Nyt guidedraft viser, hvor bredt maskinforordningens cyberkrav rækker

Maskinforordningen (EU) 2023/1230 gælder fra 20. januar 2027, og en af de største nyheder i forhold til maskindirektivet er, at cybersikkerhed nu er et egentligt sikkerhedskrav. Nu foreligger et draft af vejledningen til de to afsnit i Annex III, der handler om det: 1.1.9 om beskyttelse mod korruption og 1.2.1(a) og (f) om styresystemer. Draftet er dateret 18. oktober 2026.

PS Engineering har gennemgået draftet og peger på, at det går længere, end mange producenter forventer.

– Guiden er ikke juridisk bindende. Det er forordningens tekst, der gælder, men guiden giver et godt billede af, hvordan kravene kommer til at blive fortolket, siger Anders M. Damgren, Head of Safety, CE Marking & Documentation i PS Engineering.

Det handler om sikkerhed for mennesker

Korruption betyder i maskinforordningen, at signaler eller data med betydning for sikkerheden bliver ændret uden tilladelse eller på en skadelig måde. Det kan ske ved et uheld eller ved et bevidst angreb, og guiden kalder det også manipulation.

Afsnittet handler kun om sikkerhed. Fortrolighed af data, beskyttelse af virksomhedens IP og forretningskontinuitet er ikke omfattet af 1.1.9. Spørgsmålet er altid, om en ændring kan føre til en farlig situation for mennesker.

Producenterne skal heller ikke beskytte mod alle tænkelige angreb. Guiden taler om rimeligt forudsigelige forsøg fra tredjepart, og den resterende security-risiko skal ned på et acceptabelt niveau, der svarer til det niveau, man accepterer for den klassiske sikkerhedsrisiko. Maskinen behøver ikke fortsætte normal drift under et angreb. Det er acceptabelt, at den går i en sikker tilstand, for eksempel stop.

Guiden nævner også artikel 20(9). Er maskinen dækket af et cybersikkerhedscertifikat eller en overensstemmelseserklæring udstedt under en EU-cybersikkerhedscertificeringsordning efter Cybersecurity Act (forordning (EU) 2019/881), kan det give formodning om overensstemmelse med 1.1.9 og 1.2.1. Det forudsætter, at ordningens reference er offentliggjort i EU-Tidende, og formodningen gælder kun i det omfang, certifikatet eller erklæringen faktisk dækker kravene.

Fra debugporte til DIP switches

Guiden er bred i sin fortolkning og omfatter både den fysiske maskine og den software, der kører på den.

– Alt, hvor ændrede signaler eller data kan føre til en farlig situation, skal med i vurderingen, siger Anders M. Damgren.

Ifølge draftet gælder det blandt andet:

Forbindelser af enhver art: Fysiske og logiske, kablede og trådløse, midlertidige og permanente, og også indirekte forbindelser via et netværk.

Svært tilgængelige interfaces: En debugport på et printkort inde i et kabinet kan også skulle med, især hvis maskinen står et sted, hvor offentligheden har adgang.

Hardware, der sender signaler eller data: For eksempel fjernbetjeninger, safety-controllere, udstyr til fjernvedligehold og trådløse sensorer – også fjernbetjeninger med diskret elektronik uden software.

Sikkerhedsrelevant software: For eksempel programmet i en safety-controller, firmwaren i en sikkerhedslaserscanner og styresystemet på den computer, hvor sikkerhedssoftwaren kører.

Sikkerhedsrelevante data og konfiguration: Værdier fra tryksensorer og parametrerede maksimale hastigheder, men også DIP switches og potentiometre, der påvirker sikkerheden.

Interfaces, der kan nås over offentlige netværk, kræver særlig opmærksomhed. Kan maskinen kobles på et offentligt netværk, også ved fejlbrug eller ved et uheld, og kan sikkerhedsrelaterede systemer blive påvirket af det, er kravene til beskyttelse ifølge guiden særligt høje.

