Maschinenverordnung: Was die Steuerung ab 2027 aufzeichnen und anzeigen muss

Mit der Maschinenverordnung wird Cybersecurity zu einer Anforderung an die Steuerung selbst. In einem Gespräch mit einem Konstrukteur kam diese Woche genau das als erste Frage: Wie tief muss die Protokollierung gehen? Reicht es, festzuhalten, welche Benutzerstufe wann angemeldet war, oder muss jede Programmänderung gegen das archivierte Projekt verglichen werden?

Die kurze Antwort: so tief, wie es die Risikobeurteilung verlangt. Dieser Beitrag trennt, was im Text steht, was wir daraus für eine SPS-Maschine ableiten und was nicht verlangt ist. Wie die Beurteilung selbst aufgebaut wird, steht im Beitrag zur Risikobeurteilung nach CRA und MVO.

Was verlangt Anhang III von der Steuerung?

Zwei Nummern in Anhang III enthalten die Cybersecurity-Anforderungen. Nr. 1.1.9 (Schutz gegen Korrumpierung) und Nr. 1.2.1 (Sicherheit und Zuverlässigkeit von Steuerungen). Nr. 1.1.9 richtet sich an die Maschine bzw. das dazugehörige Produkt, Nr. 1.2.1 ausdrücklich an die Steuerungen. Weil Software, Konfiguration und Schnittstellen dort liegen, landet die Umsetzung in der Praxis bei Steuerung und HMI.

• Schutz gegen Korrumpierung (1.1.9): Die Verbindung eines anderen Geräts, auch über Fernzugriff, darf nicht zu einer gefährlichen Situation führen. Hardware-Bauteile, die Signale oder Daten für den Zugriff auf die sicherheitsrelevante Software übertragen, sind angemessen gegen Korrumpierung zu schützen. Software und Daten, die für die Konformität mit den Sicherheitsanforderungen entscheidend sind, sind als solche zu benennen und angemessen zu schützen.
• Software kenntlich machen (1.1.9): Die Maschine muss die installierte Software, die für den sicheren Betrieb nötig ist, identifizieren und diese Information jederzeit in leicht zugänglicher Form bereitstellen können.
• Eingriffe nachweisen (1.1.9): Die Maschine muss Nachweise über rechtmäßige und unrechtmäßige Eingriffe in diese Software, in deren Änderung und in ihre Konfiguration sammeln, ebenso über Eingriffe in die genannten Hardware-Bauteile.
• Bis zu fünf Jahre nachvollziehbar (1.2.1 Buchst. f): Das Rückverfolgungsprotokoll der Daten zu einem Eingriff und der Versionen von Sicherheitssoftware, die nach dem Inverkehrbringen hochgeladen wurden, muss bis zu fünf Jahre nach dem Hochladen zugänglich sein, ausschließlich zum Nachweis der Konformität auf begründetes Verlangen einer zuständigen nationalen Behörde.

Eine Methode, ein Format oder eine Technik schreibt die Verordnung nicht vor.

Was heißt „Nachweis eines Eingriffs“ an einer SPS-Maschine?

Ab hier beginnt die Auslegung. Wir lesen das für eine typische Maschine mit SPS, HMI und Fernwartungsrouter so, als Einschätzung von Werkspilot und nicht als Rechtsauskunft:

• Anmeldungen am HMI mit Benutzerstufe und Zeitstempel. Das zeigt, wer zu welchem Zeitpunkt Parameter ändern konnte.
• Änderungen an SPS-Programm und Konfiguration erkennen, etwa über eine Prüfsumme des geladenen Programms oder den Vergleich mit dem archivierten Projekt. Gespeichert wird das Ereignis mit altem und neuem Stand, nicht der ganze Code.
• Firmware-Updates von Steuerung, HMI und Sicherheitssteuerung mit Datum und Version. Genau diese Versionen verlangt Nr. 1.2.1 bis zu fünf Jahre lang.
• Physische Eingriffe an Konfigurationsschaltern der Sicherheitstechnik, wo es keine elektronische Aufzeichnung gibt, zum Beispiel über Siegel. Ein gebrochenes Siegel ist ebenfalls ein Nachweis.
• Fernzugriffe über den Wartungszugang. Das Verbindungsprotokoll des Routers gehört dazu, wenn über ihn Software oder Konfiguration geändert werden kann.

