Was muss über Cyber-Sicherheit in die Betriebsanleitung?

Ausgangspunkt dieses Beitrags ist eine Frage aus einem Q&A-Forum: „Was muss eigentlich über Cyber-Sicherheit in der Betriebsanleitung stehen?" Matthias Schulz’ Antwort: mehr, als die meisten vermuten – und es wird auch bald zur Pflicht.

Zwei neue Regelwerke greifen dabei ineinander: Die Maschinenverordnung 2023/1230 fordert ab dem 20.01.2027 in Anhang III, 1.1.9 Schutz vor Cyber-Bedrohungen, insbesondere für die Sicherheitsfunktionen der Steuerung. Der EU Cyber Resilience Act (CRA) verpflichtet Hersteller darüber hinaus zu Cybersecurity über den gesamten Produktlebenszyklus hinweg.

Konkret nennt er vier Punkte, die Hersteller jetzt adressieren sollten: eine Risikoanalyse der Cyber-Schwachstellen der Maschine nach ISO TR 22100-4, dokumentierte technische Schutzmaßnahmen wie Firewalls, Zugriffsbeschränkungen und Verschlüsselung, klare Verhaltensregeln für Nutzerinnen und Nutzer etwa beim Passwort-Wechsel und Remote-Zugriff, sowie Handlungsanweisungen für kritische Zugriffe. Sein Fazit: Cyber-Angriffe auf Maschinen sind eine reale Bedrohung – schweigt die Betriebsanleitung dazu, steigt das Haftungsrisiko.