MVO · Software

Ist ein Software-Update eine wesentliche Veränderung?

Software wird eingespielt, nicht umgebaut. Genau deshalb entgeht sie oft der Prüfung, ob eine wesentliche Veränderung vorliegt. Die Maschinenverordnung nennt Software ausdrücklich, und ein Update an einer Sicherheitsfunktion ist rechtlich kein kleinerer Eingriff als ein mechanischer Umbau.

Kostenloses Erstgespräch, 30 Minuten. Stichtag Maschinenverordnung: noch 0 Tage bis zum 20. Januar 2027.

Ist ein Software-Update eine wesentliche Veränderung?

Software wird eingespielt, nicht umgebaut. Genau deshalb entgeht sie oft der Prüfung, ob eine wesentliche Veränderung vorliegt. Die Maschinenverordnung nennt Software ausdrücklich, und ein Update an einer Sicherheitsfunktion ist rechtlich kein kleinerer Eingriff als ein mechanischer Umbau.

Quellen: Maschinenverordnung (EU) 2023/1230, Art. 3 Nr. 16: Definition wesentliche Veränderung; Maschinenverordnung (EU) 2023/1230, Anhang I Teil A, selbstentwickelndes Verhalten; Maschinenverordnung (EU) 2023/1230, Anhang III Nr. 1.1.9: Schutz gegen Korrumpierung; BMAS-Interpretationspapier „Wesentliche Veränderung von Maschinen“; EN ISO 13849-1: Sicherheitsbezogene Teile von Steuerungen.
Beurteilung

Wann ein Update sicherheitsrelevant wird

Die Prüfung folgt derselben Logik wie beim mechanischen Umbau.

Betrifft es eine Sicherheitsfunktion

Änderungen an Sicherheitssteuerung, Schutzfeldauswertung, Zustimmeinrichtung oder Betriebsartenwahl sind grundsätzlich zu prüfen.

Entsteht eine neue Gefährdung

Neue Bewegungsabläufe, geänderte Geschwindigkeiten oder zusätzliche Betriebsarten können Gefährdungen erzeugen, die es vorher nicht gab.

Reichen die vorhandenen Schutzmaßnahmen noch

Wenn nicht, liegt eine wesentliche Veränderung nahe. Siehe Umbau als wesentliche Veränderung.

Cybersecurity kommt hinzu

Die MVO verlangt Schutz vor Korrumpierung. Ein Update-Weg, der manipuliert werden kann, ist selbst ein Sicherheitsproblem.

Grundlagen

Was hat sich durch die Maschinenverordnung geändert?

Unter der Maschinenrichtlinie 2006/42/EG war die wesentliche Veränderung kein Begriff des Richtlinientextes. Die Auslegung stützte sich auf das Interpretationspapier des BMAS, das vor allem mechanische und funktionale Änderungen im Blick hatte.

Die Maschinenverordnung (EU) 2023/1230 definiert den Begriff in Art. 3 Nr. 16 erstmals gesetzlich, und schließt digitale Veränderungen ausdrücklich ein. Damit ist klargestellt, dass eine Maschine auch allein durch eine Änderung ihrer Software wesentlich verändert werden kann.

Das ist keine Verschärfung um ihrer selbst willen: Bei modernen Anlagen liegt die Sicherheitsfunktion überwiegend in der Steuerung. Eine Änderung an Parametern der Sicherheits-SPS kann sicherheitstechnisch schwerer wiegen als ein mechanischer Umbau.

Einordnung

Wann ist ein Update unkritisch?

  • Das Update stammt vom Hersteller und war im Rahmen des bestimmungsgemäßen Betriebs vorgesehen.
  • Die Risikobeurteilung des Herstellers deckt das Update ab, weil er es bei der Konzeption bereits berücksichtigt hat.
  • Es betrifft ausschließlich nicht sicherheitsrelevante Funktionen: Visualisierung, Reporting, Anbindung an übergeordnete Systeme.
  • Sicherheitsfunktionen, deren Parameter und der erreichte Performance Level bleiben unverändert.
  • Es entstehen keine neuen Gefährdungen und kein bestehendes Risiko steigt an.
Im Detail

Wann kann ein Software-Eingriff eine wesentliche Veränderung sein?

  • Ein Dritter oder der Betreiber ändert Parameter der Sicherheitssteuerung, etwa Nachlaufzeiten, Muting-Bedingungen oder Zonenlogik.
  • Eine Sicherheitsfunktion wird ergänzt, entfernt oder in ihrer Wirkung verändert.
  • Die Software erweitert den bestimmungsgemäßen Gebrauch, zum Beispiel neue Betriebsarten oder höhere Geschwindigkeiten.
  • Ein Retrofit ersetzt die Steuerung durch ein neues System mit eigener Sicherheitslogik.
  • Selbstlernende Funktionen verändern das Verhalten der Maschine über das hinaus, was der Hersteller bewertet hat.
Praxis

Wie prüfe ich ein konkretes Update?

