Produkthaftung, Produktsicherheit & Compliance

Der europäische Gesetzgeber hat den Rahmen für Produkthaftung, Produktsicherheit und digitale Compliance in einem historisch kurzen Zeitraum grundlegend neu gestaltet. Den Maschinen- und Anlagenbau sowie für die industrielle Fertigung trifft dieser Wandel besonders unmittelbar: Vernetzte Maschinen, eingebettete Steuerungen, KI-gestützte Sicherheitskomponenten und digitale Serviceleistungen rücken ins Zentrum gleich mehrerer neuer Regelwerke – und die Pflichten dieser Regelwerke greifen eng ineinander.

Ein ungepatchter Schwachstellenprozess kann gleichzeitig CRA-Meldepflichten verletzen, den Fehlerbegriff der neuen Produkthaftungsrichtlinie erfüllen und unter der Maschinenverordnung als sicherheitsrelevantes Versagensäquivalent gewertet werden. Wer jetzt wartet, häuft Parallelrisiken an.

Nachfolgend beleuchten wir die sechs aktuell relevantesten Regelwerke und benennen jeweils die konkrete Handlungspflicht, die unserer Einschätzung nach in Industrieunternehmen am häufigsten unterschätzt oder noch nicht umgesetzt ist.

Seit dem 13. Dezember 2024 gilt die General Product Safety Regulation, kurz GPSR, unmittelbar in allen EU-Mitgliedstaaten. Für Maschinenhersteller und Industrieausrüster, die Verbraucherprodukte oder gemischt genutzte Erzeugnisse vertreiben, bedeutet dies erweiterte Pflichten zur Sicherheitsbewertung, Kennzeichnung, Rückverfolgbarkeit und Marktüberwachung. Neu ist insbesondere die explizite Einbeziehung von Online-Marktplätzen und Fulfillment-Dienstleistern in den Haftungsverbund. Produkte, die GPSR-Anforderungen nicht erfüllen, gelten automatisch als unsicher – mit unmittelbaren Folgen für die Produkthaftung. Das angepasste nationale Produktsicherheitsgesetz (ProdSG) ist seit dem 19. Februar 2026 in Kraft.

Das NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft und erfasst neben klassischen kritischen Infrastrukturen erstmals auch große Teile der verarbeitenden Industrie. Maschinen- und Anlagenbauer mit mindestens 50 Mitarbeitenden oder über 10 Mio. EUR Jahresumsatz fallen häufig in den Anwendungsbereich – ebenso ihre Zulieferer, sofern diese als Teil kritischer Lieferketten eingestuft werden. Gefordert sind ein Informationssicherheits-Managementsystem, Lieferkettenabsicherung, regelmäßige Risikoprüfungen und strenge Meldepflichten bei Sicherheitsvorfällen in OT- und IT-Infrastrukturen.

Für den Maschinenbau ist der AI Act unmittelbar relevant, sobald KI-basierte Sicherheitskomponenten – etwa in kollaborierenden Robotern, autonomen Transportsystemen oder vorausschauenden Wartungssystemen mit sicherheitsrelevanten Funktionen – in Produkte integriert werden. Solche Systeme sind typischerweise als Hochrisiko-KI einzustufen (Anhang I i. V. m. Anhang III). Für eigenständige Hochrisiko-KI-Systeme gelten die vollständigen Anforderungen ab dem 2. August 2026, für KI in regulierten Produkten nach Anhang I bis August 2027. Das deutsche KI-Maßnahmen- und Innovationsgesetz (KI-MIG) wurde im Februar 2026 vom Kabinett beschlossen. 

Der CRA trat im Dezember 2024 in Kraft und ist für den Maschinen- und Anlagenbau von herausragender Relevanz: Jeder vernetzte Sensor, jede SPS-Steuerung mit Ethernet-Schnittstelle, jede Fernwartungslösung und jede eingebettete Firmware fällt unter die Verordnung. Hersteller müssen künftig Cybersicherheit über den gesamten Produktlebenszyklus gewährleisten – von der sicheren Entwicklung bis zur Bereitstellung kostenloser Sicherheitsupdates über mindestens fünf Jahre. Erste operative Pflichten, insbesondere die Schwachstellenmeldepflicht, greifen ab dem 11. September 2026. Die vollständige CRA-Konformität einschließlich CE-Kennzeichnung ist ab Dezember 2027 Marktzugangsvoraussetzung.

Die neue Produkthaftungsrichtlinie – erste Grundreform seit 1989 – trifft den Maschinenbau in mehrfacher Hinsicht: Software und eingebettete Systeme sind ausdrücklich als Produkte im Sinne der Haftung definiert. Wer über Fernwartungszugänge, Updates oder digitale Services nach dem Inverkehrbringen Kontrolle über die Maschine behält, riskiert eine zeitlich nach hinten verschobene Haftungslast. Hinzu kommen der Wegfall der bisherigen Haftungsobergrenze von 85 Mio. EUR, der Entfall des 500-EUR-Selbstbehalts sowie weitreichende Beweiserleichterungen für Geschädigte. Der deutsche Gesetzentwurf ist im Bundestag; das Gesetz soll am 9. Dezember 2026 in Kraft treten.

Die Maschinenverordnung ersetzt ab dem 20. Januar 2027 die Maschinenrichtlinie 2006/42/EG vollständig und gilt unmittelbar in allen EU-Mitgliedstaaten – ohne Übergangsfrist. Für Hersteller, Importeure und Händler werden Cybersicherheit und KI-basierte Sicherheitskomponenten erstmals explizit in den Pflichtenkanon integriert. Besonders praxisrelevant: Der Begriff der „wesentlichen Änderung“ ist nun kodifiziert. Wer eine Maschine nach dem Inverkehrbringen physisch oder digital so verändert – etwa durch Software-Upgrades, funktionale Erweiterungen oder Umkonfigurationen – dass neue Gefährdungen entstehen, wird selbst zum Hersteller mit allen daraus folgenden Pflichten. Die Hochrisiko-Maschinenliste in Anhang I soll künftig dynamisch an den Stand der Technik angepasst werden.

Die genannten Regelwerke stellen Industrie- und Maschinenbauunternehmen vor erhebliche operative und rechtliche Anforderungen. Gerade die Verschränkung von CRA, Maschinenverordnung und neuer Produkthaftungsrichtlinie – sowie deren Wechselwirkung mit dem AI Act – erfordert eine koordinierte Compliance-Strategie, die über isolierte Einzelmaßnahmen hinausgeht. Vorlaufzeiten von mehreren Monaten sind realistisch einzuplanen.

Autor: Thilo Märtin (Rechtsanwalt)