Det gamle Maskindirektiv nævnte aldrig cybersikkerhed. I næsten to årtier behandlede maskinbyggere funktionel sikkerhed og IT-sikkerhed som helt separate discipliner, håndteret af forskellige teams, styret af forskellige standarder og sjældent diskuteret i det samme møde. Den æra slutter den 20. januar 2027.
Når EU Maskinforordning (EU) 2023/1230 erstatter Direktiv 2006/42/EC, bliver cybersikkerhed en juridisk sikkerhedsforpligtelse for maskiner, der placeres på det europæiske marked. Ikke en anbefaling. Ikke en bedste praksis. Et obligatorisk grundlæggende sundheds- og sikkerhedskrav, der kan håndhæves gennem markedsovervågning og CE-mærkning. Måneder senere pålægger Cyber Resilience Act yderligere cybersikkerhedsforpligtelser ovenpå.
Denne artikel forklarer, hvad der er ændret, hvilke krav der gælder, hvordan standardlandskabet tager form, og hvad maskinbyggere skal gøre, før deadlines rammer.
Hvad ændrede sig fra Direktivet til Forordningen
Skiftet fra et Direktiv til en Forordning er mere end en teknikalitet. Direktiver kræver national implementering, hvilket betød 27 lidt forskellige implementeringer på tværs af EU-medlemsstaterne. Forordninger gælder direkte og ensartet. Fra den 20. januar 2027 står alle maskinbyggere, der sælger til EU, over for de samme regler, fortolket på samme måde, uden national manøvreringsrum.
Udover den juridiske form introducerer Forordningen flere væsentlige ændringer, der afspejler, hvordan maskiner har udviklet sig siden 2006.
Software er nu eksplicit en sikkerhedskomponent. Det gamle Direktiv fokuserede på fysisk hardware. Forordningen anerkender, at software, der udfører en sikkerhedsfunktion, selv når den placeres på markedet uafhængigt, udgør en sikkerhedskomponent, der er underlagt alle overensstemmelsesvurderingsforpligtelser. Denne ene ændring trækker utallige softwaredrevne sikkerhedssystemer ind i reguleringens anvendelsesområde.
Cybersikkerhed kommer ind i de grundlæggende sundheds- og sikkerhedskrav. To nye EHSRer (1.1.9 og 1.2.1) kræver beskyttelse mod korruption af sikkerhedsrelevante systemer. Disse har ingen tilsvarende i det gamle Direktiv.
Væsentlig ændring udløser producentforpligtelser. Hvis nogen væsentligt ændrer en maskine, bliver de producenten i reguleringsmæssig forstand og arver det fulde sæt af forpligtelser, herunder de nye cybersikkerhedskrav. Dette betyder noget for systemintegratorer, der eftermonterer eller opgraderer eksisterende installationer.
Listen over højrisiko-maskiner er udvidet. Bilag I dækker nu flere maskinkategorier, der kræver obligatorisk tredjepartsoverensstemmelsesvurdering. Maskiner med AI-baserede sikkerhedsfunktioner fremgår eksplicit og kræver involvering af Notificeret Organ uanset om harmoniserede standarder er blevet anvendt.
Digital dokumentation er tilladt. Brugervejledninger og EU-overensstemmelseserklæringer kan leveres digitalt med papirudgaver tilgængelige på anmodning. En lille, men praktisk modernisering.
Overgangen er et hårdt cutoff. Indtil 19. januar 2027 gælder kun det gamle Direktiv. Fra 20. januar 2027 gælder kun Forordningen. Der er ingen overlapningsperiode, hvor producenter kan vælge. Hvis du placerer en maskine på markedet på den dato, skal den overholde de nye regler.
De to cybersikkerhedskrav forklaret
Maskinforordningens cybersikkerhedsforpligtelser er koncentreret i to grundlæggende sundheds- og sikkerhedskrav inden for Bilag III.
EHSR 1.1.9 om beskyttelse mod korruption
Dette krav angiver, at maskiners sikkerhedsrelevante software-, data- og hardwarekomponenter, der transmitterer signaler eller data, skal identificeres som sådan og beskyttes mod korruption. Udtrykket "korruption" er bevidst bredt og omfatter utilsigtet korruption (et forvansket signal, et bit flip, en fejlet opdatering) og tilsigtet korruption, herunder ondsindede angreb.
