Sie rüsten eine bestehende Maschine mit einem neuen Roboter nach, ersetzen die alte Steuerung durch eine vernetzte oder erhöhen die Taktzahl. Für Sie ist das eine Modernisierung. Rechtlich kann es etwas ganz anderes sein: Wenn Ihr Umbau eine neue Gefährdung schafft oder ein bestehendes Risiko erhöht, werden Sie zum Hersteller der Maschine, mit allen Pflichten, die daran hängen. Aus einem Retrofit wird dann faktisch ein Neubau.
Die neue EU-Maschinenverordnung (Verordnung (EU) 2023/1230, kurz MVO) schreibt diesen Grundsatz erstmals ausdrücklich ins Gesetz. Sie gilt ab dem 20. Januar 2027 und löst zu diesem Datum die bisherige Maschinenrichtlinie 2006/42/EG ab. Wer Bestandsmaschinen umbaut oder nachrüstet, sollte den Begriff „wesentliche Veränderung” deshalb kennen, bevor er den ersten Schraubenschlüssel ansetzt.
Die Maschinenverordnung definiert die wesentliche Veränderung als eine vom Hersteller nicht vorgesehene oder geplante physische oder digitale Veränderung einer Maschine nach ihrem Inverkehrbringen oder ihrer Inbetriebnahme, die die Sicherheit beeinträchtigt, indem eine neue Gefährdung entsteht oder sich ein bestehendes Risiko erhöht.
Entscheidend ist die Folge: Eine Veränderung wird nach der Verordnung erst dann wesentlich, wenn sie es erforderlich macht, zusätzliche trennende oder nichttrennende Schutzeinrichtungen zu ergänzen (deren Einbindung eine Anpassung des bestehenden Sicherheitssteuerungssystems verlangt) oder zusätzliche Maßnahmen für die Stabilität oder Festigkeit der Maschine zu ergreifen. Es geht also nicht um jede Änderung, sondern um solche, die sicherheitstechnisch neue Antworten verlangen.
Zwei Punkte sind dabei wichtig. Erstens zählt ausdrücklich auch die digitale Veränderung, nicht nur der mechanische Umbau. Zweitens knüpft die Bewertung an Ihre Risikobeurteilung an: Was der ursprüngliche Hersteller bereits vorgesehen und eingeplant hatte, ist keine wesentliche Veränderung.
Reparatur, Wartung oder wesentliche Veränderung: Wo verläuft die Grenze?
Nicht jeder Eingriff macht Sie zum Hersteller. Der EU-Leitfaden für die Umsetzung der Produktvorschriften (Blue Guide 2022) beschreibt den Prüfmaßstab, der auch der Maschinenverordnung zugrunde liegt. Ein umgebautes Produkt kann als neues Produkt gelten, wenn drei Bedingungen zusammenkommen: seine ursprüngliche Leistung, Verwendung oder Bauart wurde geändert, ohne dass dies in der ursprünglichen Risikobewertung vorgesehen war; die Art der Gefahr hat sich geändert oder das Risikoniveau ist gestiegen; und das Produkt wird bereitgestellt oder in Betrieb genommen. Ob diese Schwelle erreicht ist, ist immer im Einzelfall zu entscheiden.
Reine Instandhaltung fällt nicht darunter. Wird ein defektes oder verschlissenes Teil durch ein identisches oder zumindest ähnliches Ersatzteil ersetzt, bleibt die Maschine nach dem Blue Guide auch dann kein neues Produkt, wenn das neue Teil technikbedingt etwas besser arbeitet. Für solche instandgesetzten Maschinen ist keine erneute Konformitätsbewertung nötig.
Die folgende Übersicht zeigt die Grenze an typischen Retrofit-Situationen. Sie ersetzt keine Einzelfallbeurteilung, macht aber die Logik greifbar.
| Löst in der Regel keine Herstellerpflicht aus | Gilt in der Regel als wesentliche Veränderung |
|---|---|
| Austausch eines Sensors oder Motors gegen ein bau- und leistungsgleiches Teil | Nachrüstung einer Roboterzelle oder eines Handhabungssystems, das neue Gefährdungen schafft |
| Reparatur nach einem Defekt, ohne die Funktion zu ändern | Erhöhung von Leistung, Geschwindigkeit oder Taktzahl über den vorgesehenen Bereich hinaus |
| Software-Sicherheitsupdate, das nur eine Schwachstelle schließt | Entfernen oder Umgehen einer trennenden Schutzeinrichtung, sodass das Sicherheitssteuerungssystem angepasst werden muss |
| Kosmetische oder rein bedienungsbezogene Anpassung | Umbau, der eine neue Art von Gefahr einführt (etwa erstmalige Fernsteuerbarkeit) |
Ab wann werden Sie beim Umbau zum Hersteller, und was heißt das?
