Was bei der neuen EU-Maschinenverordnung zu beachten ist

Die Zeit drängt: Viele Maschinen und Maschinenteile einschließlich Software müssen ab dem 20. Januar 2027 die neue EU-Maschinenverordnung erfüllen. Maschinenbauer müssen sich sputen.

Bislang regelt die Maschinenrichtlinie von 2006 (2006/42/EG), welche Anforderungen Maschinen- und Anlagenbauer erfüllen müssen, damit beim Betrieb vor allem keine Menschen zu Schaden kommen. Seit dem Inkrafttreten der Maschinenrichtlinie hat die Digitalisierung aber den Charakter von Industrie und Handwerk erheblich verändert. Die Ansätze von 2006 reichen bei der Betrachtung der Sicherheit daher nicht mehr aus. Vor allem diese Lücke soll die 2023 beschlossene Maschinenverordnung (MVO) – korrekt: Maschinenverordnung (EU) 2023/1230 – schließen. Daher beinhaltet sie unter anderem neue Pflichten im Bereich der Software und Cybersecurity.

Die neuen Regelungen gelten laut Verordnungstext für "Maschinen und folgende dazugehörige Produkte: auswechselbare Ausrüstungen; Sicherheitsbauteile; Lastaufnahmemittel; Ketten, Seile und Gurte; abnehmbare Gelenkwellen." Auch unvollständige Maschinen fallen unter die MVO. Was damit gemeint ist, erläutern Experten des TÜV Rheinland so: "Unvollständige Maschinen sind beispielsweise Roboter oder Verbrennungsmotoren. Erst in der finalen Installation kann eine sinnvolle Aufgabe mit ihnen durchgeführt werden." Daher erfolge ihre finale Bewertung nach MVO erst in der Installation.

Für eine ganze Reihe von Maschinen gilt die MVO allerdings ausdrücklich nicht (Artikel 2). Dazu zählen beispielsweise Züge, Schiffe, Flugzeuge und Kraftfahrzeuge.

Prozesse müssen angepasst werden

Die Vorgaben der MVO müssen vereinfacht gesagt alle Unternehmen einhalten, die in der EU Maschinen bauen, wesentlich verändern oder verkaufen. In der Verordnung wird das Inkrafttreten zwar noch auf den 14. Januar 2027 datiert. Weil dieser Angabe aber ein Rechenfehler zugrunde lag, wurde das Datum durch eine Berichtigung auf den 20. Januar 2027 korrigiert.

Bis dahin müssen die Unternehmen ihre Produkte, Prozesse und Dokumentationen anpassen. Für jene, die damit noch nicht begonnen haben und die nicht nur extrem einfache Maschinen herstellen, dürfte das eine zeitliche Herausforderung werden. Zumal die Unternehmen zunächst einmal untersuchen müssen, welche ihrer Produkte von der MVO betroffen sind. 

Und schließlich müssen sie möglicherweise noch ihre internen Projektstrukturen so umstellen, dass sie zu den Anforderungen der MVO passen. Zumal ja nun viele Aspekte der Digitalisierung bewertet werden müssen, die in der alten Maschinenrichtlinie keine Rolle spielten. Und gerade wenn es um Künstliche Intelligenz, also lernende Maschinen geht, handelt es sich noch um recht junge Technologien, mit denen die Unternehmen bislang nur begrenzte Erfahrung sammeln konnten. Zu diesen neu einzubeziehenden Feldern zählen auch Software und Cybersecurity. Hinzu kommt hier der grundsätzlich neue Ansatz, dass die Cybersecurity nicht nur zum Zeitpunkt der Auslieferung oder Inbetriebnahme, sondern über das ganze Anlagenleben gesichert werden muss.

So ergibt sich eine Vielzahl von großen und kleinen Aufgaben, bei denen teilweise auch die eigenen Lieferanten einbezogen werden müssen.

Stichtagsregelung kann zum Problem werden

Was ist jetzt am dringendsten zu tun? Eine Stichwortliste nennt ein Experte des britischen Zertifizierers Intertek im Unternehmens-Blog:

Überprüfen Sie Ihre Maschinen: Verwenden Sie KI? Sind Sie mit dem Internet verbunden? Modifizieren Sie ältere Maschinen?