Den praktiske implikation er ligetil, men vidtrækkende. Hver maskinbygger skal først identificere, hvilke software-, data- og hardwareelementer der er sikkerhedsrelevante. Så skal de demonstrere, at passende beskyttelsesforanstaltninger er på plads. "Passende" er hvor ingeniørvurderingen kommer ind, og hvor de nye standarder giver vejledning.
EHSR 1.2.1 om sikkerhed og pålidelighed af kontrolsystemer
Dette krav udvider den eksisterende forpligtelse til pålidelige kontrolsystemer ved at tilføje, at de skal modstå "rimelige forudsigelige ondsindede forsøg fra tredjeparter", der kunne føre til en farlig situation.
Udtrykket "rimelige forudsigelige" udfører vigtigt arbejde her. Det kræver ikke beskyttelse mod alle tænkelige nationalstatangreb. Men det kræver, at producenter tænker over, hvilke former for ondsindet interference er realistiske givet maskinens forbindelse, implementeringsmiljø og eksponering. En maskine tilsluttet det offentlige internet står over for forskellige rimelige forudsigelige trusler end en, der opererer på en isoleret backplane-bus inde i et låst kabinet.
Hvad dette betyder i praksis
Tilsammen skaber disse to EHSRer en ny forpligtelse, der sidder mellem traditionel funktionel sikkerhed og fuld IT-sikkerhed. Forordningen beder ikke maskinbyggere om at blive cybersikkerhedsvirksomheder. Den beder dem om at sikre, at de sikkerhedsfunktioner, de allerede har designet og valideret, ikke kan undermineres gennem digitale midler.
Dette er fundamentalt et safety-first perspektiv på cybersikkerhed. Spørgsmålet er ikke "kan nogen stjæle data fra denne maskine?" men "kan nogen manipulere denne maskine til at skade nogen?" Fortrolighed af forretningsdata, selvom det er vigtigt, er ikke det, disse EHSRer adresserer. De fokuserer direkte på integritet og tilgængelighed af sikkerhedsfunktioner.
Standardlandskabet for maskin cybersikkerhed
Maskinikkerhedsstandarder følger et tre-lags hierarki, der har tjent industrien godt i årtier. At forstå, hvor cybersikkerhed passer ind i dette hierarki, er afgørende for at navigere i det, der kommer efter.
Type A standarder etablerer fundamentale sikkerhedskoncepter og designprincipper, der gælder for alle maskiner. EN ISO 12100 er den eneste Type A standard. Den definerer risikovurderingsmetodologien, der understøtter alt andet. Den revideres i øjeblikket for at inkorporere cybersikkerhedsovervejelser, og det opdaterede udkast anerkender eksplicit, at trusler mod IT-sikkerhed kan resultere i farlige situationer.
Type B standarder adresserer specifikke sikkerhedsaspekter eller sikkerhedstyper på tværs af mange maskinkategorier. EN ISO 13849-1 (Performance Levels for sikkerhedsrelaterede kontrolsystemer) og IEC 62061 (Safety Integrity Levels for programmerbare systemer) er de mest anvendte. Ingen af dem adresserer i øjeblikket cybersikkerhed i nogen meningsfuld dybde, selvom 2023-udgaven af EN ISO 13849-1 i det mindste anerkender emnet. Den kritiske nye tilføjelse her er prEN 50742, som udvikles specifikt til at adressere beskyttelse mod korruption.
Type C standarder giver detaljerede krav til specifikke maskintyper. Hundredvis af disse eksisterer, og de refererer typisk til Type A og B standarderne, mens de tilføjer maskinspecifikke bestemmelser. Ingen dækker i øjeblikket cybersikkerhed, og få forventes at udvikle skræddersyede cybersikkerhedsklausuler. I stedet vil de referere til prEN 50742 for cybersikkerhed, ligesom de refererer til EN ISO 13849-1 eller IEC 62061 for funktionel sikkerhed.
