Regulatorik-Fahrplan Industrie 2027: alle Stichtage für die Produktion

Zwischen September 2026 und Dezember 2027 treten fünf EU-Regelwerke für Fertigungsbetriebe und Maschinenbauer in ihre entscheidende Phase. Die CRA-Meldepflichten laufen seit dem 11. September 2026, die Data-Act-Designpflicht seit dem 12. September 2026, die NIS-2-Registrierungsfrist ist bereits abgelaufen; es folgen die Maschinenverordnung am 20. Januar 2027, der AI Act für Anhang-III-Systeme am 2. Dezember 2027 und der CRA vollständig am 11. Dezember 2027. Dieser Regulatorik-Fahrplan Industrie 2027 stellt alle Stichtage chronologisch auf eine Seite, mit Quelle je Termin und Verweis auf den jeweiligen Detailartikel.

Wofür dieser Regulatorik-Fahrplan gedacht ist – und wofür nicht

Dieser Fahrplan ist eine ausdruckbare Übersicht für Geschäftsleitung, IT-Leitung und Produktionsleitung: welcher Stichtag kommt wann, wen betrifft er, wo steht die Quelle. Er ersetzt weder Rechtsberatung noch Betroffenheitsprüfung. Ob Ihr Unternehmen Hersteller im Sinne des CRA ist, entscheidet sich an Details, die eine Tabelle nicht abbildet.

Zwei Konventionen gelten durchgehend. Jeder Termin trägt eine Quelle, die Sie selbst öffnen können – Europäische Kommission, BSI, Bundesnetzagentur oder DIHK. Und abgeleitete Daten sind als Herleitung gekennzeichnet; das betrifft den 6. März 2026 als rechnerisches Ende der NIS-2-Registrierungsfrist, der sich aus § 33 BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) ergibt, aber nicht als eigener Stichtag im Gesetz steht.

Regulatorik-Fahrplan Industrie 2027: was seit 2025 gilt und was bis Dezember 2027 kommt

Die Tabelle ordnet die Compliance-Stichtage für die Produktion bis 2027 chronologisch. Termine vor September 2026 stehen mit dabei, weil sie Pflichten begründen, die heute laufen – der Regulatorik-Fahrplan beginnt nicht beim nächsten Stichtag, sondern bei dem, den Sie vielleicht verpasst haben.

Zwei Termine liegen außerhalb des Fensters, gehören aber in die Planung: Die Hochrisiko-Pflichten für KI-Systeme in regulierten Produkten (Anhang I) gelten laut Bundesnetzagentur erst ab dem 2. August 2028 – für Maschinenbauer mit KI-Funktionen der eigentlich relevante Termin. Bis zum 11. Dezember 2026 sollen laut Kommission ausreichend Konformitätsbewertungsstellen für den CRA notifiziert sein; wer 2027 eine Drittprüfung braucht, sollte das Datum kennen.

CRA-Meldepflicht seit dem 11. September 2026: die Meldekaskade

Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden – die erste Pflicht des Cyber Resilience Act (CRA), die tatsächlich greift. Meldeweg ist die Single Reporting Platform (SRP), die die ENISA laut Kommission am selben Tag in Betrieb genommen hat. Die Meldung geht an das zuständige CSIRT (Computer Security Incident Response Team) und wird gleichzeitig der ENISA zugänglich gemacht.

1. 01

   Frühwarnung – binnen 24 Stunden

   Ab Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls läuft die Uhr: Die Frühwarnung muss binnen 24 Stunden über die SRP abgegeben werden. Sie ist keine fertige Analyse – entscheidend ist, dass sie rechtzeitig kommt.

2. 02

   Vollständige Meldung – binnen 72 Stunden

   Innerhalb von 72 Stunden folgt die vollständige Meldung mit den bis dahin verfügbaren Informationen zu Produkt, Ausnutzung und Gegenmaßnahmen.

