Maschinenverordnung, CRA und RED: Wer regelt was am vernetzten Produkt

Problem in der Praxis

Drei Fehlannahmen sind verbreitet: Wer den CRA umsetzt, habe die MVO-Cybersecurity miterledigt; eine Maschine mit Funkmodul falle als Funkanlage aus der MVO heraus; und es genüge, auf den spätesten Termin Ende 2027 zu planen. Alle drei sind falsch. Die MVO verlangt eigene, safety-getriebene Schutzanforderungen mit eigenen Nachweiswegen. Die Bereichsausnahme gegenüber Niederspannungsrichtlinie und RED ist eine abschließende Liste von sechs Produktgruppen. Und die Termine laufen gestaffelt: 11.09.2026, 20.01.2027, 11.12.2027.

Sichtbar wird das in der Konformitätsakte: Für dieselbe Maschine existieren ein CRA- und ein MVO-Strang mit ähnlichen Inhalten, aber unterschiedlichen Rechtsgrundlagen, Verfahren und Fristen. Ohne bewusste Architektur entstehen Doppelarbeit oder Lücken.

CISO-Einordnung

Eine vernetzte Maschine wird nicht von einem einzigen EU-Rechtsakt reguliert, sondern von mehreren produktbezogenen Regimen nebeneinander: Die Maschinenverordnung (VO (EU) 2023/1230) und der Cyber Resilience Act (VO (EU) 2024/2847) sind ohne gegenseitige Vermutungswirkung beide zu erfüllen. Die MVO ist Produktsicherheitsrecht. Cybersicherheit ist dort Mittel gegen Gefährdungssituationen: Anhang III Abschnitt 1.1.9 verlangt Schutz gegen unbeabsichtigte und vorsätzliche Korrumpierung, Abschnitt 1.2.1 sichere Steuerungen, auch gegen vernünftigerweise vorhersehbare böswillige Versuche Dritter (vertieft in mvo-002). Für den Nachweis kennt die MVO ausschließlich eigene Vermutungswege: harmonisierte Normen (Artikel 20 Absatz 1), gemeinsame Spezifikationen (Absätze 3 und 6) sowie Zertifizierungen oder Konformitätserklärungen nach Schemata der Verordnung (EU) 2019/881 (CSA) mit Amtsblatt-Fundstelle (Absatz 9), jeweils nur so weit, wie die Anforderung abgedeckt ist; für Hochrisiko-KI tritt seit der Verordnung (EU) 2026/1744 übergangsweise Absatz 10 hinzu (vertieft in mvo-004). Ob ein CSA-Schema nutzbar ist und wie weit die harmonisierten MVO-Normen gediehen sind, war am Redaktionsstand 2026-08-01 offen und ist vor der Nachweisplanung zu prüfen.

Der CRA ist horizontales Cybersicherheitsrecht für Produkte mit digitalen Elementen, mit eigenem Anforderungskatalog, eigener Konformitätsbewertung samt Produktklassen und eigenen Meldepflichten (Grundzüge im cra-Track). Das Verhältnis zur MVO regelt der CRA an genau einer Stelle, in Erwägungsgrund 53 nebst zugehöriger Fußnote: Beide Kataloge grundlegender Anforderungen sind zu erfüllen; die CRA-Anforderungen und Anhang III Abschnitte 1.1.9 und 1.2.1 der MVO betreffen unter Umständen ähnliche Risiken, weshalb CRA-Konformität die MVO-Konformität insoweit erleichtern kann; solche Synergieeffekte muss der Hersteller nachweisen, etwa über harmonisierte Normen oder andere technische Spezifikationen nach Risikobewertung; beide Konformitätsverfahren sind zu befolgen; die Kommission soll mit den Normungsorganisationen die Normungskohärenz fördern und Leitlinien bereitstellen. Eine operative CRA-Vorschrift zur MVO existiert nicht, und die MVO nennt den CRA an keiner Stelle. Zwar enthält Artikel 9 MVO eine Kollisionsregel für spezifischere Harmonisierungsvorschriften, die Anhang-III-Risiken abdecken; ob sie im Verhältnis zum CRA greift, ist im verifizierten Normtext nicht geregelt. Belastbare Planungsgrundlage ist die Linie des Erwägungsgrunds 53: beide Kataloge, beide Verfahren, Synergien als Nachweisaufgabe.

