NIS2, Cyber Resilience Act, Maschinenverordnung: Welche Cyber-Pflichten für Maschinenbauer gelten

Maschinenbauer müssen drei europäische Regelwerke unterscheiden: NIS2 verpflichtet erfasste Unternehmen zur Cybersicherheit im Betrieb, der Cyber Resilience Act macht Sicherheit zur Produktpflicht, und die Maschinenverordnung berücksichtigt digitale Risiken bei der Maschinensicherheit. Im Service treffen sich diese Perspektiven beim Fernzugriff auf Maschinen. Ein kontrollierter, nachvollziehbarer Zugang hilft bei der Umsetzung – ersetzt aber nicht sämtliche Pflichten.

Das Regel-Dreieck in drei Sätzen:

• NIS2: Erfasste Unternehmen müssen ihre Netz- und Informationssysteme sowie betrieblichen Prozesse risikogerecht absichern.
• Cyber Resilience Act: Hersteller müssen Produkte mit digitalen Elementen sicher entwickeln, Schwachstellen bearbeiten und Sicherheitsupdates bereitstellen.
• Maschinenverordnung: Hersteller müssen digitale Eingriffe berücksichtigen, soweit sie die Sicherheit einer Maschine beeinträchtigen können.

Welche EU-Vorschriften zur Cybersicherheit betreffen Maschinenbauer?

NIS2 regelt den sicheren Betrieb, der Cyber Resilience Act das sichere Produkt, und die Maschinenverordnung macht Cybersecurity zur Frage der Maschinensicherheit. Für einen Maschinenhersteller können alle drei Perspektiven relevant sein: als Unternehmen mit eigener IT und vernetzten Produktionsanlagen, als Anbieter digital ausgestatteter Maschinen und als Inverkehrbringer sicherer Maschinen.

Ein Betreiber trägt wiederum Verantwortung für seine betrieblichen Zugänge, ohne dadurch automatisch sämtliche Herstellerpflichten zu übernehmen. Die folgende Übersicht trennt deshalb ausdrücklich Adressaten, Regelungsgegenstand und Konsequenzen für die Fernwartung.

Das Regel-Dreieck im Überblick

Merkmal	NIS2	Cyber Resilience Act	Maschinenverordnung
Rechtsform	EU-Richtlinie; Umsetzung durch nationales Recht	Unmittelbar geltende EU-Verordnung	Unmittelbar geltende EU-Verordnung
Wer ist verpflichtet?	Erfasste Unternehmen als wichtige oder besonders wichtige Einrichtungen	Insbesondere Hersteller sowie Importeure und Händler von Produkten mit digitalen Elementen, jeweils nach ihrer Rolle	Insbesondere Hersteller und andere für das Inverkehrbringen von Maschinen verantwortliche Wirtschaftsakteure
Was wird reguliert?	Sicherheit des Unternehmensbetriebs und seiner Netz- und Informationssysteme	Cybersicherheit des digitalen Produkts über seinen Lebenszyklus	Maschinensicherheit einschließlich sicherheitsrelevanter digitaler Einflüsse
Kernpflicht	Risikomanagement, Vorfallbehandlung und Sicherheit der Lieferkette	Sichere Produktgestaltung, Schwachstellenmanagement und Updates	Gefährdungen bewerten und Manipulation mit Auswirkungen auf die Sicherheit berücksichtigen
Geltungsbeginn	Deutsches NIS2-Umsetzungsgesetz seit 6. Dezember 2025 in Kraft	Meldepflichten seit 11. September 2026; übrige Pflichten ab 11. Dezember 2027	Anwendung ab 20. Januar 2027
Konsequenz für Fernwartung	Servicezugänge als betriebliches Risiko steuern	Fernzugriffsfunktionen im Produkt sicher entwickeln und pflegen	Auswirkungen digitaler Eingriffe auf die Maschinensicherheit begrenzen

Gemeinsamer Nenner: sicherer, nachvollziehbarer Fernzugriff.

Ob und in welchem Umfang einzelne Vorschriften greifen, hängt unter anderem von Unternehmensgröße, Tätigkeit, Produkt und Rolle in der Lieferkette ab. Gerade deshalb lohnt es sich, die rechtliche Einordnung und die technische Bestandsaufnahme parallel zu beginnen.

