Die EU-Maschinenverordnung: Überblick, Anwendungsbereich und Übergangsfristen

Problem in der Praxis

In vielen Unternehmen läuft die Maschinenkonformität als eingespielte Routine nach der Richtlinie 2006/42/EG: Risikobeurteilung, harmonisierte Normen, Konformitätserklärung, CE-Kennzeichnung. Diese Routine erzeugt eine trügerische Sicherheit, denn die Verordnung ändert nicht nur Details, sondern auch Anwendungsbereich, Anforderungen und Verfahren. Projekte mit Auslieferung um den Stichtag herum werden häufig ohne klare Zuordnung geplant, welches Regime für welche Maschine gilt.

Dazu kommt eine handfeste Datumsverwirrung. Das Inkrafttreten am 19.07.2023 wird regelmäßig mit dem Geltungsbeginn am 20.01.2027 verwechselt, und in frühen Fassungen des Amtsblatts standen fehlerhafte Daten (etwa der 14.01.2027 als Geltungsbeginn), die erst durch die Berichtigung im ABl. L 169 vom 04.07.2023 korrigiert wurden. Wer heute noch mit alten PDF-Ständen arbeitet, plant mit falschen Terminen. Und schließlich erkennen Einkauf, Engineering und Security oft nicht, dass reine Software als Sicherheitsbauteil in den Anwendungsbereich fallen kann; damit fehlt die Brücke zwischen Produkt-Compliance und Security-Organisation.

CISO-Einordnung

Die MVO ist Produktrecht: Sie legt Sicherheits- und Gesundheitsschutzanforderungen an Konstruktion und Bau fest (Art. 1) und knüpft daran den Marktzugang. Erfasst sind Maschinen und die dazugehörigen Produkte, nämlich auswechselbare Ausrüstungen, Sicherheitsbauteile, Lastaufnahmemittel, Ketten, Seile und Gurte sowie abnehmbare Gelenkwellen, außerdem unvollständige Maschinen (Art. 2 Abs. 1 und 2).

Drei Weichenstellungen im Anwendungsbereich sind für die Security-Perspektive zentral:

• Der Maschinenbegriff erfasst auch eine Gesamtheit, der lediglich das Aufspielen der vorgesehenen Software fehlt (Art. 3 Nr. 1 Buchst. f). Die Software gehört zum Produkt, nicht zum Zubehör.
• Ein Sicherheitsbauteil ist ausdrücklich "ein physisches oder digitales Bauteil, einschließlich Software" (Art. 3 Nr. 3). Sicherheitsrelevante Software kann also selbst das in Verkehr gebrachte Produkt sein.
• Die Ausnahmen des Art. 2 Abs. 3 sind eng zu lesen. Buchstabe p nimmt sechs elektrische und elektronische Produktgruppen aus, soweit sie unter die Niederspannungsrichtlinie 2014/35/EU oder die Funkanlagenrichtlinie 2014/53/EU fallen (unter anderem Haushaltsgeräte, Audio- und Videogeräte, informationstechnische Geräte, gewöhnliche Büromaschinen, Niederspannungsschalt- und -steuergeräte, Elektromotoren). Das ist eine abschließende Liste, keine Generalausnahme für vernetzte oder funkhaltige Maschinen.

Ergänzend regelt Art. 9 das Verhältnis zu spezifischerem EU-Harmonisierungsrecht: Deckt ein spezifischerer Rechtsakt ein Risiko aus Anhang III ganz oder teilweise ab, gilt die MVO insoweit nicht.

Die Pflichten verteilen sich nach dem bekannten Rollenmuster des EU-Produktrechts: Hersteller (Art. 10), Hersteller unvollständiger Maschinen (Art. 11), Bevollmächtigte (Art. 12), Einführer (Art. 13 und 14), Händler (Art. 15 und 16). Zwei Rollenwechsel verdienen Aufmerksamkeit: Einführer oder Händler, die unter eigener Marke in Verkehr bringen oder ein Produkt konformitätsrelevant verändern, gelten als Hersteller (Art. 17); und wer eine wesentliche Veränderung vornimmt, übernimmt Herstellerpflichten (Art. 18). Über diesen Weg können auch Betreiber in die Herstellerrolle geraten, etwa bei tiefgreifenden Software-Retrofits. Eigene Betreiberpflichten im laufenden Betrieb regelt die MVO nicht; organisatorische Sicherheitspflichten laufen in anderen Rechtsrahmen wie NIS2, die dieser Wissensbereich in eigenen Beiträgen behandelt.