Aktualisieren Sie Ihre Risikobewertungen: Stellen Sie sicher, dass sie Cybersicherheit, KI-Verhalten und Lebenszyklusnutzung umfassen.

Beziehen Sie frühzeitig eine benannte Stelle ein: Hochriskante Maschinen? Warten Sie nicht, bis alle anderen sich beeilen, einen Termin zu vereinbaren.

Stellen Sie auf digitale Dokumentation um: Bauen Sie jetzt sichere, benutzerfreundliche Systeme auf. Sie werden es sich später danken.

Schulen Sie Ihr Team: Technik, Compliance, Service – jeder muss wissen, was sich ändert.

Sprechen Sie mit Ihren Partnern: Auch Händler, Importeure und Integratoren haben neue gesetzliche Verpflichtungen.

Hinzu kommt noch die gar nicht so banale Frage, ob eine Maschine vor oder ab dem 20. Januar 2027 in Verkehr gebracht wird. Wenn das nicht klar ist, kann das zum Problem werden. 

Denn nach diesem Stichtag dürfen Maschinen, die ausschließlich nach der alten Maschinenrichtlinie bewertet wurden, nicht mehr vermarktet und in Verkehr gebracht werden. Umgekehrt gilt, dass bis zu diesem Termin allein die Maschinenrichtlinie anzuwenden ist. Doch für dieses Problem hat die EU-Kommission eine Lösung geschaffen. Eine Expertin von Mattis Services weist auf der Unternehmenswebsite darauf hin, dass die EU-Kommission eine kombinierte Konformitätserklärung akzeptiere, in der Unternehmen bestätigen, dass ihre Maschine sowohl der Maschinenrichtlinie wie auch der MVO entspricht. Allerdings gebe es diese Möglichkeit nicht für alle Maschinen, so die Mattis-Expertin, etwa bei Hebemaschinen oder Maschinen, die eine EG-Baumusterprüfung benötigten, sei die kombinierte Erklärung nicht möglich.

Selbstzertifizierung bleibt erhalten

Ein wichtiges Prinzip der alten Maschinenrichtlinie bleibt aber erhalten, die Möglichkeit der Selbstzertifizierung. Die Unternehmen prüfen und bestätigen die Konformität mit den MVO-Regeln selbst und bringen das CE-Zeichen an. Eine Ausnahme bilden allerdings einige Hochrisiko-Maschinen, bei denen nun eine Benannte Stelle einbezogen werden muss.

Die Kernanforderung der MVO ist, dass Maschinen die "grundlegenden Sicherheits- und Gesundheitsschutzanforderungen" erfüllen müssen, "um ein hohes Maß an Schutz der Sicherheit und Gesundheit von Personen und gegebenenfalls von Haustieren und Sachen sowie, soweit anwendbar, der Umwelt zu gewährleisten".
Eine kleine Entwarnung gibt der TÜV Rheinland, was den Aufwand für die Umsetzung der MVO angeht: 90 Prozent der Bestimmungen in der MVO stimmten mit den Regeln der aktuellen Maschinenrichtlinie überein. Viele Anforderungen seien lediglich detaillierter beschrieben. Die echten Neuerungen beträfen vor allem Digitalisierung und Vernetzung.

Cybersecurity bekommt hohes Gewicht

Dafür sei eine Überarbeitung und Erweiterung der grundlegenden Sicherheits- und Gesundheitsschutzanforderungen in Anhang III vorgenommen worden. Damit gingen neue Anforderungen zu KI, Cybersicherheit, Mensch-Roboter-Kollaboration, zur Anbindung von Geräten an das Internet (IoT), zur Auswirkung von Software-Updates und zur funktionalen Sicherheit (etwa von Software) einher. Vor allem sollen Angriffe Dritter auf die Maschinensicherheit über die digitale Infrastruktur verhindert werden. Das bringe mehr Sicherheit, erfordere zunächst aber das Etablieren zusätzlicher Prozesse sowie gründliche Prüfungen der Maschinen, so der TÜV Rheinland.

