Die Maschinenverordnung 2027 ersetzt ab dem 20. Januar 2027 die bisherige Maschinenrichtlinie 2006/42/EG und gilt dann unmittelbar in allen EU-Mitgliedstaaten. Neu ist vor allem, dass Software, Steuerungen, Fernzugriffe und selbstlernende Systeme ausdrücklich in die Sicherheitsbewertung einer Maschine gehören. Wer Maschinen baut, umbaut oder digitale Komponenten dafür entwickelt, muss Risikobeurteilung, Dokumentation und Serviceprozesse anpassen.
Für Gründer im Maschinenbau, Hardware-Startups und kleine Hersteller ist das Thema doppelt relevant. Einerseits steigt der Aufwand bis zur CE-Kennzeichnung. Andererseits entsteht ein wachsender Markt für Beratung, Prüfung und sichere Fernwartung, den junge Unternehmen besetzen können.
Dieser Leitfaden zeigt dir, was sich ändert, wie die Verordnung mit dem Cyber Resilience Act zusammenspielt, welche Kostenfaktoren du einplanen solltest und wie du Dienstleister auswählst. Stand ist Oktober 2026; verbindlich ist immer der Verordnungstext.
Maschinenverordnung 2027: Das ändert sich
Die Maschinenverordnung 2027, offiziell Verordnung (EU) 2023/1230, wurde im Juni 2023 verabschiedet und gilt ab dem 20. Januar 2027. Maschinen, die vorher rechtmäßig nach altem Recht in Verkehr gebracht wurden, dürfen weiter bereitgestellt werden. Für alles, was ab dem Stichtag neu auf den Markt kommt, gelten die neuen Regeln.
Von der Richtlinie zur unmittelbar geltenden Verordnung
Die alte Maschinenrichtlinie musste jeder Mitgliedstaat in nationales Recht umsetzen, in Deutschland über die Maschinenverordnung zum Produktsicherheitsgesetz. Die neue EU-Verordnung wirkt dagegen direkt und einheitlich. Für Hersteller, die in mehrere Länder liefern, reduziert das Auslegungsunterschiede, erhöht aber zugleich die Verbindlichkeit der Anforderungen.
Neue Anforderungen an Software, KI und Cybersicherheit
Erstmals enthält das Maschinenrecht ausdrücklich Anforderungen an den Schutz gegen Manipulation. Die Abschnitte 1.1.9 und 1.2.1 in Anhang III verlangen, dass Verbindungen, Software und Steuerungen so ausgelegt sind, dass böswillige Eingriffe nicht zu gefährlichen Situationen führen. Weitere Punkte im Überblick:
- Software als Sicherheitsbauteil: Software, die eine Sicherheitsfunktion erfüllt und gesondert in Verkehr gebracht wird, gilt als Sicherheitsbauteil.
- Selbstlernende Systeme: Die Risikobeurteilung muss Gefährdungen aus sich veränderndem Verhalten erfassen. Sicherheitsrelevante Entscheidungen sind zu protokollieren, Korrekturen müssen jederzeit möglich sein.
- Digitale Betriebsanleitung: Sie ist zulässig, muss aber mindestens zehn Jahre online verfügbar sein. Auf Wunsch ist innerhalb eines Monats kostenlos eine Papierfassung zu liefern.
- Wesentliche Veränderung: Auch Software-Updates können eine Maschine wesentlich verändern. Wer das tut, übernimmt die Herstellerpflichten.
