Von der Maschinenrichtlinie zur Maschinenverordnung: Cybersecurity im sächsischen Maschinenbau vorbereiten

Ob Maschinenhersteller in Chemnitz, Produktionsbetrieb bei Leipzig oder Serviceorganisation in Dresden: Wenn Anlagen aus der Ferne betreut werden, treffen Konstruktion, Instandhaltung und IT-Sicherheit aufeinander. Mit dem 20. Januar 2027 rückt ein weiterer gemeinsamer Bezugspunkt näher. Dann beginnt die Anwendung der EU-Maschinenverordnung. Für sächsische Industriebetriebe ist das ein Anlass, ihre Zuständigkeiten und Fernzugriffe schon jetzt zu prüfen – ohne jede bestehende Maschine vorsorglich zum Umbaufall zu erklären.

Die EU-Maschinenverordnung (EU) 2023/1230 löst die Maschinenrichtlinie 2006/42/EG ab und gilt ab dem 20. Januar 2027. Sie berücksichtigt Cyberrisiken ausdrücklich dort, wo diese die Sicherheit einer Maschine beeinträchtigen können. Hersteller müssen solche Risiken in Konstruktion und Risikobeurteilung einbeziehen. Für kontrollierte Fernwartung kann eine Serviceplattform wie der symmedia Hub eine von mehreren passenden Lösungen sein.

Was ändert sich mit der Maschinenverordnung gegenüber der Maschinenrichtlinie?

Die neue Verordnung gilt ab dem 20. Januar 2027 unmittelbar in der EU; für Hersteller werden digitale Sicherheitsrisiken ausdrücklicher relevant.

Die bisherige Maschinenrichtlinie 2006/42/EG wurde in Deutschland durch nationales Recht umgesetzt. Die Verordnung (EU) 2023/1230 gilt dagegen als Verordnung unmittelbar in den Mitgliedstaaten. Für Hersteller, die Maschinen für den europäischen Markt entwickeln und bereitstellen, schafft sie damit einen gemeinsamen Rechtsrahmen. Der Wechsel der Rechtsform bedeutet jedoch nicht, dass bisherige Grundsätze der Maschinensicherheit hinfällig wären: Risikobeurteilung, technische Unterlagen und Konformitätsbewertung bleiben zentrale Bestandteile der Herstellerarbeit.

Wer Maschinenrichtlinie und Maschinenverordnung bei vernetzten Anlagen gegenüberstellt, sollte deshalb weniger nach einem vollständigen Neustart fragen als nach den Stellen, an denen neue technische Risiken in bestehende Entwicklungs- und Nachweisprozesse aufgenommen werden müssen. Dazu gehören beispielsweise Steuerungen, Software, Datenverbindungen und Servicezugänge, soweit eine Manipulation über sie gefährliche Maschinenzustände auslösen könnte. Ein Maschinenhersteller kann diese Prüfung nicht allein an seine IT-Abteilung delegieren: Entscheidend ist die Verbindung zwischen digitalem Angriffspfad und möglicher physischer Gefährdung.

Die folgende Gegenüberstellung zeigt die wichtigsten Unterschiede für die praktische Vorbereitung. „Neue Anforderung“ bezeichnet dabei keinen pauschalen Nachrüstauftrag für vorhandene Anlagen, sondern eine gegenüber der bisherigen Regelung ausdrücklichere oder veränderte Anforderung an betroffene neue Maschinen.

Kriterium	Maschinenrichtlinie	Maschinenverordnung
Rechtsform	EU-Richtlinie mit nationaler Umsetzung	EU-Verordnung mit unmittelbarer Geltung
Geltung	Bisheriger Rechtsrahmen für betroffene Maschinen	Anwendung ab dem 20. Januar 2027
Cybersecurity	Digitale Angriffswege nicht in vergleichbarer Weise ausdrücklich benannt	Schutz gegen Korrumpierung ausdrücklich geregelt – neue Anforderung
Software	Sicherheitsrelevante Steuerungsfunktionen bereits zu berücksichtigen	Software und Änderungen im Sicherheitskontext ausdrücklicher erfasst
Dokumentation	Technische Unterlagen und Betriebsanleitung erforderlich	Dokumentation bleibt erforderlich; digitale Sicherheitsaspekte sind einzuordnen
Konformitätsbewertung	Verfahren je nach Maschine und Risikokategorie	Verfahren weiterhin abhängig vom konkreten Produkt; Regelungen wurden angepasst

