Cyber Resilience Act (CRA) und neue Maschinenverordnung 2023/1230: Welche Anforderungen jetzt beim Thema Cybersicherheit auf den Maschinenbau zukommen

Der Cyber Resilience Act (CRA) und die neue EU-Maschinenverordnung (EU) 2023/1230 verändern die Anforderungen an Maschinenhersteller grundlegend. Wer heute vernetzte Maschinen, industrielle Steuerungen und digitale Komponenten entwickelt, produziert oder in der EU in Verkehr bringt, für den wird Cybersicherheit künftig ebenso verpflichtend wie die klassische funktionale Sicherheit.

Dabei geht es nicht nur um IT-Schutzmaßnahmen. Die neuen Vorgaben wirken sich auf die gesamte Produktentwicklung aus – von der Cyber-Risikobewertung über Security by Design und Schwachstellenmanagement bis hin zur CE-Konformitätsbewertung.

Welche Anforderungen gelten konkret? Wo unterscheiden sich CRA und Maschinenverordnung? Und welche Maßnahmen sollten Maschinenbauer jetzt einleiten? Dieser Artikel beantwortet die wichtigsten Fragen.

Kurz zusammengefasst

• Der Cyber Resilience Act (CRA) verpflichtet Hersteller zu Security by Design, Schwachstellenmanagement und Sicherheitsupdates.
• Die Maschinenverordnung fordert den Schutz von Maschinen gegen Manipulationen („Korrumpierung“).
• Für viele vernetzte Maschinen sind beide Regelwerke relevant.
• Die ersten CRA-Meldepflichten gelten ab September 2026.
• Die Maschinenverordnung gilt ab Januar 2027, die wesentlichen CRA-Anforderungen ab Dezember 2027.

Was ist der Unterschied zwischen Cyber Resilience Act und Maschinenverordnung?

Die EU-Maschinenverordnung und der Cyber Resilience Act verfolgen unterschiedliche Ziele, ergänzen sich aber inhaltlich.

Die Maschinenverordnung (EU) 2023/1230 ersetzt die bisherige Maschinenrichtlinie 2006/42/EG und regelt die Sicherheit von Maschinen über ihren gesamten Lebenszyklus. Neben mechanischen, elektrischen und ergonomischen Risiken berücksichtigt sie erstmals ausdrücklich auch Cyberrisiken. Besonders relevant ist Anhang III, Abschnitt 1.1.9: Dort wird gefordert, Maschinen gegen sogenannte "Korrumpierung" zu schützen – also gegen unbefugte Veränderungen oder Manipulationen an Software, Parametern oder Steuerungen, die sicherheitsrelevante Funktionen beeinträchtigen können.

Der Cyber Resilience Act (CRA) gilt für Produkte mit digitalen Elementen und definiert verbindliche Anforderungen an deren Cybersicherheit. Ziel ist, Sicherheitsaspekte bereits während der Entwicklung, des Betriebs und der Wartung systematisch zu berücksichtigen.

CRA oder Maschinenverordnung – was gilt für Maschinenbauer?

In der Praxis lautet die Frage meist nicht „CRA oder Maschinenverordnung?“, sondern „CRA und Maschinenverordnung?“.

Die Maschinenverordnung fokussiert sich auf die Sicherheit von Maschinen und Anlagen. Der Cyber Resilience Act adressiert dagegen die Cybersicherheit von Produkten mit digitalen Elementen. Für viele vernetzte Maschinen sind deshalb beide Regelwerke relevant.

Hersteller sollten die Anforderungen nicht getrennt betrachten. Risikobeurteilungen, Entwicklungsprozesse, technische Schutzmaßnahmen und die CE-Konformitätsbewertung werden künftig zunehmend beide Perspektiven berücksichtigen müssen: Safety und Security. 

Was fordert die Maschinenverordnung konkret zur Cybersicherheit?

Die Maschinenverordnung verlangt, dass Maschinen gegen Manipulationen geschützt werden, die ihre Sicherheit beeinträchtigen könnten. Eine wichtige technische Grundlage bildet die derzeit in Entwicklung befindliche Norm prEN 50742 "Schutz von Maschinen gegen Korrumpierung". Sie beschreibt konkrete Maßnahmen gegen unbeabsichtigte und vorsätzliche Veränderungen:

• Zugriffsschutz auf Maschinen und Steuerungen
• Absicherung externer Schnittstellen wie USB- und Ethernet-Ports
• Schutz vor nicht autorisierten Softwareständen
• Sicherstellung der Integrität sicherheitsrelevanter Funktionen
• Nachvollziehbarkeit von Änderungen an Hard- und Software

Wichtig: Diese Anforderungen betreffen nicht nur Neuentwicklungen. Auch wesentliche Veränderungen bestehender Maschinen können neue Konformitätsanforderungen auslösen.

