Ab dem 20. Januar 2027 ersetzt die Verordnung (EU) 2023/1230 die Maschinenrichtlinie – ohne Übergangsphase und mit erstmals verbindlichen Cybersecurity-Anforderungen an Maschinen. Wir begleiten Hersteller, Integratoren und Betreiber von der Risikobeurteilung bis zur Konformitätsbewertung.
Die Verordnung (EU) 2023/1230 – kurz Maschinenverordnung (MVO) – ersetzt ab dem 20. Januar 2027 die Maschinenrichtlinie 2006/42/EG. Als EU-Verordnung gilt sie unmittelbar in allen Mitgliedstaaten; eine nationale Umsetzung ist nicht mehr erforderlich. In Deutschland tritt die bisherige 9. ProdSV zum Stichtag außer Kraft; flankierend regelt das MaschinenDG Marktüberwachung, Sprachanforderungen und Sanktionen mit Bußgeldern bis zu 100.000 Euro. Der Stichtag ist hart: Es gibt weder eine Misch- noch eine vorgezogene Wahlphase beim Inverkehrbringen.
Inhaltlich reagiert die Verordnung auf die Digitalisierung des Maschinenbaus: Erstmals werden Cybersecurity-Anforderungen an Maschinen verbindlich, KI-basierte Sicherheitsfunktionen unterliegen einer zwingenden Drittprüfung, und Software kann selbst Sicherheitsbauteil sein. Hinzu kommen die EU-weit einheitliche Definition der wesentlichen Veränderung, digitale Betriebsanleitungen und erweiterte Dokumentationspflichten. Da harmonisierte Normen zu den neuen Anforderungen noch fehlen und Benannte Stellen begrenzte Kapazitäten haben, sollten Hersteller die verbleibende Zeit für Gap-Analyse und Umsetzung nutzen.
Vom Inkrafttreten bis zum harten Stichtag – diese Termine sollten Sie kennen.
Die Verordnung (EU) 2023/1230 wird veröffentlicht und tritt am 19. Juli 2023 in Kraft. Sie ersetzt die Maschinenrichtlinie 2006/42/EG und gilt als Verordnung unmittelbar in jedem Mitgliedstaat.
Die Regelungen zur Notifizierung von Konformitätsbewertungsstellen (Art. 26–42) gelten vorgezogen. Hersteller mit Drittprüfungsbedarf sollten Prüfkapazitäten frühzeitig sichern.
Das Maschinenverordnung-Durchführungsgesetz (BGBl. 2025 I Nr. 302) regelt Marktüberwachung, Sprach- und Sanktionsvorschriften; die materiellen Teile gelten ab dem 20. Januar 2027. Die 9. ProdSV tritt mit Ablauf des 19. Januar 2027 außer Kraft.
Die Mitgliedstaaten teilen der Kommission ihre Sanktionsregelungen mit. In Deutschland sieht das MaschinenDG Bußgelder bis zu 100.000 Euro und bei schweren Verstößen Freiheitsstrafe bis zu einem Jahr vor.
Ab diesem Tag dürfen Maschinen nur noch nach der neuen Verordnung in Verkehr gebracht werden; bis einschließlich 19. Januar 2027 gilt ausschließlich die Maschinenrichtlinie. Vor dem Stichtag in Verkehr gebrachte Ware darf weiter bereitgestellt werden.
Acht Neuerungen, die Konstruktion, Dokumentation und Marktzugang unmittelbar betreffen.
Die Verordnung (EU) 2023/1230 gilt unmittelbar in jedem Mitgliedstaat – abweichende nationale Umsetzungen entfallen. Die bisherige deutsche Maschinenverordnung (9. ProdSV) tritt mit Ablauf des 19. Januar 2027 außer Kraft; flankierend regelt das MaschinenDG Marktüberwachung und Sanktionen.
Mit den Anforderungen 1.1.9 (Schutz gegen Korrumpierung) und 1.2.1 (Sicherheit und Zuverlässigkeit von Steuerungen) enthält Anhang III erstmals verbindliche Security-Vorgaben. Der Schutz sicherheitsrelevanter Hard- und Software gegen unbeabsichtigte und vorsätzliche Eingriffe wird damit Teil der CE-Konformität.
Der Begriff Sicherheitsbauteil umfasst ausdrücklich physische und digitale Bauteile einschließlich Software (Art. 3 Nr. 3). Wer Software mit Sicherheitsfunktion gesondert in Verkehr bringt, trägt eigene Herstellerpflichten inklusive CE-Kennzeichnung.