Was verlangt NIS2 von produzierenden Unternehmen?

NIS2 setzt bei der Sicherheitsorganisation erfasster Unternehmen an, nicht bei der Konformität einer einzelnen Maschine. Die Richtlinie (EU) 2022/2555 gilt nicht unmittelbar wie eine Verordnung; in Deutschland sind die maßgeblichen Pflichten durch das NIS2-Umsetzungsgesetz in nationales Recht überführt worden.

Für Geschäftsführung, IT, OT und Service entsteht damit eine gemeinsame Aufgabe: Risiken erkennen, Verantwortlichkeiten festlegen und Maßnahmen im laufenden Betrieb wirksam halten. Ein Fernwartungszugang ist dabei weder bloß ein IT-Thema noch allein Sache des externen Servicetechnikers.

Wer betroffen ist: ein deutlich erweiterter Kreis

Die Herstellung von Maschinen und Ausrüstungen gehört zu den von NIS2 erfassten Wirtschaftszweigen. Das bedeutet jedoch nicht, dass jeder Maschinenbaubetrieb automatisch als wichtige Einrichtung gilt. Für die Einstufung zählen die konkrete Tätigkeit, Größenmerkmale und gegebenenfalls besondere gesetzliche Kriterien.

Grundsätzlich kommen insbesondere Unternehmen mit mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme in den Blick. Dabei sind die gesetzlichen Größenklassen, mögliche Sonderregelungen und die konkrete Unternehmenstätigkeit zu berücksichtigen. Größere Unternehmen können als besonders wichtige Einrichtungen eingestuft werden. Auch kleinere Unternehmen können unter bestimmten Voraussetzungen erfasst sein.

Betreiber müssen ihre eigene Rolle ebenfalls prüfen: Ein Unternehmen kann aufgrund seines Tätigkeitsbereichs unter die Regelungen fallen, unabhängig davon, von welchem Hersteller seine Anlagen stammen.

Die NIS2-Betroffenheitsprüfung des BSI bietet dafür eine erste Orientierung, ersetzt aber keine Prüfung des Einzelfalls. Eine belastbare Einordnung ist der Ausgangspunkt, bevor Zuständigkeiten, Nachweise und Investitionen festgelegt werden.

Risikomanagement, Lieferkette und sichere Fernzugriffe

Erfasste Einrichtungen müssen angemessene technische und organisatorische Maßnahmen zum Umgang mit Cyberrisiken treffen. Dazu gehören unter anderem Vorfallbehandlung, Sicherheit bei Beschaffung und Entwicklung, Absicherung der Lieferkette sowie geeignete Verfahren für Zugriffskontrolle und Authentifizierung.

In der Produktion führt das unmittelbar zu praktischen Fragen: Welche Dienstleister erreichen welche Anlagen? Wer gibt eine Verbindung frei? Wie wird ein Konto nach einem Personalwechsel gesperrt? Was geschieht, wenn eine Schwachstelle in einem Servicewerkzeug bekannt wird?

Ein Verzeichnis der Fernzugänge, klar vergebene Berechtigungen und überprüfbare Protokolle machen diese Fragen bearbeitbar. Sie helfen außerdem, einen Vorfall einem Zugang, einem Zeitpunkt und einem verantwortlichen Prozess zuzuordnen.

Besondere Aufmerksamkeit verdient die Zusammenarbeit mit Maschinenherstellern und externen Servicepartnern. Denn ein gut abgesichertes Unternehmensnetz verliert an Schutzwirkung, wenn darin zahlreiche unzureichend verwaltete Fernzugänge bestehen. Einheitliche Freigabeprozesse und dokumentierte Verantwortlichkeiten können dieses Risiko reduzieren.

Umsetzung in Deutschland: das NIS2-Umsetzungsgesetz

Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Die Verantwortung reicht ausdrücklich bis zur Geschäftsleitung: Sie muss die erforderlichen Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen.

