Die EU-Maschinenverordnung (Verordnung (EU) 2023/1230) ersetzt ab dem 20. Januar 2027 die Maschinenrichtlinie 2006/42/EG. Erstmals gehört Cybersicherheit zu den grundlegenden Sicherheits- und Gesundheitsschutzanforderungen – und damit zur Voraussetzung für die CE-Kennzeichnung. Eine allgemeine Übergangsfrist gibt es nicht: Massgebend ist der Zeitpunkt des Inverkehrbringens.
Auch Schweizer Unternehmen sind betroffen. Wer Maschinen oder dazugehörige Produkte auf dem EU-Markt in Verkehr bringt, muss die neuen Anforderungen erfüllen – unabhängig vom Firmensitz. Parallel dazu soll die totalrevidierte Schweizer Maschinenverordnung (MaschV) die EU-Vorgaben gleichwertig übernehmen und zeitgleich in Kraft treten.
Die Swiss Infosec AG verbindet Cybersicherheit mit fundierter Rechtsberatung – genau die Kombination, die die Umsetzung der Maschinenverordnung verlangt. Wir begleiten Sie von der ersten Betroffenheitsanalyse bis zur nachweisbaren Konformität.
Dürfen wir Sie bei Ihrem konkreten Vorhaben zur Maschinenverordnung unterstützen? Über diesen Button gelangen Sie direkt zum unverbindlichen Anfrageformular. Schildern Sie uns einfach Ihr Anliegen und senden Sie das Formular ab.
Die entscheidenden Stichtage
19. Juli 2023
Bereits in Kraft – seit 19. Juli 2023 beziehungsweise 20. Januar 2024
Die Verordnung ist seit dem 19. Juli 2023 in Kraft. Die Bestimmungen zu den Konformitätsbewertungsstellen gelten bereits seit dem 20. Januar 2024. Die Schweiz hat die Maschinenverordnung auf dasselbe Datum teilrevidiert, damit sich die anerkannten Schweizer Konformitätsbewertungsstellen frühzeitig nach der neuen EU-Verordnung akkreditieren lassen können.
20. Januar 2027
Der entscheidende Stichtag
Ab diesem Tag gilt die Verordnung (EU) 2023/1230 vollumfänglich und löst die Maschinenrichtlinie 2006/42/EG ab. Eine allgemeine Übergangsfrist besteht nicht: Maschinen, die ab diesem Datum in Verkehr gebracht werden, müssen den neuen Anforderungen entsprechen. Zeitgleich soll die totalrevidierte Schweizer MaschV in Kraft treten. Bereits ausgestellte EG-Baumusterprüfbescheinigungen bleiben bis zu ihrem Ablauf gültig.
11. Dezember 2027
Cyber Resilience Act
Der Cyber Resilience Act wird vollständig anwendbar. Die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt bereits seit dem 11. September 2026. Wer Maschinen mit digitalen Elementen baut, muss beide Regelwerke zusammen denken – sonst entstehen doppelte Prozesse und doppelte Kosten.
Wer ist betroffen? Gilt die Maschinenverordnung für Ihr Unternehmen?
Die Maschinenverordnung gilt für Maschinen und dazugehörige Produkte, die auf dem EU-Markt in Verkehr gebracht oder in Betrieb genommen werden – unabhängig vom Sitz des Herstellers. Erfasst sind auch unvollständige Maschinen, Sicherheitsbauteile, Lastaufnahmemittel sowie Ketten, Seile und Gurte.
01 – Hersteller von Maschinen und Sicherheitsbauteilen
Maschinen- und Anlagenbau, Komponentenhersteller, Robotik, Intralogistik und Medtech mit Maschinenbezug. Wer vernetzte, fernwartbare oder KI-gestützte Maschinen baut, muss Security neu als Teil der Konformität nachweisen. Für die Kategorien nach Anhang I Teil A MVO ist zudem eine notifizierte Stelle zwingend beizuziehen.
