Digital Compliance im Maschinenbau – Data Act, CRA und KI-VO im Zusammenspiel

Die meisten Maschinen werden heute über ein Steuermodul betrieben, das regelmäßig mit dem Internet oder einer Herstellerplattform verbunden ist und während des Betriebs kontinuierlich Daten zu Wartungs-, Produkt- und Serviceverbesserungszwecken erzeugt. Damit wird das Steuermodul zugleich zum Schnittpunkt mehrerer, ursprünglich getrennter Regelungsregime, die von der Produktsicherheit über das Datenrecht und die Cybersicherheit bis hin zur Regulierung künstlicher Intelligenz (KI) reichen. Für Maschinenbauer in ihrer Rolle als Hersteller verdichten sich diese Vorgaben im Herbst 2026 zu mehreren unmittelbar aufeinanderfolgenden Stichtagen. Ab dem 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act (CRA) für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, und ab dem 12. September 2026 gilt mit dem Grundsatz des Access by Design nach Art. 3 Abs. 1 Data Act eine verschärfte Gestaltungsanforderung für neu in Verkehr gebrachte vernetzte Produkte. Der vorliegende Beitrag ordnet die für Maschinenhersteller ab Herbst 2026 maßgeblichen Pflichten aus Data Act, CRA und KI-Verordnung (KI-VO) ein und zeigt auf, welche Vorbereitungen kurzfristig zu treffen sind.

I. Hintergrund

Das Steuermodul einer modernen Maschine übernimmt weit mehr als die reine Ablaufsteuerung. Über eingebettete Software werden Betriebsparameter erfasst, Prozesse geregelt und Zustandsinformationen protokolliert, die über eine Netzwerk- oder Plattformanbindung an den Hersteller übermittelt werden. Auf dieser Grundlage lassen sich Wartungsbedarfe frühzeitig erkennen, Betriebsdaten auswerten und ergänzende Dienste wie Ferndiagnose oder vorausschauende Instandhaltung anbieten. Der so entstehende Datenbestand ist regelmäßig heterogen und umfasst Maschinen- und Sensordaten ebenso wie Konfigurations-, Nutzungs- und Fehlerprotokolle.

Ein erheblicher Teil dieser Daten ist nicht personenbezogen, sondern beschreibt technische Zustände und Abläufe. Der Austausch dieser maschinengenerierten Daten richtet sich nach dem Data Act, der dem Nutzer Zugangs- und Weitergaberechte an nicht-personenbezogenen Produktdaten einräumt, ohne damit Dateneigentum oder sonstige originäre Nutzungsrechte zuzuweisen, und dem Hersteller eine eigene Nutzung nur auf vertraglicher Grundlage gestattet.

Vollständig trennscharf ist die Abgrenzung zwischen personenbezogenen und nicht-personenbezogenen Daten allerdings nicht. Die Bedienung, Wartung und Konfiguration einer Maschine setzt häufig eine Anmeldung des jeweiligen Nutzers voraus, etwa des Bedienpersonals oder eines externen Wartungstechnikers. Werden dabei Zugangskennungen, Zeitstempel oder individuelle Bedienvorgänge erfasst, die sich einer bestimmten oder bestimmbaren Person zuordnen lassen, liegt ein Personenbezug im Sinne der Datenschutz-Grundverordnung (DSGVO) vor. Für diese Datenanteile bleibt es bei den Anforderungen des Datenschutzrechts, insbesondere dem Erfordernis einer tragfähigen Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. In der Praxis führt dies dazu, dass ein und derselbe Datenstrom rechtlich gemischt zu beurteilen sein kann und Hersteller bereits bei der Konzeption festlegen sollten, welche Daten mit welchem Personenbezug zu welchem Zweck verarbeitet werden.