De cirka 800 harmoniserede standarder, der i øjeblikket er opført under det gamle Maskindirektiv, overgår til Forordningen. Hver vil få et nyt Bilag ZB, der kortlægger dens krav til Forordningens EHSRer, ved siden af det eksisterende Bilag ZA, der kortlægger til Direktivet. Europa-Kommissionen udstedte et standardiseringsmandat til CEN/CENELEC den 20. januar 2025 med et udkast til arbejdsprogram, der skal være klar i juli 2025.
Kritisk set adresserer disse eksisterende standarder ikke de nye cybersikkerheds-EHSRer. Det er præcis derfor prEN 50742 udvikles som en komplementær standard. Den tilsigtede model er, at producenter anvender deres eksisterende (overførte) harmoniserede Type C standard plus prEN 50742 for at dække alle Forordningskrav, herunder cybersikkerhed.
prEN 50742 i dybden
prEN 50742, med titlen "Maskinsikkerhed - Beskyttelse mod korruption," er den vigtigste nye standard for maskin cybersikkerhed. Udviklet af CLC/TC 44X (Maskinsikkerhed, elektrotekniske aspekter), gik den til offentlig høring i slutningen af 2025 med en CENELEC deadline i februar 2026. Når den er færdiggjort og harmoniseret under Forordningen, vil anvendelse af den give producenter en formodning om overensstemmelse med EHSRer 1.1.9 og 1.2.1.
Anvendelsesområde og tilgang
Standarden dækker hardwarekomponenter (herunder grænseflader til eksterne enheder og kontrolsystemer), software og data, hvor de kunne påvirke maskiners sikkerhed. Den gælder på tværs af hele livscyklussen, fra udvikling gennem fremstilling, idriftsættelse, drift, vedligeholdelse og dekommissionering.
Et af dens mest pragmatiske funktioner er den dobbelte tilgangsstruktur. Producenter kan vælge mellem to veje.
Tilgang A (Klausuler 5 og 7) er et selvstændigt sæt proces- og produktkrav udviklet til producenter, der ikke har vedtaget IEC 62443-rammeværket. Det definerer Safety-Related Security Levels (SRSLer) fra SRSL0 til SRSL3 med eskalerende krav til autentificering, autorisation, integritetskontrol, inputvalidering og fysisk tampering-detektering. Denne tilgang lader mindre producenter eller dem, der er nye til cybersikkerhed, opfylde kravene uden først at implementere den fulde IEC 62443-infrastruktur.
Tilgang B (Klausuler 6 og 8) er designet til producenter, der allerede arbejder med IEC 62443. Den kortlægger maskinkrav direkte til IEC 62443-3-3 (systemsikkerhed), IEC 62443-4-1 (sikker udviklingslivscyklus) og IEC 62443-4-2 (komponentsikkerhed). Standarden specificerer præcis, hvilke sikkerhedskrav fra IEC 62443 der skal opfyldes, på hvilke sikkerhedsniveauer, for hvilke grundlæggende krav. For eksempel skal maskinsystemer under Tilgang B overholde IEC 62443-3-3 på SL-C2 for identifikation og autentificering kontrol, brugskontrol, systemintegritet og ressourcetilgængelighed.
Begge tilgange deler fælles klausuler, der dækker risikovurdering (per EN ISO 12100), generelle principper for beskyttelse mod korruption og information til brugskrav.
SRSL-konceptet
For Tilgang A introducerer standarden Safety-Related Security Levels (SRSLer) som mekanismen til at bestemme, hvor meget beskyttelse en given sikkerhedsfunktion har brug for. SRSLen bestemmes gennem en trusselsvurdering, der overvejer tre faktorer.
Eksponeringsniveauet (EL0 gennem EL4) afspejler angrebsfladen for den grænseflade, der overvejes. EL0 gælder for fuldstændig isolerede interne komponenter. EL1 dækker fysiske adgangspunkter som USB-porte eller RJ45-stik på maskingrænsen. EL2 dækker lokale OT-netværksforbindelser. EL3 strækker sig til fabriksniveau-netværk, der brobygger OT og IT. EL4 gælder for forbindelser til ikke-betroede netværk, herunder internettet.
Angriberens kapacitet overvejer, hvilket niveau af færdigheder og viden en angriber ville have brug for. Skalaen løber fra minimal viden med grundlæggende færdigheder (script kiddies) gennem moderat viden med specialistfærdigheder (uddannede teknikere) til omfattende viden med avancerede kapaciteter (ondsindede insidere eller højt trænede hackere).
