Von der Maschinenrichtlinie zur Maschinenverordnung: Was sich bei der Maschinensicherheit ändert

Die EU-Maschinenverordnung 2023/1230 löst die bisherige Maschinenrichtlinie 2006/42/EG ab und gilt verbindlich ab dem 20. Januar 2027. Der wichtigste Unterschied: Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten und sie macht Cybersicherheit erstmals zum festen Bestandteil der Maschinensicherheit. Was das für Hersteller, Betreiber und Anwender bedeutet, erklärt dieser Überblick.

Das Wichtigste in Kürze:

• Stichtag: Die Maschinenverordnung ist ab dem 20. Januar 2027 verbindlich anzuwenden.
• Rechtsform: Verordnung statt Richtlinie die Regeln gelten unmittelbar und europaweit einheitlich.
• Inhalt: Cybersicherheit wird ausdrücklich Teil der Maschinensicherheit.
• Betroffen: Hersteller in erster Linie, Betreiber über Beschaffung, Umbauten und Serviceprozesse.

Was ist die neue Maschinenverordnung?

Die Maschinenverordnung (EU) 2023/1230 ist das neue europäische Regelwerk für die Sicherheit von Maschinen und ersetzt die bisherige Maschinenrichtlinie 2006/42/EG; zugleich hebt sie die ältere Richtlinie 73/361/EWG auf. Den vollständigen Wortlaut stellt die EU über EUR-Lex bereit: Verordnung (EU) 2023/1230 im Volltext. Für Hersteller ändert sich vor allem eines: Neben mechanischen, elektrischen und ergonomischen Gefahren müssen künftig auch Risiken aus der digitalen Vernetzung betrachtet werden. Die CE-Kennzeichnung bleibt der sichtbare Nachweis, dass eine Maschine die geltenden Anforderungen erfüllt künftig einschließlich der Anforderungen an Cybersicherheit.

Was ist der Unterschied zwischen Maschinenrichtlinie und Maschinenverordnung?

Der wichtigste Unterschied liegt in der Rechtsform: Eine Richtlinie muss von den Mitgliedstaaten in nationales Recht überführt werden, eine Verordnung gilt dagegen unmittelbar und einheitlich in allen EU-Ländern. Hinzu kommen inhaltliche Neuerungen allen voran die Einbeziehung der Cybersicherheit in die Sicherheitsanforderungen.

Richtlinie versus Verordnung warum das rechtlich einen Unterschied macht

Die Maschinenrichtlinie 2006/42/EG setzt als Richtlinie Ziele, die jedes Mitgliedsland in nationales Recht überführen muss in Deutschland über das Produktsicherheitsgesetz und die zugehörigen Verordnungen. Details können daher von Land zu Land leicht abweichen. Die Maschinenverordnung (EU) 2023/1230 ist dagegen eine Verordnung: Sie gilt unmittelbar und einheitlich in allen Mitgliedstaaten, ohne nationalen Umsetzungsspielraum. Für Unternehmen bedeutet das klarere, europaweit identische Anforderungen und weniger Auslegungsspielraum bei der Frage, welche Pflichten ab wann gelten.

Der Stichtag 20. Januar 2027

Die Verordnung ist bereits in Kraft getreten, ihre Anwendung ist aber erst ab dem 20. Januar 2027 verbindlich. Bis zu diesem Stichtag dürfen Maschinen noch nach den Regeln der Maschinenrichtlinie 2006/42/EG in Verkehr gebracht werden. Ab dem Stichtag gelten ausschließlich die Anforderungen der Maschinenverordnung. Wer Entwicklungs- oder Beschaffungszyklen plant, sollte dieses Datum als feste Marke einrechnen Risikobeurteilung, Dokumentation und Konformitätsbewertung brauchen Vorlauf.

Übergang und Bestandsmaschinen

Maschinen, die vor dem Stichtag rechtmäßig nach der Maschinenrichtlinie in Verkehr gebracht wurden, müssen grundsätzlich nicht nachträglich umgerüstet werden das entspricht dem bewährten Bestandsprinzip europäischer Produktregelwerke. Vorsicht ist geboten, sobald eine Maschine wesentlich verändert wird, etwa durch einen neuen Steuerungsaufbau oder erweiterte Funktionen. Dann kann sie rechtlich wie ein neues Produkt behandelt werden mit der Folge einer erneuten Konformitätsbewertung. Sinnvoll ist es zudem, Umbauten und ihre Bewertung zu dokumentieren; so lässt sich später nachvollziehbar darlegen, warum eine wesentliche Veränderung verneint wurde. Unberührt davon bleiben die betrieblichen Pflichten aus dem nationalen Arbeitsschutz, etwa aus der Betriebssicherheitsverordnung.

