Cybersicherheit von Maschinen: MVO, Funkanlagenrichtlinie und CRA im Zusammenspiel

Stand: 17. September 2026Fundstellen gegen die Amtsblatt-Texte geprüft

Eine Maschine mit Fernwartung, Funk-Bediengerät und Cloud-Anbindung muss bis Ende 2027 bis zu drei verschiedenen Cyber-Regimen genügen, je nachdem, wann sie in Verkehr gebracht wird. Jedes fragt etwas anderes: ob Menschen zu Schaden kommen können, ob Netz und Daten geschützt sind und ob das Produkt über seine Nutzungsdauer widerstandsfähig bleibt. Dieser Ratgeber ordnet die Anforderungen, zeigt den Zeitstrahl und erklärt, warum die Cyber-Risikobewertung eine eigene Methode neben der EN ISO 12100 braucht.

Drei Rechtsakte, drei Schutzziele

Thema	Maschinenverordnung	Funkanlagenrichtlinie	Cyberresilienz-Verordnung
Schutzziel	Sicherheit und Gesundheit von Personen: Korrumpierung und böswillige Eingriffe dürfen nicht zu Gefährdungssituationen führen (Anhang III Nr. 1.1.9 und 1.2.1).	Schutz des Netzes (lit. d), personenbezogener Daten und der Privatsphäre (lit. e) und Schutz vor Betrug (lit. f) nach Art. 3 Abs. 3 der Richtlinie 2014/53/EU.	Cybersicherheit des Produkts über den ganzen Lebenszyklus: Eigenschaften nach Anhang I Teil I, Schwachstellenbehandlung nach Teil II, Meldepflichten nach Art. 14.
Betroffen	Maschinen und dazugehörige Produkte.	Funkanlagen; ob eine Maschine mit fest eingebautem Funkmodul insgesamt dazu zählt, ist nicht abschließend geklärt. lit. d bei Funkanlagen, die über das Internet kommunizieren können.	Produkte mit digitalen Elementen mit Datenverbindung zu einem Gerät oder Netz.
Gilt	ab 20.01.2027	für das Inverkehrbringen vom 01.08.2025 bis 10.12.2027	Art. 14 seit 11.09.2026, alle übrigen Pflichten ab 11.12.2027
Methode	Risikobeurteilung nach Anhang III, in der Praxis nach EN ISO 12100: Bedrohungen als Gefährdungen mit Schwere und Wahrscheinlichkeit.	Mechanismen der EN 18031-1, -2 oder -3:2024: Anwendbarkeit und Angemessenheit je Mechanismus mit dokumentierter Begründung.	Bewertung der Cybersicherheitsrisiken nach Art. 13 Abs. 2 bis 4 mit einer Aussage zu jeder Anforderung aus Anhang I Teil I Nr. 2.
Vermutungswirkung	Noch keine harmonisierte Norm unter der MVO im Amtsblatt (Stand der Quellen: 11.09.2026). Vermutung über harmonisierte Normen mit Fundstelle (Art. 20 Abs. 1) und gemeinsame Spezifikationen der Kommission (Art. 20 Abs. 6), für Nr. 1.1.9 und 1.2.1 zusätzlich über ein Schema nach VO (EU) 2019/881 mit Fundstelle im Amtsblatt (Art. 20 Abs. 9).	EN 18031 mit Fundstelle, aber nur ohne die ausgeschlossenen Optionen des Durchführungsbeschlusses (EU) 2025/138.	Noch keine harmonisierte Norm im Amtsblatt (Stand der Quellen: 11.09.2026).

Zeitstrahl für eine Maschine mit Funkmodul

Welche Anforderungen an Konstruktion und Nachweis gelten, entscheidet das Datum, an dem die Maschine in Verkehr gebracht wird:

Inverkehrbringen	Maschinenrecht	Funk-Cybersicherheitfür die Funkanlage; ob die Maschine insgesamt als Funkanlage gilt, ist nicht abschließend geklärt	Cyberresilienz-Verordnung
bis 31.07.2025	Maschinenrichtlinie 2006/42/EG	Cyber-Anforderungen lit. d, e, f nicht anwendbar	Konstruktionspflichten nicht anwendbar
01.08.2025 bis 19.01.2027	Maschinenrichtlinie 2006/42/EG	lit. d, e, f über die DelVO (EU) 2022/30, soweit deren Kriterien erfüllt sind	Konstruktionspflichten nicht anwendbar
20.01.2027 bis 10.12.2027	Maschinenverordnung (EU) 2023/1230 mit Anhang III Nr. 1.1.9 und 1.2.1	lit. d, e, f weiter über die DelVO (EU) 2022/30	Konstruktionspflichten nicht anwendbar
ab 11.12.2027	Maschinenverordnung (EU) 2023/1230	DelVO (EU) 2022/30 aufgehoben, lit. d, e, f gelten für neu in Verkehr gebrachte Funkanlagen nicht mehr	vollständig anwendbar: Anhang I, Art. 13, Konformitätsbewertung nach Art. 32

