Maszyna ze sterownikiem programowalnym, panelem HMI, wbudowanym komputerem lub interfejsem sieciowym podlega zarówno unijnemu rozporządzeniu w sprawie maszyn (rozporządzenie (UE) 2023/1230), jak i unijnemu Cyber Resilience Act (rozporządzenie (UE) 2024/2847). Motyw 53 CRA wskazuje to nakładanie się reżimów i kieruje do dwóch sekcji załącznika III rozporządzenia w sprawie maszyn, 1.1.9 i 1.2.1, w których koncentruje się treść cyberbezpieczeństwa. Niniejsza strona omawia, co stanowi motyw 53, jak dowody z CRA mapują się na stronę maszynową oraz w których miejscach obie oceny zgodności pozostają rozdzielne.
Podsumowanie
- Oba reżimy stosują się jednocześnie. Maszyna zawierająca sterownik programowalny, panel HMI lub interfejs sieciowy jest regulowana przez rozporządzenie w sprawie maszyn w zakresie bezpieczeństwa oraz przez CRA w zakresie cyberbezpieczeństwa. Brak wyłączenia: artykuł 2 CRA wyłącza wyroby medyczne, pojazdy silnikowe, lotnictwo cywilne i wyposażenie morskie, a maszyn na tej liście nie ma.
- Motyw 53 jest kotwicą podwójnego reżimu. Nakazuje producentom objętym oboma rozporządzeniami zachowanie zgodności z każdym z nich i wskazuje sekcje 1.1.9 oraz 1.2.1 załącznika III rozporządzenia w sprawie maszyn jako miejsca, w których koncentruje się treść cyberbezpieczeństwa po stronie maszynowej.
- Nakładanie się dotyczy awarii bezpieczeństwa wynikających z cyberbezpieczeństwa. Układ sterowania, którego logikę bezpieczeństwa można naruszyć przez sieć, jest niebezpieczny w rozumieniu maszynowym i niezabezpieczony w rozumieniu CRA. Te same kontrole inżynierskie (walidacja danych wejściowych, uwierzytelnianie, ochrona integralności logiki bezpieczeństwa) odpowiadają wymogom obu rozporządzeń.
- Dowody z CRA mogą przenosić ciężar po stronie maszynowej, lecz powiązanie należy wykazać. Motyw 53 dopuszcza taką synergię i wskazuje normy zharmonizowane jako pomost. Ciężar wykazania powiązania spoczywa na producencie i należy go umieścić w dokumentacji technicznej.
- Każdy reżim zachowuje własną ocenę zgodności. Rozporządzenie w sprawie maszyn prowadzi własne ścieżki (z udziałem jednostki notyfikowanej dla maszyn wyższego ryzyka z załącznika I); CRA prowadzi artykuł 32 z modułami z załącznika VIII. Ta sama jednostka notyfikowana może przeprowadzić obie oceny, jeśli posiada obie desygnacje.
Nakładanie się reżimów w czterech liczbach: dwa rozporządzenia, dwie sekcje załącznika III, motyw, który je wiąże, oraz daty wprowadzające podwójny reżim w życie.
Gdzie oba rozporządzenia się nakładają
Rozporządzenie w sprawie maszyn reguluje bezpieczeństwo maszyn wprowadzanych do obrotu na rynku UE. CRA reguluje cyberbezpieczeństwo produktów z elementami cyfrowymi wprowadzanych do obrotu na rynku UE. Współczesna maszyna zawierająca PLC, panel HMI, wbudowany sterownik lub interfejs sieciowy odpowiada obu definicjom i uruchamia oba reżimy.
Nakładają się tam, gdzie wymogi adresują awarie bezpieczeństwa wynikające z cyberbezpieczeństwa. Układ sterowania, którego logikę istotną dla bezpieczeństwa można naruszyć przez sieć, jest niebezpieczny w rozumieniu rozporządzenia w sprawie maszyn i niezabezpieczony w rozumieniu CRA. Te same kontrole inżynierskie (walidacja danych wejściowych, uwierzytelnianie, ochrona integralności logiki bezpieczeństwa) odpowiadają wymogom obu rozporządzeń.
CRA przypina to nakładanie się w dwóch miejscach:
- Załącznik III §1.1.9 rozporządzenia (UE) 2023/1230 dotyczy ochrony przed uszkodzeniem układów sterowania.
- Załącznik III §1.2.1 rozporządzenia (UE) 2023/1230 dotyczy bezpieczeństwa i niezawodności układów sterowania, w tym ochrony przed celową manipulacją.
Obie sekcje niosą treść cyberbezpieczeństwa, ponieważ uszkodzenie i celowa manipulacja układów sterowania to zagrożenia cyberbezpieczeństwa o skutkach dla bezpieczeństwa.
