Wesentliche Veränderung durch Software: wann der Betreiber zum Hersteller wird

Problem in der Praxis

Maschinen ändern sich im Betrieb laufend: Retrofits verlängern Standzeiten, Integratoren passen Sicherheitslogik an, Instandhalter ändern SPS-Parameter, Fernwartungsdienstleister spielen Software ein, KI-Funktionen werden nachgerüstet. Kaum ein Betreiber prüft systematisch, ob eine Änderung die Schwelle überschreitet; kaum ein Vertrag regelt, wer prüft und dokumentiert.

Das Risiko ist zweiseitig. Unterschätzung: Der Betreiber wird unbemerkt Hersteller, ohne Risikobeurteilung, Dokumentation, Konformitätsbewertung und Erklärung. Überschätzung: Jede Änderung wird wie ein Neuinverkehrbringen behandelt, Modernisierung wird gelähmt, undokumentierte Änderungen nehmen zu. Digitale Änderungen sind zudem unauffällig; die MVO reagiert konstruktionsseitig: Maschinen müssen nach Anhang III Abschnitt 1.1.9 die installierte sicherheitsrelevante Software identifizieren und Eingriffsnachweise sammeln (vertieft in mvo-002).

CISO-Einordnung

Die Maschinenverordnung (VO (EU) 2023/1230) stellt digitale Eingriffe physischen Umbauten gleich: Wer eine wesentliche Veränderung an einer Maschine vornimmt, gilt nach Artikel 18 als Hersteller mit allen Konformitätspflichten. Die Definition des Artikels 3 Nummer 16 ist eine Prüfkette mit fünf kumulativen Merkmalen: erstens vom Hersteller nicht vorgesehen oder geplant (herstellergeplante Updates und dokumentierte Umrüstoptionen scheiden aus und bleiben Herstellerverantwortung); zweitens physisch oder digital, Software ist gleichrangig erfasst (auch Erwägungsgrund 26 benennt beide Formen); drittens nach Inverkehrbringen oder Inbetriebnahme; viertens Sicherheitsbeeinträchtigung durch neue Gefährdung oder erhöhtes Risiko; fünftens Erforderlichkeit von Maßnahmen nach Buchstabe a oder b. Erst wenn alles erfüllt ist, liegt eine wesentliche Veränderung vor. Erwägungsgrund 26 zieht die Linie nach unten: Reparatur- und Wartungsarbeiten ohne Beeinträchtigung der Konformität sind keine wesentliche Veränderung; wesentlich soll eine Veränderung sein, wenn neue signifikante Schutzmaßnahmen erforderlich werden. Ob ein Eingriff die Schwelle überschreitet, ist Einzelfallwertung anhand der Risikobeurteilung.

Die Rechtsfolge des Artikels 18 ist umfassend, aber begrenzt: Die verändernde Person trägt die Pflichten des Artikels 10 für das veränderte Produkt. Wirkt sich die Veränderung laut Risikobeurteilung nur auf eine Maschine innerhalb einer Gesamtheit aus, beschränken sich die Pflichten auf diese; Prüfungen für unbetroffene Teile werden nicht wiederholt (Erwägungsgrund 26). Das Verfahren richtet sich nach der Produktkategorie (Artikel 25 Absätze 2 bis 4): Für Anhang-I-Teil-A-Kategorien ist eine notifizierte Stelle zwingend, insbesondere bei nachgerüsteten ML-Sicherheitsfunktionen (vertieft in mvo-004). Die EU-Konformitätserklärung erfasst wesentlich veränderte Maschinen ausdrücklich (Anhang V Teil A Nummer 1); vor erneutem Bereitstellen oder erneuter Inbetriebnahme ist die neue Konformitätsbewertung abzuschließen (Erwägungsgrund 26). Ausgenommen sind nichtprofessionelle Nutzer beim Eigengebrauch.

Davon zu unterscheiden ist die verwandte, separat geregelte Schwelle des Artikels 17: Ein Einführer oder Händler gilt als Hersteller (Pflichten der Artikel 10 und 11), wenn er ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt so verändert, dass sich dies auf die Konformität auswirken kann. Diese Schwelle ist niedriger (die mögliche Konformitätsauswirkung genügt) und adressiert die Handelsstufe; Artikel 18 erfasst dagegen jede natürliche oder juristische Person. Der CRA (Verordnung (EU) 2024/2847) kennt einen eigenen Parallelbegriff der wesentlichen Veränderung (cra-Track). Betreiberpflichten aus dem deutschen Arbeitsschutzrecht (etwa der BetrSichV) laufen zusätzlich; sie sind nicht Teil der hier verifizierten Faktenbasis und am amtlichen Text zu prüfen.

Umsetzungsperspektive

Die wesentliche Veränderung ist ein Change-Governance-Thema mit Rechtsfolge:

• Änderungsklassen definieren: herstellergeplante Updates, Reparatur und Wartung im Sinne des Erwägungsgrunds 26, sonstige Änderungen mit Sicherheitsbezug, Änderungen an Sicherheitsfunktionen. Nur die letzten beiden durchlaufen die Wesentlichkeitsprüfung.
• Wesentlichkeitsprüfung standardisieren: Je Änderung die fünf Merkmale anhand der Risikobeurteilung prüfen und das Ergebnis mit Begründung dokumentieren, auch bei Verneinung; die dokumentierte Verneinung zählt im Marktüberwachungs- oder Schadensfall.
• Zuständigkeit vertraglich festlegen: Bei Retrofit, Integration und Fernwartung regeln, wer sicherheitsrelevante Software ändern darf, wer prüft und wer die Herstellerrolle nach Artikel 18 übernimmt; ohne Regelung liegt sie bei dem, der die Veränderung vornimmt.
• Digitale Eingriffe beherrschen: Zugriffs- und Änderungskontrolle für Maschinensoftware, Versionsinventar, Herstellerfreigaben, Auswertung der Eingriffsnachweise nach Anhang III Abschnitt 1.1.9.
• Eskalationspfad vorbereiten: Bei positiver Prüfung folgen Risikobeurteilung, technische Dokumentation, Verfahren nach Artikel 25 (bei Teil-A-Kategorien mit notifizierter Stelle), Erklärung und CE-Prozess, begrenzt auf die betroffene Maschine.

