Ab 2027 verändern die EU-Maschinenverordnung (MVO) und der Cyber Resilience Act (CRA) die Anforderungen an den Cybersicherheit im Maschinenbau grundlegend. Hersteller, Integratoren und Betreiber müssen Cybersecurity und funktionale Sicherheit künftig gemeinsam betrachten und über den gesamten Lebenszyklus einer Maschine sicherstellen. Im exklusiven Interview mit safety-security-portal.de erläutert Andreas Steinsdörfer, Leiter Marktmanagement Eurodrive Germany bei SEW-Eurodrive, welche Folgen die neuen Regelwerke haben. Er beschreibt, wo Unternehmen aktuell den größten Nachholbedarf haben. Auch erfahren wir, warum „Security by Design”, Risikoanalysen sowie strukturierte Update- und Meldeprozesse zu zentralen Bestandteilen moderner Maschinenentwicklung werden.
Herr Steinsdörfer, warum rücken Cybersecurity und funktionale Sicherheit in der Automatisierung gerade jetzt so stark in den Fokus?
Die Entwicklung begann bereits mit der NIS2-Richtlinie, die insbesondere Betreiber kritischer Infrastrukturen in die Pflicht nimmt. Ab 2027 verschärfen die EU-Maschinenverordnung und der Cyber Resilience Act die Anforderungen deutlich. Gleichzeitig wächst durch die zunehmende Vernetzung von Maschinen, den Einsatz datengetriebener Anwendungen und die veränderte geopolitische Lage die Bedrohungslage. Cyberangriffe auf Industrie und Infrastruktur nehmen zu. Aus meiner Sicht sollen die neuen Regelwerke die Widerstandsfähigkeit von Maschinen und Anlagen deutlich stärken und Cybersecurity zu einem festen Bestandteil der Produktentwicklung machen.
Welche neuen Pflichten ergeben sich daraus für Maschinenbauer und Anlagenbetreiber? Wo sehen Sie aktuell den größten Handlungsbedarf?
Wer Maschinen oder Anlagen in Verkehr bringt, muss künftig Cyberrisiken systematisch bewerten und dokumentieren. Neben der klassischen Risikobeurteilung werden Risiko- und Bedrohungsanalysen zur Grundlage der CE-Konformität. Während viele größere Unternehmen bereits entsprechende Strukturen aufgebaut haben, befinden sich zahlreiche kleinere Betriebe noch am Anfang. Der größte Handlungsbedarf besteht deshalb darin, die neuen Anforderungen frühzeitig zu verstehen und geeignete Prozesse für Risikobewertung und Dokumentation aufzubauen. Ich habe den Eindruck, dass insbesondere kleinere Unternehmen den Handlungsbedarf noch unterschätzen.
Safety und Security werden häufig in einem Atemzug genannt. Wo liegt der Unterschied? Und warum müssen beide künftig gemeinsam gedacht werden?
Safety schützt den Menschen vor der Maschine. Security schützt die Maschine vor unbefugten Zugriffen und Manipulationen durch den Menschen. Durch die zunehmende Vernetzung lassen sich beide Bereiche nicht mehr getrennt betrachten. Deshalb fordert die neue EU-Maschinenverordnung, Cybersecurity bereits in die Entwicklung einzubeziehen. Grundlage dafür sind strukturierte Entwicklungsprozesse nach dem Prinzip „Security by Design“, wie sie beispielsweise die Norm IEC 62443 beschreibt.
Mit dem CRA endet die Verantwortung des Herstellers nicht mehr mit der Auslieferung eines Produkts. Wie verändert das die Zusammenarbeit zwischen Hersteller, Maschinenbauer und Betreiber?
Der klassische Ansatz „sell and forget“ gehört aus meiner Sicht der Vergangenheit an. Hersteller müssen neu entdeckte Schwachstellen bewerten, Sicherheitsupdates bereitstellen und deren Verfügbarkeit sicherstellen. Gleichzeitig müssen Maschinenbauer und Betreiber diese Updates in ihre Anlagen integrieren, ohne die Funktion oder Verfügbarkeit zu beeinträchtigen. Dadurch entstehen langfristige Partnerschaften über den gesamten Lebenszyklus einer Maschine.
Viele Unternehmen fühlen sich angesichts von CRA, Maschinenverordnung und NIS2 zunehmend überfordert. Wie unterstützen Sie Ihre Kunden dabei?
Wir erleben derzeit sehr unterschiedliche Ausgangssituationen. Während einige Unternehmen bereits gut vorbereitet sind, beginnen andere erst jetzt, sich intensiv mit den neuen Anforderungen auseinanderzusetzen. Deshalb setzt SEW-Eurodrive auf Webinare, Schulungen und individuelle Beratung, sowohl für KMUs als auch für Großunternehmen. Darüber hinaus bewerten wir unsere Komponenten nach den neuen Anforderungen. Hier stellt SEW sowohl organisatorische Empfehlungen als auch technische Sicherheitsfunktionen bereit. Diese bilden die Grundlage, auf der Maschinenbauer ihre eigene Risikoanalyse und Sicherheitsstrategie aufbauen können.