Unabhängig vom Datum: Seit dem 11.09.2026 gelten die Meldepflichten nach Art. 14 CRA für alle Produkte mit digitalen Elementen, auch für Maschinen, die lange vorher ausgeliefert wurden (Art. 69 Abs. 3 CRA). Details im Ratgeber Cyber Resilience Act für Maschinen.

Branchenverbände fordern seit Januar 2026, Nr. 1.1.9 und Nr. 1.2.1 lit. f der Maschinenverordnung zeitlich an den CRA anzugleichen, also auf den 11.12.2027 zu verschieben. Ein Rechtsakt dazu ist mit Stand 15. September 2026 nicht bekannt; planen Sie mit dem 20.01.2027.

Maschinenverordnung: Schutz gegen Korrumpierung (Anhang III Nr. 1.1.9 und 1.2.1)

Nr. 1.1.9 ist neu im Maschinenrecht und verlangt sinngemäß fünf Dinge: Der Anschluss eines anderen Geräts und ein Fernzugriff dürfen nicht zu einer gefährlichen Situation führen. Hardware, die für den Zugriff auf sicherheitsrelevante Software wichtig ist, ist gegen unbeabsichtigte und vorsätzliche Korrumpierung zu schützen, und die Maschine muss Beweise für Eingriffe darin sammeln. Sicherheitsrelevante Software und Daten sind zu benennen und zu schützen. Die installierte sicherheitsrelevante Software muss an der Maschine jederzeit erkennbar sein. Und die Maschine muss Nachweise für rechtmäßige und unrechtmäßige Eingriffe in Software und Konfiguration sammeln.

Nr. 1.2.1 ergänzt für Steuerungen, dass sie, wenn den Umständen und Risiken angemessen, unter anderem vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter, die zu einer Gefährdungssituation führen, standhalten müssen (lit. a), dass die Grenzen der Sicherheitsfunktionen aus der Risikobeurteilung kommen und gefährliche Änderungen von Einstellungen ausgeschlossen sind (lit. d) und dass das Rückverfolgungsprotokoll zu Eingriffen und hochgeladenen Versionen der Sicherheitssoftware bis zu fünf Jahre nach dem Hochladen für Behörden zugänglich bleibt (lit. f).

Das Schutzziel bleibt die Sicherheit von Personen. Deshalb gehören diese Anforderungen in die Risikobeurteilung: Bedrohungen wie ein manipulierter Sicherheitsparameter oder ein unerwarteter Fernstart werden als Gefährdungen mit Schwere und Wahrscheinlichkeit bewertet und mit Maßnahmen in der gewohnten Rangfolge gemindert. Die Norm dazu, prEN 50742, liegt nur als Entwurf vor (Stand der Fachberichte vom 31.07. und 25.08.2026) und beschreibt zwei Wege: Weg A mit eigenen Anforderungen der Norm an Prozesse und Produkt auf Basis einer herstellerspezifischen Bedrohungsanalyse nach EN ISO 12100 und Weg B über die Normenreihe IEC 62443. Eine Vermutungswirkung nach Art. 20 Abs. 1 MVO entsteht erst mit einer Fundstelle im Amtsblatt; gemeinsame Spezifikationen der Kommission würden sie nach Art. 20 Abs. 6 MVO ebenfalls begründen. Daneben sieht Art. 20 Abs. 9 MVO sie für Nr. 1.1.9 und 1.2.1 bei einer Zertifizierung oder Konformitätserklärung nach einem Schema des Rechtsakts zur Cybersicherheit (EU) 2019/881 mit Fundstelle im Amtsblatt vor.