Zur Cybersecurity nennen Experten von ABB in einem Online-Beitrag einige konkrete Punkte: Es muss sichergestellt werden, dass selbst nach einem erfolgreichen Hackerangriff kein unsicherer Zustand entsteht. Jede Änderung an sicherheitsrelevanten Einstellungen und Programmen muss lückenlos dokumentiert werden. Und Software für Sicherheitsfunktionen gilt in der MVO als eigenständiges Sicherheitsbauteil. Wird sie separat angeboten, benötigt sie künftig eine eigene Konformitätserklärung und CE-Kennzeichnung.

Digitale Betriebsanleitungen sind möglich

Auch die Regelungen zu digitalen Dokumentationen und Bedienungsanleitungen bringen einige Neuerungen. So weist die IHK Ulm darauf hin, dass künftig die digitale Bereitstellung von Betriebsanleitungen erlaubt sei, wenn einige Bedingungen erfüllt werden. So müssten digitale Betriebsanleitungen ausdruckbar, herunterladbar und speicherbar sein. Auf Kundenanfrage müsse eine Papierversion innerhalb eines Monats kostenfrei zur Verfügung gestellt werden. Unter den gleichen Bedingungen dürfe auch die EU-Konformitätserklärung selbst digital bereitgestellt werden.

Neu ist auch ein erweitertes Konformitätsbewertungsverfahren für Hochrisikomaschinen, wie Experten von ABB auf der Unternehmenswebsite hervorheben. Im Anhang I der Verordnung werden diese noch einmal in zwei Klassen unterteilt: solche, für die Unternehmen selbst die Konformität erklären können, und solche – dazu zählen auch alle KI-Systeme mit Sicherheitsfunktionen –, bei denen eine benannte Stelle hinzugezogen werden muss.

Cyber Resilience Act gilt zusätzlich

Fast zeitgleich zum Inkrafttreten der MVO müssen viele Maschinenhersteller in Sachen Cybersecurity auch noch weitere Bestimmungen erfüllen, nämlich die des Cyber Resilience Acts (CRA) der EU, dessen Hauptbestimmungen am 11. Dezember 2027 in Kraft treten. 

Zwar enthält auch die MVO Regeln zu Cybersecurity. Allerdings haben die beiden Bestimmungen ganz unterschiedliche Ansätze: In der MVO geht es bei den Cybersecurity-Regelungen vor allem darum, die funktionale Sicherheit der Maschinen zu gewährleisten und die Gefährdung von Menschen auszuschließen. Cybersecurity also als Mittel für einen ganz konkreten Zweck. Dagegen betrachtet der CRA das Thema Cybersecurity grundlegend und unter allen Aspekten. 

Er legt Sicherheitsanforderungen für alle digitalen Elemente fest – unabhängig von der physischen Gefährdung – und schließt auch Aktualisierungen und Sicherheitspatches über den gesamten Lebenszyklus hinweg ein. Beispielsweise müssen Hersteller laut CRA es schon ab dem 11. September 2026 von sich aus melden, wenn Cybersecurity-Schwachstellen ihrer Maschinen ausgenutzt wurden.

Abschließend eine Liste mit hilfreichen Links zum Thema:

• Text der Maschinenverordnung (EU) 2023/1230 Maschinenrichtlinie 2006/42/EG (PDF-Download)
• FAQs zur MVO bei DGUV Test (Prüf- und Zertifizierungssystem der Deutschen Gesetzlichen Unfallversicherung)
• Überblick der IHK Ulm zur MVO
• Leitfaden des Automatisierungsanbieters Pilz zur Maschinenverordnung (PDF-Download)
• Leitfaden von des Dokumentationsdienstleisters HighDoc
• Leitfaden des Anbieters von Industrie-4.0-Lösungen Isax
• Überblick des TÜR Rheinland zur MVO
• Überblick des britischen Zertifizierers Intertec zur MVO
• Einführung der EU-Kommission zum zum Cyber Resilience Act
• Überblick von Infineon zum Cyber Resilience Act
• Überblick von Fraunhofer zum Cyber Resilience Act
• Überblick von NTT Data zum Cyber Resilience Act