Ein stärkerer Antrieb, eine neue SPS, eine Cloud-Schnittstelle oder ein Softwareupdate: Nach Änderungen an einer Maschine fällt schnell der Satz, das Produkt müsse jetzt „neu CE-gekennzeichnet“ werden. So pauschal stimmt das nicht.
Die Maschinenverordnung (MVO) und der Cyber Resilience Act (CRA) kennen eigene Schwellen. Die MVO spricht von der wesentlichen Veränderung, der CRA von der wesentlichen Änderung. Beide Begriffe klingen ähnlich, prüfen aber unterschiedliche Risiken und führen nicht automatisch zum gleichen Ergebnis.
Für eine vernetzte Maschine brauche ich deshalb zwei getrennte Bewertungen:
- MVO: Beeinträchtigt die Änderung die Sicherheit der Maschine so, dass eine der ausdrücklich genannten zusätzlichen Schutzmaßnahmen erforderlich wird?
- CRA: Wirkt sich die Änderung auf die Konformität mit den grundlegenden Cybersicherheitsanforderungen aus oder ändert sie den geprüften bestimmungsgemäßen Zweck?
Manchmal greift nur die MVO, manchmal nur der CRA. Es gibt auch Änderungen, die beide Schwellen überschreiten — und viele, die unter beiden Schwellen bleiben.
Rechtsstand: 12. Juli 2026. Die MVO gilt grundsätzlich ab 20. Januar 2027, der CRA grundsätzlich ab 11. Dezember 2027. Bis zum 19. Januar 2027 bleibt für Maschinen in Deutschland die bisherige Rechtslage mit Maschinenrichtlinie und 9. ProdSV relevant. Die CRA-Meldepflichten nach Artikel 14 gelten bereits ab 11. September 2026.
Die wichtigste Unterscheidung auf einen Blick
| Frage | MVO | CRA |
|---|---|---|
| Begriff | wesentliche Veränderung | wesentliche Änderung |
| Rechtsgrundlage | Art. 3 Nr. 16 MVO | Art. 3 Nr. 30 CRA |
| Produkt | Maschine oder dazugehöriges Produkt | Produkt mit digitalen Elementen |
| Zeitpunkt | nach Inverkehrbringen oder Inbetriebnahme | nach Inverkehrbringen |
| Art der Änderung | physisch oder digital | Änderung des Produkts; physisch oder digital möglich |
| Kernprüfung | neue Gefährdung oder höheres Risiko und qualifizierte zusätzliche Schutzmaßnahme | Auswirkung auf Anhang I Teil I oder geänderter geprüfter Zweck |
| Herstellerplanung | Änderung darf vom Hersteller nicht vorgesehen oder geplant sein | kein gleichlautendes Tatbestandsmerkmal; Vorhersehbarkeit ist laut Erwägungsgrund 39 trotzdem relevant |
| Typische Folge | Änderer gilt als Hersteller und führt das einschlägige MVO-Verfahren durch | Herstellerpflichten nach Art. 13 und 14; bei Dritten zusätzlich Marktbereitstellung beachten |
Viel mehr Gemeinsamkeit gibt es nicht: Beide Prüfungen setzen nach dem erstmaligen Inverkehrbringen an. Danach trennen sich die Wege.
Wann liegt eine wesentliche Veränderung nach der MVO vor?
Artikel 3 Nr. 16 MVO enthält eine enge, kumulative Definition. Eine Veränderung ist nur wesentlich, wenn alle folgenden Punkte zusammenkommen:
- Eine Maschine oder ein dazugehöriges Produkt wird physisch oder digital verändert.
- Die Veränderung erfolgt nach dem Inverkehrbringen oder der Inbetriebnahme.
- Sie war vom Hersteller nicht vorgesehen oder geplant.
- Sie erzeugt eine neue Gefährdung oder erhöht ein bestehendes Risiko.
- Dadurch wird mindestens eine der beiden folgenden Maßnahmen erforderlich.
Alternative a: Eine trennende oder nichttrennende Schutzeinrichtung muss ergänzt werden und ihre Einbindung verlangt eine Anpassung des bestehenden Sicherheitssteuerungssystems.
Alternative b: Zusätzliche Schutzmaßnahmen für Stabilität oder Festigkeit werden erforderlich.