Warum wird Cybersicherheit Teil der Maschinensicherheit?

Weil moderne Maschinen vernetzt sind: Steuerungen tauschen Daten aus, Dienstleister greifen aus der Ferne zu, Software-Updates verändern das Verhalten von Anlagen. Genau darin liegt ein Sicherheitsrisiko. Wer eine Steuerung manipuliert oder ein Update unbemerkt verändert, kann Schutzfunktionen außer Kraft setzen und aus einem digitalen Angriff wird eine physische Gefahr für Menschen an der Maschine. Deshalb versteht die Maschinenverordnung Cybersicherheit als Teil der Produktsicherheit.

Dabei unterscheidet sich OT-Security, der Schutz von Betriebstechnik wie SPS und Maschinensteuerungen, von klassischer IT-Security: Im Vordergrund stehen die Verfügbarkeit und die sichere Funktion der Anlage, nicht primär die Vertraulichkeit von Daten. Im Servicealltag zeigt sich diese Verbindung bereits ganz konkret wer Anlagen aus der Ferne wartet, arbeitet genau an der Schnittstelle von Maschinenrichtlinie und Cybersecurity.

Welche Pflichten kommen auf Hersteller zu?

Risikobeurteilung inklusive digitaler Risiken

Die Risikobeurteilung ist das Herzstück jeder Maschinenzulassung. Künftig muss sie auch digitale Risiken einbeziehen: Was passiert, wenn Steuerungsdaten manipuliert werden? Welche Folgen hat ein fehlerhaftes Update? Hersteller müssen solche Szenarien systematisch prüfen und geeignete Schutzmaßnahmen ableiten. Dokumentiert werden sollte dabei nicht nur das Ergebnis, sondern auch, welche Annahmen zu Vernetzung, Updates und Fernzugriffen der Bewertung zugrunde lagen.

Schutz vor Manipulation von Steuerung und Software

Steuerung und Software müssen so ausgelegt sein, dass Manipulationen nicht unbemerkt bleiben. Als anerkannte Orientierung dient die Normenreihe IEC 62443, der international etablierte Standard für die Security industrieller Automatisierungssysteme. In der Praxis gilt das Sicherheitsniveau IEC 62443-3-3 SL2 als robuster Referenzpunkt für Maschinenumgebungen, weil es Anforderungen zum Schutz gegen vorsätzliche Manipulation beschreibt. Ergänzende Grundlagen zur Absicherung industrieller Steuerungssysteme stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereit.

Technische Dokumentation und Konformitätsbewertung

Hersteller müssen die getroffenen Maßnahmen in der technischen Dokumentation festhalten und ein Konformitätsbewertungsverfahren durchlaufen. Für bestimmte Hochrisiko-Maschinen sieht die Verordnung angepasste Verfahren vor, bei denen benannte Stellen wie TÜV Nord eingebunden sein können. Die Unterlagen sollten die Security-Maßnahmen so nachvollziehbar beschreiben, dass sie auf Anfrage der Marktüberwachung vorgelegt werden können. Erst danach folgen EU-Konformitätserklärung und CE-Kennzeichnung.

Digitale Betriebsanleitungen

Betriebsanleitungen dürfen künftig digital bereitgestellt werden. Das erleichtert Aktualisierungen, stellt aber Anforderungen: Die Anleitung muss zugänglich bleiben, eindeutig zur jeweiligen Maschine passen und bei Bedarf auch in Papierform verfügbar sein. Für Service und Instandhaltung ist das ein Gewinn, denn Anleitungen gehen nicht verloren und lassen sich zentral auf dem aktuellen Stand halten.

Was bedeutet die Maschinenverordnung für Betreiber und Anwender?

