Am 20. Januar 2027 ändern sich die Regeln für jede neue Maschine auf dem EU-Markt. Die Maschinenrichtlinie 2006/42/EG, die den Maschinenbau über 15 Jahre geprägt hat, wird durch die Maschinenverordnung (EU) 2023/1230 abgelöst. Die meiste Aufmerksamkeit bekommen Schutzeinrichtungen, Risikobeurteilung und CE-Unterlagen. Die größere Veränderung steckt aber im Schaltschrank: in der Elektronik, im Bedienpanel und in der Software.

Wenn Ihre Maschinen eine Steuerung, ein Display, eine Netzwerkverbindung oder eine Firmware-Updatefunktion haben, ist dieser Beitrag für Sie. In rund zehn Minuten wissen Sie, was sich ändert, welche Fragen Sie Ihrem Entwicklungsteam jetzt stellen sollten und wie Sie ein Redesign kurz vor Markteinführung vermeiden.

Die Verordnung in 60 Sekunden Stichtag: gilt ab dem 20. Januar 2027. Bis dahin gilt die Maschinenrichtlinie. Verordnung statt Richtlinie: gilt unmittelbar in allen EU-Mitgliedstaaten, ohne nationale Umsetzung. Software zählt: Ein Sicherheitsbauteil kann jetzt ein physisches oder digitales Bauteil sein, einschließlich Software. Cybersicherheit wird zum Sicherheitsthema: Sicherheitsrelevante Hardware, Software und Daten müssen vor unbeabsichtigter oder vorsätzlicher Korrumpierung geschützt sein. Digitale Betriebsanleitung erlaubt: Betriebsanleitung und EU-Konformitätserklärung dürfen digital bereitgestellt werden. Umbauten haben Folgen: Wer eine Maschine wesentlich verändert, gilt als ihr Hersteller.

 

Warum das Elektronikentwickler betrifft

In einer modernen Maschine ist Sicherheit längst nicht mehr nur eine mechanische Schutzhaube und ein Not-Halt-Taster. Sicherheitsfunktionen laufen auf Mikrocontrollern, werden über ein HMI konfiguriert, erhalten Parameter über Ethernet und werden im Feld aktualisiert. Die Maschinenrichtlinie wurde für eine Welt geschrieben, in der das die Ausnahme war. Die Maschinenverordnung ist für eine Welt geschrieben, in der es die Regel ist.

Das heißt: Entscheidungen, die heute im Schaltplan, in der Firmware-Architektur und im HMI-Konzept fallen, bestimmen, ob eine Maschine 2027 reibungslos in Verkehr gebracht werden kann oder späte Änderungen braucht.

Was sich ändert: die fünf wichtigsten Punkte für Steuerungselektronik

Thema	Maschinenrichtlinie 2006/42/EG	Maschinenverordnung (EU) 2023/1230	Bedeutung für die Entwicklung
Rechtsform	Richtlinie, in nationales Recht umgesetzt	Verordnung, unmittelbar in allen Mitgliedstaaten gültig	Gleiche Regeln überall in der EU
Sicherheitsbauteile	Physische Bauteile	Physische oder digitale Bauteile, einschließlich Software	Sicherheitssoftware wird zum eigenen Produkt
Schutz gegen Korrumpierung	Nicht ausdrücklich gefordert	Grundlegende Anforderung (Anhang III, 1.1.9)	Sicherheitskonzept für sicherheitsrelevante Teile nötig
Steuerungen	Sicherheit und Zuverlässigkeit	Umfasst auch böswillige Versuche Dritter (Anhang III, 1.2.1)	Zugriffsschutz, Update-Konzept, Nachweis von Eingriffen
Betriebsanleitung	Papier	Digital erlaubt; Papier auf Anfrage beim Kauf kostenlos	Online-Dokumentation für die Lebensdauer planen

 

1. Software kann ein Sicherheitsbauteil sein

Die Definition des „Sicherheitsbauteils“ umfasst jetzt ausdrücklich digitale Bauteile, einschließlich Software. Gesondert in Verkehr gebrachte Sicherheitsbauteile brauchen eine eigene Konformitätsbewertung. Für Maschinenbauer und ihre Zulieferer heißt das: Sicherheitsrelevante Software muss mit derselben Sorgfalt entwickelt, versioniert, getestet und dokumentiert werden wie sicherheitsrelevante Hardware.