Mulighedsvinduet tager højde for, hvor meget tid og adgang en angriber realistisk ville have, fra meget begrænset (sjældent tilgængelig, under konstant overvågning) til ubegrænset (åben, hyppig adgang).
Disse faktorer kombineres for at producere en angrebspotentiale-score, som sammen med sikkerhedspåvirkningen af den funktion, der beskyttes (udtrykt som et Performance Level per EN ISO 13849-1), bestemmer den krævede SRSL.
Logging og sporbarhed
Standarden kræver, at maskiner registrerer beviser for interventioner, der påvirker sikkerhedsrelaterede kontrolsystemer. En "intervention" er enhver legitim eller illegitim handling, der ændrer sikkerhedsrelevant software, data eller konfiguration. Logposter skal indeholde typen af intervention, midler til at korrelere begivenheder (tidsstempler eller tællere) og beviser for eventuel logsletning. Logs skal opbevares i mindst fem år og beskyttes mod manipulation.
Dette logkrav er bemærkelseværdigt, fordi det skaber et retsmedicinsk spor for sikkerhedsrelevante ændringer. Hvis en maskine er involveret i en ulykke, og falsk spil mistænkes, giver sporingsloggen beviser for, hvad der blev ændret og hvornår.
Information til brug
Producenter skal dokumentere sikkerhedskonteksten for maskinen (hvilket miljø den er designet til at operere i), give identifikation af sikkerhedsrelevante softwareversioner og konfigurationer, forklare hvordan man får adgang til denne information og specificere hvilke ændringer der er tilladt eller forbudt. Denne information bliver en del af maskinens brugsvejledning.
IEC 62443 for maskinbyggere
IEC 62443 er den internationale standardserie for industriel automatisering og kontrolsystem (IACS) cybersikkerhed. Den blev ikke designet specifikt til maskinbyggere, men den forbliver det mest omfattende og modne cybersikkerhedsrammeværk, der er tilgængeligt for industrielle applikationer. prEN 50742 refererer til det udstrakt, og praktisk erfaring med IEC 62443 vil være afgørende for at opfylde Forordningens krav.
Rollemapping-udfordringen
IEC 62443 definerer tre primære roller: produktleverandører (som laver komponenter), systemintegratorer (som samler systemer fra komponenter) og aktivejere (som driver systemer). Maskinbyggere passer akavet ind i dette skema.
En seriemaskinproducent designer og bygger komplette systemer og placerer dem derefter på markedet som produkter. De fungerer som produktleverandører med hensyn til udviklingsprocesser (IEC 62443-4-1 gælder), og deres maskiner indeholder komponenter, der bør opfylde IEC 62443-4-2. Men de integrerer også disse komponenter i et system, hvilket gør IEC 62443-3-3 relevant.
Tilpassede maskin- og anlægsbyggere sidder tættere på systemintegratorens rolle ved at vælge og samle komponenter fra forskellige leverandører til en skræddersyet installation. For dem er IEC 62443-3-2 (sikkerhedsrisikovurdering for systemdesign) og IEC 62443-3-3 (systemsikkerhedskrav) særligt relevante.
Hvilke dele betyder mest
IEC 62443-4-1 definerer den sikre produktudviklingslivscyklus. Den dækker sikkerhedsstyring, specifikation af sikkerhedskrav, sikkert design, sikker implementering, sikkerhedsbekræftelse og validering, defekthåndtering, patch-håndtering og overvejelser om livets ende. For enhver maskinbygger, der placerer produkter på EU-markedet, er vedtagelse af en udviklingsproces tilpasset IEC 62443-4-1 uden tvivl det højeste impact-skridt. Det opfylder krav under både Maskinforordningen og Cyber Resilience Act, og prEN 50742 Tilgang B kræver det direkte.
IEC 62443-4-2 specificerer tekniske sikkerhedskrav til IACS-komponenter, organiseret omkring syv grundlæggende krav: identifikation og autentificering, brugskontrol, systemintegritet, datafortrolighed, begrænset dataflow, rettidig reaktion på begivenheder og ressourcetilgængelighed. Maskinbyggere bør spørge deres komponentleverandører (PLC-leverandører, drivproducenter, HMI-udbydere), om deres produkter er certificeret til IEC 62443-4-2, og på hvilket sikkerhedsniveau.
