Umsetzungs-Roadmap zur EU-Maschinenverordnung für Hersteller und CISO

Problem in der Praxis

Maschinenbau hat lange Produktzyklen: Was heute konstruiert wird, liefert nach dem Stichtag aus. Trotzdem wiederholen sich drei Muster. Erstens wird der Bestandsschutz auf Lager und Produktionspipeline projiziert; Art. 52 schützt aber nur, was vor dem Stichtag tatsächlich in Verkehr gebracht wurde. Zweitens treffen die Security-Anforderungen auf Steuerungsarchitekturen, die nie dafür entworfen wurden; die Lücke fällt oft erst auf, wenn das Design fixiert ist. Drittens werden Sicherheitsfunktionen mit maschinellem Lernen geplant, ohne die zwingende Mitwirkung einer notifizierten Stelle einzupreisen.

Dazu kommt die Zulieferkette: Einbauerklärungen und Montageanleitungen unvollständiger Maschinen folgen bei vielen Zulieferern noch dem Richtlinienmuster. Und wer Fristen aus dem ursprünglichen Amtsblatt L 165 abgeschrieben hat, plant falsch: Die dort abgedruckten Daten wurden durch die Berichtigung im ABl. L 169 vom 04.07.2023 korrigiert.

CISO-Einordnung

Die MVO macht Security zur Produktkonformitätsfrage: Steuerungen müssen auch vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter standhalten, konformitätsrelevante Software und Daten sind zu schützen, Eingriffs-Nachweise zu sammeln, Softwarestände zu identifizieren. Das Safety-Engineering führt die Risikobeurteilung, hat aber selten Security-Methodik; der CISO beziehungsweise Product Security bringt Bedrohungsmodellierung, Schwachstellenprozesse und Nachweisführung ein.

Der reale Fristenrahmen ist kurz und abschließend:

• in Kraft seit 19.07.2023; vorgezogen gilt seither u. a. Art. 52 (Übergang);
• seit 20.01.2024: Notifizierungsregime für Konformitätsbewertungsstellen (Art. 26 bis 42);
• seit 20.07.2024: Verfahrens- und Befugnisnormen (u. a. Art. 47);
• ab 20.10.2026: Sanktionsvorschrift des Art. 50 Abs. 1; bis dahin melden die Mitgliedstaaten ihre Sanktionsregeln der Kommission;
• 20.01.2027: allgemeine Geltung; die Aufhebung der Maschinenrichtlinie wird wirksam;
• ab 02.08.2028: delegierte Rechtsakte zu Hochrisiko-KI in Anhang III (die von Art. 47 Abs. 2 als Art. 8 Abs. 3 bezeichnete Delegationsnorm der VO (EU) 2026/1744; endgültige Absatznummerierung am konsolidierten Text prüfen).

Der Anwendungsdruck kommt gesammelt am 20.01.2027. Diese Roadmap bleibt strikt MVO-bezogen; für die parallelen Stränge stehen eigene Roadmaps bereit (CRA, RED-Übergang, NIS2, OT-Security, KI-Governance).

Umsetzungsperspektive

Phase 1 (Portfolio-Bestandsaufnahme, sofort): Jedes Produkt einordnen: Maschine, dazugehöriges Produkt (auch Software kann Sicherheitsbauteil sein) oder unvollständige Maschine. Je Produkt die Rolle klären; auch wer fremde Maschinen wesentlich verändert, gilt als Hersteller (Art. 18). Ergebnis: ein Produktregister nach Inverkehrbringen vor oder ab dem 20.01.2027.

Phase 2 (Einstufung und Konformitätsstrategie): Produkte gegen Anhang I prüfen. Für Teil-A-Kategorien, darunter ML-Sicherheitsbauteile mit selbstentwickelndem Verhalten und Maschinen mit solchen eingebetteten Systemen, ist die notifizierte Stelle zwingend (interne Fertigungskontrolle ausgeschlossen). Für Teil-B-Kategorien ist die interne Fertigungskontrolle nur zulässig, wenn nach harmonisierten Normen oder gemeinsamen Spezifikationen konstruiert und gebaut wird, die alle einschlägigen grundlegenden Anforderungen abdecken; alle übrigen Produkte laufen über die interne Fertigungskontrolle. Vorab zu klären: Verfügbarkeit einer notifizierten Stelle mit passendem Scope und Stand der harmonisierten Normen.