Typische Fehler

1. Softwareänderungen werden als reines IT-Thema behandelt und gar nicht auf die Wesentlichkeitsschwelle geprüft.
2. Umgekehrt wird jede Änderung pauschal zur wesentlichen Veränderung erklärt; Modernisierung wird unnötig blockiert.
3. Herstellergeplante Updates werden mit eigenmächtigen Änderungen vermengt, obwohl sie die Definition nicht erfüllen.
4. Die Prüfung wird durchgeführt, aber nicht dokumentiert; im Streitfall fehlt der Nachweis der Verneinung.
5. Verträge mit Dienstleistern lassen offen, wer die Herstellerrolle nach Artikel 18 trägt.
6. Die Handelsstufe übersieht Artikel 17: Schon eine konformitätsrelevante Veränderung oder der Vertrieb unter eigener Marke macht zum Hersteller.
7. Bei nachgerüsteten ML-Sicherheitsfunktionen wird die zwingende notifizierte Stelle nach Artikel 25 Absatz 2 übersehen.

Risiken und Trade-offs

Der zentrale Trade-off verläuft zwischen Modernisierungsfähigkeit und Rechtsfolgenkontrolle: Eine strenge Prüfung schützt vor der unbemerkten Herstellerrolle, verlangsamt aber Retrofit-Projekte; eine zu leichtgängige Praxis verlagert das Risiko in den Schadens- und Marktüberwachungsfall, in dem fehlende Konformitätsarbeit rückwirkend teuer wird.

Ein zweiter Trade-off betrifft die Lieferantenstruktur: Änderungen nur beim ursprünglichen Hersteller halten die Verantwortungslage einfach, machen aber abhängig; ändern Dritte oder eigene Teams, muss die Verantwortungsübernahme nach Artikel 18 aktiv organisiert werden. Bei Bestandsmaschinen hebt eine wesentliche Veränderung das Produkt zudem in das aktuelle Anforderungsregime; das kann gewollt sein oder ein Projekt sprengen. Es bleibt die Einzelfallunsicherheit: Die Schwelle hängt an einer Risikobewertung, nicht an einer Checkliste; Grenzfälle gehören begründet dokumentiert und im Zweifel mit Herstellern, Prüforganisationen oder rechtlicher Beratung geklärt.

Entscheidungspunkte

• Welche Änderungsklassen gibt es im Betrieb, und welche durchlaufen eine formalisierte Wesentlichkeitsprüfung nach Artikel 3 Nummer 16?
• Wer führt die Prüfung durch, und wo wird das Ergebnis mit Begründung dokumentiert?
• Wie regeln Retrofit-, Integrations- und Fernwartungsverträge die Verantwortungsübernahme nach Artikel 18 und die Schwelle des Artikels 17?
• Wie wird der Sonderfall nachgerüsteter ML-Sicherheitsfunktionen behandelt (notifizierte Stelle nach Artikel 25 Absatz 2)?

Praktische Empfehlungen

1. Verankern Sie die Wesentlichkeitsprüfung als Pflichtschritt im Change-Prozess, mit den fünf Merkmalen des Artikels 3 Nummer 16 als Prüfstruktur und ausdrücklicher Einzelfallwertung.
2. Dokumentieren Sie auch verneinte Prüfungen mit Begründung; das ist Konformitätsnachweis, keine Formalie.
3. Trennen Sie herstellergeplante Updates, Reparatur und Wartung sowie sonstige Änderungen; halten Sie Herstellerfreigaben schriftlich fest.
4. Regeln Sie in jedem Dienstleistervertrag, wer ändern darf, wer prüft und wer die Herstellerrolle nach Artikel 18 übernimmt; prüfen Sie auf der Handelsstufe zusätzlich Artikel 17.
5. Kontrollieren Sie digitale Eingriffe technisch: Zugriffssteuerung, Versionsinventar, Auswertung der Eingriffsnachweise nach Anhang III Abschnitt 1.1.9 (mvo-002).
6. Planen Sie für den positiven Prüffall den vollständigen Pfad: Risikobeurteilung, Dokumentation, Verfahren nach Artikel 25, Erklärung und Kennzeichnung.

Relevante Normreferenzen

• Maschinenverordnung, Verordnung (EU) 2023/1230 (ABl. L 165 vom 29.06.2023, S. 1, berichtigte Fassung): Artikel 3 Nummer 16 (Definition), Artikel 17 (Einführer und Händler), Artikel 18 (Herstellerrolle), Artikel 25 Absätze 2 bis 4, Anhang V Teil A Nummer 1, Erwägungsgrund 26, Anhang III Abschnitt 1.1.9; Geltung ab 20.01.2027.
• Cyber Resilience Act, Verordnung (EU) 2024/2847: eigener Begriff der wesentlichen Veränderung für Produkte mit digitalen Elementen; nur als Parallelbegriff genannt (cra-Track).
• Harmonisierte Normen zur MVO (EN-Reihe): relevant für die Verfahrenswahl nach Artikel 25 Absatz 3; lizenzpflichtig, nur Referenz, Listungsstand zu prüfen.