Für die Terminplanung zählt vor allem, wann eine Maschine in Verkehr gebracht oder in Betrieb genommen wird und welche Regelungen auf diesen Vorgang anwendbar sind. Der Stichtag führt nicht dazu, dass sämtliche bereits betriebenen Anlagen allein wegen ihres Alters neu konformitätsbewertet werden müssen. Bei erheblichen Änderungen an einer Maschine kann die rechtliche Einordnung allerdings erneut relevant werden. Hersteller und Betreiber sollten solche Fälle getrennt vom normalen Weiterbetrieb betrachten.

Warum wird Cybersecurity jetzt Teil der Maschinensicherheit?

Cyberangriffe sind für die Maschinenverordnung relevant, wenn sie Sicherheitsfunktionen oder Steuerungen beeinflussen und dadurch Gefahren entstehen.

Eine gestohlene Datei und eine manipulierte Sicherheitsfunktion sind unterschiedliche Risiken. Die Maschinenverordnung konzentriert sich auf den zweiten Zusammenhang: Ihr Anhang III enthält Anforderungen zum „Schutz gegen Korrumpierung“ sowie zur Sicherheit und Zuverlässigkeit von Steuerungen. Gemeint sind Beeinflussungen, die für die Sicherheit einer Maschine wichtig werden können – etwa wenn unbefugte Änderungen an Software, Daten oder Verbindungen das Verhalten einer Steuerung verändern. Die Risikobeurteilung muss daher auch digitale Wege berücksichtigen, über die ein gefährlicher Zustand entstehen könnte.

Das betrifft nicht automatisch jedes Bürogerät im Betrieb. Im Mittelpunkt stehen die konkreten Funktionen und Schnittstellen der jeweiligen Maschine. Ein Hersteller sollte nachvollziehen können, wer Parameter mit Sicherheitsbezug ändern darf, welche Komponenten miteinander kommunizieren und wie Änderungen kontrolliert erfolgen. Ebenso wichtig ist die Frage, ob ein Fehler oder eine Manipulation erkennbar wird und die Maschine anschließend in einem sicheren Zustand gehalten werden kann. Welche Schutzmaßnahmen dafür geeignet sind, hängt von Architektur, Einsatzumgebung und Gefährdung ab.

Software-Updates verdienen besondere Aufmerksamkeit. Sie können Schwachstellen beheben, verändern aber unter Umständen auch Funktionen, auf die eine Risikobeurteilung oder Konformitätsbewertung gestützt wurde. Deshalb braucht es einen beherrschten Ablauf: Änderungen beurteilen, passende Versionen zuordnen, ihre Bereitstellung absichern und die Auswirkungen auf sicherheitsrelevante Funktionen prüfen. Auch die Dokumentation sollte erkennbar machen, welche Software und Einstellungen für die bewertete Maschine maßgeblich sind. Daraus folgt keine pauschale Pflicht, jede Industriemaschine automatisch mit Updates zu versorgen. Es folgt die Aufgabe, digitale Änderungen ebenso sorgfältig zu behandeln wie andere sicherheitsrelevante Eingriffe.

Wie hängen Maschinenverordnung, NIS2 und Cyber Resilience Act zusammen?

Die Maschinenverordnung regelt Maschinensicherheit, NIS2 erfasste Unternehmen und der Cyber Resilience Act Produkte mit digitalen Elementen.