Für Ihr Team: klare Trennung von sicherheitsrelevantem und nicht sicherheitsrelevantem Code, nachvollziehbare Anforderungen, definierte Softwarestände und eine Teststrategie, die die Sicherheitsfunktion nachweist.

2. Schutz gegen Korrumpierung: Cybersicherheit wird Teil der Maschinensicherheit

Anhang III, Abschnitt 1.1.9 verlangt, dass sicherheitsrelevante Hardware, Software und Daten gegen unbeabsichtigte oder vorsätzliche Korrumpierung geschützt sind. Nachweise über rechtmäßige oder unrechtmäßige Eingriffe müssen erfasst werden. Konkret: Kann jemand über einen Serviceport, eine Netzwerkschnittstelle oder das HMI unbemerkt einen Sicherheitsparameter ändern, ist das Design nicht mehr zeitgemäß.

Typische technische Maßnahmen:

• rollenbasierter Zugriff auf Sicherheitsparameter am HMI, mit Authentifizierung statt gemeinsamem Service-Passwort
• Secure Boot und signierte Firmware-Updates, damit nur autorisierte Software auf der Steuerung läuft
• Debug- und Serviceschnittstellen in Seriengeräten schließen oder schützen
• Netzwerksegmentierung zwischen Maschinennetz und Büro- oder Cloud-Netz
• Protokollierung von Änderungen an sicherheitsrelevanter Software, Konfiguration und Parametern

CENELEC entwickelt für diese Anforderung die Norm EN 50742. Bis sie veröffentlicht und als harmonisiert gelistet ist, gilt die Normenreihe IEC 62443 weithin als Stand der Technik für industrielle Cybersicherheit.

3. Steuerungen müssen böswilligen Versuchen standhalten

Anhang III, Abschnitt 1.2.1 erweitert die klassische Anforderung an sichere und zuverlässige Steuerungen: Sie müssen auch so ausgelegt sein, dass böswillige Versuche Dritter nicht zu einer Gefährdungssituation führen. Die Frage lautet nicht mehr nur „Was passiert, wenn ein Bauteil ausfällt?“, sondern auch „Was passiert, wenn jemand versucht, es zu manipulieren?“. Beides gehört in die Risikobeurteilung.

4. Digitale Betriebsanleitung und Konformitätserklärung

Die Betriebsanleitung darf digital bereitgestellt werden, muss aber während der erwarteten Lebensdauer der Maschine online abrufbar bleiben. Verlangt der Kunde beim Kauf eine Papierfassung, ist sie innerhalb eines Monats kostenlos zu liefern. Maschinen für nicht gewerbliche Nutzer brauchen weiterhin die wesentlichen Sicherheitsinformationen auf Papier. Auch die EU-Konformitätserklärung kann digital sein.

Chance: Ein HMI mit QR-Code oder integrierter Hilfefunktion kann direkt auf die passende Anleitung für den genauen Firmwarestand verweisen.

5. Wesentliche Veränderung: Retrofits können Sie zum Hersteller machen

Die Verordnung definiert eine wesentliche Veränderung als physische oder digitale Änderung, die vom ursprünglichen Hersteller nicht vorgesehen war und eine neue Gefährdung schafft oder ein bestehendes Risiko erhöht. Wer eine solche Änderung vornimmt, gilt als Hersteller und muss eine neue Konformitätsbewertung durchführen.

Das betrifft besonders Modernisierungsprojekte: Der Tausch einer abgekündigten Steuerung, das Nachrüsten eines Fernzugriffs oder ein Update sicherheitsrelevanter Software an einer Bestandsmaschine kann diese Pflichten auslösen. Planen Sie Retrofits von Anfang an mit einer Risikobeurteilung.

