Mit dem Inkrafttreten der Verordnung (EU) 2023/1230 am 20. Januar 2027 steht der europäische Maschinenbau vor einem grundlegenden regulatorischen Wandel. Die neue Maschinenverordnung (MR) ersetzt die bisherige Maschinenrichtlinie 2006/42/EG in allen 27 EU-Mitgliedstaaten unmittelbar.
Erstmals werden damit Softwaresicherheit, Algorithmen der Künstlichen Intelligenz (KI) und Cybersicherheitsrisiken verbindlicher Bestandteil der Konformitätsbewertung für industrielle Anlagen und Geräte.
Erweiterte Anforderungen an technische Unterlagen
Ab dem 20. Januar 2027 sind Hersteller verpflichtet, Cybersicherheitsnachweise in ihren technischen Unterlagen gemäß Anhang III Abschnitt 1.1.9 zu führen. Die Verordnung legt einen besonderen Fokus auf die Sicherheit programmierbarer elektronischer Systeme. In diesem Zusammenhang wurde auch die Liste der als risikoreich eingestuften Maschinen erweitert, für die eine Bewertung durch externe Drittanbieter zwingend erforderlich ist.
Für Hersteller von Reinigungsmaschinen bedeutet dies eine umfassende Neubewertung der CE-Konformität. Davon betroffen sind sowohl klassische Scheuersaugmaschinen, Kehrmaschinen und Hochdruckreiniger als auch moderne gewerbliche Reinigungsroboter.
Bestehende Zertifikate von benannten Stellen behalten gemäß Artikel 69 Absatz 1 jedoch eine Übergangsfrist und können bis zum 11. Juni 2028 weiterverwendet werden. Ein entsprechender Leitfaden der EU-Kommission beschränkt diese Verlängerungsmöglichkeit explizit auf Zertifikate, die von benannten Stellen (NB) ausgestellt wurden.
Meldepflichten nach dem Cyber Resilience Act bereits aktiv
Parallel zur Maschinenverordnung entfaltet der Cyber Resilience Act (CRA) bereits seine Wirkung. Während die vollständigen Anforderungen des CRA erst ab dem 11. Dezember 2027 gelten, sind die Meldepflichten nach Artikel 14 bereits seit dem 11. September 2026 in Kraft. Diese gelten für alle Produkte mit digitalen Elementen im EU-Binnenmarkt, unabhängig davon, ob sie vor diesem Datum in Verkehr gebracht wurden.
Die neuen EU-Regeln stellen Unternehmen vor komplexe Herausforderungen bei der Risikodokumentation ihrer Systeme. Dieser kostenlose Umsetzungsleitfaden verschafft Ihnen den notwendigen Überblick über Fristen, Pflichten und Risikoklassen der KI-Regulierung. EU AI Act in 5 Schritten verstehen
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die ENISA Single Reporting Platform (SRP) an die nationalen Computer-Notfallteams (CSIRT) melden. Dabei gelten strikte Fristen: Eine Frühwarnung muss innerhalb von 24 Stunden erfolgen, eine detaillierte Vorfallmeldung innerhalb von 72 Stunden.
Ein abschließender Bericht ist bei Schwachstellen nach 14 Tagen und bei schweren Vorfällen nach einem Monat einzureichen. Diese Pflichten bestehen auch nach Ablauf des Support-Zeitraums eines Produkts fort.
Industrielle Umsetzung und technologische Hindernisse
Unternehmen der Branche bereiten sich bereits auf die neuen Anforderungen vor. Der Industriekonzern GEA präsentierte mit dem Omni NG ein Linux-basiertes Bedienpanel für Heizungs- und Kälteanlagen, das laut Unternehmensangaben auf die Konformität mit der Maschinenverordnung und dem CRA ausgelegt ist. Das System ersetzt bisherige IPC-Lösungen durch ein WLAN-fähiges Modul und bietet integrierte Cybersicherheitsfunktionen sowie Cloud-Fähigkeit.
Gleichzeitig verdeutlichen Marktanalysen die Herausforderungen bei der Implementierung digitaler Sicherheit. Eine Umfrage von Schneider Electric unter globalen Herstellern von Konsumgütern (CPG) zeigt, dass 39,8 % der Unternehmen KI bereits eine signifikante Rolle bei der Einhaltung von Cybersicherheits-Vorgaben zuschreiben.
Wer die neuen gesetzlichen Anforderungen an KI-Systeme ignoriert, riskiert empfindliche Strafen im Rahmen der europäischen Compliance-Vorgaben. Experten haben einen kostenlosen Report zusammengestellt, der die relevanten Übergangsfristen und Dokumentationspflichten kompakt zusammenfasst. Kostenlosen Umsetzungsleitfaden zum EU AI Act herunterladen
Dennoch sehen 37,5 % der Befragten veraltete Automatisierungssysteme (Legacy-Systeme) als größtes Hindernis für die industrielle KI-Nutzung. Während 54,2 % der Entscheider autonome Operationen bis 2027 als hohe Priorität einstufen, haben derzeit nur 13 % KI-Lösungen durchgängig in ihr Kerngeschäft integriert.
Normung und regulatorischer Rahmen
Zur Unterstützung der Hersteller entwickeln die europäischen Normungsgremien CEN, CENELEC und ETSI derzeit harmonisierte Normen für Risikomanagement, Verschlüsselung und Schwachstellenmanagement. Die Veröffentlichung dieser Normen im Amtsblatt der EU wird für das vierte Quartal 2026 erwartet. Bis dahin dient unter anderem die technische Richtlinie BSI TR-03183 Teil 2 als Übergangslösung.
Verantwortliche Stellen weisen darauf hin, dass Cybersicherheit durch den CRA erstmals zu einer gesetzlich verantworteten Produkteigenschaft wird. Bei Verstößen gegen die Melde- oder Compliance-Pflichten drohen empfindliche Bußgelder. Diese können je nach Schwere des Vergehens bis zu 15 Millionen Euro oder bis zu 2,5 % des weltweiten Jahresumsatzes betragen.
Davon ausgenommen sind lediglich spezifische Sektoren wie die Luftfahrt, die Marineausrüstung oder Medizinprodukte, für die gesonderte Regelungen gelten.