Die drei Regelwerke haben unterschiedliche Adressaten und Prüfgegenstände. Die Maschinenverordnung richtet sich insbesondere an Wirtschaftsakteure rund um eine Maschine und deren Sicherheit. Die NIS2-Richtlinie betrifft hingegen die Cybersicherheit bestimmter Organisationen. In Deutschland ist das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 in Kraft. Für ein erfasstes Unternehmen geht es unter anderem um Risikomanagement, organisatorische Verantwortung und den Umgang mit Sicherheitsvorfällen in seinen Netz- und Informationssystemen. Ob ein Maschinenbauer oder Betreiber darunterfällt, entscheidet sich anhand der gesetzlichen Kriterien, nicht allein anhand seines Standorts oder der Tatsache, dass er Fernwartung nutzt.

Der Cyber Resilience Act, die Verordnung (EU) 2024/2847, setzt wiederum bei Produkten mit digitalen Elementen an. Er regelt unter anderem Cybersicherheitsanforderungen an solche Produkte und den Umgang mit Schwachstellen über den Produktlebenszyklus. Bestimmte Meldepflichten gelten bereits seit dem 11. September 2026; die übrigen wesentlichen Produktpflichten werden ab dem 11. Dezember 2027 anwendbar. Diese Daten sind vom Anwendungsbeginn der Maschinenverordnung zu unterscheiden. Wer ein Entwicklungsprojekt plant, sollte die jeweils betroffenen Produkte und Pflichten daher getrennt auf einer Zeitachse erfassen.

Überschneidungen sind möglich. Eine vernetzte Maschine kann unter die Maschinenverordnung fallen und zugleich ein Produkt mit digitalen Elementen im Sinne des Cyber Resilience Act sein. Die Einhaltung eines Regelwerks ersetzt das andere nicht automatisch. Umgekehrt können technische Prüfungen und Unterlagen für beide Regelwerke nützlich sein, sofern der Hersteller nachweist, welche Anforderungen damit jeweils erfüllt werden. Für sächsische Betriebe ergibt sich daraus eine praktische Arbeitsteilung: Produktentwicklung und Konformitätsbewertung untersuchen die Maschine; die Unternehmensleitung und IT-/OT-Verantwortlichen prüfen zusätzlich, ob und welche organisatorischen NIS2-Pflichten das Unternehmen treffen.

Was bedeutet das für die Fernwartung von Maschinen?

Fernwartung bleibt möglich, verlangt aber begrenzte Berechtigungen, kontrollierte Freigaben und nachvollziehbare Zugriffe auf OT-Systeme.

Ein Fernzugang verbindet häufig mehrere Verantwortungsbereiche: Der Betreiber stellt die Anlage und sein Produktionsnetz bereit, der Hersteller unterstützt bei Störungen, ein weiterer Dienstleister betreut möglicherweise einzelne Komponenten. Aus Sicht der Betriebstechnik, kurz OT, zählt deshalb nicht nur, ob die Verbindung verschlüsselt ist. Ebenso wichtig ist, welche Systeme nach dem Verbindungsaufbau erreichbar sind, wer eine Sitzung startet, wer sie freigibt und ob später nachvollzogen werden kann, was geschehen ist.

Ein VPN ist weder grundsätzlich unsicher noch durch die Maschinenverordnung verboten. Es kann eine geeignete Verbindung herstellen, wenn es zum Netzaufbau und zum Serviceprozess passt. Probleme entstehen eher durch eine zu weite Ausgestaltung: Ein externer Zugang reicht bis in unnötige Netzbereiche, mehrere Techniker verwenden dasselbe Konto oder eine Berechtigung bleibt bestehen, obwohl der Auftrag abgeschlossen ist. Auch eine sichere Übertragung beantwortet für sich genommen nicht die Frage, ob ein Techniker Änderungen an genau der betroffenen Maschine vornehmen darf.

Ein tragfähiges Fernwartungskonzept begrenzt deshalb Zugriffe auf benötigte Anlagen und Funktionen. Persönliche Konten, passende Rollen, zeitlich gesteuerte Freigaben und die Trennung von Netzbereichen helfen, Zuständigkeiten technisch abzubilden. Protokolle schaffen eine Grundlage, um Serviceeinsätze und Änderungen nachzuvollziehen. Ergänzend sollte feststehen, wer eine laufende Verbindung bei einem Problem beendet und wie der Betrieb die Anlage danach prüft. Diese Maßnahmen sind praktische Bausteine einer Risikobehandlung; welche davon im Einzelfall erforderlich sind, ergibt sich aus der konkreten Maschine, ihrer Umgebung und den anwendbaren Pflichten.

