Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

Neue Maschinenverordnung 2027: Cybersicherheit für Maschinen

Kurz gesagt: Ab dem 20.01.2027 gilt die neue EU-Maschinenverordnung (EU) 2023/1230 und löst die Maschinenrichtlinie 2006/42/EG ab. Sie verlangt ausdrücklich, dass Maschinen gegen Manipulation von Software, Daten und Verbindungen geschützt sind, auch über Fernzugriff, und dass sie Eingriffe nachweisbar protokollieren. Für produzierende KMU heißt das: Bei neuen Maschinen gehört die IT von Anfang an mit an den Tisch.

Stand: 04.11.2026

Ab wann gilt die neue Maschinenverordnung?

Die Maschinenverordnung ist am 29.06.2023 im Amtsblatt der EU (L 165) erschienen und am zwanzigsten Tag danach in Kraft getreten. Gelten wird sie ab dem 20.01.2027. Dieses Datum stammt aus einer Berichtigung, die am 04.07.2023 im Amtsblatt (L 169) veröffentlicht wurde. Im ursprünglichen Text stand der 14.01.2027. Findest du dieses Datum in älteren Unterlagen, beziehen sie sich auf die unberichtigte Fassung.

Zum selben Tag, dem 20.01.2027, wird die bisherige Maschinenrichtlinie 2006/42/EG aufgehoben. Für Produkte, die vorher nach der alten Richtlinie in Verkehr gebracht wurden, gilt eine Übergangsregel: Die Mitgliedstaaten dürfen deren Bereitstellung auf dem Markt nicht behindern.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Was verlangt die Verordnung zur Cybersicherheit?

Der für die IT wichtigste Teil steht in Anhang III, Abschnitt 1.1.9 „Schutz gegen Korrumpierung“. Die Verordnung spricht vom Schutz gegen „unbeabsichtigte oder vorsätzliche Korrumpierung“. Die Anforderungen an die Cybersecurity lassen sich so zusammenfassen:

  • Anschluss und Fernzugriff: Wird eine andere Einrichtung an die Maschine angeschlossen, direkt oder über eine entfernte Fernzugriffseinrichtung, darf das nicht zu einer gefährlichen Situation führen.
  • Hardware: Bauteile, die Signale oder Daten für den Zugriff auf sicherheitsrelevante Software übertragen, müssen angemessen gegen Korrumpierung geschützt sein. Die Maschine muss Beweise für rechtmäßige oder unrechtmäßige Eingriffe in diese Bauteile sammeln.
  • Software und Daten: Software und Daten, die für die Sicherheit entscheidend sind, müssen als solche benannt und angemessen geschützt sein.
  • Transparenz: Die Maschine muss die installierte Software, die für den sicheren Betrieb erforderlich ist, kenntlich machen und diese Information jederzeit leicht zugänglich bereitstellen.
  • Nachweise: Die Maschine muss Nachweise für Eingriffe in die Software und für Veränderungen an Software oder Konfiguration sammeln.

Ergänzend regelt Abschnitt 1.2.1 die Steuerungen. Sie müssen, soweit den Umständen und Risiken angemessen, auch vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter standhalten. Außerdem muss das Rückverfolgungsprotokoll zu Eingriffen und zu nachträglich hochgeladenen Versionen der Sicherheitssoftware bis zu fünf Jahre nach dem Hochladen zugänglich sein, und zwar auf begründete Anforderung einer zuständigen nationalen Behörde.

Diese Pflichten richten sich an die Konstruktion der Maschine, also in erster Linie an den Hersteller. Im Betrieb treffen sie aber genau auf deine IT: auf dein Netzwerk, deine Firewall und die Fernwartungszugänge deiner Lieferanten.

Was bedeutet das für die IT in deinem Betrieb?

