Konstruktionsleiter-Forum Spotlight 2025 Der Fahrplan zur Cyber-Resilienz im Maschinenbau

Anbieter zum Thema

invenio AG

HEICO Befestigungstechnik GmbH

Das Zusammenführen von funktionaler Sicherheit und Cybersicherheit stand im Mittelpunkt des Konstruktionsleiter-Forum Spotlight am 14. Oktober 2025 in Würzburg. Damit wurde eine der drängendsten regulatorischen Herausforderungen für Konstrukteure und Entwickler im Maschinenbau thematisiert.

Wenn Safety auf Security trifft: Getrieben durch die neue Maschinenverordnung (MVO) und den Cyber Resilience Act (CRA) der EU, steht der Maschinenbau vor einem Paradigmenwechsel: Die mechanische Unversehrtheit einer Maschine kann nicht mehr länger getrennt von ihrer digitalen Integrität betrachtet werden.

Die Dringlichkeit dieses Wandels wird durch alarmierende wirtschaftliche Risiken untermauert. Allein in Deutschland beziffert der Branchenverband Bitkom den jährlichen Schaden durch Cyberattacken wie Ransomware auf gut 179 Milliarden Euro, während der Gesamtschaden durch Cyberkriminalität im Jahr 2024 sogar 266,6 Mrd. Euro betrug. Für Unternehmen geht es jedoch um mehr als nur finanzielle Verluste: Wer die neuen Regularien ignoriert, riskiert ab 2027 den Verlust des Marktzugangs zur gesamten Europäischen Union. Vor diesem Hintergrund bot das Forum in Würzburg nicht nur eine Analyse der neuen Gesetzeslage, sondern vor allem einen praxisorientierten Fahrplan, um den Weg von der regulatorischen Anforderung zur sicheren und wettbewerbsfähigen Produktentwicklung erfolgreich zu meistern.

Bildergalerie

Bildergalerie mit 12 Bildern

Ein zentrales Thema der Veranstaltung war die Notwendigkeit, die neuen EU-Verordnungen nicht isoliert, sondern als ineinandergreifendes System zu verstehen. Wie die Experten in ihren Vorträgen betonten, kann eine getrennte Betrachtung der Maschinenverordnung und des Cyber Resilience Acts zu fatalen Fehleinschätzungen in der Produktentwicklung führen, die kostspielige Nachbesserungen oder gar den Ausschluss vom Markt zur Folge haben können.

Ein unzertrennliches Duo: MVO und CRA

Wie kommen die Experten zu dieser Einschätzung? Sie ist die Schlussfolgerung aus den beiden Verordnungen der EU, die in den kommenden zwei Jahren in Kraft treten: Die neue Maschinenverordnung (EU) 2023/1230, die am 20. Januar 2027 die bisherige Maschinenrichtlinie vollständig ersetzen wird, erweitert den traditionellen Fokus der funktionalen Sicherheit entscheidend. Im Zentrum der neuen Anforderungen steht Anhang III, Punkt 1.1.9, mit dem Titel „Schutz gegen Korrumpierung“. Für Konstrukteure bedeutet dies eine konkrete Handlungsaufforderung: Maschinen müssen so konzipiert und gebaut werden, dass ihre Vernetzung mit anderen Geräten oder Netzwerken unter keinen Umständen gefährliche Situationen hervorrufen kann. Darüber hinaus muss die zum Betrieb der Maschine gehörende Software explizit vor unbefugter Manipulation geschützt sein.

Parallel zur MVO etabliert der Cyber Resilience Act (CRA, EU 2024/2847) erstmals horizontale Cybersicherheitsvorschriften für nahezu alle Produkte mit „digitalen Komponenten“. Seine Reichweite erstreckt sich von der Planungs- und Entwicklungsphase über die Wartung bis zum Ende der Nutzungsdauer. Hersteller sind somit verpflichtet, die IT-Sicherheit ihrer Produkte über den gesamten Lebenszyklus hinweg zu gewährleisten. Obwohl die Verordnung erst im Dezember 2027 in vollem Umfang gilt, greifen entscheidende Fristen deutlich früher: Bereits ab September 2026 müssen Hersteller eine Meldepflicht für aktiv ausgenutzte Schwachstellen erfüllen.