3. 03

   Abschlussbericht bei Schwachstellen – 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme

   Der Abschlussbericht ist nicht an das Ereignis gekoppelt, sondern an den Fix: Er muss spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme vorliegen.

4. 04

   Abschlussbericht bei Vorfällen – ein Monat nach der 72-Stunden-Meldung

   Bei schwerwiegenden Sicherheitsvorfällen gilt statt der 14 Tage ein Monat, gerechnet ab der 72-Stunden-Meldung.

Alles andere aus dem CRA – Produktanforderungen und Konformitätsbewertung – greift laut Kommission erst ab dem 11. Dezember 2027. Wer Steuerungen, Fernwartungsmodule, HMI-Software oder Anlagen mit eigener Firmware unter eigenem Namen in Verkehr bringt, sollte die Herstellerfrage trotzdem nicht auf 2027 vertagen: Die Meldepflicht knüpft an die Kenntnis des Herstellers an. Ob Sie Hersteller im Sinne des CRA sind und wie weit Produkte vor dem Stichtag erfasst sind, klären Sie mit Ihrem Rechtsbeistand.

Wer bemerkt eine ausgenutzte Schwachstelle überhaupt? Die Zuständigkeitsfrage

Die 24-Stunden-Frist scheitert in der Praxis selten an der Plattform, sondern daran, dass die Information die falsche Person erreicht – den Vertrieb, die allgemeine Info-Adresse, den Servicetechniker. Ohne benannte Person, Vertretung und vorbereiteten SRP-Zugang ist die Frist verstrichen, bevor jemand entschieden hat, ob überhaupt zu melden ist. Die folgende Matrix ist ein Vorschlag für einen mittelständischen Maschinenbauer ohne eigenes Product Security Incident Response Team (PSIRT).

NIS-2: Die Registrierungsfrist ist abgelaufen – was Nachzügler wissen sollten

Wer die NIS-2-Registrierung beim BSI versäumt hat, sollte sie nachholen und nicht auf eine neue Frist warten – eine allgemeine Übergangsfrist sieht das NIS-2-Umsetzungsgesetz laut BSI nicht vor. Das novellierte BSIG gilt seit dem 6. Dezember 2025. Nach § 33 Absatz 1 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren.

• 17.729Einrichtungen, die sich bis zum 30. Juni 2026 im BSI-Portal nach NIS-2 registriert hatten (11.501 wichtige, 6.215 besonders wichtige)BSI, 2026
• 4.095davon aus dem Sektor Verarbeitendes Gewerbe/Herstellung von Waren – der größte Einzelsektor der BSI-StatistikBSI, 2026
• 29.500vom BSI insgesamt erwartete Unternehmen und Institutionen der Bundesverwaltung unter NIS-2 (gerundet)BSI-FAQ, 2026

Die beiden Gesamtzahlen sind nicht exakt deckungsgleich, aber überschlägig fehlt mehr als jede dritte erwartete Einrichtung. Wie viele Fertigungsbetriebe darunter sind, weist das BSI nicht aus; die nächste Aktualisierung ist für den 31. Oktober 2026 angekündigt.

Zwei Punkte für Nachzügler. Erstens: Bußgelder für Verstöße gegen das NIS-2-Umsetzungsgesetz sind laut BSI möglich; ob eine verspätete Registrierung geahndet wird, ist eine Frage für Ihren Rechtsbeistand. Zweitens: Das BSI stellt eine Betroffenheitsprüfung bereit, die anonym läuft, keine identifizierenden Daten erfasst und deren Ergebnis das BSI ausdrücklich als nicht rechtsverbindliche Orientierungshilfe bezeichnet; eine verbindliche Mitteilung der Betroffenheit gibt es nicht.

