Wesentliche Veränderung von Maschinen: Wann wird der Betreiber rechtlich zum Hersteller?
Die wichtigsten Änderungen im Überblick
| Aspekt | Maschinenrichtlinie 2006/42/EG | Maschinenverordnung (EU) 2023/1230 | Praktische Bedeutung für KMU |
|---|---|---|---|
| Rechtsform | Richtlinie | Verordnung (unmittelbar geltend) | Einheitliche Anwendung in der EU |
| Neue Technologien | Kaum berücksichtigt | Explizite Regelungen zu KI und autonomen Systemen | Erweiterte Risikobeurteilung |
| Cybersicherheit | Nicht geregelt | Neue grundlegende Sicherheitsanforderung | Schutz vor externen Angriffen wird Pflicht |
| Wesentliche Veränderung | Keine klare europäische Definition | Erstmals klar definiert (Art. 3 Nr. 16) | Sehr relevant für Betreiber |
| Hochrisikomaschinen | Anhang IV | Anhang I (Teil A und B) | Strengere Prüfverfahren möglich |
| Betriebsanleitungen | Meist in Papierform | Digitale Bereitstellung möglich | Erleichterung mit Bedingungen |
Wer eine Maschine nach dem Inverkehrbringen physisch oder digital so verändert, dass eine neue Gefährdung entsteht oder ein bestehendes Risiko erhöht wird (und dadurch zusätzliche Schutzmaßnahmen nötig werden), gilt ab 2027 automatisch als Hersteller dieser Maschine!
Das bedeutet: Er muss eine vollständige Konformitätsbewertung durchführen, eine neue EU-Konformitätserklärung ausstellen und die Maschine mit CE-Kennzeichnung versehen. Digitale Änderungen (z. B. Software-Updates an der Sicherheitssteuerung, Integration von KI-Funktionen oder Retrofit von Steuerungen) können ebenfalls als wesentliche Veränderung gelten. Details zur rechtssicheren Umsetzung finden Sie unter expert-management.de/maschinenverordnung.
Cybersicherheit in der neuen Maschinenverordnung – IEC 62443 als Leitfaden
Eine der bedeutendsten Neuerungen der Maschinenverordnung ist die explizite Aufnahme von Cybersicherheitsanforderungen in die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen (Anhang III, insbesondere Abschnitt 1.1.9). Hersteller müssen künftig sicherstellen, dass Sicherheitsfunktionen nicht durch externe Angriffe, Manipulationen oder unbefugte Software-Änderungen beeinträchtigt werden können. Dazu gehören unter anderem:
- Schutz der Sicherheitssteuerung vor Korruption und Manipulation
- Nachverfolgbarkeit von Software-Änderungen
- Sichere Fernzugriffe und Netzwerkverbindungen
- Berücksichtigung von Cyberrisiken bereits in der Risikobeurteilung
Da es derzeit noch keine spezifische harmonisierte Norm gibt, die alle diese Anforderungen vollständig abdeckt, hat sich die internationale Normenreihe IEC 62443 (Industrial Automation and Control Systems Security) als wichtigster und am weitesten verbreiteter Leitfaden etabliert.
Die IEC 62443 wird von vielen Fachleuten, Verbänden (z. B. VDMA) und Prüfstellen als State-of-the-Art für die Umsetzung der Cybersicherheitsanforderungen der Maschinenverordnung angesehen. Besonders relevant sind dabei folgende Teile:
- IEC 62443–4‑1: Sichere Produktentwicklungsprozesse (Secure Development Lifecycle)
- IEC 62443–4‑2: Technische Sicherheitsanforderungen an Komponenten
- IEC 62443–3‑3: System-Sicherheitsanforderungen und Security Levels
Viele Unternehmen nutzen die IEC 62443 bereits heute, um die neuen Anforderungen der Maschinenverordnung strukturiert und nachvollziehbar zu erfüllen. Die Norm bietet einen risikobasierten Ansatz, der gut zur Risikobeurteilung nach der Maschinenverordnung passt.
Verantwortung der Geschäftsführung
Die Geschäftsführung trägt die persönliche Verantwortung dafür, dass das Unternehmen die Anforderungen der Maschinenverordnung einhält – sowohl bei der Herstellung neuer Maschinen als auch bei wesentlichen Veränderungen an Bestandsmaschinen. Dazu gehört auch die Sicherstellung, dass Cyberrisiken angemessen berücksichtigt werden.
Was zu tun ist
Für Anlagen- und Maschinenhersteller:
- Gap-Analyse des aktuellen Entwicklungs- und Sicherheitsprozesses im Hinblick auf die Maschinenverordnung
- Integration der Cybersicherheitsanforderungen unter Verwendung der IEC 62443 als methodischem Rahmen
- Überarbeitung der Risikobeurteilung (inkl. Cyber- und KI-Risiken)
- Anpassung der technischen Dokumentation und der Konformitätsbewertung
- Schulung von Entwicklung, Konstruktion und Qualitätssicherung zu IEC 62443
Für Anlagenbetreiber:
- Bewertung, welche Umbauten oder Software-Änderungen als „wesentliche Veränderung“ gelten könnten
- Entwicklung interner Prozesse zur Bewertung von Veränderungen (inkl. digitaler Änderungen)
- Beratung zur Anwendung von IEC 62443 bei der Bewertung und Absicherung von Bestandsanlagen
- Vermeidung ungewollter Herstellerpflichten durch klare interne Regelungen
Fazit und Handlungsempfehlung
Die neue Maschinenverordnung bringt vor allem mehr Klarheit bei digitalen und vernetzten Systemen. Die explizite Forderung nach Cybersicherheit ist dabei eine der größten praktischen Herausforderungen für viele KMU. Die IEC 62443 bietet hier einen bewährten und praxistauglichen Leitfaden, um diese Anforderungen systematisch umzusetzen.
Unternehmen, die ab 2027 neue Maschinen in Verkehr bringen oder bestehende Anlagen modernisieren wollen, sollten spätestens im Herbst 2026 mit der Vorbereitung beginnen – idealerweise mit einer kombinierten Betrachtung von Maschinenverordnung und IEC 62443.