Das fünfte Kriterium wird in der Praxis leicht übersehen. Eine neue Gefährdung allein macht die Veränderung noch nicht wesentlich. Auch eine zusätzliche Schutztür reicht für sich genommen nicht. Entscheidend ist unter Alternative a, ob ihre Einbindung eine Anpassung des bestehenden Sicherheitssteuerungssystems erfordert.
Reparatur und Wartung sind nach Erwägungsgrund 26 keine wesentliche Veränderung, solange sie die Übereinstimmung mit den einschlägigen Sicherheits- und Gesundheitsschutzanforderungen nicht beeinträchtigen.
Was gilt bis zum 19. Januar 2027?
Die Legaldefinition der neuen MVO ist noch nicht das Prüfschema für Änderungen, die unter die bisherige Maschinenrichtlinie fallen. Bis dahin bleibt in Deutschland das BMAS-Interpretationspapier von 2015 die zentrale amtliche Auslegungshilfe.
Das Papier fragt vereinfacht:
- Entsteht eine neue Gefährdung oder erhöht sich ein vorhandenes Risiko?
- Reichen die vorhandenen Schutzmaßnahmen aus?
- Kann das Risiko durch eine einfache Schutzeinrichtung ausreichend gemindert werden?
Dieses Schema ist eine Auslegungshilfe zur bisherigen Rechtslage. Es sollte nicht als Wortlaut oder verbindliches Flussdiagramm der ab 20. Januar 2027 geltenden MVO dargestellt werden.
Wann liegt eine wesentliche Änderung nach dem CRA vor?
Nach Artikel 3 Nr. 30 CRA ist eine Änderung wesentlich, wenn sie nach dem Inverkehrbringen erfolgt und mindestens eine von zwei Alternativen erfüllt:
- Sie wirkt sich auf die Konformität des Produkts mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I aus.
- Sie ändert den bestimmungsgemäßen Zweck, für den das Produkt geprüft wurde.
Der CRA nennt keine Prozent-, Kosten- oder Leistungsschwelle. Auch die Zahl geänderter Codezeilen entscheidet nicht.
Erwägungsgrund 39 macht die Abgrenzung greifbarer:
- Ein reines Sicherheitsupdate, das ein Cybersicherheitsrisiko senkt und den Zweck nicht ändert, ist nicht wesentlich.
- Kleine Funktionsupdates wie visuelle Anpassungen, neue Sprachen oder Piktogramme sind im Allgemeinen nicht wesentlich.
- Ein Funktionsupdate kann wesentlich sein, wenn es Funktion, Art oder Leistung verändert und dadurch die Angriffsfläche oder das Cybersicherheitsrisiko erhöht. Der CRA nennt als Beispiel ein neues Eingabeelement, das zusätzliche Eingabevalidierung erfordert.
- Wartung, Reparatur und Überholung sind nicht automatisch wesentlich, wenn Zweck, Funktionen und Risikoniveau gleich bleiben.
Die ursprüngliche Zweckbestimmung, Cyberrisikobewertung und technische Dokumentation bilden damit den Referenzpunkt. Je schlechter dieser Ausgangszustand dokumentiert ist, desto schwieriger wird später die Begründung.
Die Kommission hat am 3. März 2026 Leitlinien zur CRA-Anwendung als Entwurf zur Konsultation veröffentlicht. Sie sind eine nützliche Auslegungshilfe, aber kein verbindlicher Ersatz für Artikel 3 Nr. 30 und die Erwägungsgründe. Dasselbe gilt für Normen: Eine CRA-Konformitätsvermutung entsteht erst, wenn die Fundstelle einer harmonisierten Norm im EU-Amtsblatt veröffentlicht wurde.
Vier Fallgruppen: MVO, CRA, beide oder keines
Die Beispiele sind bewusst mit den entscheidenden Annahmen formuliert. In einem realen Projekt entscheidet die dokumentierte technische Bewertung.
1. Nur nach der MVO wesentlich
Eine mechanische Presse erhält einen stärkeren Zylinder. Die höhere Presskraft erzeugt neue Bruch- und Auswurfrisiken. Zusätzliche Maßnahmen für Festigkeit und Stabilität werden erforderlich. Digitale Elemente oder eine Änderung ihrer Cybersecurity gibt es nicht.
Hier spricht viel für MVO ja, CRA nein.
Auch bei einer vernetzten Maschine kann nur die MVO greifen: Wird etwa ein deutlich schwererer Roboterarm montiert und verlangt dies zusätzliche mechanische Stabilitätsmaßnahmen, während Zweck und digitale Architektur unverändert bleiben, ist die Änderung nicht allein deshalb CRA-wesentlich.
