Pilz: Safety braucht Industrial Security

Vernetzte Produktionsanlagen, digitale Fernzugriffe und softwarebasierte Sicherheitsfunktionen verändern die Anforderungen an die Maschinensicherheit grundlegend. Klassische Maßnahmen der funktionalen Sicherheit allein reichen nach Einschätzung des Automatisierungsunternehmens Pilz nicht mehr aus. Vielmehr müssten Safety und Industrial Security gemeinsam betrachtet und über den gesamten Lebenszyklus einer Maschine hinweg umgesetzt werden.

„Eine gemeinsame Betrachtung von Safety und Security ist unerlässlich“, erklärte Thomas Pilz, geschäftsführender Gesellschafter der Pilz GmbH & Co. KG, auf der Pressekonferenz. Die aktuellen europäischen Regelwerke machten deutlich, dass Security künftig nicht mehr als freiwillige Ergänzung behandelt werden könne. Insbesondere die NIS-2-Richtlinie, die neue Maschinenverordnung und der Cyber Resilience Act erhöhten die Anforderungen an Hersteller, Integratoren und Betreiber.

Security wird zur Voraussetzung für den Marktzugang

Die europäische Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027 und führt funktionale Sicherheit und Industrial Security enger zusammen. Damit wird der Zugang zum europäischen Markt künftig noch stärker davon abhängen, ob Maschinen und Anlagen gegen Manipulationen, unberechtigte Zugriffe und unsichere Softwareänderungen geschützt sind.

„Security ist nicht mehr optional, sondern verbindlich vorgeschrieben“, betonte T. Pilz. Hersteller müssten ihre Produkte, Entwicklungsprozesse und Dokumentationen entsprechend anpassen. Betreiber wiederum seien gefordert, neben dem sicheren Betrieb der Maschinen auch einen angemessenen Schutz vor Cyberrisiken sicherzustellen.

Pilz sieht sich dabei in einer besonderen Position. Das Unternehmen verbindet sein Portfolio für funktionale Maschinensicherheit mit Produkten und Dienstleistungen für Industrial Security. Gleichzeitig werden die eigenen Automatisierungsprodukte auf die Anforderungen der Maschinenverordnung und des Cyber Resilience Acts vorbereitet.

„Sicherheit beginnt künftig dort, wo Safety und Security Hand in Hand gehen“, sagte T. Pilz. Beide Bereiche seien eigenständige strategische Dimensionen, müssten jedoch innerhalb eines ganzheitlichen Sicherheitskonzepts konsequent zusammengedacht werden.

Neue Dienstleistungen für die Maschinen-Security

Neben Automatisierungslösungen baut Pilz sein Beratungs- und Trainingsangebot für Industrial Security aus. Bereits im vergangenen Jahr startete das Unternehmen ein mehrstufiges Trainingsprogramm. Mitte 2026 sollen weltweit zwei modular aufgebaute Dienstleistungen hinzukommen: die „Security Evaluation of Machinery“, kurz SEM, und das „Security Assessment of Machinery“, SAM.

Die Angebote sollen Unternehmen dabei unterstützen, Security-Risiken systematisch zu bewerten und Schwachstellen an Maschinen und Anlagen zu identifizieren. Ergänzt wird das Portfolio durch Lösungen für das Identification and Access Management, mit denen sich Zugriffe auf Maschinen, Anlagen und sicherheitsrelevante Funktionen kontrollieren lassen.

Auch cloudbasierte Anwendungen und künstliche Intelligenz spielen nach Angaben des Unternehmens eine zunehmende Rolle. Mit der MYZEL Lifecycle Platform können Maschinen-, Prozess- und Personaldaten zentral verwaltet werden. Ziel ist ein durchgängiges Sicherheitskonzept, das von der Konstruktion und Inbetriebnahme über den Betrieb bis zu Umbauten und Modernisierungen reicht. Für T. Pilz ist Sicherheit dabei nicht allein ein Schutzmechanismus: „Sie ist die Voraussetzung für Vertrauen und Fortschritt.“ Sichere Systeme könnten Unternehmen dabei helfen, zuverlässiger zu investieren, schneller zu skalieren und neue Technologien einzusetzen.

Maschinenverordnung verlangt Security-by-Design

Welche konkreten Veränderungen sich aus der Maschinenverordnung ergeben, erläuterte Jürgen Bukowski, Senior Manager Consulting & Services Operations bei Pilz. Nach seiner Einschätzung markiert die Verordnung einen Paradigmenwechsel in der industriellen Sicherheit.