Die Kennzeichnung der Software lässt sich meist über eine Infoseite am HMI lösen. Sie sollte die geladenen Stände auslesen und nicht einen Text zeigen, der beim Release festgeschrieben wurde. Sonst stimmt die Anzeige nach dem ersten Firmware-Update nicht mehr.

Wie tief muss die Protokollierung gehen?

So tief, wie Eingriffe zu einer gefährlichen Situation führen können. Nr. 1.2.1 nennt ausdrücklich vernünftigerweise vorhersehbare böswillige Versuche Dritter, die zu einer gefährlichen Situation führen. Ein Parameter, der eine Schutzfunktion abschaltet, braucht einen lückenlosen Nachweis. Eine Rezeptänderung ohne Sicherheitsbezug braucht ihn nicht. Die Grenze zieht die Risikobeurteilung, und sie sollte diese Entscheidung begründen.

Orientierung geben zwei Dokumente, die beide nicht verbindlich sind. Der Normentwurf FprEN 50742 (Schutz gegen Korrumpierung) befindet sich Stand Oktober 2026 in der Schlussabstimmung und ist nicht im Amtsblatt gelistet. IEC 62443-3-3 beschreibt protokollierbare Ereignisse als Systemanforderung SR 2.8. Für typische Anlagen halten wir Security Level 2 als Zielmarke für realistisch; das ist ein Erfahrungswert, keine Vorgabe.

Wo liegen die Aufzeichnungen bis zu fünf Jahre lang?

Die Verordnung sagt nicht, wo. Weil viele Betreiber keine dauerhafte Verbindung nach außen zulassen, gehört die maßgebliche Kopie auf die Maschine selbst, etwa auf einen Speicher in HMI oder Steuerung, der Updates überlebt. Eine zusätzliche Kopie beim Hersteller ist sinnvoll, ersetzt die lokale aber nicht. Nr. 1.2.1 begrenzt den Zweck auf den Konformitätsnachweis gegenüber der Behörde. Eine Pflicht, die Aufzeichnungen an Kunden oder andere herauszugeben, steht dort nicht.

Wo überschneidet sich das mit dem CRA?

Der CRA verlangt ab dem 11. Dezember 2027, sicherheitsrelevante Informationen durch Aufzeichnung und Überwachung relevanter interner Aktivitäten bereitzustellen, einschließlich Zugriff auf oder Änderung von Daten, Diensten oder Funktionen, mit einer Opt-out-Möglichkeit für den Nutzer (Anhang I Teil I Nr. 2 Buchst. l). Auch das gilt nur, soweit die Risikobeurteilung es ergibt. Der Zweck ist ein anderer: Der CRA will Sicherheitsvorfälle erkennbar machen, die Maschinenverordnung Eingriffe gegenüber der Behörde nachweisen.

Ein Protokollkonzept kann beides bedienen, wenn es von Anfang an für beide geplant wird. Die Konformität mit der einen Verordnung erfüllt die andere aber nicht automatisch, das betont auch die Kommission (FAQ v1.4 Nr. 2.4.1). Wie sich beide Verordnungen insgesamt abgrenzen, steht im Beitrag CRA und Maschinenverordnung im Anlagenbau.

Was ist nicht verlangt?

• Kein Audit-Trail jeder Bedienhandlung, keine bestimmte Technik, kein Format.
• Keine Cloud-Anbindung und keine dauerhafte Verbindung zum Hersteller.
• Keine Nachrüstung von Maschinen, die vor dem 20. Januar 2027 in Verkehr gebracht wurden, solange sie nicht wesentlich verändert werden (Art. 18).
• Keine Herausgabe der Aufzeichnungen an Dritte, außer auf begründetes Verlangen der Behörde.

Welche Eingriffe gehören in das Protokollkonzept?

Die Tabelle zeigt die Form, nicht die Füllung. Welche Zeilen eine Maschine braucht, entscheidet die Risikobeurteilung.

Dieser Beitrag gibt den Stand Oktober 2026 wieder und ist keine Rechtsberatung. Maßgeblich ist der Verordnungstext; FprEN 50742 ist ein Normentwurf, die Kommissions-FAQ sind nicht bindend.