MES Compliance.
Welche Regeln Ihr MES erfüllen muss und wie Sie es prüfen.

Was bedeutet MES Compliance?

MES Compliance heißt, dass ein Manufacturing Execution System die Nachweise, die Gesetze, Normen und Kundenstandards verlangen, vollständig, unverändert und abrufbar erzeugt. Dazu gehören Audit Trail, elektronische Signatur, Rückverfolgbarkeit, Rollen und Rechte, Datenintegrität nach ALCOA+ und ein belastbarer Datenexport. Welche Regelwerke gelten, hängt von Branche, Absatzmärkten und Unternehmensgröße ab.

Macht ein konformes MES mein Werk automatisch compliant?

Nein, das MES liefert nur die technischen Voraussetzungen. Validierung, Verfahrensanweisungen, Schulungen und Rollenzuweisung bleiben Aufgabe des Betreibers. Prüfen Sie deshalb in der Auswahl, welchen Teil der Validierungsdokumentation der Anbieter liefert und welchen Sie selbst erstellen.

Brauche ich 21 CFR Part 11, wenn ich nicht in die USA liefere?

Formal nein, Part 11 gilt für Aufzeichnungen, die US-Vorschriften verlangen. In der EU gilt für Arzneimittel EU-GMP Annex 11 mit sehr ähnlichen Anforderungen an Audit Trail, Signatur und Validierung. Viele Kunden aus Pharma und Medizintechnik schreiben Part 11 zudem vertraglich vor.

Ist mein Fertigungsunternehmen von NIS2 betroffen?

Wahrscheinlich ja, wenn Ihr Sektor in Anlage 1 oder 2 des BSI-Gesetzes steht, etwa Maschinenbau, Elektrotechnik, Kraftwagen, Medizinprodukte, Chemie oder Lebensmittel, und Sie mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme haben. Die Registrierungsfrist ist laut BSI abgelaufen, Nachzügler registrieren sich umgehend. Das MES fällt unter die Risikomanagementpflichten nach § 30 BSIG.

Was ändert der Cyber Resilience Act für MES-Käufer?

Pflichtadressat des CRA ist der Hersteller, als Käufer profitieren Sie aber davon. Ab 11. Dezember 2027 muss neu in Verkehr gebrachte Software Sicherheitsanforderungen erfüllen, einen Support-Zeitraum nennen und über eine SBOM verfügen, Schwachstellenmeldungen binnen 24 Stunden gelten schon seit 11. September 2026. Fragen Sie im RFI, wie der Anbieter diese Pflichten organisiert und wie lange er Sicherheitsupdates zusagt.

Gilt der AI Act für KI-Funktionen in meinem MES?

Ja, aber meist mit geringen Pflichten, denn Ausschussprognose oder Anomalieerkennung fallen typischerweise nicht unter die Hochrisikoklassen. KI, die Arbeitsleistung oder Verhalten von Beschäftigten bewertet, ist dagegen Hochrisiko nach Anhang III Nummer 4 mit Pflichten ab 2. Dezember 2027. Emotionserkennung am Arbeitsplatz ist seit 2. Februar 2025 verboten.

Welche Rolle spielt das MES für die CSRD nach dem Omnibus?

Das MES bleibt die genaueste Quelle für Energie je Auftrag und Anlage, auch wenn weniger Unternehmen direkt berichten. Nach der Richtlinie (EU) 2026/470 sind künftig nur Unternehmen mit mehr als 1.000 Beschäftigten und über 450 Mio. Euro Umsatz pflichtig. Viele Mittelständler liefern aber als Zulieferer Emissionsdaten an berichtspflichtige Kunden. Für die Bilanz braucht es zusätzlich Material- und Lieferantendaten.

Ab wann brauche ich einen Digitalen Produktpass oder Batteriepass?

Der Batteriepass ist ab 18. Februar 2027 Pflicht, für andere Produktgruppen legt jeweils ein delegierter Rechtsakt zur Ökodesign-Verordnung Datenumfang und Stichtag fest. Ein MES erzeugt den Pass nicht selbst, liefert aber Seriennummern, Chargen und Fertigungsdaten. Wer diese Daten heute sauber führt, spart später den teuersten Teil der Umsetzung.

Wie prüfe ich Compliance-Aussagen eines Anbieters in der Demo?

Mit einem eigenen Prüfszenario statt einer vorbereiteten Musterakte. Lassen Sie eine Charge mit nachträglicher Korrektur durchspielen, prüfen Sie den Audit Trail feldgenau, signieren Sie zweimal hintereinander und starten Sie eine Rückwärtsverfolgung mit Zeitmessung. Fordern Sie zum Schluss einen Export samt Audit Trail an und bewerten Sie alles mit einer gewichteten Nutzwertanalyse.

Warum muss der Betriebsrat bei MES Compliance mitreden?

Weil ein MES mit Bediener- oder Schichtbezug objektiv geeignet ist, Verhalten oder Leistung zu überwachen, und damit nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig ist. Compliance-Funktionen wie personenbezogener Audit Trail oder Signatur verstärken diesen Bezug. Ein abgestimmtes Rollen- und Aggregationskonzept löst den scheinbaren Konflikt zwischen Nachweispflicht und Beschäftigtenschutz.

Was verlangt der Data Act von einem Cloud-MES?

Der Data Act regelt für Cloud-Dienste den Anbieterwechsel: höchstens zwei Monate Kündigungsfrist, 30 Tage Übergang und mindestens 30 Tage Datenabruf nach Artikel 25. Ab 12. Januar 2027 dürfen keine Wechselentgelte mehr verlangt werden. Vereinbaren Sie trotzdem Exportformat und Testexport vertraglich, denn das Gesetz nennt kein konkretes Format.

Wie lange müssen MES-Daten aufbewahrt werden?

Das hängt vom Regelwerk ab, nicht vom MES. Medizinprodukte verlangen nach Artikel 10 Absatz 8 MDR mindestens 10 Jahre nach dem letzten Inverkehrbringen, implantierbare Produkte 15 Jahre. Für Arzneimittel-Chargenunterlagen gilt nach Richtlinie (EU) 2017/1572 mindestens ein Jahr über das Verfallsdatum oder fünf Jahre über die Chargenzertifizierung hinaus, je nachdem, was länger ist. Archivierung und Lesbarkeit über Release-Wechsel gehören deshalb ins Lastenheft.

Gelten in Österreich und der Schweiz andere Regeln?

Teilweise. EU-Verordnungen wie MDR, Data Act, CRA und AI Act gelten in Österreich unmittelbar, NIS2 ist dort mit dem NISG 2026 umgesetzt, und Kontrollsysteme brauchen nach § 96 Abs. 1 Z 3 ArbVG die Zustimmung des Betriebsrats. Die Schweiz übernimmt EU-Recht nicht automatisch: Es gelten das revidierte Datenschutzgesetz seit 1. September 2023 und für kritische Infrastrukturen eine 24-Stunden-Meldepflicht für Cyberangriffe. Schweizer Exporteure in die EU müssen die EU-Produktregeln trotzdem erfüllen.