✉ KAIDOC
Häufige Fragen · Digitales und Cybersecurity

Digitale Bereitstellung, Cybersecurity und KI

Die Maschinenverordnung erlaubt die digitale Betriebsanleitung, aber sie knüpft daran Pflichten, die es in sich haben. Der zweite Punkt ist unangenehmer: Cybersecurity wird Teil der Maschinensicherheit, und die konkretisierende Norm EN 50742 ist noch nicht veröffentlicht. Diese Seite beantwortet beides, mit dem aktuellen Stand der Normung und mit dem, was Sie schon heute ohne fertige Norm tun können.

MVO-Lückenanalyse anfragen Zu MVO und Cybersecurity

Kostenloses Erstgespräch, 30 Minuten. Stichtag Maschinenverordnung: noch 0 Tage bis zum 20. Januar 2027.

Was ändert sich bei digitaler Bereitstellung und Cybersecurity?

Betriebsanleitung und Konformitätserklärung dürfen ab dem 20. Januar 2027 rein digital bereitgestellt werden. Die Bedingungen sind allerdings streng: Die Unterlagen müssen online verfügbar sein, für die voraussichtliche Lebensdauer der Maschine, mindestens 10 Jahre nach Inverkehrbringen. Verlangt der Käufer beim Kauf eine Papierfassung, muss sie innerhalb eines Monats kostenlos geliefert werden. Ein Datenträger allein genügt nicht. Parallel wird Cybersecurity Teil der Maschinensicherheit: Sicherheitsrelevante Steuerungsfunktionen müssen gegen Korrumpierung geschützt sein, gegen unbeabsichtigte wie gegen böswillige Eingriffe.

Rechtsgrundlage: Verordnung (EU) 2023/1230, Anhang III. Ergänzend: Leitfaden der EU-Kommission zur Maschinenrichtlinie, Edition 2.3 (April 2024).
Bedingungen

Was digitale Bereitstellung voraussetzt

Digital heißt nicht formlos. Diese vier Punkte müssen erfüllt sein, sonst ist die Anleitung nicht ordnungsgemäß bereitgestellt.

Dauerhaft online verfügbar

Über die voraussichtliche Lebensdauer der Maschine, mindestens jedoch 10 Jahre ab Inverkehrbringen. Eine Projektseite, die nach Gewährleistungsende abgeschaltet wird, reicht nicht.

Herunterladbar und speicherbar

Der Nutzer muss die Unterlagen abspeichern und ausdrucken können. Eine reine Ansicht ohne Downloadmöglichkeit erfüllt die Anforderung nicht.

Papierfassung auf Verlangen

Verlangt der Käufer beim Kauf eine Papierfassung, muss sie innerhalb eines Monats kostenlos geliefert werden. Dafür braucht es einen definierten Prozess, nicht nur guten Willen.

Sicherheitsinformationen für Verbraucher in Papier

Bei Maschinen für nichtprofessionelle Nutzer müssen die Sicherheitsinformationen weiterhin in Papierform beiliegen.

Normenlage

Der Stand bei der Norm zum Schutz gegen Korrumpierung

Die Anforderung steht in der Verordnung, die konkretisierende Norm ist noch nicht veröffentlicht. Das ist der Grund, warum viele Hersteller hier gerade auf der Stelle treten.

Schritt 1
Ist die EN 50742 bereits veröffentlicht und anwendbar?
JaNein, Stand 4. September 2026 noch nicht. Der Entwurf prEN 50742 wurde am 15. Januar 2026 zur öffentlichen Konsultation gestellt.
NeinDie Kommentare sind seit Mitte Juli 2026 eingearbeitet, die Schlussabstimmung läuft im September 2026, die Veröffentlichung wird für November 2026 erwartet.
Schritt 2
Bleibt dann noch Zeit bis zum Stichtag?
JaRechnerisch rund zwei Monate zwischen erwarteter Veröffentlichung und dem 20. Januar 2027.
NeinFür Konstruktionsänderungen an laufenden Projekten ist das zu knapp. Wer erst auf die fertige Norm wartet, plant zu spät.
Schritt 3
Gibt es schon eine belastbare Grundlage zum Arbeiten?
JaJa: der Entwurf selbst und der Prüfgrundsatz GS-IFA-M25 des IFA vom 31. August 2026, der bei Baumusterprüfungen angewendet wird und auf der EN 50742 aufbaut.
NeinWas fehlt, ist die Vermutungswirkung. Die entsteht erst mit Veröffentlichung und Listung im Amtsblatt.
Umsetzung

Die drei Schutzebenen und was sie praktisch bedeuten

So ist der Normentwurf aufgebaut. Die Maßnahmen sind aus der IT bekannt, neu ist, dass sie an der Maschine und in der Risikobeurteilung landen.