Auch Betreiber spüren die Änderungen, wenngleich die Verordnung formal vor allem Hersteller adressiert. Bei der Beschaffung gilt: Maschinen, die ab dem Stichtag neu in Verkehr gebracht werden, müssen die neuen Anforderungen erfüllen Kaufverträge und Spezifikationen sollten das berücksichtigen. Bei Umbauten ist die Grenze der wesentlichen Veränderung entscheidend: Wer eine Anlage tiefgreifend umbaut, kann eine neue Konformitätsbewertung auslösen. Und im Servicealltag rücken sichere Prozesse in den Fokus: Fernzugriffe auf Steuerungsumgebungen wie TIA Portal oder TwinCAT sollten zeitlich begrenzt, mit sauber vergebenen Rechten und dokumentiert erfolgen. Auch Serviceverträge gehören auf den Prüfstand: Wer Fernwartung einkauft, sollte auf nachvollziehbare Zugriffskonzepte und dokumentierte Sitzungen achten. Orientierungshilfen für die praktische Umstellung bieten Branchenverbände wie der VDMA.

Wie hängen Maschinenverordnung, NIS2 und Cyber Resilience Act zusammen?

Drei Regelwerke, drei Ebenen sie ergänzen sich, sind aber nicht austauschbar:

• NIS2 ist eine EU-Richtlinie. Sie richtet sich an Unternehmen und Organisationen und muss national umgesetzt werden; in Deutschland erfolgt dies durch das NIS2-Umsetzungsgesetz. Im Kern verlangt NIS2 Risikomanagement einschließlich Lieferkette und damit auch kontrollierte, sichere Fernzugriffe.
• Cyber Resilience Act ist eine EU-Verordnung und gilt unmittelbar. Er adressiert Produkte mit digitalen Elementen und verlangt Security by Design, Update-Pflichten über den Produktlebenszyklus und Meldepflichten bei Vorfällen.
• Maschinenverordnung: Sie regelt die Produktsicherheit von Maschinen und macht Cybersicherheit zu einem Bestandteil ihrer Sicherheitsanforderungen.

Kurz gesagt: NIS2 betrifft die Organisation, der Cyber Resilience Act das digitale Produkt, die Maschinenverordnung die Maschine. In der Praxis greifen die Regelwerke häufig gleichzeitig: Ein Maschinenbauunternehmen kann als Organisation unter NIS2 fallen, als Hersteller unter die Maschinenverordnung und mit Produkten, die digitale Elemente enthalten, zusätzlich unter den Cyber Resilience Act. Ergänzende Analysen zur Cybersicherheitslage in Europa liefert die EU-Agentur für Cybersicherheit (ENISA).

Welche Rolle spielt der Fernzugriff auf Maschinen?

Fernwartung ist für viele Betreiber Alltag und aus Sicht der Maschinensicherheit ein sensibler Vorgang. Jeder externe Zugriff auf eine Steuerung sollte kontrolliert, auf das notwendige Maß begrenzt und nachvollziehbar dokumentiert sein. Klassische VPN-Zugänge erfüllen diese Anforderungen im Maschinenservice oft nur mühsam: Sie öffnen typischerweise breite Netzzugriffe statt eines gezielten Zugriffs auf eine einzelne Maschine, die Nachvollziehbarkeit einzelner Sitzungen ist begrenzt, und die Verwaltung von Zugängen und Zertifikaten verursacht spürbaren Aufwand. VPN ist damit nicht pauschal unsicher aber es löst die organisatorischen Fragen des Maschinenservice nicht von selbst. Praxistauglich sind Ansätze mit maschinenscharfen, zeitlich befristeten Freigaben und lückenloser Protokollierung. Bewährt haben sich individuelle Benutzerkonten statt geteilter Zugänge sowie Protokolle, aus denen hervorgeht, wer wann welche Änderung vorgenommen hat. Konkrete Umsetzungsansätze rund um Maschinenrichtlinie und Cybersecurity zeigen, wie sich solche Anforderungen in bestehende Serviceprozesse integrieren lassen.

Wie bereiten sich Unternehmen praktisch vor?

Die folgende Checkliste hilft Herstellern und Betreibern, die Übergangszeit strukturiert zu nutzen:

1. Ist-Analyse durchführen: Maschinenpark, Steuerungen und bestehende Fernzugriffe vollständig erfassen.
2. Risikobeurteilung erweitern: digitale Risiken in die bestehende Bewertung aufnehmen.
3. Zugriffsrechte ordnen: Berechtigungen begrenzen, Sitzungen protokollieren, Vergaben dokumentieren.
4. Dokumentation aktualisieren: technische Unterlagen und Betriebsanleitungen auf den neuen Stand bringen.
5. Beschaffung anpassen: die neuen Anforderungen in Spezifikationen und Verträgen verankern.
6. Verantwortlichkeiten klären: Zuständigkeiten benennen, Schulungen planen, den Stichtag im Blick behalten.