Phase 3 (Risikobeurteilung mit Security, Anhang-III-Gap-Analyse): Die Risikobeurteilung um Security-Gefährdungen erweitern; die allgemeinen Grundsätze ziehen die Betrachtung über den Lebenszyklus einschließlich vorhersehbaren selbstentwickelnden Verhaltens. Je Produktlinie die Gap-Analyse gegen 1.1.9 (Schutz gegen Korrumpierung, Kennzeichnung und Schutz konformitätsrelevanter Software, Software-Identifikation, Eingriffs-Nachweise) und 1.2.1 (widerstandsfähige Steuerungen; Protokoll der Sicherheitssoftware-Versionen bis zu fünf Jahre, Entscheidungsdaten selbstentwickelnder Steuerungen ein Jahr) fahren; Anforderungstiefe im Fachartikel zu den Cybersecurity-Anforderungen. Der Maßnahmenplan muss stehen, bevor die Steuerungsarchitektur eingefroren wird.

Phase 4 (Lieferkette und Zulieferdokumentation): Unvollständige Maschinen durchlaufen kein Verfahren nach Art. 25; ihre Hersteller schulden technische Unterlagen, Montageanleitung und EU-Einbauerklärung (Art. 11). Zulieferer vertraglich auf MVO-taugliche Unterlagen und Zuarbeit zu den Anhang-III-Nachweisen verpflichten. Bei digitalen Elementen kann parallel der Cyber Resilience Act greifen: beide Anforderungskataloge, beide Konformitätsverfahren, keine gegenseitige Vermutungswirkung; die CRA-Zeitachse läuft unabhängig (Meldepflichten ab 11.09.2026, Vollanwendung ab 11.12.2027). Verzahnung im Fachartikel zum CRA/RED-Zusammenspiel, Vorgehen in der CRA-Roadmap.

Phase 5 (Dokumentation und Betriebsanleitung): Technische Unterlagen nach Anhang IV entwicklungsbegleitend aufbauen, mindestens zehn Jahre vorhalten und die Bereitstellung von Quellcode oder Programmierlogik auf begründeten Antrag einplanen (Art. 10 Abs. 3). Die Betriebsanleitung darf digital bereitgestellt werden (Art. 10 Abs. 7: druck- und speicherbares Format, online mindestens zehn Jahre, Papier auf Verlangen binnen eines Monats, Sicherheitsinformationen für nichtprofessionelle Nutzer in Papierform). Eine EU-Konformitätserklärung kann mehrere EU-Rechtsakte abdecken (Art. 21 Abs. 3); Vertiefung im Fachartikel zur Konformitätsbewertung.

Phase 6 (Übergangssteuerung und Ausblick): Vor dem 20.01.2027 in Verkehr gebrachte Produkte dürfen weiter bereitgestellt werden (Art. 52 Abs. 1; die Marktüberwachung nach Kapitel VI gilt für sie schon seit 19.07.2023); EG-Baumusterprüfbescheinigungen gelten bis zu ihrem Ablauf (Art. 52 Abs. 2), Neubescheinigungen rechtzeitig terminieren. Für die Security-Anforderungen gibt es mehrere Vermutungswege: harmonisierte Normen, gemeinsame Spezifikationen, Cybersicherheitszertifizierungen nach der Verordnung (EU) 2019/881 (Art. 20 Abs. 9); ob ein nutzbares CSA-Schema mit Fundstelle im Amtsblatt existiert, ist vorab zu prüfen. Ab 02.08.2028 kommt die delegierte KI-Ergänzung des Anhangs III, übergangsweise mit Vermutungswirkung über AI-Act-Normen (Art. 20 Abs. 10); Details im Fachartikel zu KI in Maschinen.

Typische Fehler

1. Lager- und Pipelineprodukte werden nach altem Recht geplant, obwohl ihr Inverkehrbringen nach dem 20.01.2027 liegt.
2. Geplant wird mit unberichtigten ABl.-L-165-Daten oder erfundenen Zwischenfristen statt mit der berichtigten Staffel des Art. 54.
3. Die Security-Lücken zu 1.1.9 und 1.2.1 werden erst entdeckt, wenn die Steuerungsarchitektur fixiert ist.
4. Sicherheitsfunktionen mit maschinellem Lernen werden ohne notifizierte Stelle und deren Vorlauf geplant.
5. Zulieferer liefern Einbauerklärungen und Montageanleitungen weiter nach Richtlinienmuster.
6. Die CRA-Doppelbetroffenheit wird ignoriert oder CRA-Konformität pauschal als MVO-Nachweis verbucht.