Umsetzungsperspektive

Die Terminplanung sollte auf den berichtigten Daten aufsetzen:

• 29.06.2023: Veröffentlichung im ABl. L 165; Inkrafttreten am 19.07.2023. Seit diesem Tag gelten bereits die Übergangsbestimmung (Art. 52) und einzelne institutionelle Vorschriften (Art. 6 Abs. 7, Art. 48).
• 20.01.2024: Die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen (Art. 26 bis 42) sind anwendbar.
• 20.07.2024: Weitere institutionelle Vorschriften gelten (Art. 6 Abs. 2 bis 6, 8 und 11, Art. 47, Art. 53 Abs. 3), darunter die Befugnisse für delegierte Rechtsakte.
• 20.10.2026: Die Mitgliedstaaten müssen Sanktionsregeln anwenden (Art. 50 Abs. 1) und sie der Kommission bis zu diesem Tag mitgeteilt haben (Art. 50 Abs. 2).
• 20.01.2027: Allgemeiner Geltungsbeginn (Art. 54 Abs. 2); zugleich wird die Richtlinie 2006/42/EG aufgehoben (Art. 51 Abs. 2), Bezugnahmen auf sie gelten nach der Entsprechungstabelle in Anhang XII als Bezugnahmen auf die Verordnung. Aufgehoben wird daneben die Richtlinie 73/361/EWG.
• 02.08.2028: Ab diesem Tag gelten künftige delegierte Rechtsakte, die Anhang III um Anforderungen für bestimmte Hochrisiko-KI-Systeme ergänzen (die von Art. 47 Abs. 2 als Art. 8 Abs. 3 bezeichnete Delegationsnorm, eingefügt durch die Verordnung (EU) 2026/1744; die endgültige Absatznummerierung ist am konsolidierten Text zu prüfen; Rechtsstand 01.08.2026).

Für den Übergang gilt: Produkte, die vor dem 20.01.2027 nach der Richtlinie in Verkehr gebracht wurden, dürfen weiter bereitgestellt werden (Art. 52 Abs. 1); die Lieferkette darf Bestände abverkaufen. Für solche Produkte gilt allerdings schon seit dem 19.07.2023 das Marktüberwachungskapitel der Verordnung anstelle des Schutzklauselverfahrens der Richtlinie. EG-Baumusterprüfbescheinigungen und Zulassungen nach Art. 12 der Richtlinie bleiben bis zu ihrem Ablauf gültig (Art. 52 Abs. 2). Ein Wahlrecht, ab dem Stichtag noch nach der Richtlinie in Verkehr zu bringen, kennt der Verordnungstext nicht: Maßgeblich ist je Exemplar der Zeitpunkt des Inverkehrbringens.

Zur Fassungslage: Die Verordnung wurde dreimal berichtigt und zweimal geändert. Neben der Datumsberichtigung von 2023 präzisierte die deutsche Berichtigung vom 01.04.2025 zahlreiche Formulierungen (unter anderem in den Cybersicherheitsabschnitten 1.1.9 und 1.2.1 des Anhangs III); die Verordnung (EU) 2024/2748 fügte Notfallverfahren für Binnenmarkt-Krisenlagen ein (Kapitel IVa), die Verordnung (EU) 2026/1744 verzahnte die MVO mit dem AI Act. Der Kommissionsvorschlag COM(2025) 504 (unter anderem digitale EU-Konformitätserklärung) war am 01.08.2026 noch im laufenden Gesetzgebungsverfahren und nicht beschlossen; vor Verwendung erneut prüfen.

Praktisch heißt das für 2026/2027: Portfolio produktgenau dem richtigen Regime zuordnen, Software-Sicherheitsbauteile und vernetzte Funktionen identifizieren, Zulieferungen unvollständiger Maschinen vertraglich auf die neuen Unterlagenpflichten ausrichten und die Doppelbetroffenheit mit dem Cyber Resilience Act terminlich mitdenken (CRA-Meldepflichten ab 11.09.2026, Vollanwendung ab 11.12.2027; Details im CRA-Bereich dieses Korpus).

Typische Fehler

1. Inkrafttreten (19.07.2023) und Geltungsbeginn (20.01.2027) werden gleichgesetzt und Projekte auf das falsche Datum geplant.
2. Es wird mit unberichtigten Textständen gearbeitet, etwa mit dem ursprünglich abgedruckten Datum 14.01.2027.
3. Teams nehmen ein Wahlrecht an, nach dem 20.01.2027 noch nach der Richtlinie 2006/42/EG in Verkehr bringen zu können.
4. Software wird als Zubehör behandelt, obwohl sie als Sicherheitsbauteil selbst in den Anwendungsbereich fallen kann.
5. Die Ausnahme des Art. 2 Abs. 3 Buchst. p wird zur Generalausnahme für vernetzte oder funkhaltige Maschinen überdehnt.
6. Betreiber halten sich für nicht betroffen und übersehen, dass wesentliche Veränderungen sie in die Herstellerrolle bringen können.