Die Maschinenverordnung ist an diesem Punkt eindeutig: Eine natürliche oder juristische Person, die eine wesentliche Veränderung an einer Maschine vornimmt, gilt für die Zwecke der Verordnung als Hersteller. Sie unterliegt dann den Herstellerpflichten für diese Maschine. Wirkt sich die Veränderung, wie die Risikobeurteilung zeigt, nur auf eine einzelne Maschine innerhalb einer Gesamtheit von Maschinen aus, beschränken sich die Pflichten auf die betroffene Maschine.
Diese Rollenübernahme trifft nicht nur klassische Umbauer. Auch ein Einführer oder Händler wird zum Hersteller, wenn er ein bereits in Verkehr gebrachtes Produkt so verändert, dass sich das auf die Konformität auswirken kann. Eine Ausnahme gilt allein für nichtprofessionelle Nutzer, die ihre eigene Maschine für den Eigengebrauch verändern: Sie gelten nicht als Hersteller.
Welche Pflichten treffen Sie dann konkret?
Wer zum Hersteller wird, muss auf eigene Verantwortung erklären, dass die betroffene Maschine den geltenden Anforderungen der Verordnung entspricht, und das einschlägige Konformitätsbewertungsverfahren durchlaufen. In der Praxis heißt das, dieselben Schritte zu gehen wie ein originärer Hersteller:
- Risikobeurteilung erneuern und die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen aus Anhang III der Verordnung auf die veränderte Maschine anwenden.
- Technische Unterlagen erstellen oder aktualisieren. Der Blue Guide stellt klar: Sie müssen nur die Aspekte neu bewerten und dokumentieren, die von der Änderung betroffen sind, nicht die gesamte Maschine von Grund auf.
- Konformitätsbewertung durchführen nach dem für die Maschine passenden Verfahren.
- EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung anbringen für die veränderte Maschine.
Der begrenzte Umfang ist die gute Nachricht: Prüfungen und Unterlagen, die die Änderung nicht berührt, müssen Sie nicht wiederholen. Die Verantwortung für die Konformität des geänderten Ergebnisses tragen aber Sie.
Warum werden Softwareänderungen anders bewertet als Hardware?
Sobald eine Maschine vernetzt ist und über Software gesteuert wird, kommt eine zweite Ebene hinzu. Für Produkte mit digitalen Elementen greift der Cyber Resilience Act (Verordnung (EU) 2024/2847, CRA). Er kennt einen eigenen Begriff der wesentlichen Änderung, und der bewertet Software gezielt.
Nach dem CRA ist eine wesentliche Änderung eine Änderung eines Produkts mit digitalen Elementen nach dem Inverkehrbringen, die sich auf die Konformität mit den Anforderungen an die Cybersicherheit auswirkt oder den bestimmungsgemäßen Zweck ändert. Auch hier gilt: Wer eine solche wesentliche Änderung vornimmt und das Produkt bereitstellt, gilt als Hersteller, und zwar für den von der Änderung betroffenen Teil oder, wenn die Cybersicherheit des gesamten Produkts betroffen ist, für das ganze Produkt.
Die Pflichten des ursprünglichen Herstellers enden dadurch nicht. Für die Teile, die Ihr Umbau nicht berührt, bleibt er nach dem Leitfaden der Kommission weiter verantwortlich, insbesondere für die Schwachstellenbehandlung. Die Verantwortung wird also geteilt, nicht übertragen. Das ist auch der Unterschied zur Integration: Wer Komponenten zu einem neuen Produkt zusammenbaut und dieses unter eigenem Namen in Verkehr bringt, verändert kein fremdes Produkt, sondern ist Hersteller des neuen Produkts, und zwar für dessen Gesamtheit.
Der entscheidende Unterschied liegt in der Bewertung von Updates. Ein reines Sicherheitsupdate, das nur das Cybersicherheitsrisiko senkt und den Zweck der Maschine nicht verändert, ist nach den Erwägungsgründen des CRA in der Regel keine wesentliche Änderung. Das gilt typischerweise für das Schließen einer bekannten Schwachstelle. Auch geringfügige Funktionsanpassungen wie eine neue Sprache oder ein optisches Update bleiben meist unkritisch. Umgekehrt kann ein Funktionsupdate, das die ursprünglich vorgesehenen Funktionen oder die Leistung verändert, sehr wohl eine wesentliche Änderung sein: Neue Funktionen vergrößern in der Regel die Angriffsfläche und erhöhen damit das Cybersicherheitsrisiko.
