Context Card
Retrofit und wesentliche Veränderung nach der Maschinenverordnung
Wann macht ein Retrofit den Betreiber zum Hersteller einer Maschine?
Die kurze Antwort
Nur wenn das Retrofit eine wesentliche Veränderung ist: eine vom ursprünglichen Hersteller nicht vorgesehene physische oder digitale Änderung, die eine neue Gefährdung schafft oder ein Risiko so erhöht, dass neue trennende oder nichttrennende Schutzeinrichtungen mit Änderung der Sicherheitssteuerung oder zusätzliche Maßnahmen für Standsicherheit oder Festigkeit nötig werden. Ein Programmwechsel an der Sicherheitssteuerung kann das genauso erfüllen wie eine neue Schutzeinrichtung. Dann gilt nach Artikel 18 der Maschinenverordnung, wer sie vornimmt, als Hersteller. Die meisten Retrofits sind nicht wesentlich, aber jedes braucht die Bewertung, die das zeigt.
Für: Betreiber, Integratoren, Sicherheitsingenieure und Technische Redakteure in Retrofit-Projekten
Das Wichtigste
- Die Maschinenverordnung (EU) 2023/1230 definiert die wesentliche Veränderung in Artikel 3 Nummer 16 und gilt ab dem 20. Januar 2027.
- Artikel 3 Nummer 16 erfasst physische und digitale Veränderungen: Ein Softwarewechsel, etwa ein neues Programm auf der Sicherheitssteuerung, kann genauso eine wesentliche Veränderung sein wie ein mechanischer Umbau.
- Artikel 18: Wer eine wesentliche Veränderung vornimmt, gilt als Hersteller – mit Konformitätsbewertung, technischen Unterlagen, Erklärung und CE-Kennzeichnung.
- Anhang III Nummer 1.2.1 Buchstabe f: Das Steuerungssystem muss ein Rückverfolgungsprotokoll der Eingriffe und der nach dem Inverkehrbringen hochgeladenen Versionen der Sicherheitssoftware ermöglichen – fünf Jahre lang, für die zuständige Behörde auf begründetes Verlangen.
- Reparatur und Instandhaltung, die die Konformität nicht berühren, sind keine wesentliche Veränderung.
- In einer Gesamtheit von Maschinen gelten die Pflichten für den betroffenen Teil, die linienweite Stoppsteuerung (1.2.4.4) muss trotzdem für die ganze Linie funktionieren.
- Unabhängig vom Produktrecht aktualisiert der Betreiber bei jedem Retrofit seine eigene Gefährdungsbeurteilung und Dokumente.
Der Zusammenhang
Die Prüfung
Ein Retrofit modernisiert eine bestehende Maschine. Ob es eine wesentliche Veränderung ist, ergibt sich aus der Gefährdungsbeurteilung der Änderung:
- Entsteht eine neue Gefährdung oder erhöht sich ein bestehendes Risiko?
- Wenn ja: Sind neue Schutzeinrichtungen nötig, die die Sicherheitssteuerung verändern, oder neue Maßnahmen für Standsicherheit oder mechanische Festigkeit?
- Hat der ursprüngliche Hersteller die Änderung vorgesehen und geplant?
Nur eine nicht vorgesehene Änderung, die solche neuen Maßnahmen erfordert, ist wesentlich. Die Rechtsfolgen erklärt der Glossareintrag Retrofit under the Machinery Regulation (auf Englisch).
Physische und digitale Veränderungen
Artikel 3 Nummer 16 der Maschinenverordnung nennt ausdrücklich physische und digitale Veränderungen. Die Prüfung ist für beide dieselbe: Ein neues oder geändertes Programm auf der Sicherheits-SPS, neue Parameter einer Sicherheitsfunktion oder eine Fernaktualisierung der Software können eine neue Gefährdung schaffen oder ein Risiko erhöhen – und wenn dann neue Schutzmaßnahmen mit Änderung der Sicherheitssteuerung nötig werden, ist die Änderung wesentlich. Ein Softwarewechsel ist nicht deshalb harmlos, weil nichts angeschraubt wird.