Schritt 1
Stammt das Update vom Hersteller und ist es für diese Maschine freigegeben?
JaWeiter zu Schritt 2.
NeinBehandeln Sie den Eingriff wie eine Veränderung durch den Betreiber und prüfen Sie ihn vollständig nach Schritt 3 und 4.
Schritt 2
Betrifft es sicherheitsrelevante Funktionen oder deren Parameter?
JaWeiter zu Schritt 3.
NeinKeine wesentliche Veränderung. Update dokumentieren und in der Anlagenakte festhalten.
Schritt 3
Entsteht eine neue Gefährdung oder steigt ein bestehendes Risiko?
JaWeiter zu Schritt 4.
NeinKeine wesentliche Veränderung, aber Risikobeurteilung fortschreiben und den erreichten Performance Level erneut nachweisen.
Schritt 4
Kann das erhöhte Risiko durch einfache Schutzeinrichtungen sicher beherrscht werden?
JaKeine wesentliche Veränderung, sofern die Maßnahme wirksam ist und dokumentiert wird.
NeinWesentliche Veränderung. Es entsteht eine neue Maschine: vollständige Risikobeurteilung, Dokumentation, Konformitätserklärung und CE-Kennzeichnung durch denjenigen, der die Veränderung vorgenommen hat.
Abgrenzung

Was gilt für selbstlernende Sicherheitsfunktionen?

Maschinen und Sicherheitsbauteile mit vollständig oder teilweise selbstentwickelndem Verhalten, das auf maschinellem Lernen beruht, sind in Anhang I Teil A der Maschinenverordnung gelistet. Für sie ist die Einbindung einer notifizierten Stelle zwingend, die interne Fertigungskontrolle scheidet aus.

Das betrifft nicht jede Software mit adaptiven Anteilen. Maßgeblich ist, ob das sicherheitsbezogene Verhalten sich selbst weiterentwickelt, also nach dem Inverkehrbringen anders reagiert als zum Zeitpunkt der Konformitätsbewertung.

Wenn Sie lernende Verfahren einsetzen, grenzen Sie in der Dokumentation sauber ab, welche Funktionen sicherheitsbezogen sind und welche nicht. Diese Abgrenzung entscheidet über das anzuwendende Konformitätsbewertungsverfahren.

Vorgehen

Was fordert die MVO zusätzlich zur Cybersecurity?

Anhang III Nummer 1.1.9 macht den Schutz gegen Korrumpierung zur grundlegenden Sicherheitsanforderung. Sicherheitsrelevante Software und Daten müssen gegen unbeabsichtigte oder beabsichtigte Verfälschung geschützt sein.

Praktisch heißt das: Nachweis, dass nur autorisierte Software auf die Steuerung gelangt, Protokollierung von Änderungen an sicherheitsrelevanten Parametern, und ein definierter Prozess für das Einspielen von Updates.

Damit wird der Update-Prozess selbst Teil der Konformität, nicht nur das einzelne Update.

Selbst erstellen

Die Dokumente selbst erstellen

Für die Beurteilung in diesem Beitrag brauchen Sie Erfahrung. Für das Erstellen der Unterlagen danach brauchen Sie vor allem ein Werkzeug, das die Normvorgaben kennt. Dafür gibt es Kaidoc.app: geführt, normbasiert und über Ihre Maschinen hinweg wiederverwendbar.

Dort finden Sie den Prüfweg Schritt für Schritt und die Abgrenzung zwischen Fehlerbehebung, Funktionserweiterung und wesentlicher Veränderung.

FAQ

Häufige Fragen zu Software-Update als wesentliche Veränderung

Muss ich nach jedem Update eine neue CE-Kennzeichnung anbringen?
Nein. Nur wenn das Update eine wesentliche Veränderung darstellt, entsteht eine neue Maschine mit vollständiger Konformitätsbewertung. Vom Hersteller vorgesehene Updates sind das in aller Regel nicht.
Wer ist verantwortlich, wenn der Betreiber ein Update selbst einspielt?
Nimmt der Betreiber einen sicherheitsrelevanten Eingriff vor, der eine wesentliche Veränderung darstellt, wird er für die veränderte Maschine zum Hersteller, mit allen Pflichten aus Risikobeurteilung, Dokumentation und Konformitätserklärung.
Gilt das schon vor dem 20.01.2027?
Die gesetzliche Definition in Art. 3 Nr. 16 gilt ab dem 20.01.2027. Bis dahin gilt die Maschinenrichtlinie 2006/42/EG mit der bisherigen Auslegungspraxis. Für Maschinen, die nach dem Stichtag in Verkehr gebracht werden, sollten Sie die MVO-Definition bereits jetzt zugrunde legen.
Muss ich Updates dokumentieren, auch wenn sie unkritisch sind?
Ja, das ist dringend zu empfehlen. Ohne Nachweis, welcher Softwarestand wann auf der Maschine war, lässt sich später nicht belegen, dass keine wesentliche Veränderung stattgefunden hat. Anhang III 1.1.9 verlangt ohnehin einen kontrollierten Umgang mit sicherheitsrelevanter Software.
Grundlagen

Quellen und Normbezug

  • Maschinenverordnung (EU) 2023/1230, Art. 3 Nr. 16: Definition wesentliche Veränderung
  • Maschinenverordnung (EU) 2023/1230, Anhang I Teil A, selbstentwickelndes Verhalten
  • Maschinenverordnung (EU) 2023/1230, Anhang III Nr. 1.1.9: Schutz gegen Korrumpierung
  • BMAS-Interpretationspapier „Wesentliche Veränderung von Maschinen“
  • EN ISO 13849-1: Sicherheitsbezogene Teile von Steuerungen

Normausgabestände und harmonisierte Fassungen ändern sich laufend. Prüfen Sie Normnummern und Ausgabestände vor der Anwendung gegen den aktuellen Stand im EU-Amtsblatt. Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung.

Software-Änderung bewerten lassen

Wir prüfen, ob ein geplantes Update eine wesentliche Veränderung auslöst, und dokumentieren die Bewertung so, dass sie einer Nachfrage standhält.

Antwort in der Regel innerhalb eines Werktags. Unverbindlich.