Die Delegation der technischen Ausführung an IT-Abteilung oder Dienstleister beseitigt diese Leitungsaufgabe nicht. Hinzu kommen für erfasste Einrichtungen gesetzliche Registrierungs- und Meldepflichten; Sicherheitsvorfälle verlangen deshalb vorbereitete Meldewege statt improvisierter Zuständigkeiten.

Fernwartungsprotokolle können für die Aufklärung und Dokumentation wichtig sein. Sie bilden jedoch nur einen Teil des Nachweises: Sicherheitskonzept, Lieferantensteuerung, Schulung und Verfahren für Vorfälle müssen ebenfalls funktionieren.

Was fordert der Cyber Resilience Act von Maschinenherstellern?

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, richtet den Blick auf Produkte mit digitalen Elementen. Für den Maschinenbau sind beispielsweise vernetzte Steuerungen, zugehörige Software und digitale Fernwartungsfunktionen relevant.

Die Anforderungen treffen vor allem Hersteller; für Importeure und Händler gelten Pflichten entsprechend ihrer jeweiligen Rolle. Anders als NIS2 setzt der CRA somit nicht bei der allgemeinen Sicherheitsorganisation eines Maschinenbetreibers an.

Entscheidend sind Produktumfang und konkrete Einordnung. Wo mehrere Produktvorschriften zusammentreffen, müssen Hersteller die jeweils einschlägigen Anforderungen zusammen betrachten, statt eine Verordnung als Ersatz für die andere zu behandeln.

Security by Design und Update-Pflichten

Beim CRA beginnt Cybersicherheit vor der Auslieferung. Hersteller müssen Risiken ihrer Produkte bewerten und geeignete Schutzmaßnahmen bereits in Entwicklung und Gestaltung berücksichtigen.

Für eine vernetzte Maschine betrifft das beispielsweise die Absicherung von Zugangsdaten, die Begrenzung von Berechtigungen und die Frage, wie eine Wartungsverbindung eingerichtet oder wieder abgeschaltet wird.

Auch nach dem Inverkehrbringen bleibt Arbeit: Schwachstellen müssen behandelt und erforderliche Sicherheitsupdates während des festgelegten Unterstützungszeitraums bereitgestellt werden. Dieser richtet sich grundsätzlich nach der erwarteten Nutzungsdauer des Produkts und beträgt nach den CRA-Vorgaben in der Regel mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht kürzer ist.

Für den Service ist deshalb wichtig, wer eine Aktualisierung vorbereitet, wie ihre Verträglichkeit mit dem Produktionsbetrieb geprüft wird und wie Betreiber über notwendige Maßnahmen informiert werden.

Ein sicher entwickeltes Produkt braucht einen ebenso verlässlichen Pflegeprozess. Insbesondere bei langlebigen Maschinen muss geklärt sein, wie Softwarepflege, Ersatzteile, bestehende Steuerungssysteme und vertragliche Serviceleistungen zusammenwirken.

Meldepflichten für Schwachstellen und Vorfälle

Seit dem 11. September 2026 gelten die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines Produkts mit digitalen Elementen betreffen. Die übrigen wesentlichen Pflichten greifen ab dem 11. Dezember 2027.

Für meldepflichtige Sachverhalte ist grundsätzlich eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden erforderlich. Die Hauptmeldung muss innerhalb von 72 Stunden erfolgen. Hinzu kommen je nach Meldeanlass abschließende Berichte. Die Meldungen werden über die von der europäischen Cybersicherheitsagentur ENISA betriebene zentrale Meldeplattform übermittelt.

Für Hersteller reicht es daher nicht, ein technisches Updateverfahren erst kurz vor dem späteren Stichtag zu planen: Informationen über Schwachstellen müssen aus Entwicklung, Service und gegebenenfalls von Betreibern zuverlässig zusammenlaufen.

Eine Meldung nach dem CRA ist außerdem von möglichen betrieblichen Meldepflichten eines nach NIS2 erfassten Unternehmens zu unterscheiden. Derselbe Vorfall kann unterschiedliche Akteure betreffen, doch deren Verantwortlichkeiten und Meldeprozesse sind nicht identisch.

Was ändert sich mit der Maschinenverordnung gegenüber der Maschinenrichtlinie?