Die RED (Richtlinie 2014/53/EU) begrenzt die MVO über Artikel 2 Absatz 3 Buchstabe p: Ausgenommen sind, soweit sie unter die Niederspannungsrichtlinie 2014/35/EU oder die RED fallen, genau sechs Produktgruppen: für den häuslichen Gebrauch bestimmte Haushaltsgeräte (außer elektrisch betriebenen Möbeln), Audio- und Videogeräte, informationstechnische Geräte, gewöhnliche Büromaschinen (außer Maschinen zur additiven Fertigung dreidimensionaler Produkte), Niederspannungsschalt- und -steuergeräte sowie Elektromotoren; Buchstabe q nimmt Hochspannungs-Schalt- und -Steuergeräte sowie Transformatoren aus. Eine Industriemaschine wird also nicht durch ein WLAN-Modul zur ausgenommenen Funkanlage; Beispiel des Verordnungsgebers sind Waschmaschinen mit WLAN-Funktion (Erwägungsgrund 18). Die RED-Cybersicherheitsanforderungen der Delegierten Verordnung (EU) 2022/30 nennt die MVO nicht; sie gelten seit dem 01.08.2025 und sollen im CRA aufgehen (Übergang im red-Track, insbesondere red-004).

Eine echte Vereinfachung gilt für die Erklärungsseite: Bei mehreren erklärungspflichtigen EU-Rechtsakten ist nur eine einzige EU-Konformitätserklärung für sämtliche dieser Rechtsakte auszustellen (Artikel 21 Absatz 3 MVO); die Verfahren dahinter bleiben getrennt.

Umsetzungsperspektive

Praktisch bewährt sich eine dreistufige Architektur:

• Portfolio-Triage: Je Produkt dokumentiert klären, ob es Maschine oder dazugehöriges Produkt nach der MVO ist, ob Artikel 2 Absatz 3 Buchstaben p oder q greifen und ob es zugleich CRA-Produkt ist.
• Anforderungsarchitektur: Die technischen Sicherheitsfähigkeiten (Härtung, Zugriffsschutz, Updates, Protokollierung, Manipulationsnachweise) einmal definieren und beiden Strängen zuordnen; beanspruchte Synergien begründet in Risikobeurteilung und Dokumentation beider Stränge aufnehmen (Nachweislogik des Erwägungsgrunds 53).
• Terminarchitektur: Rückwärts von drei Daten planen: 11.09.2026 (CRA-Meldefähigkeit), 20.01.2027 (MVO-Konformität ab dann in Verkehr gebrachter Maschinen), 11.12.2027 (CRA-Vollanwendung). Verfahren trägt mvo-007, die Roadmap mvo-008.

Solange der Stand von Normen, CSA-Schemata und Leitlinien offen ist, sollte die Dokumentation ohne Vermutungswirkung tragen.

Typische Fehler

1. CRA-Konformität wird als Nachweis für Anhang III Abschnitte 1.1.9 und 1.2.1 behandelt, obwohl keine Vermutungswirkung existiert.
2. Eine Maschine mit Funkmodul wird pauschal aus der MVO herausdefiniert, obwohl Artikel 2 Absatz 3 Buchstabe p abschließend ist.
3. Es wird nur auf Ende 2027 geplant; die MVO ab dem 20.01.2027 und die CRA-Meldepflichten ab dem 11.09.2026 werden verfehlt.
4. MVO- und CRA-Strang laufen völlig getrennt; dieselben Fähigkeiten werden doppelt und widersprüchlich dokumentiert.
5. Umgekehrt verschmelzen beide Stränge zu einer Akte, bis unklar ist, welcher Nachweis welches Verfahren trägt.
6. Der Stand harmonisierter Normen oder CSA-Schemata wird als gesichert behandelt, obwohl er offen ist.