Welche Rolle spielt die IEC 62443 für den Maschinenbau?

Wer sich mit Cybersicherheit im Maschinenbau beschäftigt, stößt schnell auf die Normenreihe IEC 62443. Sie gilt international als einer der wichtigsten Standards für Industrial Cybersecurity und die Absicherung von Automatisierungs- und Steuerungssystemen – auch wenn sie weder Bestandteil des CRA noch der Maschinenverordnung ist.

Viele der im CRA geforderten Maßnahmen finden sich dort bereits wieder:

• Security by Design
• Risikobewertung
• Benutzer- und Rechtekonzepte
• Schwachstellenmanagement
• Absicherung von Kommunikationsschnittstellen
• Anforderungen an Lieferketten und Komponenten

 Für Maschinenhersteller kann die IEC 62443 daher eine wichtige Orientierung bei der praktischen Umsetzung der regulatorischen Anforderungen bieten. 

Was verlangt der Cyber Resilience Act (CRA) konkret?

Der CRA verpflichtet Hersteller, Cybersicherheit über den gesamten Produktlebenszyklus hinweg sicherzustellen. Die wichtigsten Anforderungen:

• Security by Design & Default: Cybersicherheit muss bereits in der Entwicklungsphase berücksichtigt werden. Produkte dürfen nicht mit unsicheren Standardeinstellungen ausgeliefert werden – das heißt z.B. keine Standardpasswörter und ungenutzte Schnittstellen müssen deaktiviert sein.
• Cyber-Risikobewertung: Vor dem Inverkehrbringen müssen Cyberrisiken identifiziert, bewertet und dokumentiert werden.
• Schwachstellenmanagement: Hersteller müssen Prozesse etablieren, um Sicherheitslücken systematisch zu erfassen, zu bewerten und zu beheben – auch nach dem Verkauf.
• Sicherheitsupdates: Sicherheitsrelevante Updates müssen mindestens fünf Jahre lang bereitgestellt werden, bei längerer Produktlebensdauer entsprechend länger.
• Software Bill of Materials (SBOM): Alle eingesetzten Softwarekomponenten müssen nachvollziehbar dokumentiert werden – einschließlich Open-Source-Anteilen.
• Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen innerhalb vorgeschriebener Fristen an die Behörden gemeldet werden.
• CE-Konformitätsbewertung: Die CRA-Anforderungen werden Bestandteil der Konformitätsbewertung für betroffene Produkte.

Was das in der Praxis bedeutet: Wer bisher Maschinen ohne systematische Cybersicherheits-Dokumentation entwickelt hat, muss seinen Entwicklungsprozess grundlegend anpassen – und das betrifft Produktentwicklung, Einkauf, Service und Qualitätsmanagement gleichermaßen.

Welche Produkte fallen unter den Cyber Resilience Act?

Der CRA gilt grundsätzlich für alle Produkte mit digitalen Elementen, die direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden werden können. Dazu zählen unter anderem:

• industrielle Steuerungen
• HMI-Systeme
• Remote-Service-Lösungen
• vernetzte Maschinen
• IoT-Geräte
• Softwareprodukte

Die Einstufung als Standardprodukt, wichtiges Produkt oder kritisches Produkt entscheidet darüber, welche Konformitätsbewertungsverfahren gelten. Maschinen in kritischen Infrastrukturen, der industriellen Produktion oder im Energieumfeld fallen typischerweise in eine höhere Risikoklasse. Welche Anforderungen im Einzelfall gelten, sollte daher für jedes Produkt individuell geprüft werden. 

Ob ein Produkt unter die relevanten CRA-Kategorien fällt, lässt sich beispielsweise mit dem CRA-Self-Check von TÜV Süd prüfen: https://www.tuvsud.com/de-de/dienstleistungen/produktpruefung-und-produktzertifizierung/cyber-resilience-act/cra-grafik

Welche Auswirkungen haben CRA und Maschinenverordnung auf die CE-Kennzeichnung?

Sowohl die Maschinenverordnung als auch der Cyber Resilience Act wirken sich unmittelbar auf die CE-Kennzeichnung aus. Hersteller müssen künftig nachweisen, dass die relevanten Sicherheits- und Cybersicherheitsanforderungen erfüllt werden.