Risiken und Trade-offs

Der Übergang erzwingt eine Portfolioentscheidung: Wer Neuentwicklungen früh auf die Verordnung ausrichtet, vermeidet doppelte Konformitätsarbeit, trägt aber die Unsicherheit einer Normen- und Auslegungslandschaft im Aufbau. Wer bis zum Stichtag auf der Richtlinie bleibt, spart kurzfristig Aufwand, riskiert aber einen harten Schnitt, wenn Entwicklungs- und Zulassungszyklen länger dauern als geplant.

Ein zweiter Trade-off liegt in der Lieferkette: Unterlagen und Schnittstellen der Zulieferer unvollständiger Maschinen und der Software-Lieferanten entscheiden mit, ob die eigene Konformität trägt. Frühe vertragliche Anforderungen kosten Verhandlungsaufwand, späte kosten den Zeitplan. Drittens bindet die Doppelregulierung Ressourcen: Maschinen mit digitalen Elementen können zugleich unter den Cyber Resilience Act fallen; getrennte Projekte erzeugen doppelte Nachweise, zusammengeführte müssen die unterschiedlichen Stichtage sauber auseinanderhalten.

Entscheidungspunkte

• Welche Produkte werden nach dem 20.01.2027 in Verkehr gebracht und müssen auf die Verordnung umgestellt werden?
• Welche Software und welche digitalen Funktionen gelten als Sicherheitsbauteil oder Teil der Maschine, und wer verantwortet deren Konformität?
• Greift für einzelne Produkte eine Ausnahme (Art. 2 Abs. 3) oder spezifischeres Harmonisierungsrecht (Art. 9), und wer dokumentiert die Abgrenzung?
• Welche Rolle nimmt das Unternehmen je Produkt ein, und wo drohen Rollenwechsel nach Art. 17 oder 18?
• Wie werden Lagerbestände und laufende Lieferverträge über den Stichtag geführt (Bestandsschutz nach Art. 52)?
• Wie wird die Parallelität zum Cyber Resilience Act terminlich und organisatorisch gesteuert?

Praktische Empfehlungen

1. Erstellen Sie eine produktgenaue Stichtagsübersicht: geplantes Inverkehrbringen je Produkt gegen den 20.01.2027 und die vorgezogenen Termine.
2. Arbeiten Sie ausschließlich mit der berichtigten, konsolidierten Textfassung und dokumentieren Sie den verwendeten Rechtsstand.
3. Inventarisieren Sie Software-Sicherheitsbauteile und vernetzte Maschinenfunktionen als eigene Compliance-Objekte.
4. Prüfen und dokumentieren Sie Anwendungsbereichs-Abgrenzungen (Art. 2, Art. 9) je Produktfamilie, statt pauschal zu entscheiden.
5. Verankern Sie die neuen Unterlagen- und Informationspflichten früh in Zuliefer- und Einkaufsverträgen, besonders für unvollständige Maschinen.
6. Führen Sie Maschinenverordnung und Cyber Resilience Act in einer gemeinsamen Roadmap von Produkt-Compliance und Security-Organisation zusammen.

Relevante Normreferenzen

• EU-Maschinenverordnung (Verordnung (EU) 2023/1230): maßgeblicher Rechtsrahmen; Anwendungsbereich (Art. 2), Begriffe (Art. 3), Pflichtenrollen (Art. 10 bis 19), Fristen und Übergang (Art. 50 bis 54, Anhang XII); gilt unmittelbar in allen Mitgliedstaaten.
• Maschinenrichtlinie 2006/42/EG: Vorgängerrechtsakt, aufgehoben mit Wirkung vom 20.01.2027; Bestandsschutz über Art. 52 MVO.
• Cyber Resilience Act (Verordnung (EU) 2024/2847): paralleler horizontaler Rechtsrahmen für Produkte mit digitalen Elementen; eigene Fristen und Verfahren.
• Harmonisierte Normen zur MVO (EN-Reihe): künftiger Vermutungsrahmen; Listungsstand im Amtsblatt vor Nutzung prüfen (lizenzpflichtige Normtexte, hier nur Referenz).