Funkanlagenrichtlinie: EN 18031 bis zum 10. Dezember 2027

Wann die Maschine zur Funkanlage wird

Ob eine Maschine mit fest eingebautem Funkmodul insgesamt als Funkanlage gilt, ist nicht abschließend geklärt. Der ergänzende Leitfaden der Kommission von 2018 sieht ein nicht funkfähiges elektrisches Produkt mit fest eingebauter und dauerhaft befestigter Funkanlage als ein Produkt unter der Funkanlagenrichtlinie; die Verbände FEM und CAPIEL legen die Richtlinie in ihren Leitfäden für die Produkte ihrer Branchen ebenso aus. Der Leitfaden zur Maschinenrichtlinie formuliert enger. Ein steckbares oder leicht entnehmbares Modul bleibt nach dieser Lesart ein eigenes Produkt. Nach Auffassung der Verbände baut der Maschinenhersteller auf den Nachweisen des Modulherstellers auf, bewertet aber die Kombination. Gilt die Maschine als Funkanlage, sollten nach Erwägungsgrund 8 der Delegierten Verordnung (EU) 2022/30 alle Aspekte und Teile der Anlage die Anforderungen erfüllen, nicht nur die Funkfunktion.

Welche Buchstaben gelten

lit. d, Schutz des Netzes: für alle Funkanlagen, die selbst über das Internet kommunizieren können, direkt oder über andere Geräte (Art. 1 Abs. 1 DelVO 2022/30). Bei Maschinen mit Fernwartung über Mobilfunk oder WLAN der Regelfall.
lit. e, Schutz personenbezogener Daten: unter anderem für internetfähige Funkanlagen, die personenbezogene Daten, Verkehrs- oder Standortdaten verarbeiten können (Art. 1 Abs. 2), etwa Bedienerkennungen oder Standortdaten mobiler Maschinen.
lit. f, Schutz vor Betrug: für internetfähige Funkanlagen, mit denen Geld, monetäre Werte oder virtuelle Währungen übertragen werden können (Art. 1 Abs. 3); an Maschinen selten.

EN 18031 und ihre Einschränkungen

Die Normen EN 18031-1, -2 und -3:2024 sind mit dem Durchführungsbeschluss (EU) 2025/138 vom 28.01.2025 im Amtsblatt zitiert, allerdings mit Einschränkungen. Die Abschnitte „rationale“ und „guidance“ begründen keine Vermutung. Darf der Nutzer nach Nr. 6.2.5.1 und 6.2.5.2 auf ein Passwort verzichten, entfällt die Vermutung in allen drei Teilen. In Teil 2 entfällt sie bei bestimmten Kinder- und Spielzeugkategorien, wenn die Zugangssteuerung durch Eltern nicht über die dafür vorgesehenen Nummern gewährleistet ist, und in Teil 3 begründen die Beurteilungskriterien der Nr. 6.3.2.4 zu sicheren Updates keine Vermutung.

Folge für das Verfahren: Ohne Vermutungswirkung steht für die Cyber-Anforderungen nach Art. 17 Abs. 4 der Richtlinie 2014/53/EU nur noch die EU-Baumusterprüfung (Anhang III) oder die umfassende Qualitätssicherung (Anhang IV) offen, beide mit einer notifizierten Stelle. Das gilt für die Einschränkungen zu Passwort, Eltern-Zugangssteuerung und Nr. 6.3.2.4; die Einschränkung zu „rationale“ und „guidance“ allein macht keine Stelle nötig. Nach dem Leitfaden der Kommission zu EN 18031 ist bei Teil 3 mit Nr. 6.3.2.4 immer eine Drittprüfung nötig. Für Sicherheit und EMV (Art. 3 Abs. 1) bleibt die interne Fertigungskontrolle unabhängig davon möglich.

Die Normen arbeiten mit Mechanismen. Für jede Schnittstelle und jedes schützenswerte Asset wird entschieden, ob ein Mechanismus anwendbar ist und ob die Umsetzung angemessen ist, jeweils mit dokumentierter Begründung:

ACMZugangssteuerung zu schützenswerten Assets
AUMAuthentifizierung, darunter Regeln für Passwörter und Schutz gegen Durchprobieren
SUMsichere Aktualisierung
SSMsichere Speicherung
SCMsichere Kommunikation
RLMResilienz gegen Überlastung (nur Teil 1)
NMM, TCMNetzüberwachung und Verkehrssteuerung (nur Netzausrüstung, Teil 1)
LGMProtokollierung (Teile 2 und 3)
DLM, UNMLöschen von Daten und Benachrichtigung der Nutzer (Teil 2)
CCK, CRYSchlüssel und Kryptografie nach dem Stand der Technik
GECallgemeine Gerätefähigkeiten, etwa keine bekannten ausnutzbaren Schwachstellen und keine unnötigen Schnittstellen

Kürzel nach EN 18031, Beschreibungen in eigenen Worten. Für Maschinen wichtig: Die Norm kennt eine Ausnahme von der Updatefähigkeit, wenn die funktionale Sicherheit sie nicht zulässt, und Ausnahmen für zugangsbeschränkte Einsatzumgebungen, die aber zu begründen sind. Funk reicht oft über die Hallenwand hinaus.

