MVO-Readiness-Check: Konformitäts­bewertung und Pflichten ab 20.01.2027

Was muss ich für die Maschinenverordnung bis 2027 umsetzen?

Für Hersteller ändert sich weniger am Ablauf als an den Inhalten. Risikobeurteilung, technische Unterlagen, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung bleiben die Schritte vor dem Inverkehrbringen (Art. 10). Neu sind vor allem fünf Punkte: Die Herstellerangaben nennen neben der Postanschrift eine Website und eine E-Mail-Adresse oder eine andere digitale Kontaktmöglichkeit (Art. 10 Abs. 6). Die Betriebsanleitung darf digital kommen, muss dann aber ausdruckbar, herunterladbar und mindestens zehn Jahre online abrufbar sein (Art. 10 Abs. 7). Behörden können auf begründeten Antrag den Quellcode oder die Programmierlogik sicherheitsrelevanter Software verlangen (Anhang IV Teil A Buchst. m). Anhang III fordert Schutz gegen Korrumpierung (1.1.9) und Steuerungen, die vorhersehbaren böswilligen Eingriffen standhalten (1.2.1). Und Sicherheitsfunktionen, die maschinelles Lernen gewährleistet, gehen an eine benannte Stelle (Anhang I Teil A Nr. 5 und 6).

Einführer und Händler prüfen vor allem: Einführer stellen sicher, dass der Hersteller das richtige Verfahren durchlaufen hat, und bringen eigene Kontaktdaten an (Art. 13). Händler kontrollieren CE-Kennzeichnung, Konformitätserklärung und Betriebsanleitung in der Landessprache (Art. 15). Wer unter eigener Marke verkauft oder ein Produkt so verändert, dass die Konformität betroffen sein kann, wird selbst zum Hersteller (Art. 17).

Wann braucht eine Maschine ab 2027 eine benannte Stelle?

Die Antwort steht in Art. 25 in Verbindung mit Anhang I; im Verordnungstext heißt die benannte Stelle „notifizierte Stelle“. Teil A nennt sechs Kategorien, bei denen sie immer beteiligt ist: abnehmbare Gelenkwellen, ihre trennenden Schutzeinrichtungen, Hebebühnen für Fahrzeuge, Schussgeräte mit Treibladung sowie Sicherheitsbauteile und eingebettete Systeme mit selbstentwickelndem Verhalten durch maschinelles Lernen, die Sicherheitsfunktionen gewährleisten. Teil B listet 19 Kategorien — von Holzbearbeitungs- und Spritzgießmaschinen mit Handbeschickung über Metallpressen bis zu Schutzeinrichtungen zur Personendetektion und Logikeinheiten für Sicherheitsfunktionen. Dort darf der Hersteller selbst bewerten, wenn er harmonisierte Normen oder gemeinsame Spezifikationen anwendet, die alle einschlägigen Anforderungen abdecken; sonst nicht.

Was nicht in Anhang I steht, bewertet der Hersteller mit der internen Fertigungskontrolle (Modul A, Anhang VI) selbst. Eine Maschine mit eingebauter Sicherheitssteuerung fällt dadurch nicht unter Teil B Nr. 17: Diese Kategorie meint Logikeinheiten, die als Sicherheitsbauteil gesondert in Verkehr gebracht werden (Art. 3 Nr. 3). Auch fest programmierte Sicherheitssoftware ändert das Verfahren nicht — die Drittprüfung für Software soll nach Erwägungsgrund 55 nur für lern- oder weiterentwicklungsfähige Systeme gelten.

Rollen: Hersteller, Einführer, Händler, Umbau

Hersteller ist, wer ein Produkt unter eigenem Namen oder eigener Marke vertreibt — und auch, wer eine Maschine für den eigenen Gebrauch baut und in Betrieb nimmt (Art. 3 Nr. 18). Für den Eigenbau zählt also die Inbetriebnahme statt des Inverkehrbringens. Einführer bringen Produkte aus Drittstaaten in Verkehr; nach Erwägungsgrund 10 gehören dazu auch gebrauchte Maschinen aus Drittländern.

Wer eine Bestandsmaschine wesentlich verändert, gilt als Hersteller (Art. 18). „Wesentlich“ ist enger gefasst, als das Wort vermuten lässt: Die Veränderung ist vom Hersteller nicht vorgesehen, schafft eine neue Gefährdung oder erhöht ein Risiko, und dadurch werden entweder zusätzliche Schutzeinrichtungen nötig, deren Einbindung das Sicherheitssteuerungssystem anpasst, oder zusätzliche Maßnahmen für Stabilität und Festigkeit (Art. 3 Nr. 16). Zeigt die Risikobeurteilung, dass nur eine Maschine einer verketteten Anlage betroffen ist, gelten die Herstellerpflichten nur für diese. Nicht professionelle Nutzer, die für den Eigengebrauch umbauen, sind ausgenommen.