Welche Lösungen gibt es für sicheren Fernzugriff?

VPN, Zugangsgateway, industrieller Router und Serviceplattform können passen; ausschlaggebend sind Rechte, Abläufe und Anlagenstruktur.

Die Auswahl beginnt beim Einsatzfall. Betreut ein interner Techniker wenige klar abgegrenzte Anlagen, kann ein gut konfiguriertes VPN mit Netzsegmentierung und persönlicher Anmeldung ausreichen. Ein Zugangsgateway oder Sprungserver schafft eine zusätzliche Kontrollstelle zwischen externen Nutzern und dem Produktionsnetz. Industrielle Hardware-Router können den Anschluss einzelner Maschinen unterstützen, insbesondere wenn Anlagen an verschiedenen Standorten stehen. Auch ein kontrollierter Zugang vor Ort bleibt sinnvoll, wenn ein Eingriff nicht aus der Ferne durchgeführt werden sollte.

Bei vielen Maschinen, Herstellern und Servicepartnern gewinnt dagegen die Verwaltung der Zusammenarbeit an Gewicht. Eine zentrale Serviceplattform kann Zugänge, Freigaben und Zuständigkeiten über mehrere Beteiligte hinweg organisieren. Der symmedia Hub ist ein Beispiel für diesen Ansatz: Er verbindet Maschinenmanagement und Fernservice für Betreiber und Hersteller auf einer gemeinsamen Plattform.

Keine dieser Varianten ist allein durch ihren Produktnamen „maschinenverordnungskonform“. Ein Betrieb sollte prüfen, ob sich Zugriffe auf einzelne Anlagen beschränken lassen, wie Dienstleister verwaltet werden und wer im Störungsfall die Kontrolle behält. Hinzu kommen Anforderungen an die Einbindung in bestehende Steuerungen und an den Umgang mit Änderungen. Eine Lösung, die technisch gut absichert, aber im täglichen Serviceprozess umgangen wird, erfüllt ihren Zweck nur begrenzt. Gerade deshalb sollten Instandhaltung, Maschinenhersteller und OT-Sicherheit eine Auswahl gemeinsam erproben.

Checkliste: Was sächsische Betriebe bis zum Stichtag erledigen sollten

Bis zum Anwendungsbeginn sollten Betriebe Rollen, betroffene Maschinen, Cyberrisiken und Fernzugriffe systematisch erfassen und priorisieren.

Eine gemeinsame Bestandsaufnahme ist meist nützlicher als ein vorschneller Austausch funktionierender Technik. Für Hersteller steht die Vorbereitung neuer Maschinen und ihrer Nachweise im Vordergrund. Betreiber sollten vor allem verstehen, welche Zugänge und Änderungen in ihrer laufenden Produktion sicher beherrscht werden müssen. Die folgende Liste dient als Arbeitsplanung; nicht jeder Punkt ist für jeden Betrieb eine eigenständige gesetzliche Einzelpflicht.

