(Foto: © LIFTjournal/Dirk Müller/KI-assistiert mit Firefly und ChatGPT)
August 2026
Der Aufzug hat sich in den vergangenen Jahren grundlegend verändert. Was früher vor allem ein mechanisch-elektrisches Beförderungsmittel war, ist heute ein vernetztes, datenlieferndes und teilweise selbstoptimierendes System.
Condition Monitoring, Predictive Maintenance, Cloud-Anbindungen, API-Schnittstellen und KI-gestützte Funktionen sind inzwischen Realität. Damit ist der Aufzug Teil eines digitalen Ökosystems geworden und zugleich Teil des europäischen Regulierungsrahmens.
VON TIM EBELING
V ier zentrale Rechtsakte prägen dieses Umfeld besonders: der Data Act, der Artifcial Intelligence Act (AI Act), der Cyber Resilience Act und die NIS-2-Richtlinie. Jeder dieser Rechtsakte adressiert einen anderen Aspekt der Digitalisierung. Zusammen bilden sie jedoch ein engmaschiges Regelwerk, das die Aufzugsbranche unmittelbar betrifft.
Der Data Act markiert hier eine besonders praxisrelevante Veränderung. Seit dem 12. September 2025 haben Nutzer eines Produkts Anspruch auf Zugang zu dessen Roh-Betriebsdaten – und das kostenlos und in derselben Qualität und Geschwindigkeit, wie sie dem Hersteller zur Verfügung stehen.
Als Nutzer gilt dabei nicht der Fahrgast, sondern die Person oder das Unternehmen mit einem Eigentums- oder Nutzungsrecht am Aufzug. Je nach Konstellation kann das auch ein Mieter sein.
Damit verschiebt sich das Kräfteverhältnis im After-Sales-Markt. Daten, die bislang faktisch beim Hersteller lagen, müssen auf Wunsch auch Dritten zugänglich gemacht werden, etwa konkurrierenden Wartungsunternehmen. Der Wettbewerb im Servicegeschäft soll dadurch bewusst gestärkt werden.
Für Hersteller bedeutet das zweierlei: Betriebsdaten dürfen nur noch mit vertraglicher Grundlage selbst genutzt werden. Gleichzeitig müssen Produkte technisch so gestaltet sein, dass Datenzugänge möglich und beschrieben sind. Spätestens ab September 2026 müssen neue Produkte einen direkten Datenzugang für Nutzer ermöglichen.
Offen bleibt derzeit noch, was genau unter "Rohdaten" zu verstehen ist und wer bei Modernisierungen oder Retrofit-IoT-Lösungen als datenbereitstellungspflichtiger Hersteller gilt. Gerade hier dürfte künftig weiterer Klärungsbedarf entstehen.
Parallel dazu reguliert der AI Act den Einsatz künstlicher Intelligenz. Entscheidend ist dabei nicht, ob KI eingesetzt wird, sondern welches Risiko von ihr ausgeht.
Viele Anwendungen im Aufzugsbereich fallen in die Kategorie minimalen Risikos, etwa Predictive Maintenance, Energieoptimierung oder Verkehrsflusssteuerung. Diese Systeme unterliegen keinen besonderen Zulassungspflichten. Allerdings müssen Unternehmen seit Februar 2025 sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt.
Anders sieht es aus, wenn KI sicherheitsrelevante Funktionen übernimmt oder in kritischen Infrastrukturen eingesetzt wird. Würde eine KI beispielsweise Bremsparameter adaptiv steuern oder Evakuierungsstrategien automatisieren, könnte eine Hochrisiko-Einstufung vorliegen.
Dann greifen umfangreiche Anforderungen wie Risikomanagement, technische Dokumentation, CE-Kennzeichnung, Registrierung, menschliche Aufsicht und Meldepflichten bei Vorfällen. Auch Betreiber tragen hier Verantwortung, da sie die ordnungsgemäße Nutzung sicherstellen müssen.
Während der Data Act den Zugang zu Daten regelt und der AI Act die Intelligenz im System adressiert, konzentriert sich der Cyber Resilience Act (CRA) auf die digitale Produktsicherheit.
Er gilt für alle Produkte mit digitalen Elementen und damit auch für Aufzüge. Ziel sind die Prinzipien "Security by Design" und "Security by Default". Das bedeutet, dass Produkte nicht unsicher ausgeliefert werden dürfen (Security by Default), sondern über geeignete Schutzmechanismen verfügen müssen (Security by Design), ihre Schwachstellen systematisch gemanagt werden müssen und sie während ihrer Lebensdauer Sicherheitsupdates erhalten müssen.
Für langlebige Systeme wie Aufzüge ist klar, dass die Mindestanforderung von fünf Jahren Update-Bereitstellung praktisch zu kurz greifen wird.
Auch die technische Dokumentation einschließlich Risikobewertung muss langfristig vorgehalten werden. Ab Ende 2027 wird die Konformitätsbewertung nach dem Cyber Resilience Act Teil der CE-Konformität sein.
"Spätestens ab September 2026 müssen neue Produkte einen direkten Datenzugang für Nutzer ermöglichen."
Tim Ebeling
Der Aufzug als Gesamtprodukt dürfte meist der Standard-Risikoklasse zugeordnet werden. Einzelne Komponenten, etwa Router als Teil von Notrufsystemen, können jedoch als "wichtige Produkte" strengeren Prüfanforderungen unterliegen. Normen wie die ISO 8102-20 zur Cybersicherheit von Aufzügen werden hier eine wichtige Rolle spielen, sofern sie denn dann harmonisiert vorliegen.
Die NIS-2-Richtlinie richtet sich schließlich weniger an das Produkt selbst als an die Organisation dahinter. Hersteller von Aufzügen und Komponenten fallen häufig unter die Regelungen, sofern sie eine bestimmte Unternehmensgröße erreichen.
Gefordert sind unter anderem strukturierte IT-Risikomanagementsysteme, Incident-Reporting-Prozesse, sichere Lieferketten, Verschlüsselungsstrategien und klare Verantwortlichkeiten.
Besonders wichtig: Anders als bei vielen technischen Normen liegt die Verantwortung hier ausdrücklich auf der Leitungsebene. IT-Sicherheit wird damit zur Managementaufgabe.
Betrachtet man diese vier Regelwerke zusammen, entsteht ein klares Bild: Der Aufzug ist heute nicht mehr nur ein technisches Produkt, sondern eine digitale Plattform mit Datenströmen, Algorithmen und Netzwerkanbindungen.
Er ist Datenquelle im Sinne des Data Act, möglicher KI-Träger im Sinne des AI Act, digitales Produkt im Sinne des Cyber Resilience Act und Teil einer sicherheitsrelevanten Wertschöpfungskette im Sinne der NIS-2-Richtlinie.
Die technische Vernetzung unserer Systeme findet damit ihr regulatorisches Gegenstück. Für die Branche bedeutet das zusätzlichen Aufwand, insbesondere bei Dokumentation, IT-Sicherheit und Organisationsstrukturen.
Gleichzeitig eröffnen sich neue Chancen durch datenbasierte Geschäftsmodelle und innovative Servicekonzepte. Der moderne Aufzug bewegt daher nicht nur Menschen zwischen Etagen, sondern auch Daten, Algorithmen und regulatorische Anforderungen im digitalen Binnenmarkt der Europäischen Union.
Der Autor ist Geschäftsführer der Henning GmbH, Mitglied im Vorstand des VFA-Interlift, des Komitees für Digitalisierung und Cybersicherheit der European Lift Association und gehört zum Beirat des LIFTjournals.
Digitalpaper
Kommentar schreiben