Mit dem Cyber Resilience Act (CRA) und der EU‑Maschinenverordnung (EU) 2023/1230 sehen sich Hersteller vernetzter Maschinen zunehmend mit überlappenden regulatorischen Anforderungen konfrontiert.
Moderne Maschinen basieren heute mehr denn je auf Software, Vernetzung und digitalen Steuerungssystemen – damit wird das Zusammenspiel dieser beiden Regelwerke unausweichlich.
Zu verstehen, wie CRA und Maschinenverordnung zusammenwirken und wie eine effiziente, einheitliche Bewertungsstrategie gestaltet werden kann, ist daher von zentraler strategischer Bedeutung.
Produkte im Anwendungsbereich von CRA und Maschinenverordnung
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) gilt horizontal für Produkte mit digitalen Elementen. Darunter fallen alle Hardware‑ und Softwareprodukte, die Software, Firmware oder digitale Komponenten enthalten, ebenso wie Remote-Datenverarbeitungslösungen, sofern sie für die Funktion des Produkts erforderlich sind und auf dem EU‑Markt bereitgestellt werden.
Explizit umfasst sind damit unter anderem:
- Embedded Systems
- Industriecontroller
- Software und Firmware
- Digitale Komponenten, die die Cybersicherheit eines Produkts beeinflussen
Parallel dazu gilt die EU‑Maschinenverordnung (EU) 2023/1230 für Maschinen und zugehörige Produkte. Ihr Fokus liegt auf Gesundheits‑ und Sicherheitsrisiken über den gesamten Lebenszyklus hinweg – einschließlich solcher Risiken, die aus Cyberangriffen entstehen. Sie ersetzt die bisherige Maschinenrichtlinie ab dem 20. Januar 2027.
Für viele moderne Produkte bedeutet dies, dass beide Regelwerke gleichzeitig anwendbar sind, zum Beispiel bei:
- Vernetzten und automatisierten Industriemaschinen
- Industrierobotern, Cobots, AGVs und AMRs
- Smart‑Manufacturing‑Anlagen und IIoT‑fähiger Ausrüstung
- Maschinen mit Embedded Software, HMIs, PLCs oder Remote‑Access‑Funktionen
Gilt für ein Produkt, dass es:
- eine Maschine oder Sicherheitskomponente im Sinne der Maschinenverordnung ist und
- ein Produkt mit digitalen Elementen im Sinne des CRA darstellt,
dann müssen beide regulatorischen Rahmenwerke erfüllt werden.
Für Maschinenbauer ist das zunächst eine unangenehme Realität. Sie wurde jedoch bereits von der EU‑Kommission adressiert – unter anderem in den CRA‑FAQs (Kapitel 2.4) sowie im Draft Guidance Document (Kapitel 9.3).
Warum eine einheitliche Risikoanalyse für CRA und Maschinenverordnung sinnvoll ist
Auch wenn CRA und Maschinenverordnung unterschiedliche Primärziele verfolgen –
horizontale Cybersicherheit versus Maschinensicherheit – überschneiden sich ihre Cyber‑Risikogrundlagen erheblich.
Beide Regelwerke verlangen von Herstellern, dass sie:
- Cybersecurity‑Bedrohungen identifizieren
- deren Auswirkungen auf das Produktverhalten bewerten
- geeignete technische und organisatorische Maßnahmen umsetzen
- Entscheidungen und Risikominderungsmaßnahmen dokumentieren
Ohne eine Vereinheitlichung führt das in der Praxis zu:
- Doppelarbeit
- Inkonsistenten Annahmen
- Widersprüchlicher Dokumentation
- Erhöhten Audit‑ und Konformitätsrisiken
Eine einheitliche Risikoanalyse löst diese Probleme, indem sie:
- eine ganzheitliche Cyber‑Risikoanalyse durchführt
- deren Ergebnisse systematisch abbildet auf:
- die wesentlichen Cybersecurity‑Anforderungen des CRA (Anhang I)
- die cyberbezogenen Sicherheitsanforderungen der Maschinenverordnung (Anhang III)
(u. a. Schutz vor Manipulation, Zuverlässigkeit von Steuerungssystemen)
- Nachweise, Bedrohungsmodelle und Maßnahmen für beide Konformitätsverfahren wiederverwendet
Wichtig ist: Keines der beiden Regelwerke verbietet dieses Vorgehen.
Im Gegenteil – CRA Erwägungsgrund 53 unterstützt ausdrücklich die Nutzung von Synergien, sofern diese sauber begründet und belegt werden.
Ein Risiko. Eine Bewertung. Mehrere Regelwerke erfüllt.
Für Hersteller vernetzter Maschinen ist der sinnvollste Ansatz, CRA und Maschinenverordnung nicht als getrennte Silos, sondern als zwei regulatorische Blickwinkel auf dieselbe Cyber‑Risikolandschaft zu verstehen.
Eine schlanke, integrierte Risikoanalyse:
- reduziert Engineering‑ und Compliance‑Aufwand
- erhöht Konsistenz und Auditierbarkeit
- verbessert Sicherheits‑ und Schutzniveaus zugleich
Vor allem aber rückt sie regulatorische Konformität wieder dorthin, wo sie hingehört:
als strukturiertes Instrument zur messbaren Reduzierung realer Risiken.
Gleichzeitig ist klar:
Die Maschinenverordnung behandelt nicht nur Cyber‑Risiken. Umgekehrt gilt das ebenso.
Auch bei Nutzung aller Synergien bleiben die Konformitätsbewertungsverfahren getrennt. Hersteller müssen weiterhin durchführen:
- die CRA‑Konformitätsbewertung (Art. 32 CRA)
- die Konformitätsbewertung nach Maschinenverordnung (Art. 25 MR)
Durch eine integrierte Cyber‑Risikoanalyse werden jedoch beide Verfahren mit denselben hochwertigen Ergebnissen gespeist – was den Gesamtaufwand deutlich reduziert und gleichzeitig die Qualität der Bewertungen erhöht.
Wie COMPLYD Sie dabei unterstützt
Wir haben früh erkannt, welche Belastung dadurch entsteht, dass Maschinenbauer ihre Produkte gegen zwei cyberrelevante Regelwerke absichern müssen.
COMPLYD erweitert daher seine etablierte CRA‑Risikoanalyse‑Methodik gezielt um maschinenspezifische Sicherheitsanforderungen, sodass sie auch für Bewertungen nach der Maschinenverordnung eingesetzt werden kann.
Ab Januar 2027 profitieren unsere Kunden dadurch von:
- einem einheitlichen, integrierten Cyber‑Risk‑Workflow
- belastbaren Evidenzpaketen für CRA und Maschinenverordnung
- durchgängiger Compliance‑Dokumentation über den gesamten Produktlebenszyklus