02 – Importeure, Händler und Bevollmächtigte
Mit der Angleichung an den New Legislative Framework der EU (Beschluss Nr. 768/2008/EG), die bei der Maschinenrichtlinie 2006/42/EG noch ausstand, treffen eigene Prüf-, Melde- und Dokumentationspflichten auch Importeure und Händler. Hersteller ohne Niederlassung in der EU benötigen zudem einen in der EU niedergelassenen Wirtschaftsakteur nach Art. 4 der Marktüberwachungsverordnung (EU) 2019/1020; in der Praxis den EU-Importeur, einen schriftlich bevollmächtigten Vertreter (Bevollmächtigter) oder einen Fulfilment-Dienstleister, dessen Name und Kontaktdaten auf der Maschine oder ihrer Verpackung anzugeben sind. Für Schweizer Hersteller gilt dies, solange das MRA-Kapitel Maschinen nicht auf die neue Verordnung aktualisiert ist.
03 – Betreiber, Umbauten und Retrofit
Die Verordnung definiert die «wesentliche Veränderung» erstmals ausdrücklich. Wer eine bestehende Maschine umbaut, nachrüstet, vernetzt oder mit neuer Software versieht, kann rechtlich selbst zum Hersteller werden – mit allen Pflichten bis hin zu einer erneuten Konformitätsbewertung.
Was sich konkret ändert
- Cybersicherheit als CE-Voraussetzung: Anhang III Ziffer 1.1.9 MVO «Schutz gegen Korrumpierung» verlangt, dass weder der Anschluss anderer Einrichtungen noch ein Fernzugriff zu gefährlichen Situationen führt. Sicherheitsrelevante Hardware, Software und Daten sind gegen unbeabsichtigte und vorsätzliche Korrumpierung zu schützen; Eingriffe in sicherheitsrelevante Software müssen nachvollziehbar erfasst werden.
- Robuste Steuerungen: Nach Ziffer 1.2.1 müssen Steuerungen auch vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter standhalten.
- Künstliche Intelligenz und selbstentwickelndes Verhalten in Sicherheitsfunktionen werden erstmals ausdrücklich adressiert.
- Neue Struktur: Die Liste der Maschinen mit erhöhtem Risikopotenzial findet sich neu in Anhang I, geteilt in Teil A und Teil B, mit unterschiedlichen Konformitätsbewertungsverfahren.
- Digitale Betriebsanleitung und digitale EU-Konformitätserklärung werden möglich, mit klaren Vorgaben zur Verfügbarkeit.
- Erweiterte Nachmarktpflichten: Produktbeobachtung, Korrekturmassnahmen und Meldungen an die Behörden; technische Unterlagen und EU-Konformitätserklärung sind mindestens zehn Jahre aufzubewahren.
Damit verschiebt sich die Maschinenkonformität von einem reinen Safety-Thema zu einem Thema von Safety und Security. Genau an dieser Schnittstelle arbeiten wir.
Unsere Leistungen – von der Betroffenheit zur nachweisbaren Konformität
Wir begleiten Sie entlang des gesamten Weges: von der ersten Einschätzung, wie und ob die MVO Sie betrifft über die technische Umsetzung bis zur vollständigen Dokumentation und zur Vorbereitung der Konformitätsbewertung.
1. MVO-Betroffenheitscheck und Gap-Analyse
Wir sichten Ihr Produktportfolio, klären, welche Produkte unter die Verordnung fallen und welches Konformitätsbewertungsverfahren gilt, und zeigen das Delta zu den neuen Security-Anforderungen auf. Ergebnis ist ein konkreter Massnahmenplan mit Prioritäten und Terminen, ausgerichtet auf den Stichtag 20. Januar 2027.
- Einordnung der Produkte, inklusive Anhang I Teil A und Teil B
- Delta-Analyse zu Anhang III Ziffer 1.1.9 und 1.2.1 sowie Abgleich mit dem Cyber Resilience Act
- Roadmap mit priorisierten Massnahmen bis zum 20. Januar 2027
2. Security Engineering: Schutz gegen Korrumpierung umsetzen
Wir erweitern Ihre bestehende Maschinenrisikobeurteilung um die Security-Dimension und übersetzen die allgemein gehaltenen Anforderungen der Verordnung in konkrete technische Massnahmen.