2. Nur nach dem CRA wesentlich
Das HMI einer Maschine erhält eine neue Remote-Admin-Schnittstelle. Die Funktion schafft einen neuen externen Zugang und verändert Authentifizierung, Zugriffskontrolle und Angriffsfläche. Bewegungsabläufe, Safety-Funktionen und Sicherheitssteuerung der Maschine bleiben unverändert; zusätzliche MVO-Schutzmaßnahmen sind nicht erforderlich.
Die wahrscheinliche Einordnung lautet: CRA ja, MVO nein.
Ein klarer Fall außerhalb der MVO ist eine eigenständig vertriebene Softwareanwendung, deren Update aus einem reinen Monitoring-Tool eine Fernsteuerungsanwendung macht. Ist sie ein Produkt mit digitalen Elementen, kann die Zweck- und Cybersecurityänderung CRA-wesentlich sein. Eine Maschine liegt nicht vor.
3. Nach beiden Verordnungen wesentlich
Eine CNC-Maschine wird für unbeaufsichtigten Cloudbetrieb umgebaut. Das Retrofit ergänzt Fernsteuerung und hebt gleichzeitig Leistungsgrenzen an. Wegen neuer Quetsch- oder Kollisionsgefahren wird eine verriegelte Schutzeinrichtung mit Anpassung der Sicherheitssteuerung notwendig. Die Cloud-API schafft zugleich neue, bislang nicht abgedeckte Bedrohungsvektoren.
In diesem Fall werden voraussichtlich beide Schwellen überschritten. Die Prüfungen bleiben getrennt zu dokumentieren. Eine CRA-Bewertung ersetzt keine MVO-Risikobeurteilung — und umgekehrt.
4. Nach keiner der beiden Verordnungen wesentlich
Typische Beispiele sind:
- Austausch eines defekten Bauteils durch ein identisches oder gleichartiges Teil innerhalb der Herstellerspezifikation
- reiner Patch einer bekannten Schwachstelle, der das Risiko senkt und den Zweck nicht ändert
- neue Sprache, Piktogramme oder rein visuelle Anpassungen der Benutzeroberfläche
- Installation einer vom Maschinenhersteller vorgesehenen Option innerhalb der dokumentierten Grenzen, sofern Zweck, Risiken und Konformität abgedeckt bleiben
Solche Änderungen bleiben regelmäßig unter beiden Schwellen. Trotzdem gehört die Entscheidung in die Dokumentation.
Die Fallmatrix für die Praxis
| Änderung | MVO | CRA | Warum? |
|---|---|---|---|
| identisches Ersatzteil | nein | nein | Wiederherstellung des dokumentierten Zustands |
| Security-Patch ohne Zweckänderung | regelmäßig nein | nein | Risiko wird gesenkt; keine qualifizierte MVO-Folge |
| neue Sprache oder UI-Farbe | regelmäßig nein | regelmäßig nein | keine relevante Funktions-, Risiko- oder Zweckänderung |
| stärkerer rein mechanischer Antrieb mit zusätzlichen Festigkeitsmaßnahmen | ja | nein | MVO-Alternative Stabilität/Festigkeit; kein CRA-Produktbezug |
| neue offene API ohne Safety-Auswirkung | nein | wahrscheinlich ja | geänderte Angriffsfläche, aber keine MVO-Schutzmaßnahme |
| Cloud-Fernbetrieb plus höherer Leistungsmodus und Umbau der Sicherheitssteuerung | wahrscheinlich ja | wahrscheinlich ja | Safety- und Cybersecurityschwelle werden getrennt erfüllt |
| vorgesehene Herstelleroption innerhalb der ursprünglichen Bewertung | regelmäßig nein | regelmäßig nein | MVO: vorgesehen; CRA: Zweck und Cyberrisiken bereits abgedeckt |
Wer wird zum Hersteller – und in welchem Umfang?
MVO
Wer eine wesentliche Veränderung vornimmt, gilt nach Artikel 18 MVO als Hersteller. Diese Person muss insbesondere die Konformität mit der MVO sicherstellen, das einschlägige Verfahren nach Artikel 25 durchführen, technische Unterlagen erstellen, die EU-Konformität erklären und die CE-Kennzeichnung verantworten.
