Maschinenverordnung ab 20. Januar 2027: Wann ein Software-Update Sie zum Hersteller macht

Am 20. Januar 2027 verschwindet die Maschinenrichtlinie, und die Verordnung (EU) 2023/1230 tritt an ihre Stelle, ohne allgemeine Übergangsfrist. Die meisten Darstellungen hören hier auf. Der Satz, auf den es für einen mittelständischen Hersteller ankommt, steht in den Begriffsbestimmungen: Ein Sicherheitsbauteil ist jetzt ausdrücklich ein physisches oder digitales Bauteil, einschließlich Software. Und wer eine wesentliche Veränderung an einer Maschine vornimmt, gilt als deren Hersteller.

Schnell gelesen klingt das wie eine Drohung an jeden Servicetechniker, der ein Update einspielt. Genau gelesen ist es das nicht. Artikel 3 Nummer 16 enthält zwei Buchstaben, die in fast jeder Zusammenfassung fehlen, und sie nehmen die große Mehrheit der Updates aus der Regel heraus. Dieser Beitrag verfolgt beide Richtungen: wo die Verordnung weiter reicht, als es aussieht, und wo sie deutlich enger ist, als der Alarm vermuten lässt.

Was am 20. Januar 2027 passiert: Die Maschinenverordnung löst die Maschinenrichtlinie ab

Zwei Vorschriften tragen das Datum. Artikel 54 bestimmt, dass die Verordnung ab dem 20. Januar 2027 gilt. Artikel 51 Absatz 2 hebt die Richtlinie 2006/42/EG mit Wirkung vom selben Tag auf. Es gibt keine Überschneidung und keine allgemeine Übergangsfrist: Bis zum 19. Januar gilt die Richtlinie, ab dem 20. Januar die Verordnung.

In Kraft ist die Verordnung tatsächlich schon seit 2023, und Teile von ihr gelten längst. Artikel 54 staffelt das: Die Artikel 26 bis 42, die die notifizierten Stellen regeln, gelten seit dem 20. Januar 2024. Artikel 6 Absatz 7 sowie die Artikel 48 und 52 gelten seit dem 19. Juli 2023. Artikel 6 Absätze 2 bis 6, 8 und 11, Artikel 47 und Artikel 53 Absatz 3, die sich an Kommission und Mitgliedstaaten richten, gelten seit dem 20. Juli 2024. Artikel 50 Absatz 1 zu den Sanktionen gilt ab dem 20. Oktober 2026, und Artikel 50 Absatz 2 verpflichtet die Mitgliedstaaten, der Kommission ihre Sanktionsvorschriften bis zu diesem Tag mitzuteilen. Dieses letzte Datum ist eine Frist für die Mitgliedstaaten, nicht für Ihr Unternehmen. Deutschland hat seine Sanktionen schon festgelegt, im Maschinenverordnung-Durchführungsgesetz (MaschinenDG), verkündet am 5. Dezember 2025 im Bundesgesetzblatt 2025 I Nr. 302. Paragraf 9 sieht Bußgelder bis 10.000 Euro vor, bis 100.000 Euro unter anderem für unterlassene Korrekturmaßnahmen nach Artikel 10 Absatz 9; Paragraf 10 droht für beharrlich wiederholte oder gefährdende Vorsatztaten Freiheitsstrafe bis zu einem Jahr an. Beide Vorschriften gelten ab dem 20. Januar 2027, und sie treffen auch Betreiber, die durch eine wesentliche Veränderung nach Artikel 18 zum Hersteller werden, weil diese dessen Pflichten aus Artikel 10 übernehmen.

Der Stichtag hängt an der einzelnen Maschine, und zwar am Zeitpunkt ihres Inverkehrbringens. Eine Maschine, die am 15. Januar 2027 rechtmäßig in Verkehr gebracht wurde, bleibt unter der Richtlinie, solange sie nicht wesentlich verändert wird. Sie muss später nicht neu bewertet werden. Diese eine Unterscheidung nimmt dem Thema den größten Teil seiner Dramatik, und es ist dieselbe Logik, die auch für die Produkthaftungsreform sechs Wochen davor gilt.

Seit dem 27. Juli 2026 ändert außerdem die Verordnung (EU) 2026/1744 die Maschinenverordnung: Die Kommission ergänzt Anhang III per delegiertem Rechtsakt um Anforderungen an Hochrisiko-KI-Systeme, die ab dem 2. August 2028 gelten; Artikel 3 Nummer 16 und Artikel 18 bleiben unverändert (Einordnung im Beitrag zum EU Digital Omnibus). Was Verordnung und MaschinenDG für die Betriebsanleitung verlangen, beschreibt unser Beitrag zur digitalen Betriebsanleitung.