Dazu gehören unter anderem:

• dokumentierte Risikobeurteilungen und Cyber-Risikobewertungen
• technische Schutzmaßnahmen gegen Manipulationen und Cyberangriffe
• Prozesse für Schwachstellenmanagement und Sicherheitsupdates
• nachvollziehbare Entwicklungs- und Änderungsprozesse
• Dokumentation eingesetzter Softwarekomponenten

Für Maschinenhersteller bedeutet das: Cybersicherheit wird künftig ein fester Bestandteil der Konformitätsbewertung und der technischen Dokumentation sein. Unternehmen sollten ihre bestehenden CE-Prozesse deshalb frühzeitig um Security-Aspekte erweitern.

Bis wann müssen die neuen Anforderungen von CRA und Maschinenverordnung verbindlich erfüllt sein?

 Das klingt nach ausreichend Zeit – ist es aber nicht. Entwicklungszyklen im Maschinenbau betragen oft zwei bis vier Jahre. Wer jetzt noch nicht begonnen hat, riskiert, mit nicht-konformen Produkten in die Deadlines zu laufen.

Wie groß ist das reale Risiko durch Cyberangriffe?

Cyberangriffe auf industrielle Systeme sind keine abstrakte Zukunftsbedrohung. Laut Bitkom Wirtschaftsbericht 2025 schätzen 72 % der befragten Unternehmen die aktuelle Bedrohungslage als hoch ein. Rund 66 % der deutschen Unternehmen waren im vergangenen Jahr von Datendiebstahl, Sabotage oder Spionage betroffen. Der Schaden durch Angriffe auf Informations- und Produktionssysteme ist von 2024 auf 2025 um knapp 20 Milliarden Euro auf 73,3 Milliarden Euro gestiegen.

Für Maschinenbauer ist das besonders brisant: Vernetzte Maschinen bieten Angreifern zahlreiche Einstiegspunkte – über Fernwartungszugänge, Service-Schnittstellen, externe Datenträger oder unzureichend geschützte Netzwerkverbindungen. Die Folgen reichen von Produktionsausfällen über Datendiebstahl bis hin zur Manipulation sicherheitsrelevanter Maschinenfunktionen. Rund 70 % aller Angriffe werden der organisierten Kriminalität zugerechnet – es handelt sich also nicht um Einzeltäter, sondern um professionell agierende Gruppen.

Für Maschinenhersteller wird Cybersicherheit deshalb nicht nur zur Compliance-Anforderung, sondern zunehmend auch zum Wettbewerbsfaktor.

CRA-Checkliste: Was Maschinenbauer jetzt tun sollten

Auch wenn die wesentlichen Anforderungen erst in den kommenden Jahren verpflichtend werden, sollten Hersteller frühzeitig handeln. Folgende Schritte haben sich als sinnvoll erwiesen:

1. Produktportfolio analysieren: Welche Maschinen, Steuerungen und Softwarekomponenten fallen unter den CRA?
2. Cyber-Risikobewertung etablieren: Cyberrisiken sollten systematisch in bestehende Entwicklungsprozesse integriert werden.
3. Security by Design umsetzen: Sicherheitsanforderungen müssen bereits bei Architektur und Entwicklung berücksichtigt werden.
4. Software-Lieferkette transparent machen: Verwendete Softwarekomponenten – einschließlich Open-Source-Anteile – sollten dokumentiert und regelmäßig überprüft werden.
5. Update- und Schwachstellenmanagement aufbauen: Hersteller benötigen Prozesse, um Sicherheitsupdates langfristig bereitzustellen und Schwachstellen effizient zu bearbeiten.

Warum gelten USB- und Ethernet-Schnittstellen als besonders kritische Angriffspunkte?

Physische Schnittstellen werden an Maschinen häufig für Wartung, Diagnose, Updates oder Parametrierung benötigt. Dadurch entstehen Risiken:

• Einschleusen von Schadsoftware über externe Datenträger
• Auslesen sensibler Maschinen- oder Produktionsdaten
• Manipulation von Parametern oder die Steuerungslogik
• Installation nicht autorisierter Softwarestände

Sowohl die Maschinenverordnung als auch der CRA verlangen deshalb Maßnahmen zur Absicherung solcher Zugänge. Ungenutzte Schnittstellen sollten deaktiviert sein. Zugriffe sollten nur autorisierten Personen möglich sein und nachvollziehbar dokumentiert werden. 

