Ab dem 20. Januar 2027 gilt für Maschinen die Maschinenverordnung. Für Maschinen, die zugleich Produkte mit digitalen Elementen sind, kommen die Pflichten der Cyberresilienz-Verordnung hinzu — die Meldepflichten ab 11. September 2026, die übrigen Hauptpflichten ab 11. Dezember 2027. Die eine ersetzt die andere nicht.
Daten in der EU · Unterlagen mit SHA-256 · Export jederzeit · kein Lock-in
Sie arbeiten schon mit CE-Software oder einem Berater? normakte ergänzt das, statt es zu ersetzen. Wie das zusammenpasst.
Alle drei Werkzeuge kostenlos, ohne Registrierung. Ihre Eingaben verlassen den Browser nicht.
Und mit der Frist, für die Sie sie aufbewahren müssen. Wo beide Verordnungen gelten, gilt die längere Frist.
| Unterlage | Rechtsgrundlage | Aufbewahrung |
|---|---|---|
| Technische Unterlagen | Art. 10 Abs. 2 · Anhang IV A | mind. 10 Jahre |
| Risikobeurteilung | Art. 8 · Anhang III | mit der Akte |
| Quellcode sicherheitsrelevanter Software | Anhang IV A m | auf begründetes Verlangen |
| Betriebsanleitung, digital zulässig | Art. 10 Abs. 7 | online mind. 10 Jahre, Papier auf Verlangen binnen 1 Monat |
| EU-Einbauerklärung, unvollständige Maschine | Art. 22 · Anhang V B | mind. 10 Jahre |
| Montageanleitung | Art. 11 Abs. 7 · Anhang XI | online mind. 10 Jahre |
| Technische Dokumentation | Art. 31 · Anhang VII | 10 Jahre oder Unterstützungszeitraum, je länger |
| Cybersicherheits-Risikobewertung | Art. 13 Abs. 2–4 | laufend fortgeschrieben |
| Software-Stückliste (SBOM) | Anhang I II(1) | nicht öffentlich; in der Akte auf begründetes Verlangen |
| Unterstützungszeitraum und seine Begründung | Art. 13 Abs. 8 und 19 | mind. 5 Jahre, im Anlagenbau länger |
| Archiv der Sicherheitsupdates | Art. 13 Abs. 9 | mind. 10 Jahre ab Freigabe |
| Meldung: 24 h / 72 h / 14 Tage | Art. 14 | Vorfallregister |
| Eine EU-Konformitätserklärung für alle Rechtsakte | Art. 21 Abs. 3 · Art. 28 Abs. 3 | online mind. 10 Jahre |
| CE-Kennzeichnung, kumulativ | Art. 24 · Art. 30 Abs. 5 | — |
Die Reihenfolge ist nicht frei gewählt: die Risikobeurteilung kommt vor den Schutzmaßnahmen, die Schutzmaßnahmen vor der Betriebsanleitung, und die Erklärung erst nach der Konformitätsbewertung. Eine nachträglich erstellte Risikobeurteilung entspricht nicht den Vorgaben. Was sich mit der Maschinenverordnung 2027 ändert, im Überblick.
Mit dem Inverkehrbringen endet die Konformitätsarbeit nicht — auch nach der Maschinenverordnung bleiben Pflichten bestehen, etwa zur Serienkonformität und zu Korrekturmaßnahmen. Die Cyberresilienz-Verordnung fügt jedoch einen ausdrücklich fortlaufenden Prozess hinzu: Schwachstellen werden über den gesamten Unterstützungszeitraum behandelt, und die technische Dokumentation ist mindestens so lange fortzuschreiben. In der Regel mindestens fünf Jahre – kürzer nur, wenn die erwartete Nutzungsdauer kürzer ist; im Maschinen- und Anlagenbau entsprechend länger.
Genau dieser Kreislauf ist der Unterschied zwischen einer Akte, die man einmal anlegt, und einer, die man führt.
Die Maschinenverordnung nennt Cybersicherheit an zwei Stellen. Die Cyberresilienz-Verordnung nennt in ihrem Erwägungsgrund 53 genau dieselben zwei Stellen.
Die Maschine muss so konstruiert und gebaut sein, dass der Anschluss einer anderen Einrichtung — durch eine Funktion der angeschlossenen Einrichtung selbst oder über eine mit der Maschine kommunizierende Fernzugriffseinrichtung — nicht zu einer gefährlichen Situation führt. Wer eine Cybersicherheitszertifizierung nach Verordnung (EU) 2019/881 hat, dem wird die Konformität mit diesem Punkt vermutet.
Steuerungen müssen beabsichtigten und unbeabsichtigten Fremdeinflüssen standhalten, einschließlich vernünftigerweise vorhersehbarer böswilliger Versuche Dritter. Versionen der Sicherheitssoftware sind fünf Jahre rückverfolgbar zu halten; bei selbstentwickelnden Systemen kommen Entscheidungsdaten hinzu, ein Jahr lang.
Die Synergie zwischen den beiden Verordnungen entsteht nicht von selbst. Sie muss vom Hersteller nachgewiesen werden — durch eine Risikobewertung, die auch die Cybersicherheitsrisiken abdeckt.
Erwägungsgrund 53 der Verordnung (EU) 2024/2847
Kein Konto, keine E-Mail-Adresse, keine Testphase. Sie rechnen im Browser, das Ergebnis nehmen Sie mit.
Eine Erklärung, die beide Verordnungen nennt — mit den Fundstellen ihrer Veröffentlichung, wie es der Artikel verlangt.
Zuerst die Frage, die vor der Frist kommt: aktiv ausgenutzte Schwachstelle oder schwerwiegender Vorfall? Die Fristen laufen unterschiedlich.
Laden Sie Ihre bisherige Erklärung hoch: in Sekunden sehen Sie, was ab dem 20. Januar 2027 nicht mehr passt.
Keine Demo, kein Vertriebsgespräch, keine Mindestlaufzeit.
Alle drei Werkzeuge sind kostenlos nutzbar, die kostenpflichtige Konformitätsakte ist ab sofort buchbar. Tragen Sie sich ein, wenn Sie über Änderungen an den beiden Verordnungen informiert werden möchten.
Werkzeuge — ab heute verfügbar
0 €
Die drei Werkzeuge, dauerhaft kostenlos.
Akte
49 € / Monat
Eine Produktakte, lebend gehalten. Ein Register, zwei Verordnungen.
Akte erweitert
119 € / Monat
Bis zu fünf Produkte.
Für größere Bestände: Team (bis 10 Produkte) 199 € / Monat, Professional (bis 20 Produkte) 299 € / Monat — im Konto buchbar.
Jahreszahlung 20 % günstiger. Klein- und Kleinstunternehmen dürfen die technische Dokumentation nach Art. 33 Abs. 5 CRA in vereinfachter Form vorlegen; die Akte unterstützt beide Formate.
Alle Artikel- und Anhangverweise auf dieser Seite stammen aus den im Amtsblatt veröffentlichten Fassungen: Verordnung (EU) 2023/1230, ABl. L 165 vom 29.6.2023, und Verordnung (EU) 2024/2847, ABl. L, 2024/2847 vom 20.11.2024.
Die Anhänge beider Verordnungen sind gegen die im Amtsblatt veröffentlichten Fassungen geprüft. Die Angaben auf diesen Seiten sind sinngemäß wiedergegeben und gekürzt; maßgeblich bleibt der amtliche Wortlaut.
normakte ist eine Schreib- und Rechenhilfe. Sie ersetzt weder die Konformitätsbewertung noch eine notifizierte Stelle noch eine Rechtsberatung.