Wer diese Schritte früh angeht, reduziert das Risiko von Nachbesserungen und Engpässen kurz vor dem Stichtag.

Vergleichstabelle: Maschinenrichtlinie vs. Maschinenverordnung

Die wichtigsten Unterschiede zwischen Maschinenrichtlinie 2006/42/EG und Maschinenverordnung (EU) 2023/1230 im Überblick:

Entscheidend bleibt: Die Verordnung verändert nicht nur die Rechtsform, sondern erweitert den Sicherheitsbegriff um die digitale Ebene.

Zur Einordnung der drei Regelwerke:

• NIS2: EU-Richtlinie mit Unternehmenspflichten, national umzusetzen.
• Cyber Resilience Act: EU-Verordnung mit Pflichten für Produkte mit digitalen Elementen.
• Maschinenverordnung: Produktsicherheit von Maschinen, inklusive Cybersicherheit.

FAQ

Was ist die EU-Maschinenverordnung?

Die Verordnung (EU) 2023/1230 regelt die Sicherheitsanforderungen an Maschinen und ersetzt die bisherige Maschinenrichtlinie 2006/42/EG.

Ab wann gilt die Maschinenverordnung?

Sie ist ab dem 20. Januar 2027 verbindlich anzuwenden; bis dahin gilt noch die Maschinenrichtlinie.

Was ist der Unterschied zwischen Richtlinie und Verordnung?

Eine Richtlinie muss von den Mitgliedstaaten in nationales Recht umgesetzt werden, eine Verordnung gilt unmittelbar und einheitlich in allen Mitgliedstaaten.

Warum steht Cybersicherheit jetzt in der Maschinenverordnung?

Weil moderne Maschinen vernetzt sind und Manipulationen an Steuerung oder Software zu realen Gefahren für Menschen führen können.

Was ändert sich für Maschinenhersteller?

Digitale Risiken gehören in die Risikobeurteilung, Steuerung und Software müssen gegen Manipulation geschützt und die Maßnahmen dokumentiert werden.

Was müssen Betreiber beachten?

Bei Beschaffung, Umbauten und Serviceprozessen gelten die neuen Anforderungen; wesentliche Veränderungen können eine neue Konformitätsbewertung auslösen.

Was hat die Maschinenverordnung mit NIS2 zu tun?

Beide adressieren Sicherheit, aber auf unterschiedlichen Ebenen: Die Maschinenverordnung betrifft das Produkt, NIS2 die Organisation.

Ist Fernwartung von der Maschinenverordnung betroffen?

Ja, indirekt: Fernzugriffe auf Steuerungen sind ein sicherheitsrelevanter Vorgang und müssen kontrolliert und nachvollziehbar erfolgen.

Was bedeutet IEC 62443 in diesem Zusammenhang?

Der Standard beschreibt Sicherheitsanforderungen für industrielle Automatisierungssysteme und dient als anerkannte Orientierung für die Umsetzung, etwa über IEC 62443-3-3 SL2.

Fazit

Die Maschinenverordnung (EU) 2023/1230 bringt zwei zentrale Neuerungen: Sie gilt ab dem 20. Januar 2027 unmittelbar in allen Mitgliedstaaten, und sie macht Cybersicherheit zum festen Bestandteil der Maschinensicherheit. Für Hersteller heißt das: Digitale Risiken gehören in Risikobeurteilung, Konstruktion und Dokumentation. Für Betreiber lohnt der Blick auf Beschaffung, Umbauten und sichere Fernzugriffe. Entscheidend ist, Cybersicherheit nicht als separates IT-Projekt zu behandeln, sondern als festen Teil des gewohnten Sicherheitsdenkens rund um die Maschine. Wenn Sie die Übergangszeit strukturiert nutzen, erreichen Sie den Stichtag ohne Hektik. Dieser Überblick dient der Orientierung und ersetzt keine Rechtsberatung im Einzelfall.