Wie lassen sich physische Schnittstellen technisch absichern?

Viele Hersteller suchen derzeit nach technischen Lösungen, um die regulatorischen Anforderungen praktisch umzusetzen. Eine Möglichkeit ist die Hardwarelösung 2BSecure von SCHLEGEL. Das System wird zwischen Schnittstelle und Endgerät installiert und unterstützt USB-A-, USB-C- sowie Ethernet-Ports. Schnittstellen sind standardmäßig deaktiviert und lassen sich nur durch autorisierte Personen per Schlüsselschalter oder RFID freischalten.

2BSecure lässt sich sowohl in neue Maschinen als auch in Bestandsanlagen integrieren – ohne großen Umbauaufwand. Es kann ein konkreter Baustein sein, um Anforderungen aus Security by Design, Schnittstellenschutz und Zugriffskontrolle technisch umzusetzen und nachweisbar zu erfüllen. 

Häufige Fragen zum Cyber Resilience Act und zur EU-Maschinenverordnung (CRA und MVO)

Gilt der Cyber Resilience Act auch für Maschinenbauer?

Ja. Der CRA gilt grundsätzlich für Produkte mit digitalen Elementen. Dazu gehören auch viele vernetzte Maschinen, industrielle Steuerungen, HMI-Systeme und Remote-Service-Lösungen.

Müssen Maschinenhersteller sowohl den CRA als auch die Maschinenverordnung erfüllen?

In vielen Fällen ja. Die Maschinenverordnung regelt die Sicherheit von Maschinen, während der CRA Anforderungen an die Cybersicherheit digitaler Produkte stellt. Für vernetzte Maschinen können daher beide Regelwerke gleichzeitig relevant sein.

Wann treten die Anforderungen des Cyber Resilience Act in Kraft?

Die Meldepflichten für aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle gelten ab dem 11. September 2026. Die wesentlichen Anforderungen des CRA werden ab dem 11. Dezember 2027 verbindlich.

Welche Rolle spielt die IEC 62443 beim CRA?

Die IEC 62443 ist kein Bestandteil des CRA, gilt jedoch als einer der wichtigsten Standards für Industrial Cybersecurity. Viele der dort beschriebenen Maßnahmen unterstützen Unternehmen bei der Umsetzung regulatorischer Cybersicherheitsanforderungen.

Was bedeutet Security by Design im Maschinenbau?

Security by Design bedeutet, dass Cybersicherheit bereits bei der Entwicklung einer Maschine berücksichtigt wird. Sicherheitsmaßnahmen werden von Beginn an in Hardware, Software und Systemarchitektur integriert.

 Warum müssen USB- und Ethernet-Schnittstellen abgesichert werden?

Ungeschützte Schnittstellen können genutzt werden, um Schadsoftware einzuschleusen, Daten auszulesen oder Maschinenparameter zu manipulieren. Deshalb verlangen sowohl der CRA als auch die Maschinenverordnung geeignete Schutzmaßnahmen. 

Fazit: Cybersecurity wird fester Bestandteil der Produktentwicklung

Der Cyber Resilience Act und die neue Maschinenverordnung 2023/1230 machen Cybersicherheit zu einem festen Bestandteil der Produktverantwortung von Maschinenherstellern über den gesamten Lebenszyklus hinweg. Unternehmen sollten die verbleibende Zeit nutzen, um Entwicklungsprozesse, Risikobewertungen, Software-Lieferketten und technische Schutzmaßnahmen frühzeitig auf die neuen Anforderungen auszurichten.

Wer heute beginnt, schafft nicht nur die Grundlage für regulatorische Konformität, sondern stärkt zugleich die Sicherheit und Zukunftsfähigkeit seiner Produkte. 

Quellen und weiterführende Informationen

Gesetzgebung und Normen

• Verordnung (EU) 2023/1230 über Maschinen (Maschinenverordnung)
• Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber Resilience Act)
• IEC 62443 – IT-Sicherheit für industrielle Automatisierungssysteme
• prEN 50742 – Sicherheit von Maschinen – Schutz vor Korruption

Studien und Statistiken

• Bitkom Wirtschaftsschutz 2025
• Bitkom Cyberkriminalität-Studie 2025

Weiterführende Informationen

• CRA-Self-Check von TÜV Süd
• Leitfäden und Veröffentlichungen der Europäischen Kommission zum Cyber Resilience Act
• Veröffentlichungen von ENISA (European Union Agency for Cybersecurity)