IEC 62443-3-3 dækker sikkerhedskrav på systemniveau ved hjælp af den samme grundlæggende kravstruktur. Det er her, den overordnede maskinarkitektur bliver vurderet, ikke bare individuelle komponenter.
IEC 62443-3-2 giver metodologien til at udføre en sikkerhedsrisikovurdering på systemniveau. Den definerer zoner og kanaler, identificerer trusler og bestemmer målsikkerhedsniveauer. Dette kortlægger godt til trusselsvurderingsprocessen, der kræves af prEN 50742.
Praktisk råd
Forsøg ikke at implementere hele IEC 62443 på én gang. Start med IEC 62443-4-1 for din udviklingsproces og IEC 62443-3-2 for trusselsvurderingsmetodologi. Brug disse til at bestemme, hvor dine maskiner faktisk har brug for beskyttelse, og anvend derefter de relevante komponent- (4-2) og system- (3-3) krav, hvor risikovurderingen siger, de betyder noget. SRSL-konceptet i prEN 50742 Tilgang A blev skabt præcist, fordi fuld IEC 62443-implementering kan være overvældende for maskinbyggere, der lige er startet på deres cybersikkerhedsrejse.
Det dobbelte compliance-problem med Cyber Resilience Act
Her bliver tingene komplicerede. Maskiner med digitale elementer skal overholde både Maskinforordningen og Cyber Resilience Act (EU) 2024/2847. Recital 53 i CRA gør dette eksplicit. Ingen forordning erstatter den anden. Ingen giver fritagelse fra den anden.
Forskellige anvendelsesområder, overlappende territorium
Maskinforordningen fokuserer på sikkerhed. Dens cybersikkerhedskrav (EHSRer 1.1.9 og 1.2.1) handler specifikt om at beskytte sikkerhedsfunktioner mod korruption, der kunne føre til farlige situationer.
CRA tager et bredere syn. Den gælder for alle produkter med digitale elementer, der placeres på EU-markedet og dækker hele livscyklussen af cybersikkerhed: sikkert design, sårbarheds-håndtering, sikkerhedsopdateringer, software bills of materials (SBOMer) og hændelsesrapportering. CRA bekymrer sig ikke om, hvorvidt en cybersårbarhed skaber en sikkerhedsfare. Hvis det er en sårbarhed i et produkt med digitale elementer, er det i anvendelsesområdet.
For maskinbyggere betyder dette, at Forordningens cybersikkerhedskrav er et undersæt af det, CRA kræver. At opfylde CRA tilfredsstiller ikke automatisk Forordningen (fordi Forordningens sikkerhedsfokuserede analyse er anderledes), og at opfylde Forordningens cybersikkerhedskrav tilfredsstiller ikke CRA (fordi CRA kræver langt mere end beskyttelse af sikkerhedsfunktioner).
Gab-perioden
Tidsplanen stemmer ikke pænt overens. CRA sårbarheds-rapporteringsforpligtelser begynder den 11. september 2026. Maskinforordningen gælder fra 20. januar 2027. Fulde CRA-forpligtelser gælder fra 11. december 2027. Dette skaber en periode fra januar til december 2027, hvor maskiner skal overholde MR cybersikkerhedskrav, men endnu ikke den fulde CRA. I praksis er forberedelse til begge dele samtidig den eneste fornuftige tilgang.
Hvad CRA tilføjer
Udover Maskinforordningens sikkerhedsfokuserede cybersikkerhed introducerer CRA flere forpligtelser, som maskinbyggere vil finde ukendte.
Software Bills of Materials. Producenter skal oprette og vedligeholde en SBOM for hvert produkt med digitale elementer. For en kompleks maskine, der indeholder snesevis af PLCer, drev, HMIer, sensorer med indlejret software og tilpasset applikationskode, er dette en betydelig dokumentationsindsats.
Sårbarheds-håndtering. Producenter skal aktivt identificere og afhjælpe sårbarheder gennem hele produktets forventede levetid. Dette inkluderer overvågning af eksterne sårbarhedsdatabaser, koordinering af offentliggørelse og levering af rettidige patches.