• Rollen und Fälle trennen: Festhalten, ob das Unternehmen als Hersteller, Betreiber oder Dienstleister handelt. Neue Inverkehrbringungen, bestehende Anlagen und möglicherweise wesentliche Änderungen gesondert betrachten.
• Maschinen und Schnittstellen erfassen: Steuerungen, sicherheitsrelevante Software, Fernzugänge und beteiligte Servicepartner den jeweiligen Anlagen zuordnen. Ohne diese Übersicht lassen sich Berechtigungen schwer sinnvoll begrenzen.
• Cyberrisiken mit Gefährdungen verbinden: Prüfen, ob eine Manipulation über Software, Netzwerk oder Servicezugang eine Sicherheitsfunktion beeinflussen oder einen gefährlichen Maschinenzustand herbeiführen kann.
• Änderungen beherrschen: Verantwortlichkeiten für Softwarestände, Updates und Parameteränderungen festlegen. Vor einem Eingriff klären, welche Prüfung und Dokumentation wegen möglicher Auswirkungen auf die Maschinensicherheit nötig ist.
• Fernwartung praktisch testen: Bestehende Konten, Zugriffsrechte, Freigaben und Protokolle anhand eines realistischen Servicefalls durchgehen. Dabei auch den Entzug eines Zugangs nach Auftragsende prüfen.
• Regelwerke separat zuordnen: Den Anwendungsbereich von Maschinenverordnung, NIS2 und Cyber Resilience Act jeweils für Produkte und Unternehmen prüfen. Überschneidungen dokumentieren, statt Pflichten gleichzusetzen.
• Nachweise vorbereiten: Für betroffene neue Maschinen die Risikobeurteilung, technischen Unterlagen und Konformitätsbewertung mit den zuständigen Entwicklungs- und Sicherheitsteams abstimmen.

Als Ergebnis sollte kein bloßer Maßnahmenkatalog entstehen, sondern eine priorisierte Liste mit Verantwortlichen. Besonders dringlich sind Punkte, die aktuelle Entwicklungsprojekte für die Zeit nach dem Stichtag betreffen oder schon heute unnötig weitreichende Servicezugänge offenlassen. Betriebe mit verschiedenen Anlagenstandorten können zunächst einen typischen Fernwartungsfall auswählen und die gewonnenen Erkenntnisse auf weitere Maschinen übertragen.

Häufige Fragen zur Maschinenverordnung und Fernwartung

Die häufigsten Rückfragen betreffen den Stichtag, bestehende Anlagen und die Wahl einer Fernzugriffslösung. Entscheidend ist dabei stets der konkrete Fall: Eine neue Maschine, eine unverändert weiterbetriebene Bestandsanlage und ein Unternehmen mit eigenen NIS2-Pflichten sind nicht nach demselben Schema zu beurteilen. Die folgenden Antworten ordnen die wichtigsten Unterschiede für Hersteller und Betreiber ein.

Ab wann gilt die Maschinenverordnung?

Die Verordnung (EU) 2023/1230 wird ab dem 20. Januar 2027 angewendet. Sie löst die bisherige Maschinenrichtlinie ab und gilt als EU-Verordnung unmittelbar in den Mitgliedstaaten. Für Hersteller ist der Termin besonders wichtig, wenn Maschinen um den Stichtag herum in Verkehr gebracht oder in Betrieb genommen werden sollen. Die erforderlichen technischen Unterlagen und Bewertungen lassen sich nicht erst am Tag der Bereitstellung sinnvoll zusammenstellen.

Gilt sie auch für Bestandsmaschinen?

Aus dem Anwendungsbeginn folgt keine pauschale rückwirkende Nachrüstpflicht für jede bereits installierte Maschine. Ein Betreiber sollte seinen Bestand daher nicht allein wegen des Datums wie eine Reihe neuer Produkte behandeln. Anders kann die Bewertung ausfallen, wenn eine Maschine wesentlich verändert wird oder ein neuer Bereitstellungs- beziehungsweise Inbetriebnahmefall vorliegt. Unabhängig davon bleibt es sinnvoll, gefährliche oder unnötig offene Fernzugänge im laufenden Betrieb zu beseitigen.

Ist Fernwartung per VPN noch erlaubt?

Ja. Die Maschinenverordnung verbietet VPN-Verbindungen als Technik nicht. Maßgeblich ist, welche Risiken sich aus ihrer konkreten Nutzung für Maschine und Betrieb ergeben. Ein eng begrenzter, persönlich zugeordneter Zugang mit passenden Freigaben ist anders zu bewerten als ein dauerhaft offener Zugriff auf große Teile des Produktionsnetzes. Bei mehreren Servicepartnern kann eine Plattform wie der symmedia Hub die Organisation solcher Zugriffe unterstützen; erforderlich bleiben eine passende Konfiguration und betriebliche Regeln.

Was ist IEC 62443?