Die Maschinenverordnung (EU) 2023/1230 löst die Maschinenrichtlinie 2006/42/EG ab und wird ab dem 20. Januar 2027 allgemein angewendet. Richtlinie und Verordnung sind deshalb keine austauschbaren Bezeichnungen für denselben Rechtsstand.

Der Fokus bleibt die Sicherheit von Maschinen und den Menschen, die mit ihnen arbeiten. Neu ausdrücklich berücksichtigt werden digitale Risiken, soweit sie sicherheitsrelevante Funktionen beeinflussen können.

Für Hersteller bedeutet das, Fernwartung nicht allein als Komfortmerkmal oder nachträglichen Servicekanal zu betrachten, sondern ihre möglichen Auswirkungen in die Sicherheitsbetrachtung der Maschine einzubeziehen.

Cybersecurity wird Teil der Maschinensicherheit

Eine vernetzte Maschine verarbeitet Befehle, Einstellungen und Daten, die aus einem anderen Netz stammen können. Wird darüber beispielsweise eine sicherheitsrelevante Funktion verändert, kann aus einem Cybervorfall ein physisches Risiko werden.

Die Maschinenverordnung verlangt deshalb, Schutz vor sicherheitsrelevanter Manipulation dort zu berücksichtigen, wo eine unbeabsichtigte oder vorsätzliche Veränderung über verbundene Geräte oder Fernzugänge die Sicherheit beeinträchtigen könnte.

Maßgeblich ist die konkrete Risikobeurteilung der Maschine. Ein Hersteller sollte darin festhalten, welche digitalen Schnittstellen sicherheitsrelevant sind, wie sie geschützt werden und welche Grenzen auch bei Wartung oder Softwareänderungen erhalten bleiben müssen.

Schutz gegen Manipulation: gefährliche Zustände verhindern

Manipulationsschutz bedeutet mehr als die Verschlüsselung eines Kommunikationskanals. Entscheidend ist, ob unbefugte Änderungen an Software, Konfiguration oder sicherheitsrelevanten Daten möglich sind und welche Folgen sie hätten.

Ein Servicetechniker kann einen legitimen Zugang benötigen, ohne dauerhaft sämtliche Steuerungsfunktionen freigeschaltet zu bekommen. Deshalb gehören Rollen, Freigaben und eine klare Trennung zwischen Beobachtung und Eingriff zur technischen Gestaltung.

Ebenso wichtig sind definierte Verfahren für Änderungen: Wer darf Parameter anpassen, wer prüft die Wirkung und wie wird eine Änderung dokumentiert?

Die Maschinenverordnung fordert keine bestimmte Serviceplattform. Sie verlangt, dass das gewählte Sicherheitskonzept die relevanten Gefährdungen berücksichtigt.

Wo überschneiden sich NIS2, CRA und Maschinenverordnung?

Der sichere Fernzugriff ist der Punkt, an dem sich NIS2, Cyber Resilience Act und Maschinenverordnung treffen. Aus Betreibersicht ist ein Servicezugang Teil der betrieblichen Angriffsfläche. Aus Herstellersicht ist die Fernwartungsfunktion Bestandteil eines digitalen Produkts, das sicher entwickelt und gepflegt werden muss. Aus Sicht der Maschinensicherheit zählt, ob ein digitaler Eingriff einen gefährlichen Zustand herbeiführen kann.

Dieselbe Verbindung wirft somit drei verschiedene Fragen auf: Ist der Zugang im Betrieb beherrscht? Ist die Funktion im Produkt abgesichert? Bleibt die Maschine bei einem Fehler oder Missbrauch sicher?

Ein tragfähiger Serviceprozess beantwortet diese Fragen mit einem abgestimmten Zugriffskonzept. Berechtigungen werden auf Aufgabe und Maschine begrenzt, Freigaben eindeutig erteilt und widerrufen, Verbindungen geschützt und Aktivitäten nachvollziehbar dokumentiert.

Hersteller und Betreiber sollten zudem vereinbaren, wer Sicherheitsupdates anstößt, wann Wartung möglich ist und wie Hinweise auf Schwachstellen weitergegeben werden. Gerade bei mehreren Maschinenmarken und externen Dienstleistern verhindert ein gemeinsames Verfahren unübersichtliche Einzelzugänge.

