Übersicht · Fünf Rechtsakte
Was bis Ende 2027 auf einen Maschinenbauer zukommt
Nicht eine Verordnung, sondern fünf, und sie greifen zwischen September 2025 und Dezember 2027 ineinander. Die Termine nebeneinander, mit Fundstelle, damit man die eigene Reihenfolge planen kann.
Die Termine
Sortiert nach Datum, nicht nach Wichtigkeit. Wer sie einzeln liest, unterschätzt regelmässig, wie dicht sie liegen.
- 12.09.2025: Datenverordnung (EU) 2023/2854 gilt. Wer Daten aus einer vernetzten Maschine erhebt, muss dem Nutzer Zugang dazu geben.
- 11.09.2026: Meldepflichten nach Artikel 14 der Cyberresilienzverordnung (EU) 2024/2847. 24 Stunden Frühwarnung, 72 Stunden Meldung, danach Abschlussbericht. Gilt auch für Maschinen, die schon im Feld sind.
- 12.09.2026: Die Datenverordnung verlangt den Datenzugang ab Werk, für Produkte, die ab diesem Tag in Verkehr gebracht werden. Artikel 3 Absatz 1, ein Jahr später als der Rest.
- 09.12.2026: Frist zur Umsetzung der Produkthaftungsrichtlinie (EU) 2024/2853. Software gilt als Produkt, und eine unterbliebene Sicherheitsaktualisierung kann einen Produktfehler begründen. Massgeblich ist das jeweilige nationale Gesetz.
- 20.01.2027: Maschinenverordnung (EU) 2023/1230 löst die Richtlinie 2006/42/EG ab. Neue Liste der Hochrisikomaschinen, Anforderungen an Software und Cybersicherheit, digitale Betriebsanleitung mit Anspruch auf Papier.
- 02.08.2027: Die Verordnung über künstliche Intelligenz (EU) 2024/1689 greift für Hochrisikosysteme, die Sicherheitsbauteil eines Produkts nach ihrem Anhang I sind. Betrifft Maschinen mit lernenden Sicherheitsfunktionen.
- 11.12.2027: Die Cyberresilienzverordnung gilt vollständig. Ohne technische Dokumentation, Stückliste der Software und Konformitätsbewertung keine CE-Kennzeichnung mehr.
Warum die Reihenfolge wichtiger ist als die einzelne Frist
Drei dieser Termine verlangen dieselbe Grundlage: ein belastbares Verzeichnis, welche Maschine mit welchem Softwarestand bei welchem Kunden steht. Die Meldepflicht braucht es unter Zeitdruck, die Produkthaftung im Streitfall, die Cyberresilienzverordnung für die Stückliste der Software.
Wer diese Grundlage einmal sauber aufbaut, arbeitet die übrigen Termine nacheinander ab. Wer sie nicht hat, beginnt bei jedem Termin von vorn.
Was in dieser Liste bewusst fehlt
Die Richtlinie über Netz- und Informationssicherheit, kurz NIS2, richtet sich an Betreiber und nicht an Hersteller. Sie kann einen Maschinenbauer treffen, aber als Unternehmen und nicht wegen seiner Produkte.
Ebenso fehlen die Anforderungen an das Produkt selbst, also sichere Voreinstellungen, Zugriffsschutz und Verschlüsselung nach Anhang I der Cyberresilienzverordnung. Sie haben kein eigenes Datum, sondern gelten mit dem 11. Dezember 2027, und sie sind Entwicklungsarbeit an der Maschine.
Der Vorbehalt
Stand September 2026. Massgeblich ist der Wortlaut im Amtsblatt der Europäischen Union, bei der Produkthaftung das nationale Umsetzungsgesetz. Diese Übersicht ersetzt keine Rechtsberatung.
Folge
Legen Sie die Termine in Ihre Jahresplanung, bevor Sie das erste Projekt starten. Zwei davon liegen 2026, drei 2027, und der Aufwand verteilt sich nicht gleichmässig: Die Maschinenverordnung im Januar 2027 betrifft Ihren gesamten Katalog auf einmal.
Stand September 2026. Massgeblich ist der Wortlaut im Amtsblatt der Europäischen Union. Dieser Beitrag ersetzt keine Rechtsberatung.
Weitere Beiträge
Die Meldepflicht gilt auch für Maschinen von 2019
Der Punkt, den die meisten übersehen: Für Bestandsprodukte greifen die Produktanforderungen erst nach einer wesentlichen Änderung. Die Meldepflichten nimmt die Verordnung davon ausdrücklich aus.
Bekannt ist nicht ausgenutzt: die drei Stufen einer Schwachstelle
Der häufigste Irrtum im Gespräch: Nicht jede bekannte Lücke löst eine Meldung aus. Die Verordnung unterscheidet drei Stufen, und nur die dritte startet die 24 Stunden.
Wem meldet ein Hersteller ohne Niederlassung in der Union?
Für Schweizer und andere Hersteller aus Drittstaaten ist das die erste Frage, und sie muss vor dem Ernstfall beantwortet sein.