Hændelsesrapportering. Aktivt udnyttede sårbarheder skal rapporteres til ENISA inden for 24 timer efter opdagelse med en fuld rapport inden for 72 timer. Denne forpligtelse begynder i september 2026, godt før den fulde CRA gælder.
Sikre opdateringer. Producenter skal sikre, at sikkerhedsopdateringer kan leveres til deres produkter gennem hele supportperioden, og at disse opdateringer er adskilt fra funktionalitetsopdateringer, så brugere kan anvende sikkerhedsfixes uden at risikere operationelle ændringer.
Multiplikationsproblemet
Industri-foreninger, især CEMA (den europæiske landbrugsmaskineforening), har rejst bekymringer om overholdelsespresset for komplekse maskiner. En moderne mejetærsker eller CNC-bearbejdningscenter kan indeholde over 100 individuelle produkter med digitale elementer, som teknisk set hver kræver sin egen SBOM, sårbarheds-håndteringsproces og opdateringsmekanisme under CRA. Når man overvejer, at en maskinbygger typisk køber disse komponenter fra tredjepartsleverandører, er koordineringsindsatsen enorm.
Den praktiske løsning er en integreret overholdelsestilgang. Brug IEC 62443-4-1 som rygraden i din udviklingsproces (den opfylder krav under begge forordninger), anvend prEN 50742 for MR-overensstemmelse, forbered dig på prEN 40000-serie overholdelse for CRA, og byg en enkelt sårbarheds-håndteringsproces, der dækker alle forpligtelser. EU-overensstemmelseserklæringen for en maskine skal til sidst referere til både Maskinforordningen og CRA ved siden af anden gældende lovgivning.
Sektorspecifikke udviklinger
Selvom prEN 50742 giver horisontale cybersikkerhedskrav for alle maskiner, udvikler nogle sektorer deres egne cybersikkerhedsstandarder tilpasset deres specifikke driftsmiljøer og trusselsbilleder.
ISO/DIS 24882 for landbrugs- og jordarbejdsmaskiner
ISO/DIS 24882, "Landbrugsmaskiner, traktorer og jordarbejdsmaskiner - Produkt cybersikkerhed," blev cirkuleret som et Udkast til International Standard i slutningen af 2025. Udviklet af ISO/TC 23/SC 19 i samarbejde med ISO/TC 127/SC 3, repræsenterer den den første Type C-niveau cybersikkerhedsstandard for en specifik maskinsektor.
Standarden tager en risikobaseret tilgang og guider producenter gennem systemidentifikation, aktividentifikation, trusselmodellering, påvirkningsvurdering, sandsynlighedsvurdering og risikobehandling. Den specificerer derefter tekniske cybersikkerhedskrav, der dækker sikre softwareopdateringer, integritets- og autenticitetsbekræftelse, hærdning og sikker konfiguration, logging og anomali-detektering, adgangskontrol og sikker kommunikation.
Hvad der gør ISO/DIS 24882 særligt relevant, er dens sektorkontekst. Landbrugsmaskiner opererer i miljøer, hvor forbindelse hurtigt øges (præcisionslandbrug, flådehåndtering, autonom drift), mens fysisk sikkerhed ofte er minimal (maskiner efterladt på åbne marker, tilgængelige serviceporte, fjerntliggende steder med begrænset overvågning). Standarden adresserer disse realiteter direkte.
For producenter i landbrugs- og jordarbejdssektorerne vil ISO/DIS 24882 sandsynligvis blive en nøglereference ved siden af prEN 50742. Den giver sektorspecifik fortolkning af de generelle cybersikkerhedsprincipper, ligesom sektorspecifikke Type C sikkerhedsstandarder fortolker de generelle principper i EN ISO 12100.
Andre sektorer vil sandsynligvis følge efter. Emballagemaskiner, træbearbejdningsmaskiner og metalbearbejdningsmaskiner har alle aktive standardiseringskomitéer, og cybersikkerhed er på deres dagsordener. Maskinbyggere i disse sektorer bør overvåge deres relevante TC-aktiviteter.