Sicherheitsbauteile und eingebettete Systeme mit vollständig oder teilweise selbstentwickelndem Verhalten auf Basis maschinellen Lernens stehen in Anhang I Teil A. Für sie ist immer eine Benannte Stelle einzubinden – auch bei vollständiger Anwendung harmonisierter Normen.
Art. 3 Nr. 16 legt EU-weit einheitlich fest, wann eine physische oder digitale Veränderung eine Maschine rechtlich zu einem neuen Produkt macht. Wer eine wesentliche Veränderung vornimmt – etwa beim Retrofit –, gilt als Hersteller und muss das Konformitätsverfahren durchlaufen (Art. 18).
Betriebsanleitung und EU-Konformitätserklärung dürfen digital bereitgestellt werden – druckbar, herunterladbar und mindestens zehn Jahre online verfügbar. Auf Verlangen beim Kauf ist binnen eines Monats eine kostenlose Papierfassung zu liefern; für nichtprofessionelle Nutzer bleiben wesentliche Sicherheitsinformationen papierpflichtig.
Als Maschine gilt künftig auch eine Gesamtheit, der lediglich das Aufspielen der vom Hersteller vorgesehenen Software fehlt (Art. 3 Nr. 1 Buchst. f). CE-Pflichten lassen sich damit nicht durch nachgelagerte Software-Installation umgehen.
Die technischen Unterlagen nach Anhang IV umfassen bei sensorgestützten, ferngesteuerten oder autonomen Maschinen auch die Beschreibung von Daten-, Test- und Validierungsprozessen. Quellcode oder Programmierlogik sicherheitsrelevanter Software ist Behörden auf begründetes Verlangen bereitzustellen; Unterlagen sind mindestens zehn Jahre aufzubewahren.
Erstmals verlangt das EU-Maschinenrecht verbindlich Schutz vor digitaler Manipulation – als Voraussetzung der CE-Kennzeichnung.
Der Anschluss anderer Einrichtungen – auch über Fernzugriff – darf nicht zu gefährlichen Situationen führen. Sicherheitsrelevante Hardware, Software und Daten sind zu identifizieren und angemessen gegen unbeabsichtigte und vorsätzliche Korrumpierung zu schützen. Schutzziel ist die Sicherheit der Maschine (Safety), nicht Vertraulichkeit oder Datenschutz.
Die Maschine muss Nachweise über rechtmäßige wie unrechtmäßige Eingriffe in sicherheitsrelevante Hardware und Software sammeln – faktisch ein Security-Logging auf Produktebene. Zusätzlich muss die für den sicheren Betrieb installierte Software jederzeit in leicht zugänglicher Form identifizierbar sein.
Steuerungen müssen beabsichtigten und unbeabsichtigten Fremdeinflüssen standhalten – einschließlich vernünftigerweise vorhersehbarer böswilliger Versuche Dritter, die zu einer Gefährdungssituation führen. Der Maßstab ist risikobasiert: Umfang und Tiefe der Maßnahmen richten sich nach Umständen und Risiken. Auch Hardware-Defekte, Fehler in der Steuerungslogik und vorhersehbare Bedienfehler dürfen nicht zu Gefährdungen führen.
Das Rückverfolgungsprotokoll zu Eingriffen und zu nachträglich aufgespielten Versionen der Sicherheitssoftware muss Behörden bis zu fünf Jahre nach dem Hochladen zugänglich sein. Steuerungen mit selbstentwickelndem Verhalten müssen sicherheitsrelevante Entscheidungsdaten ein Jahr lang aufzeichnen, dürfen den festgelegten Aufgaben- und Bewegungsraum nicht verlassen und müssen jederzeit korrigierbar bleiben.
Die Cybersecurity-Anforderungen der Maschinenverordnung stehen nicht allein: Maschinen mit digitalen Elementen fallen ab dem 11. Dezember 2027 zusätzlich unter den Cyber Resilience Act, dessen Meldepflichten für aktiv ausgenutzte Schwachstellen bereits ab dem 11. September 2026 gelten. Eine automatische Konformitätsvermutung vom CRA auf die MVO gibt es nicht – Synergien müssen im Einzelfall nachgewiesen werden. Eine Vermutungswirkung für 1.1.9 und 1.2.1 entsteht nur über harmonisierte Normen oder über Zertifizierungen nach einem Schema des Cybersecurity Act (Art. 20 Abs. 9 MVO). Die dafür vorgesehene Norm EN 50742 liegt derzeit nur als Entwurf vor (prEN 50742); ob sie vor dem Stichtag im EU-Amtsblatt gelistet wird, ist offen. Für ML-basierte Sicherheitsfunktionen kommen ab dem 2. August 2027 zusätzlich die Hochrisiko-Pflichten des AI Act hinzu, die in die MVO-Konformitätsbewertung integriert werden.