- Bedrohungs- und Risikoanalyse als Ergänzung der Risikobeurteilung
- Härtung von Steuerungen, Schnittstellen und Fernzugriffen, Authentisierung und Berechtigungskonzepte
- Sichere Entwicklungsprozesse und Komponentenanforderungen nach IEC 62443-4-1 und 62443-4-2, Ausrichtung auf prEN 50742
3. Technische Dokumentation und Nachweisführung
Der Nachweis der Cybersicherheit erfolgt in der technischen Dokumentation und ist Teil der regulären Konformitätsbewertung. Wir erstellen oder prüfen die erforderlichen Unterlagen.
- Cybersecurity-Kapitel der technischen Dokumentation
- Konzepte zur Erfassung und Nachvollziehbarkeit von Eingriffen in sicherheitsrelevante Software
- Schwachstellen- und Update-Management über den Produktlebenszyklus
4. Rechtliche Einordnung und Vertragsgestaltung
Hier spielt die Kombination aus Recht und Technik ihre Stärke aus. Wir ordnen die Maschinenverordnung in Ihr regulatorisches Gesamtbild ein und sichern die Pflichten vertraglich ab.
- Zusammenspiel von Maschinenverordnung, Cyber Resilience Act, NIS2, AI Act und Produkthaftung
- Pflichten der Wirtschaftsakteure, Bevollmächtigung und das Szenario ohne aktualisiertes MRA
- Security-Pflichten in Lieferanten- und Zulieferverträgen
5. Betreiber, Umbau und Retrofit
Modernisierung, Vernetzung und Retrofit sind rechtlich heikel. Wir klären vorab, ob aus einer Änderung eine wesentliche Veränderung wird – und was daraus folgt.
- Beurteilung der «wesentlichen Veränderung» im Einzelfall
- Klärung der Herstellerrolle bei Umbau, Vernetzung und Software-Updates
- Vorgehen bei verketteten Anlagen und schrittweiser Modernisierung
6. Awareness, Schulung und laufende Begleitung
Konformität ist kein einmaliges Projekt. Wir schulen Ihre Teams und begleiten Sie über den Stichtag hinaus.
- Schulungen und Workshops für Entwicklung, Produktmanagement, Legal und Qualitätsmanagement
- Externer Product Security Officer und Aufbau schlanker PSIRT-Strukturen
- Laufendes Normen- und Regulierungsmonitoring
EU-Maschinenverordnung – die wichtigsten Fragen
Ab wann gilt die EU-Maschinenverordnung – und gibt es eine Übergangsfrist?
Die Verordnung (EU) 2023/1230 ist seit dem 19. Juli 2023 in Kraft und gilt ab dem 20. Januar 2027 vollumfänglich. Eine allgemeine Übergangsfrist besteht nicht, und die Maschinenrichtlinie und die Maschinenverordnung dürfen nicht wahlweise angewendet werden. Massgebend ist der Zeitpunkt des Inverkehrbringens: Bis zum 19. Januar 2027 gilt die Maschinenrichtlinie 2006/42/EG, ab dem 20. Januar 2027 die Verordnung. Bereits ausgestellte EG-Baumusterprüfbescheinigungen bleiben bis zu ihrem Ablauf gültig.
Gilt die EU-Maschinenverordnung auch für Schweizer Unternehmen?