Bei einer Gesamtheit von Maschinen kann sich der Umfang auf die betroffene Einzelmaschine oder das betroffene Produkt begrenzen, wenn die Risikobeurteilung zeigt, dass nur deren Sicherheit berührt ist. Ein nichtprofessioneller Nutzer, der seine Maschine allein für den Eigengebrauch wesentlich verändert, ist von der Herstellerfiktion des Artikels 18 ausgenommen.
CRA
Bei Einführern und Händlern greift die Herstellerfiktion nach Artikel 21, wenn sie eine wesentliche Änderung vornehmen. Für eine andere Person verlangt Artikel 22 zusätzlich, dass sie das wesentlich geänderte Produkt anschließend auf dem Markt bereitstellt.
Das ist für Betreiber wichtig: Ein rein interner Umbau löst die spezielle Herstellerfiktion des Artikels 22 nach seinem Wortlaut nicht ohne Weiteres aus. Sobald das veränderte Produkt im Rahmen einer Geschäftstätigkeit an einen anderen abgegeben oder zur Verwendung bereitgestellt wird, ist die Lage neu zu bewerten.
Die CRA-Pflichten gelten für den betroffenen Teil oder, wenn die Änderung die Cybersicherheit des gesamten Produkts beeinflusst, für das Gesamtprodukt. Dazu gehören je nach Fall Cyberrisikobewertung, technische Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung, CE-Kennzeichnung, Schwachstellenmanagement und die Meldepflichten.
Altprodukte: Die wichtige CRA-Übergangsregel
Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den CRA-Anforderungen nach Artikel 69 Abs. 2 nur, wenn sie nach diesem Datum wesentlich geändert werden.
Eine wesentliche Änderung im November 2027 aktiviert diese Übergangsregel also nicht. Eine entsprechende Änderung im Januar 2028 kann ein Altprodukt dagegen in den CRA-Anwendungsbereich ziehen.
Davon unabhängig gelten die Meldepflichten aus Artikel 14 ab 11. September 2026 auch für erfasste Altprodukte. Diese Ausnahme wird in vereinfachten Darstellungen häufig übersehen.
Mein Prüfschema für Umbau, Retrofit und Softwareupdate
Ich würde die Entscheidung in sieben Schritten dokumentieren:
- Produkt und Regime bestimmen: Maschine, dazugehöriges Produkt, Produkt mit digitalen Elementen – oder mehrere Kategorien gleichzeitig?
- Zeitpunkt festhalten: Wann wurde das ursprüngliche Produkt in Verkehr gebracht und wann erfolgt die Änderung?
- Änderung technisch abgrenzen: Hardware, Software, Schnittstellen, Leistung, Betriebsarten und Zweck vor und nach der Änderung vergleichen.
- MVO separat prüfen: Herstellerplanung, neue Gefährdung oder Risikoerhöhung und eine der beiden qualifizierten Schutzmaßnahmen aus Artikel 3 Nr. 16.
- CRA separat prüfen: Auswirkungen auf jede einschlägige Anforderung aus Anhang I Teil I sowie auf den geprüften bestimmungsgemäßen Zweck.
- Umfang bestimmen: Betrifft die Änderung ein Bauteil, eine Einzelmaschine, eine Gesamtheit oder das komplette Produkt?
- Entscheidung freigeben: Annahmen, Nachweise, Restrisiken, Verantwortliche und erforderliches Konformitätsverfahren nachvollziehbar festhalten.
Für Arbeitgeber kommt ein zweiter Strang hinzu: Auch unterhalb der Schwelle einer wesentlichen Veränderung bleiben die Pflichten aus der Betriebssicherheitsverordnung bestehen. Die Gefährdungsbeurteilung ist bei sicherheitsrelevanten Änderungen zu aktualisieren; nach prüfpflichtigen Änderungen kann vor der weiteren Verwendung eine Prüfung erforderlich sein.
Fünf Aussagen, die in der Praxis nicht tragen
„Jede neue Gefahr macht den Umbau MVO-wesentlich.“ Nein. Die MVO verlangt zusätzlich eine der beiden ausdrücklich beschriebenen Schutzmaßnahmen.
„Jede neue Netzwerkfunktion ist automatisch MVO-wesentlich.“ Nein. Cybersecurity kann die Maschinensicherheit beeinflussen, erfüllt aber nicht automatisch Artikel 3 Nr. 16.
„Jedes Softwareupdate ist CRA-wesentlich.“ Nein. Risikosenkende Security-Patches ohne Zweckänderung und kleine UI-Updates nennt der CRA gerade als Gegenbeispiele.