Das Ablaufdatum

Die Delegierte Verordnung (EU) 2026/339 vom 16.02.2026 hebt die Delegierte Verordnung (EU) 2022/30 mit Wirkung vom 11.12.2027 auf. Die Begründung steht in den Erwägungsgründen 3 und 4: Die Anforderungen des CRA umfassen alle Elemente der Buchstaben d, e und f, und Funkanlagen sollen nicht gleichzeitig beiden Regelwerken unterliegen. Für Funkanlagen, die vom 01.08.2025 bis 10.12.2027 in Verkehr gebracht werden, bleibt die Marktüberwachung nach den bisherigen Anforderungen möglich (Erwägungsgrund 5). Die Unterlagen nach EN 18031 bleiben für diese Einheiten also maßgeblich. Eine Fundstelle unter dem CRA hat EN 18031 nicht (Stand der Quellen: 11.09.2026), sie ist aber eine gute Vorarbeit: Nach Erwägungsgrund 30 CRA sollten die Normungsarbeiten im Rahmen des Durchführungsbeschlusses C(2022) 5637 bei der Ausarbeitung harmonisierter Normen zum CRA berücksichtigt werden.

Cyberresilienz-Verordnung: das Produkt über seine Nutzungsdauer

Der CRA gilt für die Maschine als Produkt mit digitalen Elementen, sobald sie eine Datenverbindung zu einem Gerät oder Netz hat. Im Mittelpunkt steht die Cybersicherheit des Produkts selbst, wobei die Folgen von Sicherheitsvorfällen auch für Gesundheit und Sicherheit der Nutzer gering zu halten sind (Art. 13 Abs. 2): sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, Integrität und Vertraulichkeit von Daten, kleine Angriffsfläche, Sicherheitsaktualisierungen über einen festgelegten Unterstützungszeitraum, Software-Stückliste und Schwachstellenbehandlung. Die Meldepflichten gelten schon heute, die übrigen Pflichten ab dem 11.12.2027. Anwendungsbereich, Einstufung, Verfahren und Meldewege erklärt der Ratgeber Cyber Resilience Act für Maschinen.

Warum die Cyber-Risikobewertung eine eigene Methode neben der EN ISO 12100 braucht

Die Risikobeurteilung nach EN ISO 12100 fragt nach Gefährdungen, also nach potenziellen Quellen von Verletzungen oder Gesundheitsschäden, und bewertet das Risiko als Kombination aus Schwere und Wahrscheinlichkeit eines solchen Schadens (Anhang III Teil A MVO). Ein Cybersicherheitsrisiko ist nach Art. 3 Nr. 37 CRA etwas anderes: das Potenzial für Verluste oder Störungen durch einen Sicherheitsvorfall, bemessen nach Ausmaß und Wahrscheinlichkeit. Der CRA berücksichtigt zwar auch Folgen für Gesundheit und Sicherheit der Nutzer (Art. 13 Abs. 2), setzt aber beim Sicherheitsvorfall an. Abfließende Rezepturdaten, ein lahmgelegtes Werknetz oder eine manipulierte Stückzahl verletzen niemanden und tauchen in einer Sicherheits-Risikobeurteilung deshalb gar nicht auf.

Auch die geforderte Form unterscheidet sich. Der CRA verlangt eine Aussage zu jeder Anforderung aus Anhang I Teil I Nr. 2, ob und wie sie anwendbar ist und wie sie umgesetzt wird, mit klarer Begründung bei Nichtanwendbarkeit (Art. 13 Abs. 3 und 4). EN 18031 verlangt eine Entscheidung je Mechanismus. Und die ausdrückliche Möglichkeit, die CRA-Bewertung in die Risikobewertung eines anderen Rechtsakts einzubetten, sieht Art. 13 Abs. 4 CRA in der Fassung der Verordnung (EU) 2025/327 nur für Hochrisiko-KI-Systeme und Systeme für elektronische Gesundheitsakten vor. Das passt zum allgemeinen Grundsatz des europäischen Produktrechts, dass die geforderte Risikoanalyse sich an den Schutzzielen des jeweiligen Rechtsakts ausrichtet.