Kurzanrisse: Maschinenverordnung, AI Act und Data Act

Maschinenverordnung ab 20. Januar 2027

Die Verordnung (EU) 2023/1230 gilt laut Kommission ab dem 20. Januar 2027 verbindlich; davor in Verkehr gebrachte Maschinen müssen der Maschinenrichtlinie 2006/42/EG entsprechen. Ein Wahlrecht gibt es damit nicht – wer um den Jahreswechsel ausliefert, legt vorher fest, unter welchem Recht die Maschine in Verkehr geht. Was für Cybersecurity und selbstlernende Sicherheitsfunktionen gilt, steht in Maschinenverordnung: Cybersecurity und KI.

AI Act nach dem Digital Omnibus

Nach dem Digital Omnibus (Verordnung (EU) 2026/1744) gelten die Hochrisiko-Pflichten laut Bundesnetzagentur ab dem 2. Dezember 2027 für eigenständige Systeme nach Anhang III und ab dem 2. August 2028 für produktintegrierte Systeme nach Anhang I. Nicht verschoben wurden die Transparenzpflichten nach Artikel 50: Sie gelten seit dem 2. August 2026 für KI-Systeme, die direkt mit natürlichen Personen interagieren – also auch für einen Chatbot auf technischen Handbüchern. Viele deutsche Übersichten nennen noch die alten Daten; die vollständige Fristentabelle steht in AI Act nach dem Digital Omnibus: welche Fristen gelten.

Data Act: Access by Design seit 12. September 2026

Der Data Act ist seit dem 12. September 2025 anwendbar: Nutzer vernetzter Produkte können die erzeugten Daten einsehen und an Dritte weitergeben. Seit dem 12. September 2026 kommt laut DIHK die Designpflicht hinzu: Geräte, die ab diesem Datum in Verkehr kommen, müssen erzeugte Daten direkt und automatisch verfügbar machen – ohne Antragsverfahren und Zusatzsoftware. Für Betreiber ist das der Hebel zu Maschinendaten; wie der Anspruch durchgesetzt wird, steht in Data Act und Access by Design.

Was im Unternehmen zusammengehört: Rollen, Artefakte, nächste Schritte

Die fünf Regelwerke landen auf unterschiedlichen Schreibtischen: die Maschinenverordnung in der Konstruktion, der CRA in der Softwareentwicklung, NIS-2 in der IT, der Data Act bei Vertrieb und Einkauf, der AI Act bei der Person, die zuletzt ein KI-Werkzeug eingeführt hat. Die folgende Zuordnung ist ein Vorschlag für Ihre Organisation.

Der Gewinn liegt in der Mehrfachverwertung: Ein gepflegtes Softwareinventar je Produktvariante trägt die CRA-Triage, die technische Dokumentation der Maschine und die Sicherheitsorganisation der IT zugleich.

Fazit: ein Fahrplan mit Verfallsdatum

Die Stichtage bis Dezember 2027 sind bekannt und belegt; unklar ist in vielen Betrieben nur, wer sich kümmert. Zwei Termine sind bereits vorbei – das Ende der NIS-2-Registrierungsfrist und der Start der CRA-Meldepflicht – und beides lässt sich nachholen, sobald jemand die Zuständigkeit übernimmt. Bewusst nicht in diesem Regulatorik-Fahrplan stehen Verfahren ohne Planungswert wie der Daten-Omnibus oder die Revision des Cybersecurity Act: Entwürfe gehören nicht in eine Zeitleiste. Energieeffizienzpflichten sind ebenfalls ausgeklammert; was die Produktion beim Messkonzept vorbereiten kann, steht in Energiemonitoring in der Produktion.

Prüfen Sie diesen Fahrplan quartalsweise gegen die genannten Quellen, und lassen Sie Betroffenheit und Sanktionsfragen von Ihrem Rechtsbeistand beantworten. Wie ralwo Maschinenbauer und Fertigungsbetriebe bei den technischen Bausteinen dahinter unterstützt – Softwareinventar, Meldeprozess, Datenzugang zur Maschine –, steht auf der Seite Branchen.