EU-Verordnungen für den Schweizer Maschinen- und Anlagenbau
Maschinenverordnung,
Cyber Resilience Act
und Digital Product Passport.
Drei Verordnungen, ein Datenfundament.
Drei Verordnungen, die zusammen wirken.
Die EU schiebt drei Verordnungen gleichzeitig in den Markt: die neue Maschinenverordnung, den Cyber Resilience Act und den Digital Product Passport.
Auf den ersten Blick sind das drei separate Pflichten. Im Maschinen- und Anlagenbau teilen sie sich aber das Datenfundament:
-
Material- und Lieferanten-Daten
-
Konformitätsnachweise
-
Sicherheitsdokumentation
-
Lifecycle-Information.
Auf dieser Seite sehen Sie, was jede Verordnung konkret verlangt und für wen sie kritisch ist. Für die Tiefe nutzen Sie die drei Vertiefungsseiten am Ende jeder Sektion.
EU-Maschinenverordnung 2023/1230
Die neue Maschinenverordnung löst ab dem 14. Januar 2027 die bisherige Maschinenrichtlinie ab. Sie gilt unmittelbar in der gesamten EU, ohne nationale Spielräume. Wer Maschinen in den europäischen Binnenmarkt liefert, muss ab diesem Stichtag konform sein.
Neu: Software, KI-Funktionen in Sicherheitsbauteilen und digitale Konformitätserklärung sind erstmals explizit geregelt.
Konkret betroffen, wenn
-
Ihre Maschinen direkt oder über Kunden in den EU-Binnenmarkt gelangen
-
Ihre Anlagen Software, programmierbare Steuerungen oder Fernzugriff enthalten
-
Sie Komponenten in EU-Lieferketten zuliefern, auch ohne eigene Endkunden in der EU
-
Sie bestehende Anlagen umbauen, modernisieren oder digital nachrüsten (Stichwort wesentliche Veränderung)
-
Sie KI- oder lernende Funktionen in Sicherheitsbauteilen einsetzen
Stichtag 14. Januar 2027:
Wer dann nicht konform ist, verliert den Zugang zum europäischen Binnenmarkt. Für viele Schweizer Maschinen- und Anlagenbauer ist das der grösste Absatzkanal überhaupt.
EU Cyber Resilience Act 2024/2847
Der Cyber Resilience Act ist das neue EU-Gesetz für die Cybersicherheit von Produkten mit digitalen Bestandteilen. Er trifft auch klassische Maschinen- und Anlagenbauer, sobald deren Produkte eine Steuerung, eine Datenverbindung oder einen Service-Port haben.
Die Pflichten reichen vom Update-Management über Schwachstellen-Meldepflichten bis zur Software-Stückliste.
Konkret betroffen, wenn
-
Ihre Maschinen eine SPS, ein HMI oder eine Wartungsschnittstelle enthalten
-
Ihre Anlagen kommunizieren, sei es per Netzwerk, USB-Schnittstelle oder Sensorbus
-
Sie Komponenten von Siemens, B&R, Beckhoff oder anderen Steuerungs-Herstellern verbauen und unter eigenem Namen ausliefern
-
Sie Maschinen direkt oder über Kunden in den EU-Binnenmarkt liefern
-
Sie Software-Updates oder Fernwartung als Teil des Lieferumfangs anbieten
Zwei Stichtage:
Ab 11. September 2026 gilt die 24-Stunden-Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, auch für Anlagen, die schon im Feld stehen.
Volle Anwendung ab 11. Dezember 2027. Bussgelder reichen bis 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Digital Product Passport EU 2024/1781
Der Digital Product Passport ist der digitale Steckbrief eines Produktes. Hinter einem QR-Code liegen Material, Herkunft, Reparatur- und Recycling-Informationen, abrufbar über den ganzen Lebenszyklus. Die Verordnung kommt in Wellen: Stahl, Aluminium, Elektronik und Batterien zuerst, Industriemaschinen folgen über delegierte Rechtsakte ab 2027.
Konkret betroffen, wenn
-
Sie Stahl, Aluminium, Elektronik oder Motoren in Ihren Maschinen verbauen, denn diese Komponenten sind in der ersten Welle ab 2026 dran
-
Ihre Lieferanten beginnen, DPP-Daten zu liefern, und Sie diese Daten in Ihre eigenen Produkte durchreichen müssen
-
Ihre Maschinen direkt oder über Kunden in den EU-Binnenmarkt gehen
-
Ihre Kunden bereits heute nach Materialdaten, CO2-Bilanzen oder Reparatur-Informationen fragen
-
Sie Service-, Wartungs- oder Ersatzteilgeschäft führen, das auf Lifecycle-Daten angewiesen ist
Direkt sind Industriemaschinen erst über delegierte Rechtsakte ab 2027 dran. Indirekt sind Sie über Ihre Lieferkette schon jetzt mittendrin:
Wer Komponenten ab 2026 zuliefert oder verbaut, muss heute beginnen, die Daten zu erfassen.
Dreimal pflegen oder einmal richtig.
Die Daten, die Sie für eine der drei Verordnungen erfassen, sind weitgehend dieselben, die Sie für die anderen zwei brauchen.
Wer das Datenfundament einmal sauber baut, deckt MVO, CRA und DPP gemeinsam ab. Wer es dreimal angeht, pflegt dreimal die gleichen Daten.