Nach der Leitlinie der Kommission zum CRA sind interne Risikotoleranz und Kosten kein Maßstab, Risiken dürfen nicht auf die Nutzer verlagert werden, und eine Beschränkung auf vertrauenswürdige Einsatzumgebungen ist zulässig (Inhalt am 27.07.2026 gebilligt, formelle Annahme mit Stand 15. September 2026 nicht auffindbar).

Beispiel: ein Fernwartungszugang über einen Mobilfunk-Router

Rechtsakt	Leitfrage	Ergebnis
Maschinenverordnung, Anhang III Nr. 1.1.9 und 1.2.1	Kann über den Fernzugang eine Gefährdungssituation entstehen, etwa ein Anlauf während der Wartung oder ein geänderter Sicherheitsparameter?	Gefährdung in der Risikobeurteilung mit Risikozahl; Maßnahmen in drei Stufen, z. B. Fernzugriff nur nach Freigabe vor Ort, Sicherheitsparameter nicht fernveränderbar, Nachweis von Eingriffen.
Funkanlagenrichtlinie, DelVO (EU) 2022/30 lit. d	Ist der Router eine internetfähige Funkanlage, und schützt die Kombination das Netz?	EN 18031-1: Authentifizierung ohne Option „kein Passwort“, sichere Kommunikation, sichere Aktualisierung, keine unnötigen Dienste; jeweils mit Begründung.
Cyberresilienz-Verordnung	Ist das Produkt über seine Nutzungsdauer gegen Angriffe resilient und wird es gepflegt?	Aussage zu Anhang I Teil I Nr. 2, etwa lit. d (unbefugter Zugriff) und lit. j (Angriffsfläche); Unterstützungszeitraum auch für die Router-Firmware, SBOM, Schwachstellenbehandlung, Meldeprozess.

Dieselbe Schnittstelle erscheint also in drei Bewertungen mit drei Leitfragen. Das ist kein Doppelaufwand, wenn alle drei auf einem gemeinsamen Inventar aufbauen.

Der Startpunkt: ein Schnittstellen- und Asset-Inventar

Alle drei Rechtsakte setzen voraus, dass der Hersteller weiß, worüber seine Maschine angreifbar ist und was geschützt werden muss. Nr. 1.1.9 Unterabsatz 3 MVO verlangt ausdrücklich, sicherheitsrelevante Software und Daten zu benennen; EN 18031 unterscheidet Sicherheits-, Netz-, Privatsphäre- und Finanz-Assets; und Anhang VII Nr. 2 lit. a CRA nennt für die technische Dokumentation gegebenenfalls Zeichnungen, Schemata oder eine Beschreibung der Systemarchitektur.

Je Schnittstelle

Art: Ethernet, Feldbus, USB, WLAN, Bluetooth, Mobilfunk, Bediengerät, Servicezugang, Cloud
Protokoll und Anbindung: lokal, Werknetz oder Internet
Authentifizierung und Rechte
Weg für Aktualisierungen
Erreichbarkeit, bei Funk auch außerhalb der Halle

Je Asset

Sicherheitsfunktionen, Sicherheitsparameter und Sicherheitssoftware
Programme, Rezepte und Konfigurationen
Zugangsdaten und kryptografische Schlüssel
personenbezogene Daten, etwa Bedienerkennungen oder Standortdaten
Folge bei Manipulation, Offenlegung und Ausfall

Zugekaufte Steuerungen, Bediengeräte und Router gehören mit ihren Sicherheitsinformationen und Unterstützungszeiträumen ins Inventar. Sind solche Komponenten für den Einbau in andere Produkte bestimmt und ab dem 11.12.2027 in Verkehr gebracht, müssen ihre Hersteller Integratoren nach Anhang II Nr. 8 lit. f CRA erklären, wie diese die Anforderungen erfüllen können.

Fahrplan für Maschinenhersteller

Inventar anlegen: Schnittstellen, Assets und zugekaufte Komponenten je Baureihe erfassen.

Rechtslage je Baureihe klären: Datum des Inverkehrbringens festhalten; daraus folgen Funk-Cybersicherheit, Maschinenverordnung und CRA-Pflichten.