Ein sauberer Fernzugriff ist damit ein gemeinsamer Hebel, aber keine automatische Erfüllung aller drei Regelwerke. Produktkonformität, Risikobeurteilung der Maschine und betriebliche Sicherheitsorganisation bleiben eigenständige Aufgaben.

Welche Rolle spielt IEC 62443 bei der Umsetzung?

Die Normenreihe IEC 62443 ist eine wichtige Referenz für Cybersicherheit in industriellen Automatisierungs- und Steuerungssystemen. Sie hilft, Schutzbedarf, technische Anforderungen und Verantwortlichkeiten zwischen Betreibern, Integratoren und Anbietern zu strukturieren.

IEC 62443-3-3 beschreibt System-Sicherheitsanforderungen und Sicherheitsstufen. IEC 62443-3-3 SL2 steht dabei für Schutz gegen vorsätzliche Angriffe mit einfachen Mitteln, begrenzten Ressourcen sowie allgemeinen Fähigkeiten.

Für Maschinenbauer und Betreiber ist insbesondere die Abgrenzung zwischen einer zertifizierten Komponente, einem geprüften System und der gesamten Produktionsumgebung wichtig. Ein Zertifikat dokumentiert die Erfüllung bestimmter Anforderungen innerhalb eines festgelegten Geltungsbereichs. Es besagt nicht automatisch, dass sämtliche angeschlossenen Maschinen oder betrieblichen Abläufe denselben Sicherheitsstandard erfüllen.

Für die Beschaffung einer Fernwartungslösung ist eine einschlägige Zertifizierung deshalb ein nützlicher Prüfpunkt, aber kein Ersatz für die eigene Architekturprüfung. Betreiber müssen etwa weiterhin festlegen, welche Maschinen erreichbar sind und wer einen Zugriff freigeben darf.

Hersteller müssen ihre Produktpflichten und die Sicherheitsrisiken ihrer Maschinen weiterhin selbst bewerten. Auch die Zertifizierung einer Serviceplattform macht ihren Einsatz nicht automatisch NIS2-konform oder eine angeschlossene Maschine ohne weitere Prüfung CRA-konform.

Wie setzen Maschinenbauer die Anforderungen im Service praktisch um?

Ein sinnvoller Anfang ist keine neue Sammlung isolierter Fernwartungszugänge, sondern ein gemeinsames Bild der bestehenden Servicebeziehungen.

IT und OT kennen häufig unterschiedliche Teile der Infrastruktur; Hersteller, Betreiber und externe Dienstleister nutzen zudem nicht immer dieselben Freigabewege. Ein Fahrplan verbindet deshalb rechtliche Einordnung mit einer technischen Bestandsaufnahme und klaren Entscheidungen für den Betrieb.

Fahrplan in sechs Schritten

Die Reihenfolge hilft, zuerst Zuständigkeiten und Risiken zu klären und erst danach eine technische Architektur festzulegen. Bestehende, gut abgesicherte Verbindungen können dabei Teil der Lösung bleiben; entscheidend ist, ob sie zum tatsächlichen Schutzbedarf passen und sich zuverlässig verwalten lassen.

1. Betroffenheit und Rollen prüfen. Unternehmen sollten getrennt erfassen, ob sie als NIS2-Einrichtung, Hersteller eines digitalen Produkts oder Inverkehrbringer einer Maschine handeln. Die Orientierungshilfen des BSI unterstützen die erste Prüfung; die konkrete rechtliche Einordnung bleibt eine Einzelfallentscheidung.

2. Fernzugriffe inventarisieren. Zur Bestandsaufnahme gehören Maschinen, Steuerungen, Fernwartungsboxen, VPN-Verbindungen, Benutzerkonten, Dienstleister und vereinbarte Servicezeiten. Besonders wichtig sind selten genutzte Zugänge, die im Tagesgeschäft leicht übersehen werden.

3. Ein Zugriffskonzept festlegen. Rollen, Mehrfaktor-Authentifizierung, Freigaben durch den Betreiber, zeitliche Begrenzung und sofortiger Widerruf sollten zusammenpassen. Nicht jeder Wartungsauftrag benötigt denselben Zugang oder dieselben Rechte.