Die Verordnung macht Softwareänderungen außerdem nachvollziehbar. Nach Anhang III Nummer 1.2.1 Buchstabe f muss das Steuerungssystem ein Rückverfolgungsprotokoll der bei einem Eingriff erzeugten Daten und der Versionen der Sicherheitssoftware ermöglichen, die nach dem Inverkehrbringen oder der Inbetriebnahme hochgeladen wurden – fünf Jahre lang nach dem Hochladen und ausschließlich, um auf begründetes Verlangen einer zuständigen nationalen Behörde die Konformität nachzuweisen. Für ein Retrofit heißt das: Die Versionen der Sicherheitssoftware gehören in das Rückverfolgungsprotokoll der Steuerung, wo die Maschine eines vorsieht, und in jedem Fall in die Änderungsdokumentation, als Teil des Konfigurationsmanagements.
Vor und nach dem 20. Januar 2027
Bis die Maschinenverordnung gilt, gilt die Maschinenrichtlinie 2006/42/EG; sie definiert den Begriff nicht, in Deutschland wird das Interpretationspapier des BMAS zur wesentlichen Veränderung herangezogen.
Linien
In einer Gesamtheit von Maschinen ändert eine neue Maschine, welche Einrichtungen gemeinsam stillgesetzt werden müssen. Anforderung 1.2.4.4 ist alt, ihr Alter macht sie aber nicht harmloser.
Die Seite des Betreibers
Auch ein nicht wesentliches Retrofit ändert die Gefährdungsbeurteilung nach BetrSichV und, wo die technischen Unterlagen der Linie nicht mehr passen, die Dokumentation. Ein Retrofit „gleichwertig“ zu nennen, ersetzt die Bewertung nicht.
Fragen, die sich daran anschließen
- Ist der Tausch einer abgekündigten SPS eine wesentliche Veränderung?
- In der Regel nicht, wenn Funktionen und Sicherheitskonzept gleich bleiben und keine neue Gefährdung entsteht. Sie braucht trotzdem eine dokumentierte Bewertung und aktualisierte Unterlagen.
- Kann ein Software-Update allein eine wesentliche Veränderung sein?
- Ja. Artikel 3 Nummer 16 erfasst auch digitale Veränderungen. Ein neues Programm auf der Sicherheitssteuerung ist wesentlich, wenn der Hersteller es nicht vorgesehen hat, es eine neue Gefährdung schafft oder ein Risiko erhöht und deshalb neue Schutzmaßnahmen mit Änderung der Sicherheitssteuerung nötig werden; sonst braucht es trotzdem eine Bewertung und eine dokumentierte Softwareversion.
- Braucht eine wesentliche Veränderung eine notifizierte Stelle?
- Nur wenn die veränderte Maschine in eine Kategorie fällt, für die die Verordnung eine vorschreibt; sonst führt der Verändernde die Konformitätsbewertung als Hersteller durch.
Quellen
- Regulation (EU) 2023/1230 on machinery and related products — Official Journal of the European Union, 29. Juni 2023
Prüfprotokoll und Änderungen
Jede Context Card wird vor der Veröffentlichung und bei jeder Änderung erneut anhand ihrer Quellen geprüft; das Datum unter der Autorenzeile ist die letzte Prüfung. Korrekturen (etwas war falsch) und Ergänzungen (etwas fehlte) stehen unten mit Datum und Uhrzeit (deutsche Zeit). Tippfehler, Formatierung und Link-Korrekturen werden nicht aufgeführt.
Geprüft
Korrekturen und Ergänzungen
Jede Korrektur und Ergänzung dieser Card mit Datum und Uhrzeit (deutsche Zeit).
Ergänzung
Ergänzt um die digitale Seite: Artikel 3 Nummer 16 nennt physische und digitale Veränderungen, ein Programmwechsel an der Sicherheitssteuerung kann also ebenso eine wesentliche Veränderung sein; die Versionen der Sicherheitssoftware gehören nach Anhang III Nummer 1.2.1 Buchstabe f in das Rückverfolgungsprotokoll.