Unterschiedliche Schutzziele

In seiner Keynote „Warum müssen MVO und CRA gemeinsam betrachtet werden und was bedeutet das für Konstruktion und Entwicklung?“ brachte Andreas Schader von ABB Klarheit in das komplexe Zusammenspiel der beiden Regelwerke. Er stellte unmissverständlich dar, dass MVO und CRA komplementäre, aber unterschiedliche Schutzziele verfolgen:

• Die MVO konzentriert sich auf den Schutz von Menschen vor physischen Gefahren, die von einer Maschine ausgehen, also die Funktionale Sicherheit.

• Der CRA zielt auf den Schutz von Daten, Systemintegrität und kritischen Funktionen vor Cyberbedrohungen ab und legt damit den Schwerpunkt auf Cyber Security.

Schader nutzte seinen Vortrag, um mit zwei weit verbreiteten Mythen aufzuräumen:

• 1. Der Irrglaube, dass CRA-Konformität automatisch die Cybersicherheitsanforderungen der MVO erfüllt. Dies ist nicht der Fall, da die Schutzziele und spezifischen Anforderungen voneinander abweichen.

• 2. Die Annahme eines „Grandfathering-Schutzes“ für Produkte, die vor 2027 entwickelt wurden: „Es gibt keinen Bestandsschutz“, sagte Schader und betonte, dass alle Produkte, die ab dem Stichtag in Verkehr gebracht werden, die neuen Anforderungen ohne Ausnahme erfüllen müssen. Daher sei es zudem wichtig, künftige Funktionen einer Maschine bereits heute mitzudenken.

Von der Krise zur Strategie

Dass die Umsetzung von MVO und CRA keine bürokratische Übung, sondern betriebswirtschaftlich erforderlich sind und geradezu überlebensnotwendig sein können, beschrieb Matthias Holzäpfel, Vice President Product Development bei Pilz, in seinem Impulsvortrag „Bedeutung von Security für die Industrie“. Er rekapitulierte den gezielten Hackerangriff, der das Automatisierungsunternehmen im Oktober 2019 traf: „Die Produktion stand still“. Fast alle Tochtergesellschaft weltweit seien von dem Angriff betroffen gewesen. Holzäpfel schilderte die mutige unternehmerische Entscheidung, nicht auf die Lösegeldforderungen der Erpresser einzugehen. Stattdessen stellte sich das Unternehmen der immensen Herausforderung, seine gesamte IT- und OT-Infrastruktur schrittweise und sicher wiederaufzubauen – eine Phase, in der die Existenz des Unternehmens auf dem Spiel stand.

Die aus diesem Angriff gezogenen Lehren sind tiefgreifend und untermauern eindrücklich die Notwendigkeit eines robusten und nachweisbaren Security-Development-Lifecycle-Prozesses, wie er in der Norm IEC 62443-4-1 beschrieben und durch den CRA für die Produktentwicklung gefordert wird. Holzäpfel brachte die zentrale Erkenntnis auf den Punkt: „Keine Safety ohne Security“. Gleichzeitig warnte er aus der Praxisperspektive davor, die Regulierung unkritisch zu sehen. Zwar seien die Anforderungen des CRA grundsätzlich sinnvoll, doch erachte er die momentane Auslegung an manchen Stellen als „zu streng“, was zu einem „Wettbewerbsnachteil für europäische Unternehmen“ führen könnte.

Von der Analyse zur Umsetzung

Herzstück der Veranstaltung waren diverse praxisnahe Ansätze zur Bewältigung der MVO- und CRA-Herausforderungen. Die Experten präsentierten im Lauf der Veranstaltung eine logische Abfolge: Zuerst die präzise Diagnose des Handlungsbedarfs, dann der Aufbau eines robusten prozessualen Rückgrats und schließlich die Implementierung mit modernen technologischen Werkzeugen.