Meldeprozess nach Art. 14 CRA einrichten: Gilt seit dem 11.09.2026 auch für ausgelieferte Maschinen: Zuständigkeit, Kontaktadresse, Länderliste, Zugang zur Meldeplattform.

Korrumpierung in die Risikobeurteilung aufnehmen: Bedrohungen, die zu Gefährdungssituationen führen können, mit Risikozahl und Maßnahmen, rechtzeitig vor dem 20.01.2027.

Funk-Cybersicherheit nachweisen: Anwendbare Teile der EN 18031 bestimmen, Mechanismen begründen und die ausgeschlossenen Optionen meiden, sonst mit notifizierter Stelle planen.

CRA-Unterlagen bis zum 11.12.2027 aufbauen: Risikobewertung mit Anforderungsmatrix, Unterstützungszeitraum, SBOM, Offenlegungsstrategie und Nutzerinformationen nach Anhang II.

Eine Erklärung ausstellen: Eine einzige EU-Konformitätserklärung mit allen anwendbaren Rechtsakten und ihren Fundstellen im Amtsblatt.

So deckt CE-Copilot das ab

In CE-Copilot sind die drei Stränge getrennte Bewertungen im selben Projekt. Sie greifen auf ein gemeinsames Schnittstellen- und Asset-Inventar zu: Die CRA-Projektseite arbeitet vollständig damit, die Korrumpierungsanalyse übernimmt erfasste Schnittstellen als Vorbelegung, und das Funk-Modul ordnet die erfassten Assets den Mechanismen der EN 18031 zu.

Schutz gegen Korrumpierung (ab Starter): Bedrohungsanalyse zu Nr. 1.1.9 und 1.2.1 angelehnt an Weg A des Entwurfs prEN 50742 (herstellerspezifische Bedrohungsanalyse nach EN ISO 12100): Bedrohungsszenarien als Gefährdungen mit Risikozahl und Maßnahmen in drei Stufen, die zugehörigen Anforderungen der IEC 62443-3-3 als Referenz und eine Anforderungs-Checkliste in den Prüfprotokollen (ab Professional).
Funkanlagen (ab Starter): Checkliste der EN-18031-Mechanismen je anwendbarem Teil, die Einschränkungen des Durchführungsbeschlusses (EU) 2025/138 mit ihrer Folge für das Verfahren und die zeitliche Geltung nach dem Datum des Inverkehrbringens.
Cyberresilienz-Verordnung: Einstufung und Pflichtenstand im Risikobeurteilungs-Editor (ab Starter), die Projektseite Cybersicherheit mit Risikobewertung, Anforderungsmatrix, Schwachstellenbehandlung und Meldeprozess sowie CRA-Bericht (ab Professional).
Saubere Trennung in den Dokumenten: In PDF und Word der Risikobeurteilung stehen Funk- und CRA-Bewertung als eigene, getrennt betitelte Abschnitte neben den Gefährdungen nach EN ISO 12100. Die Korrumpierungsszenarien bleiben bewusst Gefährdungen der Risikobeurteilung, weil Nr. 1.1.9 zur Maschinenverordnung gehört. Mit CRA-Daten führt das Gesamtdossier ein eigenes Kapitel Cybersicherheit.

Ein Beispiel zeigt das Musterdossier mit dem Kapitel Cybersicherheit. Zu den Tarifen geht es über die Preisseite; die Module in der Risikobeurteilung können Sie 14 Tage kostenlos testen. Bewertung, technische Umsetzung und Freigabe bleiben beim Hersteller.

FAQ

Häufige Fragen zur Cybersicherheit von Maschinen

Welche Rechtsakte regeln die Cybersicherheit von Maschinen?

Drei, mit unterschiedlichen Schutzzielen und Fristen. Die Maschinenverordnung (EU) 2023/1230 verlangt ab dem 20.01.2027 Schutz gegen Korrumpierung (Anhang III Nr. 1.1.9) und Steuerungen, die, soweit den Umständen und Risiken angemessen, vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter, die zu einer Gefährdungssituation führen, standhalten (Nr. 1.2.1); dabei geht es um die Sicherheit von Personen. Die Funkanlagenrichtlinie 2014/53/EU verlangt über die Delegierte Verordnung (EU) 2022/30 für Funkanlagen, die vom 01.08.2025 bis 10.12.2027 in Verkehr gebracht werden und die Kriterien ihres Art. 1 erfüllen, etwa die Kommunikation über das Internet, Schutz des Netzes, personenbezogener Daten und vor Betrug. Die Cyberresilienz-Verordnung (EU) 2024/2847 gilt für Produkte mit digitalen Elementen: Meldepflichten seit dem 11.09.2026, alle übrigen Pflichten ab dem 11.12.2027.