Der Leitfaden der Kommission schärft diese Linie an einer Stelle, die in der Praxis oft übersehen wird. Ein Sicherheitsupdate bleibt auch dann unkritisch, wenn es technisch erheblich eingreift, solange es die Zweckbestimmung nicht verändert und keine neuen Risiken einführt. Das deckt ausdrücklich Fälle ab, in denen Funktionen eingeschränkt oder umgebaut werden, nur um eine Schwachstelle zu schließen. Umgekehrt kann auch ein sicherheitsgetriebenes Update kippen: Verlagert es eine bisher lokale Funktion auf einen entfernten Dienst, verändert es Datenflüsse wesentlich oder schafft es neue extern erreichbare Schnittstellen, die in der Risikobeurteilung nicht vorgesehen waren, ist es eine wesentliche Änderung, obwohl es aus Sicherheitsgründen erfolgt.
Der Blue Guide zieht dieselbe Linie schon für die klassische Produktsicherheit: Softwareaktualisierungen sind der Instandhaltung gleichgestellt, solange sie die Konformität nicht beeinträchtigen. Erst wenn ein Update die vorgesehenen Funktionen, die Bauart oder die Leistung ändert, die Art der Gefahr verschiebt oder das Risikoniveau anhebt, wird das Produkt wesentlich verändert.
| Änderung an der Maschine | Bewertungslogik | Neue Bewertung erforderlich? |
|---|---|---|
| Hardware-Umbau, der eine neue Gefährdung schafft (Maschinenverordnung) | Wesentliche Veränderung, wenn zusätzliche Schutzeinrichtungen oder Stabilitätsmaßnahmen nötig werden | Ja, Herstellerpflichten für die betroffene Maschine |
| Sicherheitsupdate ohne Zweckänderung und ohne neue Risiken (CRA) | Behebt eine Schwachstelle, senkt nur das Risiko; gilt auch bei erheblichem technischem Eingriff | Nein, in der Regel keine wesentliche Änderung |
| Sicherheitsupdate, das Datenflüsse verlagert oder neue externe Schnittstellen schafft (CRA) | Trotz Sicherheitszweck neue oder erhöhte Risiken außerhalb der Risikobeurteilung | Ja, Herstellerpflichten für den betroffenen Teil |
| Funktionsupdate, das Zweck oder Leistung ändert (CRA) | Vergrößert die Angriffsfläche, erhöht das Cybersicherheitsrisiko | Ja, Herstellerpflichten für den betroffenen Teil |
| Geringfügige Anpassung (neue Sprache, Oberfläche) | Kein Einfluss auf Zweck oder Sicherheit | Nein |
Beide Welten greifen ineinander. Die Maschinenverordnung stellt in Anhang III eigene Anforderungen an den Schutz gegen Korrumpierung und an die Sicherheit und Zuverlässigkeit von Steuerungen. Wie diese Cyberanforderungen der Maschinenverordnung und die Pflichten des CRA zusammenspielen, ordnen wir im Beitrag zum Zusammenspiel von Cyber Resilience Act und Maschinenverordnung ein. Vertiefend zum Schutz vor Manipulation lohnt der Blick auf EN 50742: Schutz von Maschinen vor Korrumpierung.
Was gilt für Bestandsmaschinen und Altanlagen?
Ein häufiges Missverständnis lautet, ältere Maschinen seien von alldem nicht betroffen. Für den reinen Weiterbetrieb stimmt das oft. Sobald diese aber wesentlich verändert werden, greifen die neuen Pflichten.
Rechtlich ist das ein echter Fortschritt. Die alte Maschinenrichtlinie 2006/42/EG kannte den Begriff der wesentlichen Veränderung nicht ausdrücklich, er wurde bislang vor allem über Leitfäden und nationale Auslegung hergeleitet. Die MVO kodifiziert ihn nun erstmals direkt im Verordnungstext. Ab dem 20. Januar 2027 gilt sie, die Richtlinie 2006/42/EG wird zum selben Datum aufgehoben.
Für die Cyberseite hält der CRA eine klare Übergangsregel bereit: Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen des CRA nur dann, wenn sie nach diesem Zeitpunkt einer wesentlichen Änderung unterzogen werden. Ausgenommen bleibt die Meldepflicht bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen, die schon vorher für alle betroffenen Bestandsprodukte gilt. Ein Retrofit kann also ein Bestandsprodukt, das zunächst außen vor war, in den vollen Anwendungsbereich hineinziehen. Einen Überblick über die neuen Cyberpflichten im Maschinenbau bietet der Beitrag zur neuen Maschinenverordnung.
Was bedeutet ein Retrofit für den Unterstützungszeitraum?