Risiken und Trade-offs

Die Verfahrenswahl wägt Geschwindigkeit gegen Absicherung ab: Wo die interne Fertigungskontrolle zulässig ist, ist sie schneller, verlagert aber die volle Nachweislast auf den Hersteller; die notifizierte Stelle kostet Vorlauf, liefert dafür externe Bestätigung. Bei der Normenstrategie steht Warten gegen Eigenweg: Wer auf harmonisierte Normen wartet, riskiert den Stichtag; wer eigene Nachweiswege geht, trägt die Argumentationslast. Einzelne Varianten bewusst und dokumentiert noch vor dem Stichtag in Verkehr zu bringen, verschiebt Aufwand nur; Folgeaufträge und wesentliche Änderungen fallen unter das neue Recht. Die Gebühren-Rücksicht für kleine und mittlere Hersteller (Art. 25 Abs. 5) mildert Kosten, ersetzt aber keine Prüfkapazität.

Entscheidungspunkte

• Welche Produkte gehen ab dem 20.01.2027 in Verkehr, und welche bewusst und dokumentiert noch davor?
• Welche Produkte fallen unter Anhang I Teil A oder Teil B, und welches Konformitätsbewertungsverfahren wählen wir je Produkt?
• Brauchen wir eine notifizierte Stelle, ist eine mit passendem Scope verfügbar, und wann beauftragen wir sie?
• Wie sichern wir MVO-taugliche Zulieferdokumentation und die CRA-Parallelität vertraglich und terminlich?
• Welchen Vermutungsweg nutzen wir (harmonisierte Normen, gemeinsame Spezifikationen, CSA-Schema), und wer prüft dessen Status?

Praktische Empfehlungen

1. Bauen Sie sofort ein Produktregister mit Stichtagsbezug auf: je Produktlinie Inverkehrbringen vor oder nach dem 20.01.2027, Rolle und Kategorie.
2. Entscheiden Sie Einstufung und Verfahrenswahl früh und sichern Sie notifizierte Prüfkapazität mit Vorlauf, besonders für ML-Sicherheitsbauteile.
3. Erweitern Sie die Risikobeurteilung um Security und fahren Sie die Gap-Analyse zu 1.1.9 und 1.2.1 vor dem Einfrieren der Steuerungsarchitektur.
4. Stellen Sie die Zulieferkette auf MVO-Dokumente um und verankern Sie Security-Zuarbeit vertraglich.
5. Führen Sie Dokumentation und digitale Betriebsanleitung entwicklungsbegleitend, inklusive Zehn-Jahres-Verfügbarkeit und Quellcode-Bereitschaft.
6. Behandeln Sie CRA, KI-Schnittstelle und Normungsstand als eigene, regelmäßig geprüfte Stränge, statt Vermutungswirkungen zu unterstellen.

Relevante Normreferenzen

• EU-Maschinenverordnung (Verordnung (EU) 2023/1230) in der berichtigten Fassung (u. a. Datumskorrekturen ABl. L 169 vom 04.07.2023) und in der Fassung der Verordnungen (EU) 2024/2748 und (EU) 2026/1744: maßgeblicher Rechtsrahmen; EU-Recht, frei zitierbar mit Quellenangabe.
• Maschinenrichtlinie 2006/42/EG: mit Wirkung vom 20.01.2027 aufgehoben; Übergang in Art. 51 und 52 der MVO.
• Cyber Resilience Act (Verordnung (EU) 2024/2847): paralleles Produktregime für Produkte mit digitalen Elementen; Vorgehen in der CRA-Roadmap dieses Korpus.
• AI Act (Verordnung (EU) 2024/1689) in Verbindung mit der Verordnung (EU) 2026/1744: KI-Einstufungslogik und Übergangs-Vermutungswirkung; Fachartikel zu KI in Maschinen.
• IEC/ISA 62443: Referenz für sichere Produktentwicklungsprozesse; kostenpflichtig, nur Konzeptbezug.
• Harmonisierte Normen zur MVO: Bestand und Fundstellen im Amtsblatt vor jeder Berufung darauf prüfen.