Zusammenspiel mit dem Cyber Resilience Act
Parallel greift die Cyberresilienz-Verordnung (EU) 2024/2847, kurz CRA. Sie gilt für Produkte mit digitalen Elementen, also auch für vernetzte Steuerungen, Gateways oder Service-Software. Während das Maschinenrecht fragt, ob eine Manipulation die Sicherheit von Menschen gefährdet, verlangt der CRA Cybersicherheit über den gesamten Lebenszyklus.
| Regelwerk | Stichtag | Kernpflicht |
|---|---|---|
| Cyber Resilience Act | 11. September 2026 | Meldung aktiv ausgenutzter Schwachstellen und schwerer Vorfälle |
| Maschinenverordnung (EU) 2023/1230 | 20. Januar 2027 | Neue Sicherheitsanforderungen inkl. Schutz gegen Manipulation, CE-Verfahren |
| Cyber Resilience Act | 11. Dezember 2027 | Alle übrigen Pflichten, z. B. Secure by Design, SBOM, Sicherheitsupdates im Supportzeitraum |
Laut BSI müssen Hersteller unter dem CRA unter anderem eine Software-Stückliste (SBOM) führen, während des Supportzeitraums kostenlose Sicherheitsupdates liefern und das Supportende klar angeben. Der Supportzeitraum beträgt in der Regel fünf Jahre. Wie Gründer die neuen Pflichten einschätzen, zeigt eine Sammlung von Start-up-Einschätzungen zum Cyber Resilience Act bei StartingUp. Einen kompakten Software-Blick liefert unser Beitrag zum Cyber Resilience Act für Software.
Wer betroffen ist
Von der Maschinenverordnung 2027 betroffen sind Hersteller von Maschinen, unvollständigen Maschinen und Sicherheitsbauteilen, außerdem Importeure und Händler mit eigenen Prüfpflichten. Das gilt keineswegs nur für große Anlagenbauer. Eine CNC-Fräse, eine Verpackungsmaschine oder ein Roboter-Startup mit eigener Steuerungssoftware fällt genauso darunter, sobald das Produkt auf den EU-Markt kommt.
Wann du durch Umbauten selbst zum Hersteller wirst
Viele kleine Firmen modernisieren gebrauchte Maschinen oder rüsten Sensorik und Fernzugriff nach. Ist die Änderung wesentlich, etwa weil eine neue Gefährdung entsteht oder ein Risiko steigt, wirst du rechtlich zum Hersteller. Dann brauchst du eine eigene Risikobeurteilung, technische Unterlagen, eine Konformitätserklärung und die CE-Kennzeichnung. Kläre das vor dem Angebot an den Kunden, nicht danach.
Kosten und Aufwand realistisch planen
Pauschale Preise gibt es nicht, weil der Aufwand stark vom Maschinentyp abhängt. Diese Faktoren bestimmen dein Budget:
- Konformitätsverfahren: Für die meisten Maschinen reicht die interne Fertigungskontrolle. Für Kategorien aus Anhang I, etwa Systeme mit selbstentwickelndem Verhalten, ist eine notifizierte Stelle einzubinden, was Gebühren und Vorlaufzeit verursacht.
- Normenlage: Wer vollständig nach harmonisierten Normen baut, profitiert von der Konformitätsvermutung und spart Prüfaufwand.
- Interne Ressourcen: Risikobeurteilung, Dokumentation und Schwachstellenmanagement binden Entwicklungszeit, oft mehr als die externe Prüfung.
- Infrastruktur: Sichere Fernwartung, Update-Prozesse und Protokollierung verursachen laufende Kosten für Software und Betrieb.
Hol dir früh mehrere Angebote ein und plane Puffer ein, denn Prüfstellen und Berater sind vor dem Stichtag stark ausgelastet. Forschungsintensive Startups sollten zudem prüfen, ob Entwicklungsaufwand über die Forschungszulage teilweise gefördert werden kann.
Fahrplan bis zum Stichtag
- Bestand erfassen: Welche Produkte kommen nach dem 20. Januar 2027 neu auf den Markt? Welche haben Software, Fernzugriff oder lernende Funktionen?
- Einordnen: Prüfen, ob ein Produkt unter Anhang I fällt und eine notifizierte Stelle nötig ist.
- Risikobeurteilung erweitern: Digitale Eingriffe wie manipulierte Software oder missbrauchte Zugänge in die bestehende Gefährdungsanalyse aufnehmen.