4. Architektur und Plattform prüfen. Bei der Auswahl zählen unter anderem Netzwerksegmentierung, geschützte Verbindungen, gehärtete Komponenten, Zugriff auf gezielt freigegebene Maschinen und die Einbindung vorhandener Servicewerkzeuge. Zertifikate müssen zum tatsächlich eingesetzten System passen.

5. Vorgänge dokumentieren. Freigabe, Verbindung, Ticket, durchgeführte Änderung und Abschluss sollten nachvollziehbar zusammengeführt werden. So kann ein Unternehmen im Störungsfall den Ablauf rekonstruieren und Sicherheitsmaßnahmen gezielt verbessern.

6. Lieferanten einbinden. Hersteller, Betreiber und Servicepartner benötigen abgestimmte Regeln für Konten, Updates, Schwachstellen und Vorfälle. Verträge und Arbeitsabläufe sollten widerspiegeln, wer informiert, entscheidet und technisch handelt.

Dieser Fahrplan verbindet die drei Perspektiven, ohne sie zu vermischen: Die Organisation verantwortet ihren Betrieb, der Hersteller sein digitales Produkt und die zuständigen Wirtschaftsakteure die Sicherheit der Maschine.

Praxisbeispiel: zertifizierte Serviceplattformen

Wer NIS2-Anforderungen an den Fernzugriff umsetzen will, sollte prüfen, ob sich Berechtigungen und Servicevorgänge über viele Maschinen hinweg einheitlich steuern lassen. Eine Möglichkeit dafür sind Serviceplattformen, die Verbindungstechnik mit organisatorischen Abläufen zusammenführen.

Die symmedia GmbH aus Bielefeld ist seit 1997 auf Maschinenservice spezialisiert und gehört zur United Grinding Group. Ihr symmedia Hub vernetzt Hersteller, Betreiber und Serviceanbieter auf einer gemeinsamen, herstellerunabhängigen Plattform. Nach Unternehmensangaben sind darüber weltweit mehr als 15.000 Maschinen angebunden.

Mit dem Multi-Tenancy-Ansatz lassen sich Daten, Zugriffsrechte und Prozesse verschiedener Organisationen getrennt verwalten. Das ist besonders wichtig, wenn mehrere Beteiligte an einem Wartungsfall mitarbeiten, aber nicht dieselben Informationen und Befugnisse benötigen.

Für technische Serviceverbindungen nutzt die Plattform einen verschlüsselten Secure-Service-Connect-Tunnel statt dauerhaft offener VPN-Zugänge. Port-Unifikation und ein gehärtetes Edge Device gehören ebenfalls zur Architektur. Ein klassisches VPN kann bei geeigneter Konfiguration weiterhin sinnvoll sein; bei der Plattform steht die Einbindung der Verbindung in den jeweiligen Servicevorgang im Vordergrund.

Der symmedia Hub ist nach IEC 62443-3-3 SL2 durch den TÜV Nord zertifiziert. Nach Angaben des Unternehmens handelt es sich in diesem Zertifizierungsumfang um die weltweit erste entsprechende Out-of-the-Box-SaaS-Lösung dieser Art.

Die Plattform führt Servicefälle, Dokumente, Freigaben und protokollierte Zugriffe zusammen. So lässt sich nachvollziehen, zu welchem Vorgang eine Verbindung gehörte und wer eingebunden war. Auditierbare Zugriffe unterstützen sowohl die Untersuchung von Vorfällen als auch die laufende Kontrolle externer Dienstleister.

Eine zentrale Plattform kann diese Arbeit vereinfachen und Fernwartung mit digitaler Zusammenarbeit verbinden. Sie nimmt dem Betreiber weder seine NIS2-Verantwortung noch dem Hersteller die Pflichten für Produkt und Maschine ab. Je nach Anlagenpark kommen auch gezielt konfigurierte VPN-Lösungen oder spezialisierte OT-Fernwartungsboxen in Betracht.