Die zunehmende Digitalisierung und Vernetzung habe die Risikolage deutlich verändert. Cyberangriffe, Manipulationen und schlecht abgesicherte Fernzugriffe könnten mittelbar auch Sicherheitsfunktionen beeinträchtigen. Damit werde Industrial Security zu einer Voraussetzung dafür, dass funktionale Schutzmaßnahmen dauerhaft zuverlässig arbeiten.

Eine zentrale Forderung ist Security-by-Design. Schutzmaßnahmen gegen Manipulation, unbefugte Zugriffe oder unsichere Softwareänderungen müssen bereits während der Konstruktion und Entwicklung berücksichtigt werden. Es genügt damit nicht, eine fertige Maschine nachträglich durch einzelne Security-Produkte abzusichern.

Hersteller benötigen vielmehr einen systematischen Entwicklungsprozess, der mögliche Angriffswege, Zugriffsrechte, Update-Prozesse und die Integrität sicherheitsrelevanter Software frühzeitig einbezieht. „Der Zugang zum europäischen Markt ist künftig an umfassende Sicherheits- und Securityanforderungen geknüpft – und wird damit zu einem entscheidenden Wettbewerbsfaktor“, erklärte J. Bukowski.

Digitale Dokumentation über mindestens zehn Jahre

Mit der Maschinenverordnung gewinnt außerdem die digitale Dokumentation an Bedeutung. Betriebsanleitungen und Konformitätserklärungen können digital bereitgestellt werden, müssen dann aber über mindestens zehn Jahre verfügbar bleiben.

Für Maschinenbauer entstehen daraus neue Anforderungen an Datenhaltung, Versionsmanagement und Nachverfolgbarkeit. Unternehmen müssen sicherstellen, dass technische Unterlagen nicht nur zum Zeitpunkt des Inverkehrbringens vorliegen, sondern auch langfristig eindeutig einer Maschine und ihrem jeweiligen Entwicklungsstand zugeordnet werden können.

Darüber hinaus müssen Update- und Fernzugriffsprozesse klar geregelt sein. Sicherheitsrelevante Funktionen sollen überprüfbar bleiben, ohne dass durch Softwareänderungen oder Wartungszugriffe neue Gefährdungen entstehen. Eine wichtige Rolle spielen dabei Diagnosedaten. Sie zeigen nicht nur an, dass ein Fehler oder eine Abschaltung aufgetreten ist, sondern können nachvollziehbar machen, weshalb eine Safety-Funktion ausgelöst hat. Diese Transparenz hilft nach Angaben von Pilz, Ursachen schneller zu finden, Stillstandszeiten zu verkürzen und Anlagen effizienter wieder in Betrieb zu nehmen.

Klare Regeln für verkettete Anlagen

Die Maschinenverordnung schafft zudem mehr Klarheit für sogenannte Gesamtheiten von Maschinen. Werden einzelne Maschinen oder unvollständige Maschinen zu einer verketteten Anlage verbunden und entstehen dadurch neue Schnittstellenrisiken, gilt derjenige, der die Anlage zusammenfügt, rechtlich als Hersteller der Gesamtanlage.

Damit übernimmt der Integrator beziehungsweise Betreiber konkrete Verpflichtungen. Er ist beispielsweise dafür verantwortlich, dass eine anlagenweite Not-Halt-Funktion zuverlässig arbeitet und alle Komponenten sicher zusammenwirken. Die Risikobeurteilung darf sich in diesem Fall nicht auf die Einzelmaschinen beschränken, sondern muss die vollständige verkettete Anlage erfassen.

Gleichzeitig wird das Konzept der „wesentlichen Veränderung“ erstmals ausdrücklich gesetzlich verankert. Bei Umbauten können vorhandene Prüfungen und Dokumentationen für unveränderte Anlagenteile weiterhin genutzt werden, sofern durch die Änderung keine neuen Risiken für diese Bereiche entstehen. Diese Regelung kann den Aufwand bei Modernisierungen reduzieren. Voraussetzung ist allerdings eine sorgfältige Bewertung, welche Auswirkungen die Veränderung auf das Sicherheitskonzept der Gesamtanlage hat.

Europäische Vorgaben mit weltweiter Wirkung

Nach Einschätzung von Pilz reicht die Bedeutung der Maschinenverordnung weit über die Europäische Union hinaus. Hersteller aus Drittstaaten müssen ihre Produkte und Prozesse ebenfalls anpassen, wenn sie Maschinen im europäischen Wirtschaftsraum anbieten wollen.

Insbesondere die Anforderungen an Cybersecurity, sichere Softwareprozesse, digitale Dokumentation und die Verkettung von Maschinen könnten sich international als Referenz etablieren. „Die Maschinenverordnung definiert, was künftig als Stand der Technik in der industriellen Sicherheit gilt – weltweit“, sagte J. Bukowski.