Welche Rolle spielt ein konsequenten Security-by-Design-Ansatz bei der Umsetzung von CRA und MVO?
Security by Design bedeutet, Sicherheitsanforderungen bereits bei der Entwicklung eines Produkts zu berücksichtigen. Für die Umsetzung von CRA und MVO ist dieser Ansatz essentiell. Dazu gehören beispielsweise Benutzerverwaltung, verschlüsselte Kommunikation, sicheres Logging und die Verifizierung von Firmware-Updates. Gleichzeitig sollte Cybersecurity immer auf die tatsächliche Risikosituation abgestimmt sein. Sicherheitsfunktionen müssen verfügbar sein, ohne den Betrieb unnötig zu erschweren. Ziel ist ein ausgewogenes Verhältnis zwischen Schutz und Bedienbarkeit. Aus meiner Sicht muss Security deshalb immer zur tatsächlichen Risikosituation passen.
Wie lassen sich bestehende Anlagen Schritt für Schritt auf die neuen Security-Anforderungen vorbereiten?
Bestehende Anlagen genießen grundsätzlich Bestandsschutz, solange keine wesentlichen Änderungen vorgenommen werden. Werden Maschinen jedoch erweitert oder modernisiert, müssen Cyberrisiken neu bewertet werden. Nicht immer sind umfassende Nachrüstungen erforderlich. Ich denke, viele Unternehmen gehen zunächst von zu aufwendigen Nachrüstungen aus. Tatsächlich lassen sich Risiken häufig auch durch organisatorische Maßnahmen reduzieren. Entscheidend ist eine fundierte Risiko- und Bedrohungsanalyse, aus der sich das erforderliche Sicherheitsniveau ableiten lässt.
Wo begegnen Ihnen in bestehenden Produktionsanlagen heute die größten Schwachstellen?
Aus meiner Sicht besteht die größte Gefahr darin, tatsächliche Risiken falsch einzuschätzen. Manche Unternehmen unterschätzen den Handlungsbedarf. Andere reagieren mit überzogenen Sicherheitsmaßnahmen, die Bedienung und Produktivität unnötig einschränken. Eine ausgewogene Risikobewertung und fachliche Beratung helfen dabei, angemessene Schutzmaßnahmen zu definieren.
Müssen Unternehmen auch ihre Prozesse und ihre Organisation anpassen, um den neuen Anforderungen gerecht zu werden?
Technische Maßnahmen allein reichen nicht aus. Unternehmen benötigen zusätzlich klare Prozesse für Schwachstellenmanagement, Softwarestücklisten, Meldepflichten und Updateprozesse. Informationen über Sicherheitslücken müssen entlang der gesamten Lieferkette schnell weitergegeben werden, damit Betreiber ihre Anlagen rechtzeitig absichern können. Ich fürchte, dass gerade Integratoren aufgrund der Vielzahl an eingesetzten Herstellern hier vor Herausforderungen stehen.
Welche Maßnahmen sollten Maschinenbauer und Betreiber noch in diesem Jahr angehen, um für 2027 gut vorbereitet zu sein?
Aus meiner Sicht sollten Unternehmen jetzt folgende Themen priorisieren: An erster Stelle steht der Aufbau eines strukturierten Security-Managements, beispielsweise auf Grundlage der IEC 62443. Damit müssen Risiko- und Bedrohungsanalysen fester Bestandteil der Maschinenentwicklung werden. Unternehmen müssen Prozesse für Schwachstellenmanagement, Sicherheitsupdates und Meldeketten etablieren. Diese organisatorischen Grundlagen sind entscheidend, um die neuen gesetzlichen Anforderungen zuverlässig zu erfüllen.
Ist Cybersecurity heute bereits ein Wettbewerbsfaktor oder wird sie in vielen Unternehmen noch hauptsächlich als Compliance-Aufgabe betrachtet?
Cybersecurity entwickelt sich zunehmend zu einem Wettbewerbsfaktor. Mit der EU-Maschinenverordnung und dem Cyber Resilience Act werden Sicherheitsanforderungen Teil der CE-Konformität. Gleichzeitig ist zu erwarten, dass Betreiber künftig konkrete Security-Anforderungen an Maschinen und Komponenten stellen. Ich wünsche mir, Cybersecurity nicht als Belastung zu verstehen, sondern als Chance. Unternehmen, die sich frühzeitig darauf einstellen, schaffen die Voraussetzungen für den Marktzugang und stärken gleichzeitig ihre Wettbewerbsfähigkeit.