Den Auftakt machte Dr. Markus Fockel vom Fraunhofer IEM mit dem diagnostischen ersten Schritt. In seinem Vortrag „CRA und MVO – Wege zur effizienten Umsetzung von Safety & Security by Design“ stellte er einen strukturierten Ansatz vor, um durch eine detaillierte Ist-Stand-Analyse der bestehenden Produkte und Entwicklungsprozesse den konkreten Handlungsbedarf zu ermitteln. Dabei wies er darauf hin, dass eine „Risikobewertung nun auch Security berücksichtigen“ muss. Diese Analyse dient als Grundlage für die Entwicklung einer maßgeschneiderten Umsetzungs-Roadmap, es sei wichtig, „schon jetzt eine Roadmap zur CRA-Konformität der CRA-Prozesse“ zu erstellen und Verantwortlichkeiten im Unternehmen festzulegen. Fockel adressierte dabei eine zentrale Hürde: den weit verbreiteten Mangel an interner Security-Expertise, der eine effiziente Umsetzung oft behindert.

Alle Entwicklungsschritte lückenlos nachvollziehen

Robert Neher von der BHC GmbH präsentierte darauf aufbauend das prozessuale Rückgrat für die regulatorische Konformität. Er argumentierte in seinem Vortrag „Application Lifecycle Management (ALM) im Spannungsfeld von MVO und CRA“, dass ALM das notwendige methodische und technische Fundament bietet, um die komplexen Anforderungen von MVO und CRA strukturiert umzusetzen. Ein gut implementierter ALM-Prozess stellt sicher, dass alle Entwicklungsschritte – von der ersten Anforderung über das Design bis zum Software-Update im Feld – lückenlos nachvollziehbar sind und in einer auditierbaren Produktdokmentation münden. Zudem würde auf diese Weise gelingen, „Tool-Zoos zu vermeiden und sich auf die eigentliche Arbeit zu konzentrieren.“

Cybersicherheit

Nicht auf die lange Bank schieben

Den technologischen Lösungsansatz lieferten Dr. Jan Seyfarth (Cadfem) und Dr. Christian Geiss (ClockworkX). Sie kontrastierten in ihrem Vortrag „Plattformbasierter Ansatz für eine systematische Produktentwicklung“ die Unzulänglichkeiten herkömmlicher, dokumentenbasierter Methoden (Word, Excel) – „Wir wollen keine Excel-Friedhöfe haben, sondern eine lebendige Toolumgebung“ – mit den Vorteilen eines model-based systems engineering (MBSE) Ansatzes. Mit einem Werkzeug wie Ansys Medini Analyze wird der Grundsatz „Safety & Security by Design“ greifbar. Es ermöglicht die systematische Integration von funktionaler Sicherheit und Cybersicherheit in einem einzigen, konsistenten Modell, das unter anderem die für den CRA relevante Norm IEC 62443 unterstützt. Ihr „3-Stufen-Enablement-Ansatz“ – von externer Abhängigkeit über Tools & Coaching bis zur internen Expertise – bietet Unternehmen einen klaren Weg zum Kompetenzaufbau. Sie wiesen darauf hin:„Technik alleine genügt nicht, der Mensch muss mitdenken. Rollen und Verantwortlichkeiten müssen rechtzeitig definiert werden.“ Gestützt durch die strategische Partnerschaft zwischen Cadfem (Tooling) und ClockworkX (TÜV Austria Gruppe, Zertifizierungsexpertise) verspricht dieser Ansatz eine „50% Aufwandsreduktion in Sicherheitsprozessen“.

Michael Langfinger von Bosch Rexroth präsentierte mit dem echtzeitfähigen Betriebssystem ctrlX OS ein eindrucksvolles Beispiel für eine praxiserprobte Lösung. Er erläuterte, wie eine moderne, offene Automatisierungsplattform von Grund auf so gestaltet werden kann, dass sie die anspruchsvollen Anforderungen des CRA effizient erfüllt. Sein leitendes Prinzip dabei: „etablierte IT-Standards zu verknüpfen, anstatt das Rad neu zu erfinden.“ Der Best-practise-Vortrag „Mit innovativen Cybersicherheitslösungen auf regulatorische Anforderungen vorbereitet“ machte deutlich, dass Cybersicherheit kein nachträglich aufgesetztes Feature mehr sein darf, sondern ein integraler Bestandteil der grundlegenden Systemarchitektur sein muss. Als Faustregel gab er den Teilnehmern mit: „Alles was digital kommuniziert, unterliegt dem CRA.“