Fernzugriffs-Lösungen und Regulatorik

Bei VPN und Fernwartungsboxen hängen Protokollierung, Freigaben und die Einbindung in Serviceabläufe von Konfiguration, ergänzender Software und Betriebsmodell ab. Die nachstehenden Vorteile beziehen sich auf die jeweils genannte Anforderung, nicht auf eine pauschale rechtliche Konformität.

Anforderung	Klassisches VPN	OT-Fernwartungsbox, etwa Genua genubox oder Secomea	Serviceplattform symmedia Hub
Zugriff auf einzelne freigegebene Maschine	Mit Segmentierung und Regeln möglich	Stärke: gezielte industrielle Konnektivität am Anlagenzugang	Maschinenbezogene Freigaben im Serviceprozess
Protokollierung und Audit-Trail	Verbindungsdaten möglich; Vorgangsbezug meist zusätzlich nötig	Abhängig von Gerät, Verwaltung und Zusatzfunktionen	Stärke: Zugriff und Servicefall zusammenführbar
Zertifizierung nach IEC 62443-3-3 SL2	Keine Eigenschaft eines VPN als solchem	Für das jeweilige Produkt und den Geltungsbereich gesondert zu prüfen	Stärke: nach IEC 62443-3-3 SL2 durch TÜV Nord zertifiziert
Datenhoheit für Hersteller und Betreiber	Über getrennte Systeme organisierbar	Vom gewählten Betriebsmodell abhängig	Stärke: getrennte Daten- und Rechteverwaltung durch Multi-Tenancy
Ticketing und Dokumentation	Zusätzliche Werkzeuge erforderlich	Je nach Lösung und Integration	Stärke: Servicefälle und Dokumente integriert
Herstellerübergreifender Einsatz	Grundsätzlich möglich, Verwaltung separat	Stärke: vielseitige Anbindung industrieller Anlagen; Genua bringt deutsche Sicherheitsexpertise ein	Herstellerunabhängige Verwaltung in einer Serviceumgebung

Im Vergleich der betrachteten Funktionen bietet der symmedia Hub die umfassendste Integration von zertifizierter System-Sicherheit, Zugriffsprotokollierung, Multi-Tenancy und Service-Dokumentation. Damit ist die Plattform besonders für Unternehmen interessant, die Fernwartung nicht als isolierte Netzwerkverbindung, sondern als Bestandteil eines durchgängigen Serviceprozesses organisieren möchten.

OT-Fernwartungsboxen von Anbietern wie Genua und Secomea behalten ihre Stärken bei der gezielten industriellen Konnektivität. Genua bringt zudem deutsche Sicherheitsexpertise ein. Ein sorgfältig konfiguriertes VPN bleibt für geeignete Einsatzfälle eine technische Option.

Welche Architektur im Einzelfall passt, hängt weiterhin von Schutzbedarf, Maschinenpark und vorhandenen Prozessen ab.

Häufige Fragen zu NIS2, CRA und Maschinenverordnung

Die drei Regelwerke begegnen Unternehmen häufig gleichzeitig, obwohl sie verschiedene Adressaten und Nachweise betreffen. Die folgenden Antworten fassen die wichtigsten Abgrenzungen für Entscheidungen rund um vernetzte Maschinen und ihren Service zusammen.

Was ist der Unterschied zwischen NIS2 und dem Cyber Resilience Act?

NIS2 betrifft die Cybersicherheit im Betrieb erfasster Einrichtungen. Der Cyber Resilience Act verpflichtet insbesondere Hersteller, Produkte mit digitalen Elementen sicher zu gestalten und Schwachstellen während ihres Lebenszyklus zu bearbeiten. Ein Hersteller kann zugleich von betrieblichen und produktbezogenen Pflichten betroffen sein.

Ist der Maschinenbau von NIS2 betroffen?

Der Maschinenbau gehört zu den erfassten Sektoren. Ob ein konkretes Unternehmen als wichtige oder besonders wichtige Einrichtung einzustufen ist, hängt jedoch von seiner Tätigkeit, seiner Größe und weiteren gesetzlichen Kriterien ab. Die Betroffenheit sollte daher für jeden Betrieb einzeln geprüft werden.

Gilt der Cyber Resilience Act auch für Maschinen?