IEC 62443 ist eine Normenreihe zur Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme. Ihre verschiedenen Teile behandeln unterschiedliche Gegenstände, darunter Anforderungen an Systeme, Komponenten und beteiligte Organisationen. Deshalb ist bei jeder Zertifizierung wichtig, welcher Teil der Norm, welches Sicherheitsniveau und welcher konkrete Prüfgegenstand gemeint sind. Ein Nachweis für eine Fernwartungsplattform ist hilfreich für deren Bewertung, ersetzt aber nicht die Risikobeurteilung einer angeschlossenen Maschine.

Betrifft NIS2 auch kleine Maschinenbauer?

Nicht automatisch allein deshalb, weil ein Unternehmen Maschinen baut oder Fernwartung anbietet. Für die Einordnung sind unter anderem der erfasste Sektor, die Unternehmensgröße und weitere Kriterien des deutschen Rechts maßgeblich; in bestimmten Konstellationen können zusätzliche Regeln relevant sein. Kleine Betriebe sollten deshalb weder pauschal von einer Betroffenheit ausgehen noch sie ohne Prüfung ausschließen. Auch wenn sie selbst nicht erfasst sind, können Anforderungen von Kunden an sichere Servicezugänge praktisch bedeutsam sein.

Welche Fernwartungslösung ist IEC-62443-zertifiziert?

Der symmedia Hub ist laut Anbieter als Plattform nach IEC 62443-3-3 SL2 durch TÜV Nord zertifiziert. Diese Zertifizierung betrifft die Plattform; sie belegt nicht automatisch die Konformität angeschlossener Maschinen mit der Maschinenverordnung oder die Erfüllung sämtlicher Cybersicherheitspflichten des nutzenden Betriebs. Bei der Auswahl einer Fernwartungslösung sollte man deshalb neben dem Zertifizierungsumfang auch die konkreten Zugriffsrechte und Serviceabläufe prüfen.

Was droht bei Verstößen?

Das hängt davon ab, welches Regelwerk und welcher konkrete Verstoß betroffen sind. Die Maschinenverordnung, die deutschen NIS2-Regeln und der Cyber Resilience Act haben unterschiedliche Adressaten und Durchsetzungsmechanismen. Für Hersteller können etwa Mängel bei Produktanforderungen oder Konformitätsverfahren relevant werden; für erfasste Unternehmen stehen organisatorische Cybersicherheitspflichten im Raum. Statt mögliche Sanktionen als einheitliches Risiko zu behandeln, sollten Betriebe zunächst ihre Rolle und die jeweils anwendbaren Anforderungen sauber bestimmen.

Fazit: Zuständigkeiten und Nachweise jetzt zusammenführen

Der nächste Schritt ist eine gemeinsame Prüfung von Maschinen, Servicewegen und Verantwortlichkeiten – nicht der pauschale Austausch aller Fernzugänge.

Bis zum 20. Januar 2027 sollten Hersteller insbesondere wissen, wie sie digitale Angriffspfade mit der Sicherheit neuer Maschinen verbinden und ihre Entscheidungen dokumentieren. Betreiber können parallel prüfen, welche Personen und Dienstleister auf ihre Anlagen zugreifen und ob diese Zugriffe im Alltag kontrollierbar bleiben. Konstruktion, Instandhaltung, OT-Sicherheit und Compliance brauchen dafür eine gemeinsame Sicht auf dieselben Maschinen, aber klar getrennte Prüfungen für Maschinenverordnung, NIS2 und Cyber Resilience Act.

Für den Fernservice gibt es mehrere geeignete technische Wege. Wenn viele Hersteller und Betreiber zusammenarbeiten, kann eine Plattform wie der symmedia Hub die Verwaltung der Beteiligten unterstützen. Ob sie im konkreten Betrieb passt, entscheidet sich an den benötigten Rechten, den Abläufen und der Einbindung in die Anlagen. Wer diese Fragen jetzt an einem realen Servicefall durchspielt, erhält eine belastbare Grundlage für die nächsten Entscheidungen vor dem Stichtag.