Maschinensicherheit

So bauen Sie Ihre Maschine safe und secure auf

Torsten Gast von Phoenix Contact teilte in seinem Vortrag „Erfolgreiche Umsetzung vob MVO und CRA“ seine umfangreichen Praxiserfahrungen und beleuchtete die typischen Stolpersteine im Bereich der Operational Technology (OT). Er ging auf die häufigsten Fragen und Unsicherheiten ein, die an der kritischen Schnittstelle zwischen klassischer Maschinenkonstruktion und IT-Sicherheit entstehen. Gast zeigte praxisnahe Lösungsansätze auf, wie diese interdisziplinäre Herausforderung gemeistert werden kann, und vermittelte den Teilnehmern wertvolle Handlungsempfehlungen, um typische Hürden von vornherein zu vermeiden.

Ein zentraler Appell der Veranstaltung war, die Anforderungen der finalen Produktprüfung nicht erst am Ende des Entwicklungsprozesses zu berücksichtigen. Eine frühzeitige Auseinandersetzung mit den Kriterien der Prüf- und Zertifizierungsstellen ist strategisch entscheidend, um kostspielige Nachbesserungen und kritische Verzögerungen beim Markteintritt zu verhindern.

Starten Sie frühzeitig

So gab Rüdiger Krauß von der Dekra wertvolle Einblicke in die Perspektive der Prüfer. Er schilderte, welche absehbaren Probleme und Schwachstellen im Zertifizierungsprozess oft erst bei der finalen Produktvalidierung offensichtlich werden. Seine klare Empfehlung an die Entwicklungs- und Konstruktionsleiter war, diese Aspekte bereits in den frühesten Phasen des Designs zu berücksichtigen und den Zertifizierungsprozess zeitig einzuleiten. Wichtig sei dabei auch, seine „Lieferanten von Anbeginn einzubinden“. Darüber hinaus beleuchtete Krauß die Risiken, aber auch die Potenziale, die der Einsatz von Künstlicher Intelligenz (KI) im Kontext von MVO- und CRA-Konformität mit sich bringt. Abschließend forderte er die Teilnehmer auf, „grundlegende Anforderungen des CRA bereits heute umzusetzen“ und: „Starten Sie frühzeitig, um wirtschaftliche Schäden durch zu spätes Handeln zu vermeiden.“

Maschinensicherheit

Cyber Security ein Muss in mobilen Maschinen

Die zentrale Erkenntnis des Konstruktionsleiter-Forum Spotlight 2025: Die durch MVO und CRA ausgelöste Transformation ist eine der größten Herausforderungen für den Maschinenbau, aber zugleich eine strategische Chance. Sie erfordert ein Umdenken, bei dem Safety und Security untrennbar verschmelzen und von Beginn an im Designprozess verankert werden.

MVO und CRA erfolgreich meistern

Die Veranstaltung zeigte eindrucksvoll, dass diese Herausforderung mit strategischer Planung, den richtigen Prozessen und Werkzeugen erfolgreich zu meistern ist. Das Forum bot den Teilnehmern eine umfassende Orientierung und lieferte einen klaren Handlungsauftrag: Unternehmen sollten nicht warten, bis die Fristen unumgänglich werden. Vielmehr sollten sie bereits heute mit der Analyse ihrer Prozesse, dem Aufbau von Kompetenzen und der Evaluierung moderner Entwicklungswerkzeuge beginnen, um Ihre Produkte für den europäischen Markt von morgen zu rüsten.

Aufgrund der hohen Relevanz wird die Veranstaltung im Jahr 2026 fortgesetzt und ihren klaren Fokus auf die erfolgreiche Umsetzung von MVO und CRA beibehalten. Dies unterstreicht ihre Bedeutung als zentrale Plattform für den Wissensaustausch zu diesem entscheidenden Zukunftsthema.

(ID:50593478)