- Dokumentation umstellen: Technische Unterlagen und Betriebsanleitung an die neuen Anforderungen anpassen, digitale Anleitungen langfristig hosten.
- CRA-Prozesse aufsetzen: Meldewege für Schwachstellen, SBOM und Update-Strategie definieren.
Fernwartung nach der Maschinenverordnung 2027 absichern
Fernwartung ist oft die größte Schwachstelle, weil sie historisch gewachsen ist: einzelne Remote-Tools, geteilte Passwörter, fehlende Protokolle. Lege fest, wie ein Zugriff angefragt, freigegeben, durchgeführt und dokumentiert wird. Rollenrechte, starke Authentifizierung und Session-Protokolle helfen im Audit und bei Haftungsfragen. Grundlagen dazu findest du in unseren IT-Sicherheitsmaßnahmen für kleine Unternehmen.
Dienstleister und Partner auswählen
Kaum ein kleiner Hersteller stemmt die Umstellung auf die Maschinenverordnung 2027 allein. Typische Partner sind CE-Berater, notifizierte Stellen, Anbieter von Fernwartungs- und Serviceplattformen sowie Fachanwälte für Produktsicherheit. Plattformen für den digitalen Maschinenservice, etwa von symmedia oder anderen Anbietern, bündeln Fernzugriff, Rechteverwaltung und Protokollierung. Achte bei der Auswahl auf diese Punkte:
- Nachweisbare Erfahrung mit Maschinenrecht und CRA, nicht nur mit IT-Sicherheit allgemein
- Transparente Angaben zu Sicherheitsfunktionen, Hosting-Standort und Zertifizierungen
- Klare Rollenverteilung: Was liefert der Dienstleister, was bleibt deine Herstellerpflicht?
- Referenzen aus deiner Maschinenklasse und realistische Zeitpläne
Geschäftschancen für Gründer
Neue Pflichten schaffen Nachfrage. Gefragt sind Software zur Risikobeurteilung, Werkzeuge für SBOM und Schwachstellenmanagement, sichere Remote-Service-Lösungen, digitale Dokumentation sowie spezialisierte Beratung für den Mittelstand. Wer ein solches Angebot plant, sollte selbst sauber dokumentieren, denn auch Software mit digitalen Elementen unterliegt dem CRA. Inspiration für Hardware-Gründer bietet unser Beitrag Von der Idee zum IoT-Prototypen.
Häufige Fragen
Ab wann gilt die Maschinenverordnung 2027?
Die Verordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027. Einzelne Vorschriften, etwa zu notifizierten Stellen, gelten bereits früher. Ab dem Stichtag ist die Maschinenrichtlinie 2006/42/EG aufgehoben.
Wo gibt es den Text als PDF?
Den amtlichen Text kannst du kostenlos auf EUR-Lex in allen EU-Amtssprachen als PDF oder HTML abrufen. Suche nach der Nummer 2023/1230.
Müssen bestehende Maschinen nachgerüstet werden?
Nein, Maschinen, die vor dem 20. Januar 2027 rechtmäßig in Verkehr gebracht wurden, müssen nicht neu bewertet werden. Anders ist es bei einer wesentlichen Veränderung, dann gelten die neuen Regeln.
Brauche ich eine notifizierte Stelle?
Nur für bestimmte Kategorien nach Anhang I. Für Systeme mit selbstentwickelndem Verhalten ist sie vorgeschrieben. Viele Standardmaschinen kommen mit der internen Fertigungskontrolle aus.
Fazit
Die Maschinenverordnung 2027 macht Cybersicherheit zum festen Bestandteil der Maschinensicherheit, und der Cyber Resilience Act verlängert diese Pflicht über den gesamten Lebenszyklus. Für kleine Hersteller und Maschinenbau-Startups lohnt es sich, jetzt Bestand, Risikobeurteilung und Fernwartung zu prüfen und Partner früh zu binden. Wer die Pflichten ernst nimmt, gewinnt Vertrauen bei Kunden und kann aus Compliance sogar ein eigenes Geschäftsfeld machen.