Unternehmen sollten daher nicht bis zum Geltungsbeginn der Verordnung warten. Entwicklungsprozesse, Verantwortlichkeiten und technische Architekturen müssten frühzeitig überprüft werden. Aus Sicht von Pilz können Unternehmen die regulatorischen Anforderungen zugleich nutzen, um Abläufe zu verbessern, Risiken zu reduzieren und ihre Wettbewerbsfähigkeit zu stärken.

Geschützte Zonen für sicherheitsrelevante Funktionen

Wie sich Safety und Security technisch miteinander verbinden lassen, erläuterte Andreas Willert, Head of Industrial Security bei Pilz Österreich. Sein Ausgangspunkt: Sicherheitsfunktionen können nur zuverlässig arbeiten, wenn sie gegen unberechtigte oder versehentliche Veränderungen geschützt sind.

„Security ist heute kein Zusatzthema mehr, sondern Grundvoraussetzung für funktionierende Safety“, stellte A. Willert fest. Moderne Maschinen würden über Software konfiguriert, digital vernetzt und während des Betriebs angepasst. Jede unberechtigte Änderung könne deshalb dazu führen, dass Schutzmechanismen nicht mehr wie vorgesehen reagieren.

Orientierung bieten unter anderem die Normenreihe IEC 62443 sowie die entstehende EN 50742. Sie fordern systematische Security-Architekturen, eine strukturierte Risikobewertung und eine klare Segmentierung industrieller Netzwerke.

Im Mittelpunkt steht dabei das Prinzip „Zones and Conduits“. Maschinen- und Anlagenteile werden entsprechend ihrem Schutzbedarf in Zonen gegliedert. Die Kommunikationswege zwischen diesen Zonen – die sogenannten Conduits – werden kontrolliert und auf die tatsächlich notwendigen Verbindungen beschränkt. Dadurch entsteht eine Defence-in-Depth-Architektur mit mehreren, aufeinander aufbauenden Schutzebenen. Wird eine einzelne Schutzmaßnahme überwunden, sollen weitere Barrieren verhindern, dass ein Angreifer unmittelbar auf kritische Systeme zugreifen kann.

Safety und Standardautomatisierung trennen

Pilz setzt nach Angaben Willerts auf eine möglichst klare Trennung von Safety und Standard Automation. Sicherheitsfunktionen laufen auf separater Hardware und werden technisch sowie organisatorisch von der Standardautomatisierung abgeschottet. Dadurch bleiben sie weitgehend unabhängig von Softwareupdates, Fehlkonfigurationen oder Angriffen im Produktionsnetzwerk. Je stärker die Isolation der Safety-Systeme ausfällt, desto kleiner ist die Angriffsfläche und desto geringer kann der zusätzliche Aufwand für Security-Maßnahmen sein.

Ein möglicher Ansatz besteht darin, alle Geräte, die sicherheitsgerichtete Funktionen ausführen, in einem eigenen Netzwerksegment zusammenzufassen. Für dieses Segment werden klare Zugriffsrichtlinien und Authentifizierungsmechanismen festgelegt.

Das ist nach Einschätzung von Pilz auch deshalb praktikabel, weil Safety-Systeme im Vergleich zur Standardautomatisierung meist nur selten verändert werden. Wichtig sei jedoch, dass die einmal definierten Schutzmaßnahmen über den gesamten Lebenszyklus der Maschine hinweg erhalten und regelmäßig überprüft werden.

Diagnose ohne Zugriff auf die Safety-Funktionen

Eine vollständige Abschottung darf allerdings nicht dazu führen, dass notwendige Informationen aus der Safety-Zone nicht mehr verfügbar sind. Besonders bei großen Maschinen und komplexen Anlagen müssen Instandhalter schnell erkennen können, weshalb eine Sicherheitsfunktion ausgelöst hat.

Mögliche Fragen sind, welcher Not-Halt betätigt wurde, an welcher Stelle ein Lichtgitter unterbrochen wurde oder ob ein Kurzschluss in der Verkabelung vorliegt. Solche Diagnosedaten können an eine Standardsteuerung oder ein übergeordnetes System weitergegeben werden.

Voraussetzung ist, dass die Kommunikation eindeutig gerichtet und kontrolliert erfolgt. Das Standardsystem darf Diagnosedaten empfangen, aber nicht auf die eigentlichen Safety-Funktionen in der geschützten Zone zugreifen oder diese verändern. „Bei Diagnosedaten geht es nicht nur um die Frage: Was ist kaputt? Entscheidend ist vor allem: Was ist genau passiert?“, erläuterte A. Willert. Eine entsprechende Architektur könne die Fehlersuche beschleunigen und die Verfügbarkeit der Anlagen erhöhen.