Wird meine Maschine durch ein eingebautes WLAN- oder Mobilfunkmodul zur Funkanlage?

Das ist nicht abschließend geklärt. Die Kommission beschreibt in ihrem ergänzenden Leitfaden zu Niederspannungs-, EMV- und Funkanlagenrichtlinie von 2018 ein nicht funkfähiges elektrisches Produkt mit fest eingebauter und dauerhaft befestigter Funkanlage als ein Produkt unter der Funkanlagenrichtlinie. Die Branchenverbände FEM und CAPIEL legen die Funkanlagenrichtlinie in ihren Leitfäden für die Produkte ihrer Branchen ebenso aus. Der Leitfaden zur Maschinenrichtlinie formuliert enger und nennt nur die Anforderungen an die Nutzung des Funkspektrums. Ein steckbares oder leicht entnehmbares Modul bleibt nach dieser Lesart ein eigenes Produkt. Wer die weite Lesart zugrunde legt, bewertet die Kombination aus Maschine und Funkmodul.

Reicht ein CE-gekennzeichnetes Funkmodul vom Zulieferer aus?

Nicht allein. Nach Auffassung der Verbände FEM und CAPIEL muss die Konformitätsbewertung des Modulherstellers nicht wiederholt werden; der Hersteller der Maschine prüft und dokumentiert aber, dass die Einbauvorgaben eingehalten sind und der Einbau die Konformität nicht beeinträchtigt. Gilt die Maschine als Funkanlage, sollten nach Erwägungsgrund 8 der Delegierten Verordnung (EU) 2022/30 alle Aspekte und Teile der Anlage die Anforderungen erfüllen, nicht nur die Funkfunktion; ein Webserver oder Fernzugang der Maschinensteuerung kann dann Teil der Bewertung werden. Nach dem Blue Guide garantiert die CE-Kennzeichnung von Bauteilen nicht automatisch die Konformität des Endprodukts.

Was passiert mit EN 18031 ab dem 11. Dezember 2027?

Die Delegierte Verordnung (EU) 2022/30 wird mit Wirkung vom 11.12.2027 durch die Delegierte Verordnung (EU) 2026/339 aufgehoben. Für Funkanlagen, die ab diesem Tag in Verkehr gebracht werden, gelten die Cyber-Anforderungen der Funkanlagenrichtlinie nicht mehr; an ihre Stelle tritt die Cyberresilienz-Verordnung. Für Geräte, die vom 01.08.2025 bis 10.12.2027 in Verkehr gebracht wurden, bleibt die Marktüberwachung nach den bisherigen Anforderungen möglich (Erwägungsgrund 5 der DelVO 2026/339); die Unterlagen nach EN 18031 sind also aufzubewahren. Eine Fundstelle unter dem CRA hat EN 18031 nicht (Stand der Quellen: 11.09.2026). Sie kann aber als Vorarbeit dienen: Nach Erwägungsgrund 30 CRA umfassen die Cybersicherheitsanforderungen des CRA alle Elemente der Anforderungen nach Art. 3 Abs. 3 lit. d, e und f der Funkanlagenrichtlinie, und die Normungsarbeiten im Rahmen des Durchführungsbeschlusses C(2022) 5637 sollten bei der Ausarbeitung harmonisierter Normen zum CRA berücksichtigt werden.

Erfüllt eine Maschine, die dem CRA entspricht, automatisch Nr. 1.1.9 der Maschinenverordnung?

Nein. Nach Erwägungsgrund 53 des CRA kann die Erfüllung der CRA-Anforderungen die Erfüllung von Nr. 1.1.9 und 1.2.1 erleichtern; die Synergie muss der Hersteller aber nachweisen, und er sollte beide Konformitätsbewertungsverfahren befolgen. Eine Vermutungswirkung begründet die CRA-Konformität allein nicht. Die Maschinenverordnung vermutet Konformität bei harmonisierten Normen mit Fundstelle im Amtsblatt (Art. 20 Abs. 1), bei gemeinsamen Spezifikationen der Kommission (Art. 20 Abs. 6) und für diese beiden Anforderungen zusätzlich bei einer Zertifizierung oder Konformitätserklärung nach einem Schema des Rechtsakts zur Cybersicherheit (EU) 2019/881 mit Fundstelle im Amtsblatt (Art. 20 Abs. 9 MVO).