Die Pflichten treffen die gesamte Lieferkette – vom Hersteller bis zum Betreiber, der nachrüstet.
Sie tragen die Kernpflichten: Risikobeurteilung, Konstruktion nach Anhang III, technische Unterlagen, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung. Unterlagen und Erklärung sind mindestens zehn Jahre aufzubewahren; für unvollständige Maschinen gelten Parallelpflichten mit Einbauerklärung und Montageanleitung.
Einführer prüfen vor dem Inverkehrbringen, ob Konformitätsverfahren, Unterlagen und Kennzeichnung vorliegen, und geben eigene Kontaktdaten an; Händler kontrollieren CE-Kennzeichnung, Konformitätserklärung und Sprachfassung der Betriebsanleitung. Wer Produkte unter eigener Marke vertreibt oder konformitätsrelevant verändert, übernimmt die vollen Herstellerpflichten (Art. 17).
Wer Maschinen wesentlich verändert – physisch oder digital, etwa durch nachträgliche Vernetzung oder neue Sicherheitsfunktionen –, gilt als Hersteller der veränderten Maschine. Bei Gesamtheiten von Maschinen können sich die Pflichten auf den betroffenen Teil beschränken; das setzt eine belastbare Risikobeurteilung voraus.
Software, die Sicherheitsfunktionen gewährleistet, kann eigenständiges CE-pflichtiges Sicherheitsbauteil sein. ML-basierte Sicherheitsbauteile unterliegen der zwingenden Drittprüfung nach Anhang I Teil A und gelten zugleich als Hochrisiko-KI im Sinne des AI Act, dessen einschlägige Pflichten ab dem 2. August 2027 greifen.
Vier Schritte von der Einstufung bis zur laufenden Konformitätssicherung.
Zunächst ist zu klären, ob Ihr Produkt unter Anhang I fällt. Teil A (u. a. ML-Sicherheitsbauteile) erfordert immer eine Benannte Stelle – EU-Baumusterprüfung mit Baumusterkonformität, umfassende Qualitätssicherung oder Einzelprüfung; bei Teil B ist die interne Fertigungskontrolle nur zulässig, wenn harmonisierte Normen alle einschlägigen Anforderungen abdecken. Alle übrigen Maschinen durchlaufen die interne Fertigungskontrolle (Modul A).
Die Risikobeurteilung ist Ausgangspunkt der Konformität: Grenzen des Produkts, Gefährdungsermittlung, Risikoeinschätzung und Risikominderung nach der Rangfolge inhärent sichere Konstruktion, Schutzmaßnahmen, Nutzerinformation. Neu ist die Pflicht, sicherheitsrelevante Cyber-Bedrohungen und die vorgesehene Weiterentwicklung selbstlernender Funktionen einzubeziehen.
Die Dokumentation umfasst u. a. Risikobeurteilung, angewandte Normen sowie Prüf- und Validierungsberichte; bei sensorgestützten oder autonomen Maschinen zusätzlich die Beschreibung von Fähigkeiten, Grenzen und Datenprozessen. Zudem braucht es einen Prozess, um Quellcode oder Programmierlogik sicherheitsrelevanter Software auf begründetes Behördenverlangen bereitstellen zu können.
Mit der EU-Konformitätserklärung übernimmt der Hersteller die Verantwortung für die Konformität; unterliegt das Produkt mehreren Rechtsakten, wird eine einzige Erklärung ausgestellt. Nach der CE-Kennzeichnung – bei Drittprüfung mit Kennnummer der Benannten Stelle – sind Serienkonformität, Normenänderungen und Korrekturmaßnahmen fortlaufend zu überwachen.
Kompakte Antworten auf typische Fragen aus der Beratungspraxis.
Die Verordnung gilt ab dem 20. Januar 2027; bis einschließlich 19. Januar 2027 müssen Maschinen nach der Maschinenrichtlinie 2006/42/EG in Verkehr gebracht werden – eine Misch- oder Wahlphase gibt es nicht. Produkte, die vor dem Stichtag richtlinienkonform in Verkehr gebracht wurden, dürfen weiter bereitgestellt werden; EG-Baumusterprüfbescheinigungen bleiben bis zu ihrem Ablauf gültig. Eine von Industrieverbänden geforderte Verschiebung der Cybersecurity-Anforderungen auf den CRA-Termin ist bislang nicht beschlossen – verbindlich bleibt der 20. Januar 2027.
Nein. Der Regelfall bleibt die interne Fertigungskontrolle (Modul A) ohne externe Stelle. Zwingend ist eine Benannte Stelle für die sechs Kategorien in Anhang I Teil A – darunter ML-basierte Sicherheitsbauteile – sowie für Teil-B-Maschinen, wenn keine harmonisierten Normen angewandt werden, die alle einschlägigen Anforderungen abdecken.