Fem krav, der skal kunne dokumenteres

Guiden gennemgår kravene afsnit for afsnit. Samlet set lander det på fem ting, som producenten skal kunne dokumentere:

Beskyttelse efter risikohierarkiet: Modforanstaltningerne følger prioriteringen i 1.1.2(b). En forbindelse, der ikke er nødvendig, kan blokeres helt.

Security by default: Kræver maskinen fjernadgang, bør den leveres i en sikker tilstand, for eksempel med adgangen slået fra.

Spor efter indgreb: Lovlige og ulovlige indgreb i sikkerhedsrelevant hardware, software og konfiguration skal kunne spores bagefter.

Identifikation af software: Maskinen skal kunne vise, hvilken sikkerhedsrelevant software der er installeret, uden specialværktøj.

Tracing-log: Kan sikkerhedssoftwaren ændres, efter maskinen er bragt i omsætning eller taget i brug, skal indgreb og uploadede versioner logges efter 1.2.1(f). Hver hændelse skal gemmes i mindst fem år et pålideligt sted, og loggen skal afspejle softwarens faktiske status.

Et punkt i draftet skiller sig ud. Bygger producenten indsamlingen af beviser på en ekstern enhed, lægger guiden op til, at maskinen kun må kunne køre, når den eksterne overvågning fungerer fuldt ud, og når nødvendige beviser for et indgreb er gemt korrekt.

– Det er en ret vidtgående fortolkning i et udkast, som ikke er bindende. Overvejer man ekstern logning, er det værd at tænke det ind tidligt i designet, siger Anders M. Damgren.

Security hører hjemme i risikovurderingen

Det vigtigste budskab i guiden er ifølge PS Engineering, at security skal behandles på lige fod med de mekaniske og elektriske farer.

– Security skal ind i risikovurderingen på lige fod med de mekaniske og elektriske farer. Det er ikke noget, der kan overlades til IT-afdelingen, når maskinen er færdigkonstrueret, siger Anders M. Damgren.

En klassisk risikovurdering efter EN ISO 12100 er heller ikke nødvendigvis nok alene, for guiden lægger op til, at producenten også vurderer eksponering, sårbarheder og trusler.

PS Engineering anbefaler at begynde med at kortlægge alle dataflows og kommunikationsveje, der kan føre til en farlig situation. Derefter identificeres og markeres den software og de data, der er kritiske for sikkerheden. Det giver grundlaget for en egentlig trusselsvurdering med klare antagelser om, hvem der kan tænkes at angribe maskinen, og hvordan.

Leverandørerne er også værd at tjekke. Mange safety-controllere har allerede funktioner til adgangsstyring, logning og visning af softwareversioner, som man kan bygge videre på. Samtidig skal brugsanvisningen opdateres, så den beskriver sikker opsætning af fjernadgang.

Også maskiner med få forbindelser skal igennem vurderingen. En maskine uden forbindelser og uden sikkerhedsrelevant software vil have meget lidt at forholde sig til, men vurderingen skal laves og dokumenteres.

Cyber Resilience Act stiller andre krav

Har maskinen digitale elementer, kan den også være omfattet af Cyber Resilience Act (forordning (EU) 2024/2847), som gælder fuldt ud fra 11. december 2027. De to forordninger overlapper, men de har ikke samme formål.

Maskinforordningen handler om cybersikkerhed, der kan føre til farlige situationer for mennesker. CRA gælder for produkter med digitale elementer og stiller bredere krav til produktets cybersikkerhed, blandt andet til håndtering af sårbarheder og sikkerhedsopdateringer i produktets levetid. Overholder en producent maskinforordningens krav, betyder det altså ikke automatisk, at CRA også er overholdt, og omvendt.

Guiden er stadig et draft, og indholdet kan ændre sig, inden den endelige version offentliggøres af Europa-Kommissionen. Den erstatter heller ikke en konkret vurdering af den enkelte maskine.

Læs mere om PS Engineering og hent draftet til Annex III 1.1.9 og 1.2.1(a) og (f) her.

Se flere cases og løsninger på Plant Supervisions hjemmeside.