II. Datenzugang nach dem Data Act

Der Data Act gilt seit dem 12. September 2025 und ist auf Daten zugeschnitten, die bei der Nutzung vernetzter Produkte und verbundener Dienste entstehen. Maschinenhersteller sind in aller Regel erfasst, da ihre Produkte im Betrieb fortlaufend Daten erzeugen. Von den Pflichten weitgehend ausgenommen sind insbesondere Kleinst- und Kleinunternehmen mit weniger als 50 Beschäftigten und einem Jahresumsatz oder einer Bilanzsumme von höchstens 10 Mio. Euro.

Bereits seit dem 12. September 2025 besteht der Zugangsanspruch des Nutzers auf ohne Weiteres verfügbare Produkt- und verbundene Dienstdaten (wir berichteten in Datenschutzupdate Nr. 214). Dieser Anspruch gilt unabhängig vom Herstellungsdatum und damit auch für Bestandsmaschinen, soweit der Dateninhaber die betreffenden Daten ohnehin vorhält, etwa in einem Herstellerportal oder Service-Backend. Nutzer, in der Regel die Eigentümer, Mieter oder Leasingnehmer der Maschine, können bereits auf dieser Grundlage die Herausgabe der bei der Nutzung erzeugten Daten verlangen und diese auch an Dritte weitergeben lassen. Für Nutzer besteht damit die Möglichkeit, Zugang zu Daten in einem Umfang geltend zu machen, der über das vertraglich Vereinbarte hinausgeht. Denn der gesetzliche Anspruch kann auch Roh- und Metadaten erfassen und wird durch abweichende vertragliche Abreden nicht wirksam begrenzt. Vertragsklauseln, die den Datenzugang des Nutzers zu dessen Nachteil ausschließen oder einschränken, sind nach Art. 7 Abs. 2 Data Act für den Nutzer nicht bindend.

Die zum 12. September 2026 hinzutretende Neuerung betrifft die Gestaltung des Produkts selbst. Nach Art. 3 Abs. 1 Data Act sind vernetzte Produkte und verbundene Dienste künftig so zu konzipieren, herzustellen und zu erbringen, dass die bei der Nutzung erzeugten Daten für den Nutzer standardmäßig einfach, sicher, unentgeltlich und in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format zugänglich sind. Soweit relevant und technisch durchführbar, muss der Zugang unmittelbar aus dem Produkt heraus möglich sein. Dieser als Access by Design bezeichnete Grundsatz verlangt, dass die Zugangsmöglichkeit bereits in der Produktarchitektur angelegt ist und lässt sich nachträglich regelmäßig nicht ohne erheblichen Aufwand herstellen.

Anders als der seit 2025 bestehende Zugangsanspruch gilt die Design-Pflicht nur für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden. Eine allgemeine Nachrüstpflicht für Bestandsprodukte besteht insoweit nicht. Da Entwicklungszyklen im Maschinenbau lang sind, entfaltet die Anforderung allerdings eine praktische Vorwirkung: Produkte, deren Markteinführung nach dem Stichtag geplant ist, müssen die Zugangsanforderungen bereits in der vorgelagerten Entwicklungsphase berücksichtigen. Ergänzt wird die Design-Pflicht durch die vorvertraglichen Informationspflichten nach Art. 3 Abs. 2 und 3 Data Act, die unter anderem Angaben zu Art, Umfang und Format der erzeugten Daten sowie zur Inhaberschaft an Geschäftsgeheimnissen verlangen.

III. Meldepflichten nach dem CRA

Während der Data Act regelt, wer auf die Daten einer Maschine zugreifen darf, nimmt der Cyber Resilience Act (CRA) die Maschine selbst in den Blick und begründet erstmals unionsweit verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Vernetzte Maschinen und ihre Steuermodule fallen regelmäßig in den Anwendungsbereich, da sie Software enthalten und über Datenverbindungen verfügen. Adressat der Pflichten ist in erster Linie der Hersteller, wobei als solcher nicht nur der klassische Hardwareproduzent gilt, sondern auch, wer Produkte unter eigener Marke vertreibt oder Software bereitstellt.

