Maszyna ze sterownikiem programowalnym, panelem HMI, wbudowanym komputerem lub interfejsem sieciowym może podlegać zarówno Rozporządzeniu w sprawie maszyn UE (Rozporządzenie (UE) 2023/1230), jak i unijnemu Cyber Resilience Act (Rozporządzenie (UE) 2024/2847). CRA stosuje się tam, gdzie maszyna jest produktem z elementami cyfrowymi, a jej przewidziane przeznaczenie lub racjonalnie przewidywalne użycie obejmuje bezpośrednie albo pośrednie logiczne lub fizyczne połączenie danych z urządzeniem lub siecią. Jeden z motywów CRA nazywa to nakładanie się dwóch reżimów i wskazuje dwie sekcje Rozporządzenia w sprawie maszyn pokrywające bezpieczeństwo wynikające z cyberbezpieczeństwa, sekcje 1.1.9 i 1.2.1. Niniejsza strona omawia, co mówi ten motyw, jak dowody z CRA mapują się na stronę maszynową i w których miejscach obie oceny zgodności pozostają rozdzielne.
Podsumowanie
- Oba reżimy mogą stosować się jednocześnie. Maszyna w zakresie Rozporządzenia w sprawie maszyn wymaga również analizy CRA, jeżeli jest produktem z elementami cyfrowymi z bezpośrednim albo pośrednim połączeniem danych z urządzeniem lub siecią. Maszyny nie znajdują się wśród wyłączeń z CRA.
- CRA kotwiczy nakładanie się podwójnego reżimu. Producenci objęci oboma rozporządzeniami muszą zastosować oba, a po stronie maszynowej cyberbezpieczeństwo koncentruje się w sekcjach 1.1.9 oraz 1.2.1 Rozporządzenia w sprawie maszyn.
- Nakładanie się dotyczy awarii bezpieczeństwa wynikających z cyberbezpieczeństwa. Układ sterowania, którego logikę bezpieczeństwa można naruszyć przez sieć, jest niebezpieczny w rozumieniu maszynowym i niezabezpieczony w rozumieniu CRA. Te same kontrole inżynierskie (walidacja danych wejściowych, uwierzytelnianie, ochrona integralności logiki bezpieczeństwa) odpowiadają wymogom obu rozporządzeń.
- Dowody z CRA mogą przenosić ciężar po stronie maszynowej, lecz powiązanie należy wykazać. CRA dopuszcza taką synergię i wskazuje normy zharmonizowane jako pomost. Ciężar wykazania powiązania spoczywa na producencie, a miejscem zapisu jest dokumentacja techniczna.
- Każdy reżim zachowuje własną ocenę zgodności. Rozporządzenie w sprawie maszyn prowadzi własne ścieżki, z udziałem jednostki notyfikowanej dla kategorii maszyn wyższego ryzyka; CRA prowadzi własne ścieżki zgodności. Ta sama jednostka notyfikowana może przeprowadzić obie oceny, jeżeli posiada obie desygnacje.
Nakładanie się reżimów w czterech liczbach: dwa rozporządzenia, dwie sekcje Rozporządzenia w sprawie maszyn, kotwica CRA, która je wiąże, oraz daty, od których podwójny reżim obowiązuje.
Gdzie oba rozporządzenia się nakładają
Rozporządzenie w sprawie maszyn reguluje bezpieczeństwo; CRA reguluje cyberbezpieczeństwo. Rozporządzenie w sprawie maszyn reguluje bezpieczeństwo maszyn wprowadzanych do obrotu na rynku UE. CRA obejmuje produkty z elementami cyfrowymi, których przewidziane przeznaczenie lub racjonalnie przewidywalne użycie obejmuje bezpośrednie albo pośrednie logiczne lub fizyczne połączenie danych z urządzeniem lub siecią. Współczesna maszyna zawierająca PLC, panel HMI, wbudowany sterownik lub interfejs sieciowy często spełnia oba testy, lecz sprawdzenie zakresu CRA nadal trzeba wykonać.
Nakładanie się dotyczy awarii bezpieczeństwa wynikających z cyberbezpieczeństwa. Układ sterowania, którego logikę istotną dla bezpieczeństwa można naruszyć przez sieć, jest niebezpieczny w rozumieniu Rozporządzenia w sprawie maszyn i niezabezpieczony w rozumieniu CRA. Te same kontrole inżynierskie (walidacja danych wejściowych, uwierzytelnianie, ochrona integralności logiki bezpieczeństwa) odpowiadają wymogom obu rozporządzeń.