Anhang III 1.1.9 verlangt, dass Anschlüsse und Fernzugriffe nicht zu gefährlichen Situationen führen, dass sicherheitsrelevante Hardware, Software und Daten identifiziert und gegen unbeabsichtigte wie vorsätzliche Eingriffe geschützt werden und dass die Maschine Nachweise über Eingriffe sammelt. Installierte sicherheitsrelevante Software muss zudem jederzeit identifizierbar sein. Praktisch bedeutet das: Bedrohungsanalyse, Härtung, Manipulationserkennung und Logging werden Teil der Maschinenkonstruktion.
Nein, nicht automatisch. Der Cyber Resilience Act enthält keine Konformitätsvermutung zugunsten der MVO-Anforderungen 1.1.9 und 1.2.1; beide Konformitätsbewertungen sind einzuhalten. Synergien sind ausdrücklich vorgesehen, müssen vom Hersteller aber nachgewiesen werden – etwa über gemeinsame Nachweise und künftig über aufeinander abgestimmte Normen.
Wenn eine vom Hersteller nicht vorgesehene physische oder digitale Veränderung eine neue Gefährdung schafft oder ein bestehendes Risiko erhöht, sodass zusätzliche Schutzeinrichtungen mit Anpassung der Sicherheitssteuerung oder zusätzliche Maßnahmen für Stabilität und Festigkeit nötig werden (Art. 3 Nr. 16). Dann gilt der Verändernde als Hersteller – mit Konformitätsbewertung, Erklärung und CE-Kennzeichnung. Auch Software- und Konnektivitäts-Retrofits können diese Schwelle erreichen.
Nein, Stand Mitte 2026 nicht. Die vorgesehene Norm EN 50742 ('Schutz vor Korrumpierung') existiert bislang nur als Entwurf (prEN 50742); ob sie vor dem Stichtag im EU-Amtsblatt gelistet wird, ist offen. Bis dahin bieten die IEC-62443-Reihe und die technische Spezifikation IEC/TS 63074 fachliche Orientierung – eine Konformitätsvermutung begründen sie jedoch nicht. Umso wichtiger ist eine belastbare, risikobasierte Argumentation in der technischen Dokumentation.
Von der ersten Einstufung bis zum belastbaren CE-Nachweis – technisch und regulatorisch aus einer Hand.
Wir bewerten Ihre Produkte, Prozesse und Dokumentation gegen die Anforderungen der Verordnung – inklusive Einstufung nach Anhang I und Prüfung der Cybersecurity-Lücken zu 1.1.9 und 1.2.1. Sie erhalten einen priorisierten Umsetzungsfahrplan bis zum Stichtag.
Wir erweitern Ihre bestehende Risikobeurteilung um sicherheitsrelevante Cyber-Bedrohungen: systematische Bedrohungs- und Risikoanalyse für Steuerungen, Schnittstellen und Fernzugriffe. Die Ergebnisse fließen direkt in Ihre Schutzmaßnahmen und die technische Dokumentation ein.
Wir unterstützen bei der konstruktiven Umsetzung: Härtung von Steuerungen, sichere Fernzugriffs- und Update-Konzepte, Manipulationsnachweise, Security-Logging und Software-Inventarisierung. Dabei orientieren wir uns am Stand der Technik, insbesondere an der IEC-62443-Reihe.
Unsere OT- und Produkt-Pentests prüfen, ob Ihre Maschine vorhersehbaren böswilligen Zugriffen standhält – von Netzwerk- und Funkschnittstellen bis zu Fernwartungszugängen. Die Ergebnisse liefern belastbare Nachweise für Risikobeurteilung und Konformitätsdokumentation.
Wir begleiten Sie durch das passende Verfahren – von der Verfahrenswahl über die technischen Unterlagen nach Anhang IV bis zur Vorbereitung auf die Benannte Stelle. Dabei stimmen wir die Nachweise für MVO, CRA und AI Act aufeinander ab, um Doppelarbeit zu vermeiden.
Praxisnahe Trainings für Konstruktion, Entwicklung, Produktmanagement und CE-Verantwortliche: neue Anforderungen, Security-Grundlagen für den Maschinenbau und der Umgang mit wesentlichen Veränderungen. Auf Wunsch als Inhouse-Workshop entlang Ihrer Produktlinien.
Der Stichtag kommt ohne Übergangsfrist – und die Normungslage bleibt in Bewegung. Sprechen Sie mit uns, bevor Zeitplan und Prüfkapazitäten eng werden.