Wird ein Retrofit zur wesentlichen Änderung und stellen Sie das Ergebnis bereit, gilt das nach dem Leitfaden der Kommission als neues Inverkehrbringen. Damit stellt sich die Frage nach dem Unterstützungszeitraum neu.
Automatisch verlängert oder zurückgesetzt wird er dadurch nicht. Maßgeblich bleibt die erwartete Nutzungsdauer des veränderten Produkts, die Sie anhand der Kriterien des CRA neu bewerten. Entscheidend ist, ob die Änderung genau die Faktoren berührt, die die ursprüngliche Nutzungsdauer bestimmt haben.
Bei einem Retrofit ist das oft nicht der Fall. Hing die erwartete Nutzungsdauer vor allem an der physischen Haltbarkeit der Maschine und ändern Sie nur Software oder einen dahinterliegenden Dienst, bleibt es beim ursprünglichen Rahmen: Der Unterstützungszeitraum des veränderten Produkts richtet sich dann nach der verbleibenden erwarteten Nutzungsdauer. Verschiebt der Umbau dagegen die Nutzungsdauer selbst, etwa weil wesentliche Baugruppen erneuert werden, ist der Zeitraum entsprechend neu anzusetzen.
Wie prüfen Sie in der Praxis, ob Ihr Retrofit betroffen ist?
Bevor Sie einen Umbau umsetzen, lohnt eine kurze, strukturierte Prüfung. Drei Fragen führen meist zur richtigen Einordnung:
- Schafft der Umbau eine neue Gefährdung oder erhöht er ein bestehendes Risiko? War die Änderung in der ursprünglichen Risikobeurteilung vorgesehen? Wenn nein und wenn Schutzeinrichtungen oder Stabilitätsmaßnahmen nötig werden, deutet alles auf eine wesentliche Veränderung hin.
- Ändern Sie Hardware oder Software? Bei Software entscheidet, ob Sie nur eine Schwachstelle schließen (meist unkritisch) oder Zweck, Funktion oder Leistung verändern (dann in der Regel wesentlich).
- Stellen Sie das Ergebnis bereit oder nehmen Sie es in Betrieb? Erst mit der Bereitstellung oder Inbetriebnahme greifen die Herstellerpflichten.
Für Softwareänderungen konkretisiert der Leitfaden der Kommission die zweite Frage mit vier Prüfpunkten. Führt das Update neue Bedrohungsvektoren ein, etwa zusätzliche Schnittstellen, Kommunikationskanäle oder externe Abhängigkeiten? Ermöglicht es neue Angriffsszenarien? Verändert es die Wahrscheinlichkeit bereits bekannter Szenarien, weil zum Beispiel weniger Aufwand oder Wissen zum Ausnutzen nötig ist? Und verändert es deren mögliche Auswirkung, also den Umfang betroffener Daten und Funktionen oder Ihre Fähigkeit, einen Vorfall zu erkennen und einzugrenzen? Lautet die Antwort viermal Nein und gelten die Annahmen Ihrer Risikobeurteilung unverändert weiter, spricht das gegen eine wesentliche Änderung.
Dokumentieren Sie diese Prüfung. Halten Sie die Risikobeurteilung aktuell und behandeln Sie die Maschine im Zweifel wie eine Neumaschine. Das ist der sicherere Weg, denn die Verantwortung für die Konformität des veränderten Ergebnisses liegt bei Ihnen.
Unabhängig davon, wie die Einstufung am Ende ausfällt, bleiben Risikobeurteilung und technische Unterlagen fortlaufend aktuell zu halten. Diese Pflicht hängt nicht daran, ob eine Änderung als wesentlich gilt.
Entscheidungsbaum: Wann ein Retrofit Sie zum Hersteller macht. Reine Instandhaltung und reine Sicherheitsupdates bleiben in der Regel außen vor, funktions- oder risikoverändernde Umbauten führen in die Herstellerpflicht.
Fazit: Der Umbau entscheidet über Ihre Rolle
Ein Retrofit ist selten nur Technik. Er verschiebt womöglich Ihre rechtliche Rolle vom Betreiber zum Hersteller, mit Konformitätsbewertung, technischer Dokumentation, Konformitätserklärung und CE-Kennzeichnung. Die Maschinenverordnung macht diesen Übergang ab 2027 erstmals ausdrücklich im Gesetz sichtbar, und für vernetzte Maschinen prüft der CRA zusätzlich, ob eine Softwareänderung das Cybersicherheitsrisiko verändert. Wer beide Ebenen früh mitdenkt, plant Umbauten belastbar statt im Nachhinein nachzubessern.
Kommentar hinzufügen