Systemhärtung und Zugriffsschutz

Offene Ports und laufende Dienste auf das Notwendige reduzieren. Sicherheitsrelevante Parameter gegen unbefugte Änderung schützen, also starke Authentifizierung statt eines Standardpassworts, das im Schaltschrank klebt. In der Praxis heißt das: eigene Konten je Person statt Sammelkonto, Rollen mit abgestuften Rechten, und Mehrfaktor-Authentifizierung überall dort, wo von außen zugegriffen wird.

Integrität der Kommunikation

Die Steuerung muss erkennen können, ob Daten von der Stelle kommen, von der sie zu kommen vorgeben, und ob sie unterwegs verändert wurden. Dafür arbeitet der Entwurf mit kryptografischen Prüfsummen und Signaturen. Erkennt die Maschine eine Verletzung, muss sie in einen sicheren Zustand gehen. Genau dieser Punkt macht Security zum Thema der funktionalen Sicherheit.

Software-Integrität und Updates

Nur vom Hersteller signierte Software soll starten, das ist der Secure-Boot-Gedanke. Dazu ein definierter Update-Prozess, der die funktionale Sicherheit während und nach dem Update erhält. Siehe Software-Update und wesentliche Veränderung.

Der Schwachpunkt in der Praxis

Das IFA benennt USB- und Netzwerkschnittstellen zur Fernwartung als das größte Risiko. Wer nur einen Punkt angehen kann, fängt dort an: Fernwartungszugänge inventarisieren, absichern und protokollieren.

Das Zusammenspiel mit dem Cyber Resilience Act und die Frage, welcher Rechtsakt wann greift, ordnet der ausführliche Beitrag ein.