Risiken und Trade-offs

Der zentrale Trade-off liegt zwischen Integration und Trennschärfe. Eine gemeinsame technische Basis spart Aufwand, erhöht aber das Risiko, dass regimespezifische Pflichten (etwa die safety-spezifischen MVO-Nachweise oder die CRA-Meldeprozesse) untergehen. Vollständig getrennte Stränge sind trennscharf, aber teuer und fehleranfällig bei jeder Produktänderung.

Zweitens die Nachweisstrategie unter Unsicherheit: Wer auf künftige harmonisierte Normen oder ein nutzbares CSA-Schema wartet, riskiert Terminverzug; wer ohne Vermutungswirkung nachweist, trägt höheren Erstaufwand, bleibt aber unabhängig vom Normungsfortschritt. Grenzfälle der Produktgruppenliste gehören als Einzelfallentscheidung dokumentiert, nicht angenommen.

Entscheidungspunkte

• Welche Produkte sind Maschinen oder dazugehörige Produkte nach der MVO, welche fallen unter Artikel 2 Absatz 3 Buchstaben p oder q, welche sind zugleich CRA-Produkte?
• Wie werden die Sicherheitsfähigkeiten einmal definiert und beiden Nachweissträngen zugeordnet, und wer verantwortet die Kohärenz zwischen Safety und Produkt-Security?
• Auf welche Vermutungswege setzt die MVO-Konformität für Anhang III Abschnitte 1.1.9 und 1.2.1, solange deren Stand offen ist?
• Wie wird die Terminstaffel 11.09.2026, 20.01.2027 und 11.12.2027 in die Release-Planung übersetzt?
• Wird die einzige EU-Konformitätserklärung nach Artikel 21 Absatz 3 genutzt, und wer führt sie zusammen?

Praktische Empfehlungen

1. Erstellen Sie eine produktscharfe Betroffenheitsmatrix MVO, CRA und RED mit dokumentierter Begründung je Zuordnung.
2. Behandeln Sie Artikel 2 Absatz 3 Buchstabe p als abschließende Liste: die sechs Produktgruppen konkret prüfen, Ergebnis dokumentieren.
3. Bauen Sie eine gemeinsame technische Anforderungsbasis mit zwei getrennten Nachweissträngen auf; dokumentieren Sie beanspruchte Synergien ausdrücklich mit Risikobewertung.
4. Planen Sie rückwärts von den Terminen 11.09.2026, 20.01.2027 und 11.12.2027 mit den jeweils zugehörigen Fähigkeiten.
5. Verfolgen Sie den Stand der MVO-Normen, CSA-Schemata und Kommissionsleitlinien; bis zur Verifikation gilt er als offen.
6. Nutzen Sie die einzige EU-Konformitätserklärung nach Artikel 21 Absatz 3 als Integrationspunkt, ohne die Verfahren zu vermischen.

Relevante Normreferenzen

• Maschinenverordnung, Verordnung (EU) 2023/1230 (ABl. L 165 vom 29.06.2023, S. 1, berichtigte Fassung): Artikel 2 Absatz 3, Artikel 9, Artikel 20, Artikel 21 Absatz 3, Anhang III Abschnitte 1.1.9 und 1.2.1; Geltung ab 20.01.2027.
• Cyber Resilience Act, Verordnung (EU) 2024/2847: Produkte mit digitalen Elementen; Verhältnis zur MVO in Erwägungsgrund 53; Meldepflichten ab 11.09.2026, Vollanwendung ab 11.12.2027.
• Funkanlagenrichtlinie 2014/53/EU (RED) und Niederspannungsrichtlinie 2014/35/EU: Bezugsrechtsakte der Bereichsausnahme; RED-Cybersicherheit (Delegierte Verordnung (EU) 2022/30) im red-Track.
• Verordnung (EU) 2019/881 (CSA): Grundlage der Schemata für Artikel 20 Absatz 9 MVO; Nutzbarkeitsstatus zu prüfen.
• Harmonisierte Normen zur MVO (EN-Reihe): lizenzpflichtig, nur Referenz; Listungsstand zu prüfen.