CRA przypina to nakładanie się do dwóch sekcji Rozporządzenia w sprawie maszyn:
Rozporządzenie w sprawie maszyn §1.1.9
Zabezpieczenie przed uszkodzeniem układów sterowania. Cybernetyczna ingerencja w logikę istotną dla bezpieczeństwa, jak wstrzyknięcie kodu do PLC, podszywanie się pod sygnał blokady albo nieuprawniony zapis firmware, jest awarią bezpieczeństwa w rozumieniu Rozporządzenia w sprawie maszyn oraz awarią cyberbezpieczeństwa w rozumieniu CRA. Te same kontrole inżynierskie (ochrona integralności, podpisywane aktualizacje, walidacja danych wejściowych) odpowiadają wymogom obu rozporządzeń.
Rozporządzenie w sprawie maszyn §1.2.1
Bezpieczeństwo i niezawodność układów sterowania, w tym ochrona przed celową manipulacją. Logika sterowania, która traci integralność pod wpływem ataku, jak zdalnie obejście wyłącznika awaryjnego albo wyłączenie programowej blokady osłony, jest niebezpieczna w rozumieniu Rozporządzenia w sprawie maszyn i niezabezpieczona w rozumieniu CRA. Inżynierskie kontrole cyberbezpieczeństwa oraz kontrole bezpieczeństwa funkcjonalnego zbiegają się na tym samym wzmocnieniu.
Obie sekcje niosą treść cyberbezpieczeństwa, ponieważ uszkodzenie i celowa manipulacja układów sterowania to zagrożenia cyberbezpieczeństwa o skutkach dla bezpieczeństwa.
- Osłony zagrożeń mechanicznych (ogrodzenia, kurtyny świetlne, blokady).
- Obwody zatrzymania awaryjnego i funkcje zatrzymania związane z bezpieczeństwem.
- Ergonomia operatora, widoczność i zasięg.
- Limity hałasu, drgań i emisji.
- Instrukcje dla operatora dotyczące bezpiecznej obsługi, transportu i konserwacji.
- Stabilność mechaniczna i integralność konstrukcyjna.
- Zabezpieczenie układów sterowania przed uszkodzeniem.
- Bezpieczeństwo i niezawodność układów sterowania wobec celowej manipulacji.
- Ocena ryzyka dla awarii bezpieczeństwa wynikających z cyberbezpieczeństwa.
- Dokumentacja techniczna bezpiecznego projektowania układu sterowania.
- Obsługa podatności dla logiki sterowania istotnej dla bezpieczeństwa.
- Wykaz składników oprogramowania obejmujący komponenty układu sterowania.
- Aktywna obsługa podatności przez cały okres wsparcia.
- Zgłaszanie podatności i poważnych incydentów do koordynującego CSIRT i ENISA.
- Polityka skoordynowanego ujawniania podatności.
- Sporządzanie SBOM dla organów nadzoru rynku na uzasadnione żądanie.
- Zobowiązania do aktualizacji bezpieczeństwa przez cały okres wsparcia.
- Bezpłatne aktualizacje bezpieczeństwa w okresie wsparcia.
Nakładanie się CRA i Rozporządzenia w sprawie maszyn. Oba reżimy stosują się jednocześnie do maszyny z elementami cyfrowymi. Treść cyberbezpieczeństwa po stronie maszynowej koncentruje się w sekcjach 1.1.9 i 1.2.1 Rozporządzenia w sprawie maszyn. Artefakty CRA (ocena ryzyka, dokumentacja techniczna, proces obsługi podatności, wykaz składników oprogramowania) tworzą pomost do dokumentacji technicznej maszyny po wykazaniu powiązania przez producenta.
Co CRA mówi o nakładaniu się z reżimem maszynowym
CRA wiąże oba reżimy poprzez Motyw 53. W prostych słowach mówi producentowi maszyny z elementami cyfrowymi cztery rzeczy:
| Co mówi motyw | Co to oznacza w praktyce |
|---|---|
| Oba reżimy mogą się stosować, bez wyłączenia dla maszyn | Maszyna w zakresie Rozporządzenia (UE) 2023/1230, która jest jednocześnie produktem CRA z elementami cyfrowymi, musi spełniać zasadnicze wymagania w zakresie cyberbezpieczeństwa z CRA oraz zasadnicze wymagania w zakresie ochrony zdrowia i bezpieczeństwa z Rozporządzenia w sprawie maszyn. Maszyny nie znajdują się wśród wyłączeń z CRA. |
| Te same ryzyka cyberbezpieczeństwa mogą wystąpić w obu | Oba rozporządzenia adresują podobne zagrożenia cyberbezpieczeństwa pod różnymi kątami: Rozporządzenie w sprawie maszyn poprzez bezpieczeństwo, CRA poprzez cyberbezpieczeństwo. Tam, gdzie się nakładają, te same kontrole inżynierskie (walidacja danych wejściowych, uwierzytelnianie, ochrona integralności logiki bezpieczeństwa) odpowiadają wymogom obu. |
| Praca z CRA może przenosić ciężar po stronie maszynowej, lecz wyłącznie w obszarze nakładania się | Ocena ryzyka CRA (Artykuł 13(2)), dokumentacja techniczna (Załącznik VII) oraz proces obsługi podatności (Załącznik I część II) generują dowody, które mapują się na sekcje 1.1.9 (zabezpieczenie przed uszkodzeniem) i 1.2.1 (bezpieczeństwo i niezawodność układów sterowania) Rozporządzenia w sprawie maszyn. W każdej innej części Rozporządzenia w sprawie maszyn pracę maszynową nadal wykonuje się po maszynowemu. |
| Producent łączy kropki w dokumentacji technicznej | Motyw jest dopuszczający, a nie automatyczny. Aby użyć dowodów z CRA jako dowodów po stronie maszynowej, producent mapuje kontrole oparte na CRA na konkretne sekcje Rozporządzenia w sprawie maszyn i przywołuje normy zharmonizowane obejmujące oba reżimy. |
Motyw zamyka jedna dalsza instrukcja, którą artykuł powtarza poniżej: każdy reżim zachowuje własną procedurę oceny zgodności i oba trzeba przejść.