Gibt es eine harmonisierte Norm für den Schutz gegen Korrumpierung?

Noch nicht (Stand der Quellen: 11.09.2026). Die prEN 50742 zum Schutz gegen Korrumpierung ist im Entwurf; nach einem Fachbericht vom 25.08.2026 ist die finale Abstimmung für September 2026 vorgesehen, die Veröffentlichung könnte im November 2026 folgen. Ohne Fundstelle im Amtsblatt unter der Maschinenverordnung gibt es keine Vermutungswirkung. Bis dahin bleibt die Bedrohungsanalyse in der Risikobeurteilung, fachlich gestützt auf den Normentwurf und die Normenreihe IEC 62443.

Warum reicht die Risikobeurteilung nach EN ISO 12100 nicht für die Cybersicherheit?

Weil sie ein anderes Schutzziel hat. Die Maschinenverordnung versteht unter einer Gefährdung eine potenzielle Quelle von Verletzungen oder Gesundheitsschäden. Ein Cybersicherheitsrisiko ist nach Art. 3 Nr. 37 CRA dagegen das Potenzial für Verluste oder Störungen durch einen Sicherheitsvorfall, etwa abfließende Daten oder ein Netzausfall ohne jede Verletzung. Der CRA verlangt außerdem eine Aussage zu jeder Anforderung aus Anhang I Teil I Nr. 2, und EN 18031 eine Entscheidung je Mechanismus. Bedrohungen, die zu Gefährdungssituationen führen können, gehören weiter in die Risikobeurteilung nach EN ISO 12100; die übrigen Bewertungen stehen daneben.

Darf ein Nutzer die Maschine ohne Passwort betreiben?

Fällt die Maschine oder ihr Funkmodul als Funkanlage unter die Delegierte Verordnung (EU) 2022/30 und wird sie vom 01.08.2025 bis 10.12.2027 in Verkehr gebracht, ist das riskant: Lässt der Hersteller nach EN 18031 Nr. 6.2.5.1 und 6.2.5.2 zu, dass der Nutzer kein Passwort festlegt oder verwendet, begründet die Norm nach dem Durchführungsbeschluss (EU) 2025/138 keine Vermutungswirkung. Dann bleibt für die betroffene Cyber-Anforderung nach Art. 17 Abs. 4 der Richtlinie 2014/53/EU nur die EU-Baumusterprüfung oder die umfassende Qualitätssicherung mit einer notifizierten Stelle. Für Maschinen, die ab dem 11.12.2027 in Verkehr gebracht werden, verlangt die Cyberresilienz-Verordnung auf Grundlage der Risikobewertung, soweit zutreffend, eine sichere Standardkonfiguration und Schutz vor unbefugtem Zugriff (Anhang I Teil I Nr. 2 lit. b und d CRA).

Quellen

Verordnung (EU) 2023/1230 über Maschinen (Maschinenverordnung): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023R1230
Richtlinie 2014/53/EU über Funkanlagen: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32014L0053
Delegierte Verordnung (EU) 2022/30 zu Art. 3 Abs. 3 lit. d, e, f der Funkanlagenrichtlinie: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R0030
Durchführungsbeschluss (EU) 2025/138 (EN 18031-1, -2, -3:2024 mit Einschränkungen): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32025D0138
Delegierte Verordnung (EU) 2026/339 zur Aufhebung der Delegierten Verordnung (EU) 2022/30: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32026R0339
Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
Europäische Kommission: Leitlinie zur Durchführung des CRA, C(2026) 5252 vom 27.07.2026 (Inhalt gebilligt): https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
Europäische Kommission, GD GROW: Guidance on the application of the harmonised standards series EN 18031:2024 (undatiert): https://circabc.europa.eu/rest/download/70c9aa5b-73a0-4821-8b96-96a7dc46eab1

Fachinformation für Maschinenhersteller, keine Rechtsberatung. Fundstellen und Fristen geprüft gegen die Amtsblatt-Texte mit Stand 15. September 2026. Aus den Normen EN 18031 werden nur Kennungen und eigene Kurzbeschreibungen wiedergegeben.