Ja, sobald Sie Maschinen oder dazugehörige Produkte auf dem EU-Markt in Verkehr bringen – unabhängig vom Firmensitz. Erfasst sind neben Herstellern auch Importeure, Händler und Bevollmächtigte. Hersteller ohne Niederlassung in der EU benötigen zudem einen in der EU niedergelassenen Wirtschaftsakteur (EU-Importeur, Bevollmächtigter oder Fulfilment-Dienstleister), der die Pflichten nach Art. 4 der Marktüberwachungsverordnung (EU) 2019/1020 wahrnimmt und auf dem Produkt anzugeben ist. Innerhalb der Schweiz gilt derzeit noch die bisherige Maschinenverordnung (MaschV, SR 819.14), die auf der Maschinenrichtlinie 2006/42/EG beruht. Sie wird totalrevidiert und soll die Anforderungen der EU-Verordnung gleichwertig ins Schweizer Recht überführen. Das Inkrafttreten ist zeitgleich mit der EU-Verordnung per 20. Januar 2027 vorgesehen, der formelle Beschluss steht aus.
Was ändert sich in der Schweiz mit der Totalrevision der MaschV?
Die Schweizer Maschinenverordnung wird total revidiert und übernimmt die EU-Vorgaben gleichwertig, einschliesslich der Anforderungen an Cybersicherheit und maschinelles Lernen. Die Vernehmlassung lief vom 19. September 2025 bis zum 19. Dezember 2025. Angestrebt ist ein Inkrafttreten zeitgleich mit der EU per 20. Januar 2027; der formelle Beschluss steht aus.
Was bedeutet das MRA für Schweizer Exporteure?
Der erleichterte Marktzugang beruht auf dem Abkommen zwischen der Schweiz und der EU über die gegenseitige Anerkennung von Konformitätsbewertungen (MRA). Das Kapitel Maschinen muss aktualisiert werden; dies ist Teil des Pakets Schweiz–EU. Ohne rechtzeitige Aktualisierung müssen Schweizer Hersteller einen in der EU ansässigen Wirtschaftsakteur (EU-Importeur, Bevollmächtigter oder Fulfilment-Dienstleister) benennen und Zertifizierungen bei Stellen mit Sitz in der EU einholen. Das verteuert den Export spürbar und ist ein eigenständiges Risikothema, das in die Planung gehört.
Was verlangt der «Schutz gegen Korrumpierung» konkret?
Anhang III Ziffer 1.1.9 verlangt, dass weder der Anschluss einer anderen Einrichtung noch ein Fernzugriff zu einer gefährlichen Situation führt. Sicherheitsrelevante Hardware, Software und Daten sind zu benennen und angemessen gegen unbeabsichtigte und vorsätzliche Korrumpierung zu schützen; Eingriffe in diese Software müssen nachvollziehbar erfasst werden. Ergänzend verlangt Ziffer 1.2.1 Steuerungen, die auch vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter standhalten. Der Nachweis erfolgt in der technischen Dokumentation und ist Teil der regulären Konformitätsbewertung.
Brauchen wir für die Cybersicherheit zwingend eine notifizierte Stelle?
Nein, allein wegen der Cybersicherheitsanforderungen besteht keine pauschale Pflicht zur Drittprüfung. Für die meisten Maschinen bleibt die Selbstbewertung auf Basis der internen Risikobeurteilung möglich. Eine notifizierte Stelle ist für bestimmte Kategorien nach Anhang I Teil A zwingend beizuziehen – unabhängig davon, ob es um Safety oder um Security geht.
Welche Normen helfen bei der Umsetzung?
Mit prEN 50742 «Sicherheit von Maschinen – Schutz gegen Korrumpierung» entsteht bei CENELEC eine eigene Norm, welche die Anforderungen aus Anhang III Ziffer 1.1.9 und 1.2.1 konkretisiert. Der Entwurf durchlief Anfang 2026 die öffentliche Umfrage; die Veröffentlichung ist für Ende 2026 vorgesehen. Solange die Norm nicht final vorliegt und im Amtsblatt der EU gelistet ist, löst sie keine Konformitätsvermutung aus. Ergänzend dient die Normenreihe IEC 62443 als technische Orientierung, insbesondere 62443-4-1 für sichere Entwicklungsprozesse und 62443-4-2 für Komponentenanforderungen.
Wie verhält sich die Maschinenverordnung zum Cyber Resilience Act und zum AI Act?