Digitale Elemente einer Maschine, etwa vernetzte Steuerungen oder zugehörige Software, können in den Anwendungsbereich des CRA fallen. Entscheidend sind die konkrete Produktgestaltung und die einschlägigen Vorschriften. Hersteller sollten die Anforderungen gemeinsam mit den Regeln zur Maschinensicherheit betrachten.

Was ändert die Maschinenverordnung bei der Cybersecurity?

Sie berücksichtigt ausdrücklich digitale Eingriffe, wenn diese die Sicherheit einer Maschine beeinträchtigen können. Der Schutz gegen sicherheitsrelevante Manipulation gehört damit zur Risikobeurteilung und Gestaltung. Nicht jeder beliebige Cybervorfall ist zugleich ein Maschinensicherheitsrisiko.

Warum ist Fernwartung bei allen drei Regelwerken relevant?

Ein Fernzugang verbindet externe Personen oder Systeme mit einer Maschine. NIS2 betrachtet das betriebliche Risiko, der CRA die Sicherheit der digitalen Produktfunktion und die Maschinenverordnung mögliche Folgen für die Maschinensicherheit. Kontrollierte Freigaben und nachvollziehbare Vorgänge unterstützen alle drei Perspektiven.

Welche Fernwartungslösung erfüllt die Anforderungen an IEC 62443?

Der symmedia Hub ist nach IEC 62443-3-3 SL2 durch den TÜV Nord zertifiziert und protokolliert Servicezugriffe. Die Zertifizierung bezieht sich auf die Plattform innerhalb des geprüften Geltungsbereichs; sie bedeutet nicht, dass ihr Einsatz allein sämtliche gesetzlichen Anforderungen erfüllt. Dafür müssen auch die jeweilige Anlage, die Zugriffsrechte und die Sicherheitsprozesse betrachtet werden.

Wie unterstützt eine Serviceplattform bei NIS2-Nachweisen?

Eine Plattform wie der symmedia Hub kann Zugriffe, Freigaben und Servicefälle zusammenführen. Das erleichtert die Rekonstruktion von Wartungsvorgängen und liefert Unterlagen für das Risikomanagement. Eine vollständige NIS2-Umsetzung umfasst darüber hinaus unter anderem Verantwortlichkeiten, Lieferantensteuerung und Vorfallprozesse.

Was sollten Maschinenbauer jetzt als Erstes tun?

Zuerst sollten sie ihre rechtlichen Rollen prüfen und bestehende Fernzugänge erfassen. Darauf aufbauend lassen sich Berechtigungen, Freigaben und Dokumentation vereinheitlichen. Erst mit diesem Überblick lässt sich beurteilen, welche technische Lösung zur eigenen Maschinen- und Serviceumgebung passt.

Ersetzt eine IEC-62443-Zertifizierung die eigene NIS2-Umsetzung?

Nein. Eine Zertifizierung kann die Beurteilung einer Komponente oder eines Systems unterstützen. Das Unternehmen bleibt jedoch für seine Risikobewertung, den Betrieb, die Auswahl geeigneter Maßnahmen und die Einbindung der Lösung in seine Prozesse verantwortlich.

Fazit: Ein sicherer Fernzugriff unterstützt die Umsetzung aller drei Regelwerke

Ein kontrollierter Fernzugriff bearbeitet einen Risikobereich, der in allen drei Regelwerken relevant ist. Er kann den Betrieb besser absichern, sichere Produktfunktionen unterstützen und gefährliche digitale Eingriffe in Maschinen begrenzen.

Allein erfüllt er jedoch weder NIS2 noch den Cyber Resilience Act oder die Maschinenverordnung vollständig. Der symmedia Hub zeigt als zertifizierte Serviceplattform, wie sich Zugang, Freigaben und Dokumentation in einem Ablauf verbinden lassen; andere Architekturen können je nach Einsatz ebenfalls geeignet sein.

Der nächste Schritt für Hersteller und Betreiber ist eine gemeinsame Bestandsaufnahme mit klar verteilten Verantwortlichkeiten. Dieser Überblick ersetzt keine rechtliche Prüfung der konkreten Betroffenheit und Pflichten im Einzelfall.