Warum Software jetzt ein Sicherheitsbauteil ist

Artikel 3 Nummer 3 definiert das Sicherheitsbauteil als physisches oder digitales Bauteil, einschließlich Software, eines Produkts im Anwendungsbereich der Verordnung, das zur Gewährleistung einer Sicherheitsfunktion konstruiert oder bestimmt ist, gesondert in Verkehr gebracht wird und dessen Ausfall oder Fehlfunktion die Sicherheit von Personen gefährdet. Die alte Richtlinie sprach so von Bauteilen, dass eigenständige Sicherheitssoftware Gegenstand von Auslegungsstreit war. Dieser Streit ist beendet.

Zwei Einschränkungen im selben Satz entscheiden darüber, wie weit das tatsächlich reicht, und sie fallen in Zusammenfassungen meist heraus. Das Bauteil muss gesondert in Verkehr gebracht werden, und es darf für das Funktionieren des Produkts selbst nicht erforderlich sein oder muss sich für den Betrieb durch normale Bauteile ersetzen lassen. Eine Steuerungssoftware, die untrennbar zu Ihrer Maschine gehört, ist nach dieser Definition folglich kein eigenständiges Sicherheitsbauteil. Ein Sicherheitsmodul, das Sie einzeln verkaufen, damit es in fremde Maschinen eingebaut wird, sehr wohl.

Für einen mittelständischen Hersteller ist die praktische Frage deshalb keine juristische, sondern eine kaufmännische: Verkaufen Sie Software gesondert? Eine Lizenz für ein Sicherheits-SPS-Programm, ein Nachrüstpaket für ältere Maschinen, eine konfigurierbare Sicherheitsschicht. Was auf einer Rechnung als eigene Position auftaucht, verdient die Prüfung.

Wann eine Veränderung die Herstellerrolle überträgt

Artikel 18 ist die Vorschrift mit der schärfsten Folge. Eine natürliche oder juristische Person, die eine wesentliche Veränderung an einer Maschine vornimmt, gilt für die Zwecke der Verordnung als Hersteller und unterliegt den Herstellerpflichten aus Artikel 10. Der Artikel geht weiter: Diese Person muss sicherstellen und auf ihre alleinige Verantwortung erklären, dass die betroffene Maschine den geltenden Anforderungen entspricht, und sie muss das Konformitätsbewertungsverfahren nach Artikel 25 Absätze 2, 3 und 4 anwenden.

Eine Erleichterung ist eingebaut. Wenn die Risikobeurteilung zeigt, dass sich die Veränderung nur auf die Sicherheit einer einzelnen Maschine innerhalb einer Gesamtheit von Maschinen auswirkt, gelten die Pflichten nur für diese Maschine und nicht für die gesamte Anlage. Für jeden, der Fertigungslinien verkettet, ist das der Unterschied zwischen einer machbaren und einer nicht machbaren Aufgabe.

Was ist eine wesentliche Veränderung? Die zwei Buchstaben, die in den meisten Darstellungen fehlen

Alles Vorstehende hängt daran, was als wesentliche Veränderung gilt, und hier ist die Verordnung erheblich enger als die Schlagzeilen. Artikel 3 Nummer 16 verlangt drei Elemente, und sie gelten kumulativ:

1. Die Änderung ist eine physische oder digitale Veränderung, die vom Hersteller nicht vorgesehen oder geplant ist, vorgenommen nach dem Inverkehrbringen oder der Inbetriebnahme.
2. Sie beeinträchtigt die Sicherheit, indem eine neue Gefährdung entsteht oder sich ein bestehendes Risiko erhöht.
3. Dadurch wird es erforderlich, entweder trennende oder nichttrennende Schutzeinrichtungen zu ergänzen, deren Einbindung eine Anpassung des bestehenden Sicherheitssteuerungssystems erfordert, oder zusätzliche Schutzmaßnahmen für Stabilität oder Festigkeit zu ergreifen.

Das dritte Element ist der Filter, und es ist dasjenige, das in der Praxis verloren geht. Ein Software-Update kann eine neue Gefährdung schaffen und trotzdem keine wesentliche Veränderung sein, sofern es keine neuen Schutzeinrichtungen und keine neuen Stabilitätsmaßnahmen erforderlich macht. Und ein Update, das der Hersteller vorgesehen hat, also ein freigegebener Patch, eine dokumentierte Parameteränderung, ein Firmware-Stand aus dem Katalog des Herstellers, scheitert bereits am ersten Element, bevor die anderen überhaupt geprüft werden.

