverordnung - EU-Maschinenverordnung (EU) 2023/1230

EU-Verordnung über Maschinen, löst die Maschinenrichtlinie 2006/42/EG ab

Lesezeit: 2 Min.

Was bedeutet Maschinenverordnung?

Die Maschinenverordnung (EU) 2023/1230 regelt ab dem 20. Januar 2027 die Sicherheit von Maschinen in der EU und verlangt erstmals ausdrücklich Schutz gegen Manipulation und Cyberangriffe, soweit diese die Maschinensicherheit gefährden.

Die Maschinenverordnung (Verordnung (EU) 2023/1230) ersetzt am 20. Januar 2027 die Maschinenrichtlinie 2006/42/EG, ohne Übergangsfrist und als Verordnung unmittelbar in allen Mitgliedstaaten geltend. Neben den bekannten Anforderungen an mechanische und funktionale Sicherheit enthält sie zwei Anforderungen mit Cybersicherheitsbezug: Anhang III Abschnitt 1.1.9 (Schutz gegen Korrumpierung) verlangt, dass weder angeschlossene Geräte noch Fernzugriffe einen gefährlichen Zustand herbeiführen und dass sicherheitsrelevante Software und Daten vor Manipulation geschützt und Eingriffe protokolliert werden. Anhang III Abschnitt 1.2.1 verlangt Steuerungen, die vorhersehbaren böswilligen Versuchen Dritter standhalten, und die Aufbewahrung von Eingriffsprotokollen und Sicherheitssoftware-Versionen für fünf Jahre. Der Maßstab ist dabei immer die Maschinensicherheit: Schwachstellenmanagement, SBOM und Meldepflichten regelt für Produkte mit digitalen Elementen der Cyber Resilience Act.

Schutz gegen Korrumpierung (Anhang III 1.1.9)

Lokal angesteckte Geräte, Fernwartungszugänge und Netzwerkverbindungen dürfen Sicherheitsfunktionen der Maschine nicht beeinträchtigen. Kritische Hardware-Schnittstellen und sicherheitsrelevante Software sind gegen Manipulation zu schützen, der installierte Softwarestand muss leicht abrufbar sein, und berechtigte wie unberechtigte Eingriffe sind nachvollziehbar zu protokollieren.

In der Praxis heißt das: Netzsegmentierung zwischen Büro-IT und Steuerung, abgesicherte Fernwartung, Integritätsschutz für Firmware und Parameter.

Widerstandsfähige Steuerungen und 5-Jahres-Protokoll (Anhang III 1.2.1)

Steuerungssysteme müssen so ausgelegt sein, dass auch vorhersehbare Angriffe von außen keinen gefährlichen Betriebszustand auslösen. Außerdem sind Daten zu Eingriffen in die Steuerung sowie nach dem Inverkehrbringen aufgespielte Versionen der Sicherheitssoftware fünf Jahre lang ab dem Hochladen vorzuhalten, damit Marktüberwachungsbehörden sie prüfen können.

Verkettete Anlagen: wann Integratoren Hersteller werden

Wer Einzelmaschinen oder unvollständige Maschinen steuerungs- und sicherheitstechnisch zu einer gemeinsam arbeitenden Fertigungslinie verbindet, schafft nach Art. 3 Nr. 1 Buchst. d eine eigene Maschine (Gesamtheit von Maschinen) und trägt die Herstellerpflichten für das Ganze, einschließlich der Netzwerkschnittstellen. Dasselbe gilt nach Art. 18 bei einer wesentlichen Veränderung einer bestehenden Anlage.

Normen: IEC 62443 als Maßstab bis zur harmonisierten Norm

Für die Cybersicherheitsanforderungen ist noch keine harmonisierte Norm im Amtsblatt der EU zitiert; der Entwurf prEN 50742 (Schutz gegen Korrumpierung) ist in Arbeit und stützt sich auf die IEC 62443. Bis dahin gilt die IEC 62443, vor allem die Zonen- und Conduit-Segmentierung nach Teil 3-2 und die Systemanforderungen nach Teil 3-3, als Stand der Technik. Die Risikobeurteilung nach EN ISO 12100 bleibt die Grundlage, die Cyberbedrohungen fließen dort als zusätzliche Gefährdungen ein.

Maschinenverordnung und Cyber Resilience Act

Beide Verordnungen können für dieselbe Maschine gelten. Die Maschinenverordnung fragt, ob ein Angriff die Maschine gefährlich macht, der CRA fragt, ob das Produkt mit digitalen Elementen über seinen Lebenszyklus sicher bleibt: sichere Entwicklung, Schwachstellenbehandlung, Sicherheitsupdates, SBOM und Meldung aktiv ausgenutzter Schwachstellen. Am Ende steht ein CE-Zeichen, das beide Rechtsakte abdeckt, sobald der CRA ab dem 11. Dezember 2027 vollständig gilt.

Praxis-Tool

Prüfe die Datenwege deiner Anlage im Browser-Planer gegen erste Architekturregeln - läuft lokal, ohne Anmeldung

Digital Fabric (CyberRisk Canvas) öffnen ↗

Auch bekannt als

MVO · Maschinenverordnung 2023/1230 · Verordnung (EU) 2023/1230 · EU Machinery Regulation · Machinery Regulation · Schutz gegen Korrumpierung

Teil des Themenbereichs: Compliance & Regulierung

Quellen

Zuletzt aktualisiert: 2026-10-24

Häufige Fragen zu Maschinenverordnung

Ab wann gilt die Maschinenverordnung?

Ab dem 20. Januar 2027. Sie ersetzt die Maschinenrichtlinie 2006/42/EG zu diesem Stichtag ohne Übergangsfrist: Maschinen, die ab dann in Verkehr gebracht werden, müssen die neuen Anforderungen einschließlich Anhang III 1.1.9 und 1.2.1 erfüllen.

Deckt die Maschinenverordnung die Cybersicherheit vollständig ab?

Nein. Sie verlangt Schutz gegen Manipulation nur, soweit sie die Sicherheit der Maschine betrifft. Enthält die Maschine Software oder Netzwerkfunktionen, gilt zusätzlich der Cyber Resilience Act mit Pflichten zu Schwachstellenbehandlung, Updates, SBOM und Meldungen.

Wird ein Systemintegrator durch die Maschinenverordnung zum Hersteller?

Ja, wenn er mehrere Maschinen so verkettet, dass sie als eine Anlage zusammenarbeiten (Art. 3 Nr. 1 Buchst. d), oder eine bestehende Anlage wesentlich verändert (Art. 18). Er trägt dann die Herstellerpflichten für die Gesamtanlage, auch für deren Netzwerkschnittstellen.