Kurz gefasst · Stand: Oktober 2026
Pilz-Sicherheitstechnik in einer Anlage besteht aus PNOZmulti-2-Basismodulen mit Erweiterungsmodulen am internen Bus, Kommunikationsmodulen (PNOZ m ES PROFINET, EtherCAT, EtherNet/IP), PSS-4000-Steuerungen mit PSSuniversal-I/O, PITreader- und PITmode-Geräten am Netz und PASvisu auf PCs. Vom Wartungs-PC aus liefern nur die Kommunikationsmodule und die Netzgeräte eine Identität: PROFINET-Module per I&M0 mit Bestellnummer, Seriennummer und Firmware, PIT-Geräte per Web-Kennung; Basis- und Erweiterungsmodule sieht kein Scan. In die Geräteliste kommen sie über den PNOZmulti Configurator oder PAS4000 online, mit Bestellnummer und Firmware je Modul. Pilz meldet als CSAF über CERT@VDE mit der Bestellnummer als model_numbers: 20 Advisories, 3 neu in 2026, zwei davon zu PIT und PASvisu. Eine SBOM haben wir nicht gefunden; für die Anlage brauchen Sie sie nicht. Das häufigere Problem: Sicherheitstechnik fehlt in vielen Gerätelisten ganz.
Was an einer Pilz-Sicherheitssteuerung hängt und was davon im Netz sichtbar ist
Eine PNOZmulti 2 ist ein Basismodul mit bis zu zwölf Erweiterungsmodulen am internen Bus (Ein-/Ausgänge, Drehzahlüberwachung, Relais) und einem Kommunikationsmodul für PROFINET, EtherCAT, EtherNet/IP oder Modbus TCP. PSS 4000 arbeitet mit PSSuniversal-PLC und dezentralen I/O-Modulen über SafetyNET p. Dazu kommen PITreader-Zugangsgeräte, PITmode-Betriebsartenwahl, PSEN-Sensoren und PASvisu-Visualisierung auf Bedien-PCs.
- Über IP vom Wartungs-PC sichtbar: PNOZ m ES PROFINET per DCP und I&M0 (OrderID = Bestellnummer, Seriennummer, Firmware), EtherNet/IP-Module per ListIdentity, Modbus-Module per FC43, soweit implementiert; PITreader und PSSuniversal-PLC per Web-Kennung.
- Nur über die Steuerung: das Basismodul und alle Erweiterungsmodule der PNOZmulti sowie die PSSuniversal-I/O hinter einer PSS-4000-Steuerung. Ihre Bestellnummer und Firmware kennt nur das Basismodul beziehungsweise die Steuerung.
- Nur aus dem Engineering: Sicherheitsrelais ohne Firmware (PNOZsigma, PNOZ X) und PSEN-Sensoren ohne IO-Link. Sie stehen in der Stückliste, nicht in der Anlagen-SBOM.
Wie Basis- und Erweiterungsmodule in die Liste kommen: PNOZmulti Configurator und PAS4000
Der PNOZmulti Configurator zeigt online die Hardwarekonfiguration des Basismoduls mit Bestellnummer, Seriennummer und Firmware je Modul; PAS4000 liefert dasselbe für PSS 4000 und PSSuniversal. Das ist der einzige Weg zu den Modulen hinter dem Kommunikationsmodul. Vom Netz aus kommen dazu:
- PNOZmulti Configurator (PNOZmulti 2) und PAS4000 (PSS 4000, PSSuniversal): Projekt mit Gerätetyp und Bestellnummer der Basis- und Kommunikationsmodule.
- PROFINET-I&M0: die Module PNOZ m ES PROFINET sind PI-zertifiziert (CC-C) und liefern OrderID, Seriennummer, Hardware- und Firmwarestand per DCP, der direkte Weg im Netz.
- EtherCAT, EtherNet/IP, Modbus TCP: je nach Kommunikationsmodul über den Master, das Identity Object oder, wo implementiert, Modbus FC43. Hintergrund im Beitrag zum Netzwerkscan.