Der CRA gilt nicht einheitlich zu einem Zeitpunkt, sondern gestaffelt. Vollständig anwendbar wird die Verordnung erst ab dem 11. Dezember 2027. Zu diesem Zeitpunkt greifen die materiellen Kernanforderungen, insbesondere die grundlegenden Cybersicherheitsanforderungen an Konzeption und Entwicklung (Security by Design), das Schwachstellenmanagement über einen festzulegenden Unterstützungszeitraum, die Konformitätsbewertung, die technische Dokumentation und die CE-Kennzeichnung. Vorgezogen sind allein die Meldepflichten nach Art. 14 CRA, die bereits ab dem 11. September 2026 gelten und damit den ersten verbindlichen Pflichtenkomplex für Hersteller bilden.

Inhaltlich verlangt Art. 14 CRA die Meldung zweier Ereignistypen, nämlich aktiv ausgenutzter Schwachstellen in einem Produkt mit digitalen Elementen sowie schwerwiegender Sicherheitsvorfälle mit Auswirkungen auf dessen Sicherheit. Eine bloß entdeckte, aber nicht ausgenutzte Schwachstelle löst die Meldepflicht demgegenüber nicht aus. Die Meldung erfolgt gestuft: Vorgesehen ist zunächst eine Frühwarnung binnen 24 Stunden nach Kenntniserlangung, gefolgt von einer näheren Meldung innerhalb von 72 Stunden und einem Abschlussbericht. Ergänzend sind die betroffenen Nutzer über den Vorfall und über verfügbare Abhilfemaßnahmen zu unterrichten. Die Meldepflicht erfasst dabei nicht nur neue, sondern auch bereits in Verkehr gebrachte Produkte, sofern der Hersteller nach dem Stichtag Kenntnis von einer aktiv ausgenutzten Schwachstelle erlangt.

Für Maschinenhersteller liegt die eigentliche Schwierigkeit weniger in der Meldung selbst als in ihren tatsächlichen Voraussetzungen. Die Einhaltung der kurzen Fristen setzt voraus, dass der Hersteller die Softwarezusammensetzung seiner Produkte kennt und über Kanäle verfügt, um von einer laufenden Ausnutzung überhaupt rechtzeitig zu erfahren. Dies gelingt regelmäßig nur, wenn bekannt ist, welche Software- und Fremdkomponenten in den einzelnen Maschinen enthalten sind und wenn ein Prozess zur Erkennung und internen Zuordnung entsprechender Vorfälle besteht. Damit entfaltet die vorgezogene Meldepflicht eine praktische Vorwirkung auf Anforderungen, die formal erst ab Dezember 2027 gelten, insbesondere auf ein strukturiertes Schwachstellenmanagement und die Erfassung der Softwarebestandteile in Form einer Software-Stückliste (Software Bill of Materials, SBOM).

IV. Anforderungen der KI-VO

Zunehmend enthalten Steuermodule Softwarebestandteile, die auf künstlicher Intelligenz beruhen, etwa zur adaptiven Prozessregelung, zur Fehlererkennung oder zur Optimierung von Betriebsabläufen. Enthält eine Maschine ein solches KI-System, kann neben Data Act und CRA zusätzlich die KI-Verordnung (KI-VO) zur Anwendung kommen. Für den Maschinenbau hat sich der maßgebliche Zugriffsweg allerdings zuletzt verschoben: Anforderungen an sicherheitsrelevante KI in Maschinen ergeben sich nicht mehr aus dem Pflichtenkatalog der KI-VO für Hochrisiko-KI-Systeme, sondern über die sektoralen Vorgaben der Verordnung über Maschinenprodukte (Maschinen-VO) für KI-gestützte Sicherheitsbauteile.

