Maschinenverordnung und CRA: gekoppelt über Normen, nicht über Verweise

Zwei Ziele

Die Maschinenverordnung fragt, ob eine Maschine sicher bleibt. Ihre Anforderungen 1.1.9 und 1.2.1 in Anhang III behandeln Korrumpierung – zufällig oder böswillig, physisch oder über ein Netzwerk – als Ursache von Gefährdungen: ein manipulierter Parameter, eine umgangene Sicherheitsfunktion, ein unsicherer Zustand nach einem Angriff.

Der Cyber Resilience Act fragt, ob ein Produkt mit digitalen Elementen sicher im Sinne der Security ist: sicher durch Design und Voreinstellung, geschützt gegen unbefugten Zugriff, mit Schwachstellenbehandlung und Sicherheitsupdates über den Unterstützungszeitraum.

Beide treffen sich an der Schnittstelle von Safety und Security, stellen aber verschiedene Fragen. Ein Produkt kann security-sicher und trotzdem gefährlich sein, und eine sichere Maschine erfüllt keine CRA-Pflichten wie die Meldung von Schwachstellen.

Warum ein Querverweis nicht funktioniert

Ein direkter Verweis wäre nur sauber, wenn beide Rechtsakte dieselben Produkte und dieselben Anforderungen abdeckten. Das tun sie nicht:

• Anwendungsbereich: Die MVO erfasst Maschinen und dazugehörige Produkte, ob mit oder ohne digitale Elemente; der CRA erfasst Produkte mit digitalen Elementen, einschließlich Software und Komponenten, die keine Maschinen sind.
• Ausnahmen: Jeder Rechtsakt nimmt andere Produktgruppen aus und verweist auf anderes Sektorrecht.
• Inhalt: 1.2.1 umfasst weit mehr als Security (Fehler, Logikfehler, vorhersehbare Fehlbedienung), CRA-Konformität könnte sie nicht ersetzen.

Der CRA-Entwurf verlor deshalb seinen Maschinenartikel, nach dem eine CRA-Konformitätserklärung 1.1.9 und 1.2.1 abgedeckt hätte. Der endgültige CRA hält die Verbindung in Erwägungsgrund 53: Kommission und europäische Normungsorganisationen berücksichtigen den CRA bei der Erarbeitung harmonisierter Normen zur Maschinenverordnung.

Wo die Kopplung entsteht

Konsistenz entsteht über Normen. Normungsgremien legen die Methode fest, die eine Gefährdungsanalyse mit einer Bedrohungsanalyse verbindet, Sicherheitsfunktionen einen Schutzbedarf zuordnet und auf die Security-Maßnahmen der IEC 62443 verweist. Das ist Safety-Security-Konvergenz, methodisch umgesetzt. Der Normentwurf EN 50742 zum Schutz von Maschinen gegen Korrumpierung ist ein Beispiel.

Für die Dokumentation

Die technischen Unterlagen eines Produkts unter beiden Rechtsakten führen zwei Nachweislinien: Risikobeurteilung und Sicherheitsnachweise für die MVO, Cybersicherheitsrisikobewertung und Schwachstellenbehandlung für den CRA, mit ausdrücklichen Verweisen, wo das eine das andere stützt. Nur eine harmonisierte Norm, deren Fundstelle im Amtsblatt veröffentlicht ist, löst eine Konformitätsvermutung aus, und nur für die Anforderungen, die sie abdeckt.