Neue Anforderungen aus Anhang III

Abschnitt 1.1.9 „Schutz gegen Korrumpierung“ verlangt fünf Dinge: Der Anschluss anderer Einrichtungen oder ein Fernzugriff darf keine gefährliche Situation erzeugen. Hardware, die Daten für den Zugriff auf sicherheitskritische Software überträgt, ist zu schützen, Eingriffe in sie sind nachzuweisen. Sicherheitskritische Software und Daten sind kenntlich zu machen und zu schützen. Die Maschine muss die installierte Software, die für den sicheren Betrieb nötig ist, identifizieren und anzeigen können. Und sie sammelt Nachweise über rechtmäßige wie unrechtmäßige Eingriffe in Software und Konfiguration.

Abschnitt 1.2.1 ergänzt die bekannten Steuerungsanforderungen: Steuerungen müssen vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter standhalten, und das Rückverfolgungsprotokoll über Eingriffe und nachträglich hochgeladene Versionen der Sicherheitssoftware bleibt bis zu fünf Jahre nach dem Hochladen für Behörden zugänglich. Für selbstentwickelnde Steuerungen, die für einen in wechselndem Maße autonomen Betrieb ausgelegt sind, kommen Grenzen für Aufgabe und Bewegungsbereich und eine einjährige Speicherung der sicherheitsrelevanten Entscheidungsdaten hinzu. Ein Cybersicherheitszertifikat nach Verordnung (EU) 2019/881 begründet die Konformitätsvermutung für 1.1.9 und 1.2.1, soweit es diese Anforderungen abdeckt (Art. 20 Abs. 9).

Übergang am 20.01.2027

Die Verordnung gilt ab dem 20. Januar 2027 (Art. 54); die Maschinenrichtlinie 2006/42/EG ist mit Wirkung vom selben Tag aufgehoben (Art. 51 Abs. 2). Die Erstveröffentlichung im Amtsblatt nannte den 14. Januar — die Berichtigung vom 4. Juli 2023 hat die Daten korrigiert. Produkte, die vor dem 20. Januar 2027 nach der Richtlinie in Verkehr gebracht wurden, dürfen weiter bereitgestellt werden (Art. 52 Abs. 1). Maßgeblich ist das einzelne Exemplar: Eine Maschine, die am Stichtag noch beim Hersteller steht, braucht für die erste Abgabe danach die Konformität nach neuem Recht.

EG-Baumusterprüfbescheinigungen und Zulassungen nach Art. 12 der Richtlinie bleiben bis zu ihrem Ablauf gültig (Art. 52 Abs. 2). Lagerware, laufende Projekte und kombinierte Konformitätserklärungen behandelt die Seite zum Übergang.

Was der Verordnungstext offenlässt

Normen: Eine Konformitätsvermutung entsteht erst mit der Fundstelle einer harmonisierten Norm im Amtsblatt (Art. 20 Abs. 1). Für 1.1.9 wird die Norm prEN 50742 erarbeitet; ob sie und die übrigen Normen unter der Verordnung zum Stichtag harmonisiert sind, war bei Redaktionsschluss nicht belegt. Für Kategorien aus Anhang I Teil B entscheidet genau das, ob Modul A überhaupt möglich ist.

Maschinelles Lernen: Ob ein trainiertes Modell, das im Betrieb nicht weiterlernt, „selbstentwickelndes Verhalten“ zeigt, beantwortet der Text nicht. Zusätzliche KI-Anforderungen in Anhang III erlässt die Kommission per delegiertem Rechtsakt; sie gelten ab dem 2. August 2028 (Art. 8 in der Fassung der Verordnung (EU) 2026/1744). Bis dahin wird für Hochrisiko-KI-Systeme Konformität vermutet, wenn sie den Normen oder gemeinsamen Spezifikationen nach Art. 40 und 41 der KI-Verordnung entsprechen (Art. 20 Abs. 10).

Umbau und Updates: Art. 18 unterscheidet nicht nach dem Regelwerk, unter dem eine Maschine ursprünglich in Verkehr kam. Eine EU-Leitlinie, die die Anwendung auf Maschinen nach Maschinenrichtlinie ausdrücklich bestätigt, konnte für diese Seite nicht belegt werden. Für Software-Updates nennt der Text keine eigene Schwelle — sie werden an denselben Kriterien gemessen wie ein Hardware-Umbau (Art. 3 Nr. 16).

Digitalisierung: Der Vorschlag COM(2025) 504 aus dem Paket „Omnibus IV“ ändert diese Verordnung im Hinblick auf Digitalisierung und gemeinsame Spezifikationen. Er ist vorläufig vereinbart, stand bei Redaktionsschluss aber nicht im Amtsblatt; was er an den Regeln zu Konformitätserklärung und Betriebsanleitung ändert, steht erst mit dem endgültigen Text fest.

Fristen und Aufbewahrung nach Verordnung (EU) 2023/1230

Daten in der berichtigten Fassung (Berichtigung ABl. L 169 vom 4.7.2023); die Erstveröffentlichung vom 29.06.2023 nannte für Geltungsbeginn und Aufhebung den 14.01.2027. KI-Datum aus Art. 3 der Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026.

Weitere Seiten zu CRA, MVO und NIS2

Die übrigen Compliance-Seiten — dieselbe Verordnung zuerst — und die Rechner-Bereiche.