Cybersecurity in der Maschinenverordnung: MVO und Cyber Resilience Act

Die Maschinenverordnung (EU) 2023/1230 nimmt Cybersecurity in die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen auf. Der Kern ist der Schutz sicherheitsrelevanter Steuerungen gegen Korrumpierung. Anders als in der alten Maschinenrichtlinie 2006/42/EG wird der bewusste, böswillige Eingriff jetzt ausdrücklich mitgedacht. Für Maschinenhersteller ergeben sich daraus mehrere konkrete Pflichten:

• Schutz gegen unbeabsichtigte und beabsichtigte Korrumpierung: Sicherheitsbezogene Steuerungen müssen so ausgelegt sein, dass weder ein zufälliger Fehler noch ein gezielter Angriff ihre Schutzfunktion aushebeln kann.
• Nachweis der Beherrschung: Der Hersteller muss belegen, dass eine Manipulation oder Störung der Steuerung nicht zu einer gefährlichen Situation führt. Das gehört in die Risikobeurteilung und die technische Dokumentation.
• Protokollierung von Eingriffen: Eingriffe in sicherheitsrelevante Software oder Parameter sollen nachvollziehbar sein, damit unzulässige Änderungen erkannt werden können.
• Sichere Software und Updates: Software und deren Aktualisierungen dürfen die Sicherheit der Maschine nicht beeinträchtigen. Auch nach einem Update muss das ursprüngliche Sicherheitsniveau erhalten bleiben.

Damit wird Cybersecurity Teil der Konformitätsbewertung. Wer die Konformität seiner Maschine erklärt, erklärt zugleich, dass die sicherheitsrelevante Steuerung ausreichend gegen Korrumpierung geschützt ist. Die Bewertung dieser Aspekte gehört in dieselbe Risikobeurteilung wie mechanische, elektrische oder thermische Gefährdungen.

Für Hersteller von Maschinen mit vernetzter oder softwaregestützter Steuerung ergeben sich aus MVO und CRA zusammengenommen einige Handlungsfelder. Sie decken sich mit gutem Engineering, werden aber nun rechtlich eingefordert:

• Sicherheit von Beginn an: Schutzmaßnahmen gegen Manipulation gehören in die Konstruktion der Steuerung, nicht in eine nachträgliche Ergänzung. Zugriffe werden auf das Nötige beschränkt, Schnittstellen bewusst abgesichert.
• Bedrohungsanalyse: Neben der klassischen Gefährdungsanalyse wird ermittelt, welche Angriffs- und Manipulationsszenarien die sicherheitsrelevante Steuerung treffen können und welche Folgen sie hätten.
• Sichere Updates: Software-Aktualisierungen müssen so gestaltet sein, dass sie das Sicherheitsniveau erhalten und nicht selbst zum Einfallstor werden. Herkunft und Integrität der Updates sollten überprüfbar sein.
• Dokumentation der Sicherheitsmaßnahmen: Die getroffenen Schutzmaßnahmen und ihre Wirkung gehören nachvollziehbar in die technische Dokumentation, damit sie im Rahmen der Konformitätsbewertung belegbar sind.
• Zusammenspiel von Safety und Security: Sicherheitsfunktionen und Schutz vor Manipulation werden gemeinsam betrachtet, weil eine kompromittierte Steuerung eine Sicherheitsfunktion aushebeln kann.

Der praktische Hebel liegt darin, Cybersecurity in die vorhandenen Prozesse der Risikobeurteilung und der technischen Dokumentation zu integrieren, statt eine getrennte Parallelwelt aufzubauen.

Safety meint den Schutz von Menschen und Umwelt vor Gefahren, die von der Maschine ausgehen, etwa vor beweglichen Teilen, Energie oder Fehlfunktionen. Security meint den Schutz der Maschine und ihrer Steuerung vor unbefugten Eingriffen, Manipulation und Angriffen von außen. Klassisch wurden beide Disziplinen getrennt behandelt, mit eigenen Normen und eigenen Fachleuten.

Mit der MVO rücken sie zusammen. Der Grund ist einfach: Eine sicherheitsrelevante Steuerung, die manipuliert werden kann, ist keine sichere Steuerung mehr. Wenn ein Angreifer eine Schutzfunktion abschaltet oder Parameter verändert, entsteht aus einem Security-Problem unmittelbar ein Safety-Problem. Deshalb verlangt die MVO, den Schutz vor Korrumpierung dort zu bewerten, wo die Sicherheit der Maschine bewertet wird: in der Risikobeurteilung.

Praktisch bedeutet das, dass die Bedrohungsanalyse und die klassische Gefährdungsanalyse verzahnt werden. Für jede sicherheitsrelevante Funktion wird nicht nur gefragt, was bei einem zufälligen Fehler passiert, sondern auch, was bei einem gezielten Eingriff geschieht und wie sich beides beherrschen lässt. So entsteht eine gemeinsame Betrachtung von Safety und Security in einem Dokument statt in zwei getrennten Welten.