Tidslinje og praktisk handlingsplan
Nøgledatoer
11. september 2026 markerer, hvornår CRA sårbarheds-rapporteringsforpligtelser begynder. Hvis du opdager en aktivt udnyttet sårbarhed i nogen af dine produkter med digitale elementer efter denne dato, skal du rapportere den til ENISA inden for 24 timer.
20. januar 2027 er den hårde ansøgningsdato for Maskinforordningen. Hver maskine placeret på markedet fra denne dato skal overholde alle krav, herunder EHSRer 1.1.9 og 1.2.1 om cybersikkerhed.
15. maj 2027 er, hvornår den gamle EN ISO 13849-1:2015 trækkes tilbage, og 2023-udgaven overtager eksklusivt. Selvom det ikke direkte er en cybersikkerhedsdeadline, påvirker det design af sikkerhedskontrolsystem og interagerer med cybersikkerhedskravene.
11. december 2027 er den fulde CRA-ansøgningsdato. Alle produkter med digitale elementer skal opfylde det komplette sæt af CRA-krav, herunder SBOM, sårbarheds-håndtering, sikre opdateringer og fuld livscyklus cybersikkerhed.
Seks konkrete skridt at tage nu
1. Kortlæg din maskinportefølje for digitale elementer. Gå igennem hvert produkt, du placerer på markedet. Hvilke indeholder software? Hvilke har netværksgrænseflader, USB-porte, trådløs forbindelse eller fjernbetjeningskapaciteter? Hvilke bruger sikkerhedsrelateret indlejret software eller sikkerhedsrelateret applikationssoftware? Dette inventar er fundamentet for alt, der følger.
2. Identificer dine sikkerhedsrelevante digitale aktiver. For hver maskine skal du bestemme, hvilke software-, data- og hardwarekomponenter der er sikkerhedsrelevante. Dette kortlægger direkte til EHSR 1.1.9's krav om at "identificere som sådan" sikkerhedsrelevante elementer. Dokumenter hvilke sikkerhedsfunktioner der afhænger af hvilke digitale komponenter, og hvilke grænseflader disse komponenter eksponerer.
3. Vedtag en sikker udviklingslivscyklus. Implementer en udviklingsproces tilpasset IEC 62443-4-1. Dette kræver ikke certificering på dag ét, men det kræver dokumenterede processer for trusselmodellering, sikker kodning, sikkerhedstest, sårbarheds-håndtering og patch-levering. Dette ene skridt adresserer krav under både Maskinforordningen og CRA.
4. Etabler sårbarheds-håndtering. Byg en proces til overvågning af sårbarhedsdatabaser, modtagelse af sårbarheds-rapporter fra eksterne forskere, vurdering af påvirkning, udvikling af patches og kommunikation med kunder. CRA-rapporteringsforpligtelserne begynder i september 2026. Du har brug for denne proces kørende inden da.
5. Start med at bygge SBOMer. Begynd at dokumentere software-komponenterne i dine maskiner, herunder tredjepartsbiblioteker, open source-komponenter og leverandør-leveret firmware. Engage dine komponentleverandører om deres egne SBOMer. Dette er et CRA-krav, der tager tid at implementere ordentligt, især for maskiner med komplekse software forsyningskæder.
6. Overvåg standardudvikling. Spor fremskridt for prEN 50742 (din primære vej til Maskinforordning cybersikkerhedsoverensstemmelse), prEN 40000-serien (din vej til CRA-overensstemmelse) og alle sektorspecifikke standarder relevante for dine maskiner. Deltag i standardskomitéer, hvis du kan. At være en del af diskussionen er langt bedre end at blive overrasket over resultatet.
Hvad dette betyder for forskellige roller
Maskinproducenter (serieproduktion)
Du bærer den primære byrde. Som den enhed, der placerer maskinen på markedet, er du ansvarlig for overholdelse af både Maskinforordningen og CRA. Du skal integrere cybersikkerhed i din eksisterende sikkerhedsindeniørproces, vedtage en sikker udviklingslivscyklus og forberede dig på nye dokumentationsforpligtelser (SBOMer, sårbarheds-håndtering, sikkerhedskontekst-dokumentation). I IEC 62443-rammeværket fungerer du primært som produktleverandør, på trods af at levere komplette systemer.