MVO, Cybersecurity und CRA →
FAQ

Digitale Bereitstellung, Cybersecurity und KI

Darf die Betriebsanleitung künftig rein digital geliefert werden?
Ja, ab dem 20. Januar 2027 dürfen Betriebsanleitung und Konformitätserklärung ausschließlich digital bereitgestellt werden. Die EU-Kommission hat in ihrem Leitfaden zur Maschinenrichtlinie, Edition 2.3 vom April 2024, sogar klargestellt, dass dies im Vorgriff auf die Maschinenverordnung bereits heute zulässig ist, sofern die damit verbundenen MVO-Pflichten eingehalten werden. Diese Pflichten haben es allerdings in sich: Die Unterlagen müssen online verfügbar sein, für die voraussichtliche Lebensdauer der Maschine, mindestens jedoch 10 Jahre nach Inverkehrbringen. Verlangt der Käufer beim Kauf eine Papierfassung, muss sie innerhalb eines Monats kostenlos geliefert werden. Bei Maschinen für nichtprofessionelle Nutzer müssen die Sicherheitsinformationen weiterhin in Papierform beiliegen. Ein PDF per E-Mail oder auf USB-Stick reicht also nicht: Es braucht einen dauerhaft verfügbaren Online-Zugang und einen Prozess für Papieranfragen.
Genügt ein USB-Stick oder eine mitgelieferte CD?
Nein. Ein Datenträger allein erfüllt die Anforderungen nicht. Die Unterlagen müssen zusätzlich online zugänglich sein, über die gesamte voraussichtliche Lebensdauer der Maschine, mindestens 10 Jahre.
Wer gilt als nichtprofessioneller Nutzer?
Gemeint ist der Verbraucher im Sinne des BGB: eine Privatperson, die die Maschine überwiegend außerhalb ihrer gewerblichen oder selbstständigen Tätigkeit nutzt. Typisches Beispiel sind Maschinen aus dem Baumarktsegment. Für den Sondermaschinenbau und die Intralogistik spielt diese Kategorie in der Regel keine Rolle, dort sind die Abnehmer professionelle Nutzer.
Wie berücksichtigt die Maschinenverordnung die Digitalisierung?
An mehreren Stellen und deutlich konkreter als die Maschinenrichtlinie. Cybersecurity: Sicherheitsrelevante Steuerungsfunktionen müssen gegen Korrumpierung geschützt sein, sowohl gegen unbeabsichtigte als auch gegen böswillige Eingriffe. Cybersecurity wird damit Teil der Maschinensicherheit und der Risikobeurteilung. Maschinelles Lernen: Werden selbstlernende Systeme in Sicherheitsfunktionen eingesetzt, gelten besondere Anforderungen, unter anderem an Prüfungen und Nachvollziehbarkeit. Autonome Maschinen: Auch für autonome und mobile Maschinen enthält die Verordnung eigene Schutzziele. Neu im Anwendungsbereich sind außerdem Maschinen, denen nur noch das Aufspielen der vorgesehenen Software fehlt. Die Software gehört damit klar zur Maschine.
Ist die Norm zum Schutz gegen Korrumpierung schon veröffentlicht?
Nein, Stand 4. September 2026 noch nicht. Der Entwurf prEN 50742 wurde am 15. Januar 2026 zur öffentlichen Konsultation gestellt, die Kommentierungsfrist endete am 15. Februar 2026. Bis Mitte Juli 2026 waren alle Kommentare eingearbeitet, die Schlussabstimmung läuft im September 2026, die Veröffentlichung wird für November 2026 erwartet. Zwischen Veröffentlichung und dem Stichtag am 20. Januar 2027 blieben damit rund zwei Monate. Für Konstruktionsänderungen an laufenden Projekten ist das zu knapp, deshalb sollten Sie auf Basis des Entwurfs arbeiten, statt auf die endgültige Fassung zu warten.
Was verlangt die Maschinenverordnung konkret zum Schutz vor Korrumpierung?
Die Anforderung steht in Anhang III, Abschnitt 1.1.9. Kurz gefasst: Weder eine physische noch eine logische noch eine indirekte Verbindung zu einem anderen Gerät und auch keine Verbindung über das Internet darf zu einer gefährlichen Situation führen. Sicherheitsfunktionen der Steuerung müssen vorsätzlichen wie versehentlichen Eingriffen angemessen standhalten. Anders als in der IT geht es hier nicht um Datenschutz oder Betriebsgeheimnisse, sondern ausschließlich darum, dass niemand die Maschine gefährlich machen kann. Damit gehört das Thema in die Risikobeurteilung und nicht ausschließlich in die IT-Abteilung.
Welche Schutzmaßnahmen erwartet die künftige EN 50742?
Der Entwurf ordnet die Anforderungen in drei Ebenen. Erstens Systemhärtung und Zugriffsschutz: nicht benötigte Ports und Dienste abschalten, sicherheitsrelevante Parameter gegen unbefugte Änderung schützen, also personenbezogene Konten mit abgestuften Rechten statt eines Sammelkontos und Mehrfaktor-Authentifizierung für Zugriffe von außen. Zweitens Integrität der Kommunikation: Herkunft und Unversehrtheit der Daten über kryptografische Prüfsummen und Signaturen absichern, und bei erkannter Verletzung in einen sicheren Zustand gehen. Drittens Software-Integrität: nur signierte Software startet, und der Update-Prozess erhält die funktionale Sicherheit während und nach dem Update.
Wie hängen EN 50742 und IEC 62443 zusammen?
Der Entwurf lässt zwei gleichwertige Wege zu. Weg A ist eine maschinenspezifische Bedrohungsanalyse, die aus der Risikobeurteilung nach EN ISO 12100 heraus entwickelt wird. Weg B stützt sich auf die IEC-62443-Reihe, insbesondere auf EN IEC 62443-4-1 für den Entwicklungsprozess, 62443-3-3 für Systemanforderungen und 62443-4-2 für Komponenten. Wer ohnehin schon nach 62443 arbeitet, etwa weil Kunden aus der Prozessindustrie das verlangen, kann darauf aufsetzen. Wer bei null anfängt und einzelne Maschinen baut, fährt mit Weg A meist schneller.
Was kann ich jetzt tun, solange die Norm nicht veröffentlicht ist?
Vier Dinge, für die Sie die endgültige Fassung nicht brauchen. Erstens Safety und IT oder Automatisierung an einen Tisch bringen, denn die Anforderung liegt genau zwischen beiden Zuständigkeiten. Zweitens die Schnittstellen Ihrer Maschine inventarisieren: Welche Ports, welche Funkverbindungen, welche Fernwartungszugänge gibt es überhaupt, und wer greift darüber zu? Drittens eine erste Bedrohungsbetrachtung für diese Schnittstellen anlegen und mit der bestehenden Risikobeurteilung verknüpfen. Viertens prüfen, ob Sie protokollieren können, wer wann welche sicherheitsrelevante Änderung vorgenommen hat. Das IFA nennt USB- und Netzwerkschnittstellen zur Fernwartung als das größte Risiko, dort lohnt sich der Anfang.
Wo finde ich Hilfestellung zur Cybersecurity?
Zur Konkretisierung der Cybersecurity-Schutzziele sind Normen verfügbar beziehungsweise in Arbeit, insbesondere DIN IEC/TR 63074 zur Cybersicherheit in Verbindung mit funktionaler Sicherheit sicherheitsbezogener Steuerungen und die künftige EN 50742 zum Schutz von Maschinen gegen Korrumpierung. Für Baumusterprüfungen hat das IFA am 31. August 2026 den Prüfgrundsatz GS-IFA-M25 veröffentlicht, der auf der EN 50742 aufbaut und mit einem Ermittlungsprotokoll arbeitet. Praxisnahe Informationen bietet außerdem der DGUV-Fachbereich Holz und Metall, etwa mit den Publikationen FBHM-Aktuell 102 zu Safety und Security in der vernetzten Produktion und FBHM-Aktuell 133 zur sicheren Fernwartung von Maschinen. Das Zusammenspiel mit dem Cyber Resilience Act ordnet MVO, Cybersecurity und CRA ein.
Grundlagen