Hochrisiko-Maschinen: Wann eine benannte Stelle Pflicht ist

Anhang I der Verordnung listet Maschinen mit höherem Risiko. Für die sechs Kategorien in Anhang I, Teil A reicht die Selbstzertifizierung nicht mehr aus: Eine benannte Stelle muss eingebunden werden. Dazu gehören Sicherheitsbauteile mit vollständig oder teilweise selbstentwickelndem Verhalten auf Basis von maschinellem Lernen sowie Maschinen, die solche Systeme für Sicherheitsfunktionen enthalten. Wer KI-basierte Sicherheitsfunktionen plant, sollte die benannte Stelle früh einbinden und zusätzliche Vorlaufzeit einplanen.

Mythos oder Fakt?

Aussage	Mythos oder Fakt?	Erklärung
„Bestehende Maschinen müssen 2027 neu zertifiziert werden.“	Mythos	Die Verordnung gilt für Maschinen, die ab dem 20. Januar 2027 in Verkehr gebracht oder in Betrieb genommen werden. Eine wesentliche Veränderung einer Bestandsmaschine kann jedoch neue Pflichten auslösen.
„Cybersicherheit ist Sache der IT-Abteilung.“	Mythos	Der Schutz gegen Korrumpierung ist eine grundlegende Sicherheits- und Gesundheitsschutzanforderung an die Maschine und damit Teil der Konstruktion.
„Papier-Betriebsanleitungen braucht man nicht mehr.“	Teilweise	Digitale Anleitungen sind erlaubt, Papier ist aber auf Anfrage beim Kauf kostenlos zu liefern, und Maschinen für Verbraucher brauchen die wesentlichen Sicherheitsinformationen auf Papier.
„Software kann ein Sicherheitsbauteil sein.“	Fakt	Die Definition umfasst ausdrücklich digitale Bauteile, einschließlich Software.
„Unsere bisherigen Normen gelten automatisch weiter.“	Mythos	Die Konformitätsvermutung gilt nur für Normen, deren Fundstellen für die Verordnung veröffentlicht sind. Prüfen Sie den Status jeder Norm, die Sie anwenden.

 

Maschinenverordnung und Cyber Resilience Act: zwei Regelwerke, ein Design

Viele Maschinen und ihre Komponenten fallen zusätzlich unter den EU Cyber Resilience Act (CRA) für Produkte mit digitalen Elementen. Seine Meldepflichten für aktiv ausgenutzte Schwachstellen gelten seit dem 11. September 2026, die wesentlichen Anforderungen ab dem 11. Dezember 2027. Die Maschinenverordnung betrachtet Cybersicherheit aus Sicht der Sicherheit, der CRA aus Sicht der Produktsicherheit gegen Angriffe.

Der kluge Ansatz: eine Sicherheitsarchitektur, einmal dokumentiert, die beiden dient. Secure Boot, signierte Updates, Zugriffskontrolle, Schwachstellenmanagement und eine Software-Stückliste (SBOM) helfen, beide Anforderungen zu erfüllen.

Ihre Checkliste vor dem 20. Januar 2027

10 Fragen für Ihr nächstes Engineering-Meeting Welche Maschinen oder Komponenten werden nach dem 20. Januar 2027 in Verkehr gebracht? Welche Sicherheitsfunktionen hängen von Software, Firmware oder Parametern ab? Wer kann heute sicherheitsrelevante Parameter ändern, und wird das protokolliert? Sind Firmware-Updates signiert, und prüft die Steuerung die Signatur? Sind Debug- und Serviceschnittstellen in Seriengeräten geschlossen oder geschützt? Ist das Maschinennetz von anderen Netzen getrennt? Deckt die Risikobeurteilung Manipulation und böswillige Versuche ab, nicht nur Ausfälle? Sind die angewandten Normen für die neue Verordnung gelistet, und mit welchen Einschränkungen? Ist eine digitale Betriebsanleitung geplant, inklusive Online-Zugriff über die Lebensdauer der Maschine? Werden Retrofit- und Modernisierungsprojekte auf wesentliche Veränderung geprüft?

 

Lautet Ihre Antwort bei mehreren Fragen „nein“ oder „weiß nicht“, ist jetzt der richtige Zeitpunkt, Ihren Entwicklungspartner einzubinden. Änderungen an der Elektronikarchitektur brauchen Zeit, und der Stichtag verschiebt sich nicht.