Deutlich gesagt: Die Verordnung macht aus Ihrer Instandhaltung keinen Maschinenhersteller. Sie erfasst den Fall, dass jemand eine Maschine zu etwas umbaut, das ihr Erbauer nie vorgesehen hat, und sie sagt nun klar, dass dieser Umbau auch allein in Software stattfinden kann.

Was die Verordnung zur Cybersicherheit verlangt und was nicht

Erwägungsgrund 25 ordnet Risiken durch böswillige Dritte den neuen digitalen Risiken zu und verpflichtet Hersteller zu verhältnismäßigen Maßnahmen, die sich ausdrücklich auf den Schutz der Sicherheit des Produkts beschränken. Anhang III führt das in der Anforderung Schutz gegen Korrumpierung fort. Die Verordnung ist damit ein Sicherheitsinstrument mit einer Security-Kante, keine Cybersicherheitsregulierung.

Derselbe Erwägungsgrund stellt klar, dass andere Unionsvorschriften, die sich speziell mit Cybersicherheit befassen, daneben anwendbar bleiben. Praktisch heißt das der Cyber Resilience Act, dessen Meldepflicht seit September 2026 gilt und der an dasselbe Produkt ganz andere Fragen stellt.

Was bis Januar 2027 zu tun ist

Drei Schritte tragen unabhängig davon, wie Ihre Betroffenheitsprüfung ausgeht.

Listen Sie, was Sie ab dem Stichtag in Verkehr bringen werden. Diese Produkte fallen unter das neue Recht. Bei Maschinen mit langen Vorlaufzeiten verläuft die Grenze mitten durch Ihr aktuelles Auftragsbuch, und damit ist das eine kaufmännische Frage und nicht nur eine juristische.

Legen Sie fest, wer über wesentliche Veränderungen entscheidet. Die drei Kriterien aus Artikel 3 Nummer 16 sind ein brauchbares Prüfraster, aber nur, wenn jemand sie vor dem Umbau anwendet statt danach. Schreiben Sie auf, wer das ist. Die Frage stellt sich fast immer unter Zeitdruck, mitten in einem Linienumbau, und das ist der schlechteste Moment, um mit dem Lesen der Verordnung zu beginnen.

Bestimmen Sie, welche Software Sie gesondert in Verkehr bringen. Alles, was als eigene Position fakturiert, einzeln lizenziert oder als Nachrüstpaket geliefert wird, verdient die Prüfung nach Artikel 3 Nummer 3. Das ist in der Regel eine kurze Liste, und zu wissen, dass sie kurz ist, ist für sich genommen schon etwas wert.

Nichts davon braucht ein Projekt. Es braucht einen Nachmittag, eine Liste und einen benannten Entscheider, und es ist erheblich billiger als die Alternative, nämlich bei einem Linienumbau im Jahr 2028 festzustellen, dass das eigene Team eine Konformitätserklärung unterschrieben hat, von der niemand wusste, dass sie eine war.

Häufige Fragen zur Maschinenverordnung

Quellen, Stand und Hinweis: Alle Artikelangaben stammen aus der Verordnung (EU) 2023/1230 und wurden am 11. September 2026 am konsolidierten Text geprüft, in der deutschen und der englischen Sprachfassung. Die Aufhebung der Richtlinie 2006/42/EG folgt aus Artikel 51 Absatz 2. Dieser Beitrag ist die technische Sicht auf ein Rechtsinstrument und keine Rechtsberatung; ob ein konkreter Umbau eine wesentliche Veränderung darstellt, entscheidet die Risikobeurteilung im Einzelfall. Die Angaben zur nationalen Umsetzung stützen sich auf das MaschinenDG (Paragrafen 9, 10 und 12), das Bundesgesetzblatt 2025 I Nr. 302 und Artikel 3 der Verordnung (EU) 2026/1744, abgerufen am 14. Oktober 2026. Die Berichtigung im ABl. L 169 vom 4. Juli 2023 für die Daten in den Artikeln 52 und 54, geprüft zusammen mit Artikel 3 Nummer 3 und Artikel 18 der Verordnung (abgerufen am 16. Oktober 2026). Außerdem die Berichtigung der deutschen Fassung vom 1. April 2025 (ABl. L 2025/90297) für Artikel 54 Absatz 3 Buchstabe d (abgerufen am 17. Oktober 2026). Artikel 18 und die Übergangsbestimmungen in Artikel 52 wurden am 23. Oktober 2026 erneut in beiden Sprachfassungen geprüft, samt den Berichtigungen.