Ausgangspunkt ist die Einstufungssystematik des Art. 6 Abs. 1 KI-VO. Danach ist ein KI-System hochriskant, wenn es als Sicherheitsbauteil eines Produkts verwendet wird, das unter die in Anhang I der KI-VO aufgeführten Harmonisierungsrechtsvorschriften fällt, oder selbst ein solches Produkt ist, und wenn das Produkt einer Konformitätsbewertung durch Dritte zu unterziehen ist. Für den Maschinenbau führte dieser Weg bislang über die Verordnung über Maschinenprodukte (Maschinen-VO), die in Anhang I Abschnitt A der KI-VO gelistet war. Mit dem KI-Omnibus, der Verordnung (EU) 2026/1744 vom 8. Juli 2026, ist der Eintrag der Maschinen-VO jedoch aus Abschnitt A gestrichen und als Nr. 21 in Abschnitt B des Anhangs I aufgenommen worden. Die Änderung ist am 27. Juli 2026 in Kraft getreten. Die Einstufung als Hochrisiko-KI-System bleibt damit zwar dem Grunde nach bestehen. Nach dem geänderten Art. 2 Abs. 2 KI-VO gelten für KI-Systeme in Produkten des Abschnitts B jedoch nur noch Art. 6 Abs. 1, Art. 60a und die Art. 102 bis 112 KI-VO, sodass insbesondere die Anforderungen des Kapitels III und eine gesonderte Konformitätsbewertung nach der KI-VO entfallen.

Die Anforderungen an sicherheitsrelevante KI entfallen damit nicht, sondern wechseln die Rechtsgrundlage. Die Verordnung (EU) 2026/1744 verpflichtet die Kommission, Anhang III der Maschinen-VO durch delegierte Rechtsakte um grundlegende Sicherheits- und Gesundheitsschutzanforderungen für KI-Systeme zu ergänzen, die als Sicherheitsbauteil in Maschinen verwendet werden oder selbst eine Maschine darstellen, und dabei den Vorgaben des Kapitels III Abschnitt 2 sowie der Art. 17, 19, 72 und 73 KI-VO Rechnung zu tragen. Diese delegierten Rechtsakte sollen ab dem 2. August 2028 gelten und damit den Gleichlauf mit dem Anwendungsbeginn der Pflichten für Hochrisiko-KI-Systeme nach Anhang I KI-VO sicherstellen. Maßgeblich werden damit sektorale Anforderungen der Maschinen-VO sowie der neu gefasste Begriff des Sicherheitsbauteils, der Software und lernende Systeme ausdrücklich einbezieht. Nach Anhang I Teil A Nr. 5 und 6 der Maschinen-VO erfasst dies insbesondere Sicherheitsbauteile mit vollständig oder teilweise selbstentwickelndem Verhalten, die auf Ansätzen des maschinellen Lernens beruhen und Sicherheitsfunktionen gewährleisten.

Entscheidend bleibt folglich, ob das KI-System eine Sicherheitsfunktion erfüllt. Diese Weichenstellung hat der KI-Omnibus geschärft (wir berichteten in Datenschutzupdate Nr. 256). Nach der präzisierten Begriffsbestimmung liegt eine Sicherheitsfunktion nur vor, wenn die vom Anbieter festgelegte Zweckbestimmung des KI-Systems darin besteht, Risiken für Gesundheit, Sicherheit oder Eigentum abzuwenden oder zu mindern. Ausdrücklich ausgenommen sind KI-Systeme, die allein der Nutzerunterstützung, der Leistungsoptimierung, der Dienstleistungseffizienz, der Automatisierung oder dem Bedienkomfort dienen. Ein KI-Modul, das lediglich Betriebsabläufe optimiert oder Diagnosedaten aufbereitet, ohne selbst eine Sicherheitsfunktion zu übernehmen, ist daher regelmäßig kein Sicherheitsbauteil und unterliegt den verschärften Anforderungen nicht. Erforderlich bleibt gleichwohl eine sorgfältige Einzelfallprüfung, da dieselbe Funktion je nach Maschinentyp und Gefährdungslage unterschiedlich zu beurteilen sein kann.