Aus Sicht eines IT-Dienstleisters lohnt es sich, folgende Punkte schon jetzt zu regeln. Das sind keine Vorgaben aus der Verordnung, sondern praktische Schritte, damit Maschine und IT-Sicherheit zusammenpassen:

  • Fernzugriff: Wartungszugänge von Maschinenherstellern laufen über einen festgelegten Weg, etwa ein VPN über deine Firewall, und werden nur bei Bedarf freigeschaltet. Keine Maschine sollte direkt aus dem Internet erreichbar sein.
  • Netzwerkanbindung: Maschinen und Steuerungen kommen in ein eigenes Netzsegment, getrennt vom Büronetz. Die Firewall regelt, wer mit der Maschine sprechen darf.
  • Software: Die Liste der installierten Software, die die Maschine bereitstellen muss, gehört in deine IT-Dokumentation. Kläre, wer Updates einspielt und wie das festgehalten wird.
  • Nachweise über Eingriffe: Frag nach, wo die Maschine Eingriffe und Konfigurationsänderungen protokolliert, wer diese Protokolle lesen kann und wie sie gesichert werden.
  • Zugänge und Kennwörter: Wartungskonten mit Standardkennwort oder gemeinsam genutzte Zugänge erschweren nachvollziehbare Nachweise. Jeder Zugriff sollte einer Person oder Firma zuzuordnen sein.

Welche Fragen stellst du beim Maschinenkauf?

Wenn du nach dem 20.01.2027 neue Maschinen beschaffst, helfen diese Fragen an den Lieferanten:

  1. Wie erfüllt die Maschine Anhang III, Abschnitt 1.1.9 der Verordnung (EU) 2023/1230, insbesondere beim Fernzugriff?
  2. Welche Netzwerkverbindungen braucht die Maschine, nach innen und nach außen, und über welche Ports?
  3. Wo und wie zeigt die Maschine die installierte, sicherheitsrelevante Software an?
  4. Wo werden Eingriffe und Änderungen an Software und Konfiguration protokolliert, und wie kommst du an diese Daten?
  5. Wie laufen Updates ab, wer spielt sie ein, und wie wird das dokumentiert?
  6. Kann die Fernwartung über deinen eigenen VPN-Zugang laufen statt über eine eigene Box des Herstellers?

Hole deine IT schon zur Ausschreibung dazu. Nachträglich ist eine Änderung der Netzwerkanbindung oft aufwendiger.

Wie hängt das mit dem Cyber Resilience Act zusammen?

Neben der Maschinenverordnung gibt es mit dem Cyber Resilience Act eine weitere EU-Verordnung, die Cybersicherheit von Produkten regelt. Ob und wie sie für eine bestimmte Maschine oder Komponente greift, klärst du mit dem Hersteller und im Zweifel rechtlich. Die Fristen haben wir in unserem Beitrag zum Cyber Resilience Act und seinen Fristen für Hersteller zusammengefasst.

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Er beschreibt die IT-Sicht auf die Verordnung. Für die rechtliche Bewertung deiner Maschinen wende dich an den Hersteller, eine Fachstelle für Maschinensicherheit oder an Rechtsberatung.

So unterstützen wir dich

Wir betreuen die IT von produzierenden Betrieben in Osnabrück und Umgebung, weiter entfernt per Fernwartung. Wir trennen Maschinennetze vom Büronetz, richten Fernwartungszugänge über die Firewall ein und dokumentieren, wer wann Zugriff hat. Die rechtliche Bewertung übernehmen wir nicht. Mehr dazu auf unserer Seite zur IT für Industrie und Produktion.

Häufige Fragen

Ab wann gilt die neue Maschinenverordnung?

Ab dem 20.01.2027. Gleichzeitig wird die Maschinenrichtlinie 2006/42/EG aufgehoben.

Warum steht manchmal der 14.01.2027 als Datum im Umlauf?

So stand es im ursprünglichen Text. Eine Berichtigung im Amtsblatt vom 04.07.2023 hat das Datum auf den 20.01.2027 korrigiert.

Was bedeutet „Schutz gegen Korrumpierung“?

Die Maschine muss so gebaut sein, dass Verbindungen, Fernzugriffe sowie sicherheitsrelevante Software und Daten nicht unbeabsichtigt oder vorsätzlich so verändert werden können, dass eine Gefahr entsteht. Eingriffe muss sie nachweisbar protokollieren.

Was ist mit Maschinen, die vor 2027 auf den Markt kamen?

Für Produkte, die vor dem 20.01.2027 nach der Richtlinie 2006/42/EG in Verkehr gebracht wurden, dürfen die Mitgliedstaaten die Bereitstellung nicht behindern. Was das für deine konkrete Maschine bedeutet, klärst du mit dem Hersteller.

Ersetzt die Verordnung die IT-Sicherheit im Betrieb?

Nein. Sie regelt die Maschine selbst. Netzwerk, Firewall, Zugänge und Updates in deinem Betrieb bleiben deine Aufgabe.

Quellen