Cybersicherheit in der Maschinenverordnung

Ab dem 20. Januar 2027 unterliegt eine vernetzte Maschine der Maschinenverordnung. Ist sie zugleich ein Produkt mit digitalen Elementen, gilt die Cyberresilienz-Verordnung zusätzlich. Die eine ersetzt die andere nicht.

Hersteller von Produkten, die in den Anwendungsbereich der Verordnung (EU) 2023/1230 fallen und zugleich Produkte mit digitalen Elementen sind, müssen sowohl die grundlegenden Cybersicherheitsanforderungen dieser Verordnung als auch die Sicherheits- und Gesundheitsschutzanforderungen der Verordnung (EU) 2023/1230 erfüllen.

Erwägungsgrund 53 der Verordnung (EU) 2024/2847

Die zwei Berührungspunkte

Anforderung	Inhalt	Grundlage
Schutz gegen Korrumpierung	Der Anschluss einer anderen Einrichtung an die Maschine — direkt oder über Fernzugriff — darf nicht zu einer gefährlichen Situation führen	Anhang III Nr. 1.1.9
Sicherheit und Zuverlässigkeit von Steuerungen	Steuerungen müssen beabsichtigten und unbeabsichtigten Fremdeinflüssen standhalten, einschließlich vernünftigerweise vorhersehbarer böswilliger Versuche Dritter. Hinzu kommt ein Rückverfolgungsprotokoll: Eingriffsdaten und Versionen der Sicherheitssoftware, die nach dem Inverkehrbringen hochgeladen wurden, fünf Jahre auf begründetes Verlangen zugänglich	Anhang III Nr. 1.2.1

Die Vermutungsregel

Maschinen, die im Rahmen eines nach Verordnung (EU) 2019/881 angenommenen Systems für die Cybersicherheitszertifizierung zertifiziert wurden oder für die eine Konformitätserklärung ausgestellt wurde, gelten als konform mit genau diesen beiden Anforderungen — soweit sie vom Zertifikat oder von Teilen davon abgedeckt sind.

Art. 20 Abs. 9

Aber: die Synergie muss nachgewiesen werden

Erwägungsgrund 53 führt weiter aus, dass die Erfüllung der CRA-Anforderungen die Erfüllung der Maschinen-Anforderungen zu 1.1.9 und 1.2.1 erleichtern kann. Und dann folgt der Satz, der die Arbeit erzeugt:

Solche Synergien müssen vom Hersteller nachgewiesen werden — etwa durch die Anwendung harmonisierter Normen oder anderer technischer Spezifikationen im Anschluss an eine Risikobewertung, die diese Cybersicherheitsrisiken abdeckt. Der Hersteller hat außerdem die anwendbaren Konformitätsbewertungsverfahren beider Verordnungen zu befolgen.

Erwägungsgrund 53 der Verordnung (EU) 2024/2847

Die Ersparnis ist also real, aber nicht automatisch. Sie entsteht erst mit einem Dokument, das jede CRA-Anforderung der entsprechenden Anforderung des Anhangs III zuordnet und die Abdeckung zeigt. Wer zwei getrennte Akten führt, kann die Synergie schon aus Aufbaugründen nicht nachweisen.

Was daraus für die Akte folgt

Ein Produkt, viele Anforderungszeilen — jede mit ihrer Verordnung, ihrem Artikel und ihrem Nachweis. Nicht zwei Akten nebeneinander.

Jede Zeile braucht drei Zustände, nicht zwei: erfüllt, nicht anwendbar mit Begründung, oder anderweitig gemindert. Denn nach Art. 13 Abs. 4 CRA ist eine klare Begründung in der technischen Dokumentation erforderlich, wenn eine Anforderung nicht anwendbar ist.

Die Kommission soll Leitlinien für Hersteller veröffentlichen, die beiden Verordnungen unterliegen. Bis dahin trägt der Nachweis der Hersteller.

Und die KI-Verordnung?

Ein Produkt mit digitalen Elementen, das als Hochrisiko-KI-System nach Art. 6 der Verordnung (EU) 2024/1689 gilt, wird bei Erfüllung der CRA-Anforderungen als konform mit den Cybersicherheitsanforderungen des Art. 15 KI-Verordnung angesehen — soweit dies in der EU-Konformitätserklärung nachgewiesen ist. Das trifft auf Maschinen zu, die selbstentwickelnde Systeme mit Sicherheitsfunktionen enthalten; die stehen in Anhang I Teil A der Maschinenverordnung und verlangen dort eine notifizierte Stelle.

Art. 12Anhang I Teil A Nr. 5, 6