Die Regelwerke überschneiden sich, ersetzen einander aber nicht. Die Maschinenverordnung adressiert die Sicherheit der Maschine und macht Security zum Teil der Safety. Der Cyber Resilience Act regelt die Cybersicherheit von Produkten mit digitalen Elementen über den gesamten Lebenszyklus, inklusive Software Bill of Materials und Meldepflichten; seine Meldepflichten gelten seit dem 11. September 2026, die vollständige Anwendung folgt am 11. Dezember 2027. Der AI Act stellt Anforderungen an KI-Systeme. In der Praxis lassen sich Risikoanalyse, Dokumentation und Schwachstellenmanagement gemeinsam aufbauen – das spart Aufwand und verhindert widersprüchliche Nachweise.
Wird der Stichtag vom 20. Januar 2027 noch verschoben?
Mehrere europäische Industrieverbände haben die EU-Kommission gebeten, die Cybersicherheitsanforderungen der Maschinenverordnung zeitlich auf den Cyber Resilience Act abzustimmen. Nach heutigem Stand ist das eine Forderung, keine beschlossene Änderung. Planen Sie deshalb mit dem geltenden Anwendungstermin. Wer erst auf eine Verschiebung wartet, verliert die Entwicklungszyklen, die für Security by Design nötig sind.
Wir sind Betreiber und nicht Hersteller. Betrifft uns die Verordnung trotzdem?
Ja. Wenn Sie eine bestehende Maschine umbauen, nachrüsten, vernetzen oder ihre Software wesentlich verändern, kann daraus eine «wesentliche Veränderung» werden. Rechtlich können Sie damit selbst zum Hersteller werden – mit den entsprechenden Pflichten bis hin zu einer erneuten Konformitätsbewertung. Gerade bei verketteten Anlagen lohnt sich die Abklärung vor dem Projektstart.
Welche Rolle spielt der Datenschutz?
Die Maschinenverordnung selbst regelt Cybersicherheit im Sinne der Maschinensicherheit und enthält keine eigenständigen Datenschutzanforderungen. Sobald eine Maschine jedoch Personendaten bearbeitet – etwa über Zugriffs- und Bedienprotokolle, Kamerasysteme, Zutrittslösungen oder Telemetrie aus Fernwartung und Predictive Maintenance –, kommen das Schweizer Datenschutzgesetz und die DSGVO hinzu. Wir beurteilen beide Ebenen zusammen, damit Security-Massnahmen nicht an datenschutzrechtlichen Anforderungen scheitern und umgekehrt.
Warum Swiss Infosec AG? Ihre Vorteile auf einen Blick
- Recht und Technik aus einer Hand – die Kombination, welche die Maschinenverordnung verlangt
- Über 35 Jahre Erfahrung in Informationssicherheit
- Schweizer Perspektive: MaschV, MRA und EU-Recht im Zusammenhang beurteilt
- Erfahrung aus Projekten zu Cyber Resilience Act, NIS2 und KI-Governance – Sie vermeiden Doppelspurigkeiten
- Flexible Zusammenarbeit: von der punktuellen Zweitmeinung bis zum externen Product Security Officer
- Standorte in Sursee, Zürich, Bern und Berlin
Webinar zum Thema
«Maschinenverordnung 2027: Cybersicherheit wird Pflicht – was Hersteller, Inverkehrbringer und Betreiber jetzt wissen müssen»
Donnerstag, 5. November 2026, 11.00 bis 11.45 Uhr, online und kostenlos. In 45 Minuten zeigen wir praxisnah, was sich ab dem 20. Januar 2027 ändert, ob und in welchem Umfang Ihre Maschinen und Prozesse betroffen sind und wie Sie den Weg zur Konformität ohne Doppelspurigkeiten zu CRA und AI Act gestalten. Referent: Dimitri Korostylev.
Bereit für den MVO-Betroffenheitscheck?
In einem kostenlosen Erstgespräch klären wir, welche Ihrer Produkte betroffen sind, welche Fristen für Sie prioritär sind und wie eine effiziente Umsetzung aussieht.