Erfüllt ein KI-System nach dieser Prüfung eine Sicherheitsfunktion, treffen den Hersteller die Anforderungen an KI-gestützte Sicherheitsbauteile. Diese folgen für Maschinen nicht unmittelbar aus den Anbieterpflichten für Hochrisiko-KI-Systeme, insbesondere nicht aus der Pflicht zur Einrichtung eines Risikomanagementsystems nach Art. 9 KI-VO, sondern aus den über delegierte Rechtsakte in die Maschinen-VO überführten Vorgaben. Inhaltlich bleiben die bekannten Anforderungen erhalten, namentlich ein über den gesamten Lebenszyklus angelegtes Risikomanagement sowie Vorgaben zu Daten-Governance, technischer Dokumentation, Protokollierung, Transparenz und menschlicher Aufsicht. Als praktisches Umsetzungsinstrument bietet sich die internationale Norm ISO/IEC 42001 an, die einen Rahmen für ein KI-Managementsystem vorgibt und die genannten Anforderungen strukturiert abbilden kann. Zeitlich ist zu unterscheiden: Die Maschinen-VO gilt bereits ab dem 20. Januar 2027, ab dem lernende Sicherheitsbauteile der Konformitätsbewertung durch eine notifizierte Stelle unterliegen. Die KI-spezifischen Anforderungen des Anhangs III der Maschinen-VO sollen dagegen erst ab dem 2. August 2028 gelten, parallel zum durch den KI-Omnibus verschobenen Anwendungsbeginn der Pflichten für Hochrisiko-KI-Systeme nach Anhang I KI-VO.

V. Fazit und Ausblick

Für Maschinenhersteller treffen im Herbst 2026 mehrere Regelungswerke zusammen, deren Stichtage dicht beieinanderliegen. Der Data Act verlangt ab dem 12. September 2026 mit dem Access by Design, dass neu in Verkehr gebrachte Produkte so gestaltet sind, dass die erzeugten Daten für den Nutzer standardmäßig einfach, sicher und in einem maschinenlesbaren Format zugänglich sind und der Zugang, soweit relevant und technisch durchführbar, unmittelbar aus dem Produkt heraus möglich ist. Der CRA zieht die Meldepflichten auf den 11. September 2026 vor und setzt damit ein strukturiertes Schwachstellenmanagement und die Kenntnis der eigenen Softwarezusammensetzung bereits voraus, bevor die übrigen Anforderungen ab Dezember 2027 gelten. Hinzu kommen die Anforderungen an sicherheitsrelevante KI, sobald ein Steuermodul eine Sicherheitsfunktion übernimmt. Diese sind für Maschinen seit dem KI-Omnibus nicht mehr über den Pflichtenkatalog der KI-VO für Hochrisiko-KI-Systeme, sondern über die sektoralen Vorgaben der Maschinen-VO zu erfüllen, deren KI-spezifische Anforderungen ab dem 2. August 2028 gelten sollen.

Trotz unterschiedlicher Zielrichtung setzen die Anforderungen vielfach an denselben Stellen an, nämlich an der Produktarchitektur, den Datenflüssen und den internen Prozessen. Es empfiehlt sich daher, die Themen gemeinsam zu betrachten, statt sie isoliert zu bearbeiten. Da die einschlägigen Begriffe und Vorgaben bislang weder gerichtlich geklärt noch abschließend durch behördliche Leitlinien konkretisiert sind, sollten Unternehmen die weitere Entwicklung im Blick behalten.

Für Hersteller vernetzter Maschinen haben wir ein zugeschnittenes Digital-Compliance-Paket entwickelt, das die Anforderungen aus Data Act, CRA und KI-VO in einem abgestimmten Vorgehen bündelt und von der Bestandsaufnahme über die Vertrags- und Prozessgestaltung bis zur Umsetzung im Unternehmen begleitet. Sprechen Sie uns gerne an.

Dieser Beitrag wurde in Zusammenarbeit mit unserer stud. Mitarbeiterin Emily Bernklau erstellt.