Jak dowody z CRA mapują się na Rozporządzenie w sprawie maszyn
Pragmatyczne mapowanie obszaru nakładania się:
| Wymóg Rozporządzenia w sprawie maszyn | Dowód CRA, który go wspiera |
|---|---|
| Rozporządzenie w sprawie maszyn §1.1.9 (zabezpieczenie przed uszkodzeniem) | Ocena ryzyka CRA (Artykuł 13(2)), bezpieczna domyślna konfiguracja, uwierzytelnianie i kontrola dostępu, ochrona integralności danych z Załącznik I część I |
| Rozporządzenie w sprawie maszyn §1.2.1 (bezpieczeństwo i niezawodność układów sterowania) | Z Załącznik I część I: dostępność funkcji istotnych, łagodzenie wykorzystania, rejestrowanie zdarzeń bezpieczeństwa; z Załącznik I część II: regularne testy bezpieczeństwa |
| Dokumentacja techniczna Rozporządzenia w sprawie maszyn | Dokumentacja techniczna CRA z Załącznik VII (możliwa do referencji krzyżowej), SBOM CRA, polityka obsługi podatności CRA |
Mapowanie to ma charakter informacyjny, a nie normatywny. Producent musi uzasadnić powiązanie w dokumentacji technicznej dla każdej konkretnej maszyny, a sformułowanie motywu, że „synergię taką trzeba wykazać", przerzuca ten ciężar na producenta.
Oceny zgodności pozostają rozdzielne
Każdy reżim zachowuje własną procedurę oceny zgodności. Motyw 53 wskazuje, że producent powinien stosować procedury właściwe zarówno dla CRA, jak i dla Rozporządzenia (UE) 2023/1230. Rozporządzenie w sprawie maszyn ma własne ścieżki, w tym udział jednostki notyfikowanej dla kategorii maszyn wyższego ryzyka; CRA ma własne ścieżki na podstawie Artykuł 32 i Załącznik VIII.
Jedna jednostka notyfikowana może prowadzić obie, ale tylko jeżeli posiada obie desygnacje. Ta sama maszyna może wymagać udziału jednostki notyfikowanej w obu reżimach, ewentualnie tej samej jednostki, jeżeli została wyznaczona na podstawie obu rozporządzeń. Jednostki notyfikowane są desygnowane rozporządzenie po rozporządzeniu; desygnacja na podstawie Rozporządzenia w sprawie maszyn nie rozciąga się na CRA.
Decyzję o ścieżce oceny zgodności w CRA omawia ocena zgodności CRA. Wymogi dokumentacji technicznej omawia dokumentacja techniczna CRA.