„Wenn der CRA greift, greift bei einer Maschine immer auch die MVO.“ Nein. Schutzgüter und Schwellen unterscheiden sich.
„Nicht wesentlich heißt: keine Pflichten und keine Dokumentation.“ Nein. Produkt-, Betreiber-, Vertrags- und Haftungspflichten können fortbestehen. Außerdem ist eine kurze, belastbare Negativentscheidung meist der beste Nachweis dafür, dass überhaupt geprüft wurde.
Fazit
Die Begriffe ähneln sich, die Rechtsprüfungen nicht. Für Maschinen mit digitalen Elementen sollten Hersteller und Betreiber deshalb nie mit einem gemeinsamen Ja-Nein-Feld arbeiten.
Die MVO fragt eng nach Safety-Auswirkungen und bestimmten zusätzlichen Schutzmaßnahmen. Der CRA fragt nach der Cybersecurity-Konformität und dem geprüften Zweck. Erst aus beiden getrennten Bewertungen ergibt sich, ob nur ein Regelwerk, beide oder keines ein neues Hersteller- und Konformitätsprogramm auslösen.
Wenn Sie Umbauten, Retrofits und Softwareupdates strukturiert bewerten wollen, begleite ich Maschinenbauer in Ulm, Neu-Ulm, Günzburg, Augsburg, Bayern und deutschlandweit. Mehr dazu finden Sie unter CRA & Maschinenverordnung.
Häufige Fragen
Braucht jede wesentliche Änderung eine neue CE-Kennzeichnung?
Bei einer wesentlichen Veränderung nach der MVO übernimmt der Änderer die Herstellerpflichten und das einschlägige Konformitätsbewertungsverfahren. Beim CRA hängen Verfahren und Umfang unter anderem vom Produkt und davon ab, ob nur ein Teil oder das Gesamtprodukt betroffen ist. Die Aussage „jede Änderung braucht neue CE“ ist ohne vorherige Wesentlichkeits- und Scopeprüfung zu pauschal.
Ist ein SPS- oder Steuerungstausch wesentlich?
Nicht automatisch. Ein kompatibler Ersatz innerhalb der dokumentierten Spezifikation ist regelmäßig anders zu bewerten als eine neue Steuerung mit höherer Leistung, veränderter Safety-Logik oder zusätzlichen Netzwerkschnittstellen. MVO und CRA sind getrennt zu prüfen.
Ist ein Cybersecurity-Patch nach dem CRA wesentlich?
Nein, wenn er allein das Cybersicherheitsrisiko senkt und den bestimmungsgemäßen Zweck nicht ändert. Fügt das Update zugleich neue Funktionen hinzu oder vergrößert es die Angriffsfläche, ist dieser Anteil gesondert zu bewerten.
Gilt das BMAS-Interpretationspapier auch unter der neuen MVO?
Es bleibt eine wichtige Auslegungshilfe für die bisherige Rechtslage bis zum 19. Januar 2027. Ab 20. Januar 2027 enthält die MVO eine eigene Legaldefinition. Das alte Flussdiagramm sollte deshalb nicht ungeprüft als verbindliches MVO-Schema übernommen werden.
Quellenstand
- EUR-Lex: Maschinenverordnung (EU) 2023/1230, insbesondere Art. 3 Nr. 16, Art. 18, Art. 25 und Erwägungsgrund 26
- EUR-Lex: Berichtigung der Maschinenverordnung vom 4. Juli 2023 zum Anwendungsdatum 20. Januar 2027
- BMAS: Interpretationspapier „Wesentliche Veränderung von Maschinen“
- EUR-Lex: Cyber Resilience Act, Verordnung (EU) 2024/2847, insbesondere Art. 3 Nr. 30, Art. 21, Art. 22, Art. 69, Art. 71 und Erwägungsgründe 39 bis 42
- EU-Kommission: Offizielle CRA-Zusammenfassung
- EU-Kommission: CRA-FAQ, aktualisiert am 2. Juli 2026
- EU-Kommission: Entwurf der CRA-Leitlinien vom 3. März 2026
- EU-Kommission: CRA-Standardisierung
- Gesetze im Internet: § 3 BetrSichV und § 14 BetrSichV
Hinweis: Der Beitrag ordnet den Rechtsstand allgemein ein und ersetzt keine rechtliche oder produktspezifische Prüfung im Einzelfall.