Cybersecurity, Maschinenverordnung & Co. : Wie sich die Industrie auf die neuen EU-Richtlinien am besten vorbereitet

Beim Automatisierer Pilz Österreich beschäftigt man sich intensiv mit den neuen Auflagen, die große Auswirkungen auf die gesamte Branche haben werden. Geschäftsführer David Machanek und Gerhard Stockhammer, Vice President Business Development, touren derzeit durch die Bundesländer und klären über die bevorstehenden Regelungen auf. „Es ist besser, sich jetzt schon auf die Änderungen einzustellen. Es ist wichtig, dass die Maschinenhersteller und die Anwender jetzt in Kommunikation treten und die erforderlichen Umsetzungen gemeinsam planen“, so Machanek.

Die neue Maschinenverordnung wird noch heuer im EU-Amtsblatt veröffentlicht werden und in Kraft treten. Danach muss sie nach einer 36-monatigen Übergangsphase verbindlich umgesetzt werden. Auch wenn sie in der Maschinenverordnung nicht explizit genannt werden, spielen sie eine enorme Rolle: Die neue Cybersecurityrichtlinie NIS2 und die KI-Richtlinie. Wie die Wechselwirkung der drei verschiedenen Regulatorien funktioniert, schauen wir uns im Detail an.

„Es wird viele freuen, dass die digitalen Betriebsanleitungen nun kommen, man hat sich jedoch eine Hintertür offen gelassen,“ urteilt Stockhammer. So werden werden künftig digitale Anleitungen zwar zulässig sein, allerdings sollen die Hersteller verpflichtet werden, den Kunden auf Nachfrage bis sechs Monate nach dem Kauf der Maschine eine vollständige Papierversion der Anleitung zur Verfügung zu stellen. Vorgesehen sind auch digitale Konformitätserklärungen, die bis zehn Jahre nach Inbetriebnahme zugänglich gemacht werden müssen. Insofern sei hier ein beträchtlicher Mehraufwand für die Hersteller und Anwender zu befürchten.

Erstmals wird in der Maschinenverordnung auch die Verwendung von KI geregelt, die insbesondere in der Automatisierungstechnik zum Einsatz kommt. Die Risikobewertung und –Minderung müsse künftig Gefährdungen umfassen, die ganz oder teilweise auf die selbstbestimmten Eigenschaften der Anlagen zurückzuführen sind. Die notwendigen Maßnahmen bemessen sich am Risiko der KI-Systeme.

Bei geringem Risiko sind nur wenige Transparenzpflichten vorgesehen. Hochrisikosysteme werden hingegen hohe Anforderungen an Datenqualität, Dokumentation, Transparenz und menschliche Aufsicht stellen. Stockhammer verweist hier auf die KI-Verordnung, die derzeit verhandelt wird und die Grundlage für die Auflagen liefern wird. Klar ist jetzt schon, dass die Zertifizierung von Hochrisikosystemen nur durch externe Prüfer durchgeführt werden dürfen.

Weitreichende Folgen werden auch die Anforderungen für die Cybersecurity nach sich ziehen. So sind umfangreiche Auflagen für die Sicherheit der Anlagen vorgesehen. Die Anschlüsse und Hardwarekomponenten müssen künftig gegen Verfälschungen geschützt sein. Als weitere zusätzliche Auflage kommen Aufzeichnungspflichten. Ein Rückverfolgungsprotokoll der relevanten Daten muss bis zu fünf Jahre zugänglich sein. Ob für die Implementierung der Aufzeichnungssysteme der Hersteller oder die Anwender verantwortlich sind, sei derzeit nicht klar, so Stockhammer.

Die neue Maschinenverordnung, NIS2 und die KI-Richtlinie reihen sich in eine ganze Reihe von Maßnahmen der EU zur Steigerung der Sicherheit und Regulierung von KI in der Industrie, die derzeit auf Schiene gebracht werden.

Eines haben alle Initiativen gemeinsam: Bei Nichteinhaltung sind hohe Strafzahlungen vorgesehen. Insofern, soll man den Gesetzgebungsprozess nicht bis zum letzten Augenblick abwarten, sondern schon jetzt mit der Planung beginnen, sagen die Pilz-Experten. Und in Sachen Sicherheit gelte nach wie vor die altbewährte Weisheit: Das größte Einfallstor ist der Faktor Mensch. So sei es besonders wichtig, die Mitarbeiter zu Schulen, um so das Risiko eines Angriffs zu minimieren.