Wie Pilz meldet und worüber der Abgleich läuft
Pilz hat die CSAF-Veröffentlichung im März 2026 in einer eigenen Mitteilung angekündigt; die Dokumente entstehen mit Secvisogram und liegen beim CERT@VDE-Provider mit ROLIE-Feed, index.txt und changes.csv. Unter pilz.com gibt es keinen Provider, im BSI-Aggregator keinen Eintrag.
| Messwert (07.10.2026) | Ergebnis |
|---|
| CSAF-Advisories gesamt | 20 (2020–2026) |
| davon 2026 neu | 3 – PPSA-2026-001 (02.02.), -002 (23.04.), -003 (04.08.) |
| Neue Dokumente 2022 / 2023 / 2024 / 2025 | 6 / 3 / 2 / 4 |
| Dokumente mit CPE | 1 (PPSA-2026-003 IndustrialPI, Hardware- und OS-CPE) |
| Dokumente mit PURL | 0 |
| CISA-OT-Feed: Einträge mit Pilz | 1 (keiner aus 2026) |
Die Bestellnummer ist bei Pilz der Normalfall: Produktname plus model_numbers wie A1000002 oder G1000020, dazu der Firmwarebereich. Das ist derselbe Schlüssel, der auf dem Typenschild steht.
Mit drei neuen Advisories in 2026 ist das Volumen klein, der Abgleich über model_numbers sauber. Das eigentliche Problem liegt davor: In vielen Gerätelisten fehlen Sicherheitssteuerungen, Betriebsartenwahl (PITmode) und Zugangsgeräte (PITreader) vollständig, weil sie im Steuerungsprojekt der Haupt-SPS nicht auftauchen und auf dem Netz leise sind. Zwei der drei 2026er Advisories betreffen genau diese Peripherie (PIT, PASvisu).
Für die Risikobeurteilung nach Maschinenverordnung ist die Sicherheitssteuerung ohnehin das zentrale Bauteil. Sie ohne Firmwarestand in der Anlagen-SBOM zu führen, ist der häufigste Fehler, den wir bei Abnahmen sehen.
Eine SBOM-Bereitstellung beschreibt Pilz nicht; für die Anlage brauchen Sie sie nicht, die Advisories nennen Bestellnummer und Firmwarebereich.
Was das für Anlagen mit Pilz-Komponenten heißt
- Sicherheitssteuerungen, Kommunikationsmodule, PIT-Geräte und PASvisu-Installationen mit Bestellnummer und Firmware in die Liste aufnehmen, aus Konfigurator, PAS4000 und I&M0.
- IndustrialPI-Geräte als Linux-Systeme mit eigener Software-Inventur führen; das 2026er Advisory trägt als einziges CPE auf OS-Ebene.
- Bei abgekündigten Produkten den Ersatzteil-Status dokumentieren, den Pilz in der CRA-Erklärung ankündigt.
Sicherheitssteuerungen tauchen im Projekt der Haupt-SPS nicht auf, im Netz zeigt sich nur ihr Kommunikationsmodul, und Erweiterungsmodule kennt nur das Basismodul. In Werkspilot Scan ist Pilz Stufe 1 für Kommunikationsmodule und PIT-Geräte über I&M0, ListIdentity und Web-Kennung, und Stufe 3 für die Module dahinter über die Steuerung. Wir erproben die dritte Stufe derzeit mit Entwicklungspartnern an deren Anlagen.
Alle 13 Hersteller im Vergleich: SBOM je Hersteller →
Werkspilot Scan an Ihrer eigenen Anlage erproben.
Wir erproben die Erfassung mit wenigen Anlagenbauern an deren Test- oder Referenzanlagen, vier Monate lang, Stufe für Stufe um ihre Steuerungen erweitert. Der Partner bekommt eine Anlage seiner Wahl als Anlagen-SBOM: jedes erreichbare Gerät mit Hersteller, Bestellnummer und Firmwarestand, offene Positionen einzeln ausgewiesen.
Entwicklungspartnerschaft anfragen →
Werkspilot führt diese Geräte je Anlage und meldet, wenn ein Advisory eines davon trifft. Die Zahlen in diesem Beitrag sind eigene Messungen vom 07.10.2026; die Hersteller ändern Feeds und Seiten ohne Ankündigung.
