Der Regulierungsfahrplan für vernetzte Maschinen bis 2028

Selten haben so viele europäische Regelwerke gleichzeitig den Maschinen- und Anlagenbau getroffen. Die Pflichten überschneiden sich, die Fristen sind gestaffelt. Diese Übersicht ordnet die wichtigsten Termine.

Bereits in Kraft

NIS2: Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Nach Angaben des BSI sind rund 29.500 Unternehmen betroffen. Bis zum Ende der ersten Registrierungsfrist im März 2026 hatten sich laut Behörde rund 11.500 registriert. Data Act: Seit dem 12. September 2025 haben Nutzer vernetzter Produkte Anspruch auf deren Daten, seit dem 12. September 2026 gilt für neue Produkte die Pflicht zum Datenzugang durch Gestaltung. Cyber Resilience Act: Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle binnen 24 Stunden melden. AI Act: Die Änderungsverordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft und hat die Fristen für Hochrisiko-KI verschoben.

Die nächsten Stichtage

12. Januar 2027: Nach dem Data Act entfallen Gebühren für den Wechsel des Cloud-Anbieters. 20. Januar 2027: Die Maschinenverordnung (EU) 2023/1230 ersetzt die Maschinenrichtlinie, mit ausdrücklichen Anforderungen an den Schutz gegen Manipulation. 2. Dezember 2027: Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III des AI Act. 11. Dezember 2027: Die vollständigen Anforderungen des Cyber Resilience Act gelten, einschließlich Security by Design und CE-Kennzeichnung nach CRA. 2. August 2028: Pflichten für Hochrisiko-KI, die in regulierte Produkte wie Maschinen eingebettet ist.

Wo sich die Pflichten überschneiden

Für ein vernetztes Edge-Gerät an einer Maschine können mehrere Regelwerke gleichzeitig gelten: Die Maschinenverordnung fragt nach der Sicherheit für Menschen, der CRA nach der Cybersicherheit des Produkts, der Data Act nach dem Datenzugang und, falls KI im Spiel ist, der AI Act nach Risikomanagement und Dokumentation. Betreiber, die selbst unter NIS2 fallen, müssen zusätzlich ihre Lieferkette absichern und fragen deshalb bei ihren Lieferanten nach.

Empfehlung

Statt jedes Regelwerk einzeln abzuarbeiten, lohnt ein gemeinsamer Ansatz: eine Produktübersicht mit Software-Stücklisten, eine Risikobeurteilung, die Safety und Security zusammen betrachtet, ein dokumentierter Update-Prozess und eine Datenschnittstelle für Kunden. Damit ist ein großer Teil der Anforderungen aller fünf Regelwerke vorbereitet. Dieser Beitrag ersetzt keine Rechtsberatung.