Najczęstsze pułapki
| Twierdzenie | Dlaczego zawodzi |
|---|---|
| „Jedno oznakowanie CE oznacza tylko jedną ocenę zgodności." | Oznakowanie CE jest jedno na produkcie, lecz każdy właściwy reżim wciąż wymaga własnej oceny zgodności, własnej dokumentacji technicznej i własnej deklaracji. |
| „Nasza jednostka notyfikowana z Rozporządzenia w sprawie maszyn automatycznie obejmuje CRA." | Jednostki notyfikowane są desygnowane rozporządzenie po rozporządzeniu. Jednostka wpisana w Rozporządzeniu w sprawie maszyn nie staje się automatycznie jednostką notyfikowaną CRA; sprawdź wykaz NANDO Komisji pod numerem jednostki dla obu rozporządzeń. |
| „Brak interfejsu internetowego oznacza, że CRA się nie stosuje." | Wbudowane oprogramowanie, firmware lub sterownik programowalny mogą czynić maszynę produktem z elementami cyfrowymi; pośrednie połączenie danych przez łączalny system również wciąga maszynę w zakres. |
| „Sekcja 1.1.9 Rozporządzenia w sprawie maszyn sama udowadnia zgodność cyberbezpieczeństwa z CRA." | Sekcja 1.1.9 dotyczy zabezpieczenia przed uszkodzeniem, czyli jednego wycinka cyberbezpieczeństwa wynikającego ze strony bezpieczeństwa. Zasadnicze wymagania CRA są szersze, a producent musi wykazać zgodność z pełnym zestawem CRA. |
| „Motyw o synergii pozwala nam automatycznie ponownie wykorzystywać dowody CRA po stronie maszynowej." | Motyw ma charakter dopuszczający, a nie automatyczny. Producent musi zmapować kontrole oparte na CRA na konkretne sekcje Rozporządzenia w sprawie maszyn i w dokumentacji technicznej przywołać normy zharmonizowane obejmujące oba reżimy. |
Najczęściej zadawane pytania
Czy CRA zastępuje lub uchyla Rozporządzenie w sprawie maszyn?
Nie. Rozporządzenie w sprawie maszyn nadal reguluje bezpieczeństwo maszyn, a CRA dokłada obowiązki cyberbezpieczeństwa tam, gdzie maszyna jest jednocześnie produktem z elementami cyfrowymi. Producent objęty oboma reżimami musi spełniać zasadnicze wymagania w zakresie cyberbezpieczeństwa z CRA oraz zasadnicze wymagania w zakresie ochrony zdrowia i bezpieczeństwa z Rozporządzenia w sprawie maszyn. CRA przypina nakładanie się do zabezpieczenia przed uszkodzeniem oraz do bezpieczeństwa i niezawodności układów sterowania (Motyw 53).
Czy jedno oznakowanie CE może objąć oba reżimy?
Jedno oznakowanie CE może znajdować się na produkcie, lecz praca nad zgodnością pozostaje rozdzielna. Oznakowanie CE wskazuje, że produkt spełnia właściwe unijne przepisy harmonizacyjne. Dla maszyny z elementami cyfrowymi oznacza to ocenę zgodności z Rozporządzenia w sprawie maszyn oraz ocenę zgodności z CRA. Oznakowanie jest jedno, lecz każdy właściwy reżim wciąż wymaga własnych dowodów zgodności i własnej deklaracji (Artykuł 32).
Od kiedy stosują się oba rozporządzenia?
Rozporządzenie w sprawie maszyn (Rozporządzenie (UE) 2023/1230) stosuje się w pełni od 20 stycznia 2027 r., zastępując dyrektywę maszynową 2006/42/WE dla produktów wprowadzanych do obrotu od tej daty. CRA (Rozporządzenie (UE) 2024/2847) stosuje się w pełni od 11 grudnia 2027 r. do produktów wprowadzanych do obrotu od tej daty (Artykuł 71(2)). Produkty z elementami cyfrowymi wprowadzone do obrotu przed 11 grudnia 2027 r. podlegają wymaganiom CRA tylko wtedy, gdy od tej daty zostaną istotnie zmodyfikowane; obowiązki zgłaszania z Artykuł 14 stosują się jednak do wszystkich produktów w zakresie od 11 września 2026 r. (Artykuł 69(2); Artykuł 69(3)).
Czy moja jednostka notyfikowana z Rozporządzenia w sprawie maszyn obejmuje także CRA?
Tylko jeżeli jednostka posiada obie desygnacje. Jednostki notyfikowane są desygnowane rozporządzenie po rozporządzeniu, więc jednostka wpisana dla modułu Rozporządzenia w sprawie maszyn nie staje się automatycznie jednostką notyfikowaną CRA. Sprawdź oficjalny wykaz NANDO Komisji Europejskiej pod numerem jednostki dla obu rozporządzeń; jeżeli obie desygnacje są obecne, jedna jednostka może przeprowadzić obie oceny (Artykuł 43).
Co jeżeli moja maszyna nie ma interfejsu sieciowego? Czy CRA nadal się stosuje?
Może tak, może nie. Brak interfejsu internetowego nie wyłącza maszyny automatycznie z CRA, lecz test zakresu nadal wymaga połączenia danych. Maszyna mieści się w zakresie CRA tylko wtedy, gdy jej przewidziane przeznaczenie lub racjonalnie przewidywalne użycie obejmuje bezpośrednie albo pośrednie logiczne lub fizyczne połączenie danych z urządzeniem lub siecią. Wbudowane oprogramowanie, firmware lub sterownik programowalny mogą czynić maszynę produktem z elementami cyfrowymi, lecz maszyna bez takiego połączenia danych wymaga starannej analizy zakresu, a nie automatycznej odpowiedzi „tak" (Artykuł 2(1)).