Tilpassede maskin- og anlægsbyggere
Din situation er lignende, men kompliceret af det skræddersyede karakter af dit arbejde. Hver maskine kan have en unik kombination af komponenter og grænseflader, hvilket gør standardiserede cybersikkerhedsforanstaltninger sværere at anvende. Du sidder tættere på systemintegratorens rolle i IEC 62443-termer. Vær særlig opmærksom på IEC 62443-3-2 for sikkerhedsrisikovurdering og IEC 62443-3-3 for sikkerhed på systemniveau. Sikkerhedskontekst-dokumentationen for hver maskine skal afspejle dens specifikke implementeringsmiljø.
Komponentleverandører
Hvis du laver PLCer, drev, HMIer, sikkerhedscontrollere, sensorer med indlejret software eller andre komponenter med digitale elementer, er du direkte underlagt CRA. Dine kunder (maskinbyggere) vil i stigende grad kræve IEC 62443-4-2-certificering, SBOMer for dine produkter og forpligtelse til sårbarheds-håndtering og sikkerhedsopdateringer. At komme foran disse krav er en konkurrencefordel. De, der allerede kan levere IEC 62443-4-2-certificerede komponenter med omfattende SBOMer, vil være foretrukne leverandører, når deadlines nærmer sig.
Systemintegratorer
Hvis du modificerer eller væsentligt opgraderer eksisterende maskiner, kan Forordningens væsentlige ændringbestemmelser gøre dig til producenten. Det betyder fulde overholdelsesforpligtelser, herunder cybersikkerhed. Selvom dine ændringer ikke udløser producentstatus, bør du forstå cybersikkerhedskravene, så du ikke utilsigtet kompromitterer sikkerhedsintegriteten af de maskiner, du arbejder på. At tilføje en fjernbetjeningsgrænseflade til en maskine ændrer f.eks. dens eksponeringsniveau og kan kræve yderligere beskyttelsesforanstaltninger.
Sikkerhedsingeniører og konsulenter
Din rolle udvides. Risikovurdering per EN ISO 12100 skal nu overveje cybersikkerhedstrusler ved siden af traditionelle mekaniske, elektriske og funktionelle sikkerhedsfarer. Trusselsvurderingsprocessen i prEN 50742 bliver en del af dit værktøjssæt. Du behøver ikke at blive en penetrationstester, men du skal forstå eksponeringsniveauer, angrebspotentiale og hvordan cybersikkerhedsforanstaltninger interagerer med funktionel sikkerhed. At lære det grundlæggende om IEC 62443 er ikke længere valgfrit, hvis du rådgiver maskinbyggere om overholdelse af reglerne.
Hvor sikkerhed og security konvergerer
EU Maskinforordning repræsenterer et ægte vendepunkt. For første gang anerkender et større stykke europæisk produktsikkerhedslovgivning eksplicit, at du ikke kan garantere maskinsikkerhed uden at overveje cybersikkerhed. Logikken er enkel og svær at argumentere imod. Hvis en sikkerhedsfunktion kører på software, og denne software kan blive korrumperet gennem en netværksgrænseflade, så er beskyttelse af denne grænseflade en sikkerhedsforanstaltning, ikke bare en IT-foranstaltning.
Standardlandskabet er stadig under formning. prEN 50742 er i udkast. prEN 40000-serien er under udvikling. Sektorspecifikke standarder som ISO/DIS 24882 arbejder sig gennem deres godkendelsesprocesser. Producenter, der venter på, at alt bliver færdiggjort, før de handler, vil finde sig selv i panik i slutningen af 2026.
Producenterne, der starter nu, kortlægger deres digitale aktiver, vedtager sikre udviklingspraksis, bygger sårbarheds-håndteringsprocesser og engagerer sig i standardudvikling, vil ankomme den 20. januar 2027 med tillid frem for panik. De vil også finde, at kunder, forsikringsselskaber og markedsovervågningsmyndigheder i stigende grad belønner proaktiv cybersikkerhedsmodenhed.
Cybersikkerhed og funktionel sikkerhed er ikke længere separate discipliner for maskiner. Forordningen har gjort det officielt. Spørgsmålet er ikke længere, om man skal handle, men hvor hurtigt du kan bevæge dig.