So unterstützt Sie T&O Electronic Solutions

T&O Electronic Solutions entwickelt und fertigt seit 1990 elektronische Systeme, für mehr als 800 Kunden aus Industrie- und Medizintechnik. Mit unserer Entwicklung von Steuerungselektronik und HMI sind Sicherheits- und Security-Konzepte von Anfang an Teil der Architektur und werden nicht am Ende nachgerüstet:

• Hardware- und Firmwareentwicklung für Steuerungen, Bedienpanels und Embedded-Systeme
• Security by Design: Secure Boot, signierte Updates, Zugriffskonzepte und geschützte Schnittstellen
• Modernisierung bestehender Elektronik: Analyse, Dokumentation und Redesign abgekündigter Steuerungen
• Vom Prototyp bis zur Serie mit einem Partner, an unseren Standorten in Hausham (Deutschland) und Ramsen (Schweiz)
• Qualitätsmanagement nach ISO 9001

Hinweis: Dieser Beitrag bietet technische Orientierung und ersetzt keine Rechtsberatung. Die rechtliche Verantwortung für die Konformität liegt beim Hersteller der Maschine.

Häufig gestellte Fragen

Ab wann gilt die EU-Maschinenverordnung?

Die Maschinenverordnung (EU) 2023/1230 gilt in ihren wesentlichen Teilen ab dem 20. Januar 2027. Maschinen, die vorher in Verkehr gebracht werden, müssen der Maschinenrichtlinie 2006/42/EG entsprechen.

Gilt die Verordnung auch für bereits installierte Maschinen?

Nicht automatisch. Sie gilt für Maschinen, die ab dem 20. Januar 2027 in Verkehr gebracht oder in Betrieb genommen werden. Wird eine Bestandsmaschine wesentlich verändert, gilt derjenige, der die Änderung vornimmt, als Hersteller und muss eine neue Konformitätsbewertung durchführen.

Ist Software jetzt ein Sicherheitsbauteil?

Sie kann es sein. Die Definition eines Sicherheitsbauteils umfasst ausdrücklich digitale Bauteile, einschließlich Software, wenn sie eine Sicherheitsfunktion erfüllen.

Was bedeutet „Schutz gegen Korrumpierung“?

Sicherheitsrelevante Hardware, Software und Daten müssen gegen unbeabsichtigte oder vorsätzliche Änderungen geschützt sein, die zu einer Gefährdung führen können, und Eingriffe müssen nachweisbar sein. Praktisch betrifft das Zugriffskontrolle, sichere Updates, geschützte Schnittstellen und Protokollierung.

Welche Norm deckt Cybersicherheit unter der Maschinenverordnung ab?

CENELEC entwickelt die EN 50742 für den Schutz gegen Korrumpierung. Bis sie veröffentlicht und gelistet ist, nutzen viele Hersteller die Normenreihe IEC 62443 als Stand der Technik. Prüfen Sie den aktuellen Status, bevor Sie sich auf eine Norm stützen.

Darf die Betriebsanleitung nur digital bereitgestellt werden?

Grundsätzlich ja. Sie muss während der erwarteten Lebensdauer der Maschine online abrufbar bleiben. Auf Anfrage beim Kauf ist innerhalb eines Monats kostenlos eine Papierfassung zu liefern. Für Maschinen, die für nicht gewerbliche Nutzer bestimmt sind, müssen die wesentlichen Sicherheitsinformationen auf Papier vorliegen.

Wie passen Maschinenverordnung und Cyber Resilience Act zusammen?

Die Maschinenverordnung behandelt Cybersicherheit dort, wo sie die Sicherheit betrifft; der CRA regelt die Security von Produkten mit digitalen Elementen allgemein. Viele Produkte müssen beide erfüllen. Eine einheitliche, gut dokumentierte Sicherheitsarchitektur ist dafür der effizienteste Weg.

Wir haben eine bestehende Maschinensteuerung. Müssen wir sie neu entwickeln?

Nicht unbedingt. Eine Analyse zeigt, wo das aktuelle Design die neuen Anforderungen bereits erfüllt und wo Maßnahmen wie Zugriffskontrolle, signierte Updates oder Schnittstellenschutz nötig sind. Oft reichen gezielte Änderungen.