Quellen und Normbezug

  • Verordnung (EU) 2023/1230 über Maschinen, Anhang III, insbesondere Abschnitt 1.1.9
  • Leitfaden der EU-Kommission zur Maschinenrichtlinie, Edition 2.3 (April 2024)
  • prEN 50742: Schutz von Maschinen gegen Korrumpierung, Entwurf vom 15. Januar 2026, Veröffentlichung für November 2026 erwartet
  • IFA: Prüfgrundsatz GS-IFA-M25, Schutz gegen Korrumpierung, 31. August 2026
  • DIN IEC/TR 63074: Cybersicherheit in Verbindung mit funktionaler Sicherheit
  • IEC 62443-4-1, 62443-3-3 und 62443-4-2 als alternativer Nachweisweg
  • DGUV FBHM-Aktuell 102 und 133

Normausgabestände und harmonisierte Fassungen ändern sich laufend. Prüfen Sie Normnummern und Ausgabestände vor der Anwendung gegen den aktuellen Stand im EU-Amtsblatt. Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung.

Weiterlesen

Passende Themen bei Knutec

MVO, Cybersecurity & CRA Schutz vor Korrumpierung und das Zusammenspiel mit dem CRA. Mehr erfahren → Betriebsanleitung: Pflichten Was die Anleitung leisten muss und woran eine Prüfung sie misst. Mehr erfahren → Software-Update und wesentliche Veränderung Wann ein Update die Maschine rechtlich neu entstehen lässt. Mehr erfahren → FAQ: Geltung und Stichtag Ab wann die MVO gilt und was mit den Normen passiert. Mehr erfahren → Kontakt & Erstgespräch Kostenlos und unverbindlich klären, was Ihr Projekt braucht. Termin anfragen →

Digitale Bereitstellung und Cybersecurity im Projekt umsetzen

Wir prüfen, ob Ihre Bereitstellung die MVO-Bedingungen erfüllt, und ziehen Cybersecurity als Schutzziel in die Risikobeurteilung ein, statt sie als IT-Thema danebenzustellen.

MVO-Lückenanalyse anfragen Zur CE-Koordination

Antwort in der Regel innerhalb eines Werktags. Unverbindlich.