Nicht vernetzte Sicherheitstechnik reduziert die Angriffsfläche

Für einfache Anwendungen verweist Pilz auf Sicherheitsrelais der Pnoz-Familie. Für umfangreichere Maschinen kann das modular aufgebaute Sicherheitsschaltgerät myPNOZ eingesetzt werden. Da diese Lösungen keine Netzwerkverbindung benötigen, sind sie nicht direkt aus der Ferne angreifbar. Damit sinkt nicht nur das Cyberrisiko. Auch der Entwicklungs-, Validierungs- und Pflegeaufwand kann geringer ausfallen, weil weniger Schnittstellen und Kommunikationswege betrachtet werden müssen.

Für größere und flexiblere Anwendungen stehen konfigurierbare Systeme wie Pnozmulti 2 zur Verfügung. Unabhängige Safety-Systeme lassen sich nach Angaben von Pilz herstellerübergreifend in unterschiedliche Automatisierungsumgebungen integrieren.

Die Trennung von Safety und Standardautomatisierung soll mehrere Vorteile verbinden: Sicherheitsfunktionen bleiben vor ungewollten Änderungen geschützt, Anpassungen im Standardsystem wirken sich nicht unmittelbar auf die Safety aus, und Zertifizierungs- beziehungsweise Update-Prozesse lassen sich voneinander abgrenzen. Zugleich soll die Komplexität für das Bedienpersonal sinken. Die Schutzwirkung entsteht weitgehend durch die Architektur und ist damit weniger davon abhängig, dass jeder Anwender über tiefgehende Kenntnisse der Industrial Security verfügt.

Kompetenzaufbau wird zum Teil des Sicherheitskonzepts

Technische Schutzmaßnahmen allein reichen aus Sicht von Pilz jedoch nicht aus. Mitarbeiter, Planer und Verantwortliche müssen verstehen, wie Security-Risiken entstehen und wie sichere Architekturen über den gesamten Maschinenlebenszyklus erhalten werden.

Das Unternehmen ergänzt seine Produkte deshalb durch Trainings- und Serviceangebote. Die Inhalte reichen von Grundlagen der Industrial Security bis zur Qualifizierung zum „Certified Expert for Security in Automation“, kurz CESA.

Ziel ist es, das notwendige Wissen insbesondere bei den Personen aufzubauen, die Maschinen und Anlagen planen, auslegen, in Betrieb nehmen und betreiben. Sie müssen nicht nur einzelne Security-Komponenten auswählen, sondern auch Zugriffsrechte, Netzwerkstrukturen, Softwareänderungen und organisatorische Prozesse aufeinander abstimmen. A. Willert fasste den Ansatz als „Security for Safety“-Strategie zusammen. Robuste Technik, klare Strukturen und gezielte Weiterbildung sollen dazu beitragen, Normanforderungen zu erfüllen und zugleich den Aufwand im täglichen Betrieb beherrschbar zu halten.

Frühzeitige Vorbereitung schafft Wettbewerbsvorteile

Die drei Redebeiträge machten deutlich, dass Pilz die Verbindung von Safety und Industrial Security nicht nur als regulatorische Pflicht betrachtet. Sie soll vielmehr zur Grundlage zuverlässiger, flexibler und langfristig wirtschaftlicher Automatisierung werden.

Maschinenbauer und Betreiber müssen dafür sowohl ihre technischen Architekturen als auch ihre organisatorischen Prozesse überprüfen. Zu klären ist unter anderem, wer für Security-Risiken verantwortlich ist, wie Softwareupdates freigegeben werden, welche Fernzugriffe zulässig sind und wie sicherheitsrelevante Systeme segmentiert werden.

Mit Blick auf den Januar 2027 steigt der Handlungsdruck. Gleichzeitig eröffnet die Maschinenverordnung nach Einschätzung von Pilz die Möglichkeit, bestehende Prozesse zu verbessern und klare Verantwortlichkeiten zu schaffen. „Der Countdown läuft – und die Weichen für zukunftssichere Maschinen werden jetzt gestellt“, erklärte J. Bukowski. Wer Safety und Security frühzeitig gemeinsam betrachtet, kann regulatorische Risiken reduzieren und zugleich die Verfügbarkeit, Nachvollziehbarkeit und Widerstandsfähigkeit seiner Maschinen und Anlagen erhöhen.