Co mówi motyw 53 CRA, w prostych słowach
Motyw 53 to linia w CRA wiążąca oba reżimy. W prostych słowach mówi producentowi maszyny z elementami cyfrowymi cztery rzeczy:
| Co stanowi motyw | Co to oznacza w praktyce |
|---|---|
| Oba reżimy stosują się, brak wyłączenia | Maszyna w zakresie rozporządzenia (UE) 2023/1230, która jest jednocześnie produktem z elementami cyfrowymi, musi spełniać zasadnicze wymagania w zakresie cyberbezpieczeństwa z CRA oraz zasadnicze wymagania w zakresie ochrony zdrowia i bezpieczeństwa z rozporządzenia w sprawie maszyn. Artykuł 2 CRA wyłącza wyroby medyczne, pojazdy silnikowe, lotnictwo cywilne i wyposażenie morskie; maszyn na tej liście nie ma. |
| Te same ryzyka cyberbezpieczeństwa mogą wystąpić w obu | Oba rozporządzenia adresują podobne zagrożenia cyberbezpieczeństwa pod różnymi kątami: rozporządzenie w sprawie maszyn poprzez bezpieczeństwo, CRA poprzez cyberbezpieczeństwo. Tam, gdzie się nakładają, te same kontrole inżynierskie (walidacja danych wejściowych, uwierzytelnianie, ochrona integralności logiki bezpieczeństwa) odpowiadają wymogom obu. |
| Praca z CRA może przenosić ciężar po stronie maszynowej, lecz wyłącznie tam, gdzie się nakładają | Ocena ryzyka z CRA (art. 13 ust. 2), dokumentacja techniczna (załącznik VII) oraz proces obsługi podatności (załącznik I część II) generują dowody mapujące się na §1.1.9 (ochrona przed uszkodzeniem) i §1.2.1 (bezpieczeństwo i niezawodność układów sterowania) załącznika III. W każdej innej części rozporządzenia w sprawie maszyn pracę maszynową nadal wykonuje się po maszynowemu. |
| Producent łączy kropki w dokumentacji technicznej | Motyw 53 ma charakter dopuszczający, a nie automatyczny. Aby użyć dowodów z CRA jako dowodów rozporządzenia w sprawie maszyn, producent mapuje kontrole oparte o CRA na konkretne sekcje załącznika III i przywołuje normy zharmonizowane obejmujące oba reżimy. |
Motyw zamyka jedna dalsza instrukcja powtórzona w sekcji poniżej: każdy reżim zachowuje własną procedurę oceny zgodności i obie należy zastosować.
Jak dowody z CRA mapują się na rozporządzenie w sprawie maszyn
Pragmatyczne mapowanie nakładania się:
| Wymóg rozporządzenia w sprawie maszyn | Dowód z CRA, który go wspiera |
|---|---|
| Załącznik III §1.1.9 (ochrona przed uszkodzeniem) | Ocena ryzyka z CRA (art. 13 ust. 2), załącznik I część I (b) bezpieczna domyślna konfiguracja, (d) uwierzytelnianie i kontrola dostępu, (f) ochrona integralności danych |
| Załącznik III §1.2.1 (bezpieczeństwo i niezawodność układów sterowania) | CRA załącznik I część I (h) dostępność funkcji istotnych, (k) łagodzenie wykorzystania, (l) rejestrowanie zdarzeń bezpieczeństwa; załącznik I część II (3) regularne testy bezpieczeństwa |
| Dokumentacja techniczna rozporządzenia w sprawie maszyn | Dokumentacja techniczna CRA z załącznika VII (możliwa do podlinkowania), SBOM z CRA, polityka obsługi podatności z CRA |
Mapowanie to ma charakter informacyjny, nie normatywny. Producent musi uzasadnić powiązanie w dokumentacji technicznej dla każdej konkretnej maszyny, a sformułowanie motywu 53 "synergie te muszą być wykazane" przerzuca ten ciężar na producenta.
Oceny zgodności pozostają rozdzielne
Motyw 53 zamyka się jasną instrukcją: producent powinien również stosować odpowiednie procedury oceny zgodności określone zarówno w niniejszym rozporządzeniu, jak i w rozporządzeniu (UE) 2023/1230. Rozporządzenie w sprawie maszyn ma własne ścieżki oceny zgodności (w tym udział jednostki notyfikowanej dla maszyn wyższego ryzyka z załącznika I); CRA ma własne (artykuł 32 i moduły z załącznika VIII). Ta sama maszyna może wymagać udziału jednostki notyfikowanej w obu reżimach, ewentualnie tej samej jednostki, jeśli posiada obie desygnacje.
Decyzję o ścieżce oceny zgodności w CRA omawia ocena zgodności CRA. Wymogi dokumentacji technicznej omawia dokumentacja techniczna CRA.
Najczęściej zadawane pytania
Czy CRA zastępuje lub uchyla rozporządzenie w sprawie maszyn?
Nie. Oba rozporządzenia stosują się jednocześnie. Motyw 53 CRA wyraża podwójny obowiązek wprost: producent produktów objętych rozporządzeniem (UE) 2023/1230, które są również produktami z elementami cyfrowymi, musi spełniać zasadnicze wymagania w zakresie cyberbezpieczeństwa z CRA oraz zasadnicze wymagania w zakresie ochrony zdrowia i bezpieczeństwa z rozporządzenia w sprawie maszyn. Rozporządzenie w sprawie maszyn nadal reguluje bezpieczeństwo; CRA dokłada warstwę cyberbezpieczeństwa i przypina nakładanie się do sekcji 1.1.9 i 1.2.1 załącznika III.
Czy jedno oznakowanie CE może obejmować oba reżimy?
Jedno oznakowanie CE na produkcie, lecz dwie leżące u jego podstaw oceny zgodności. Oznakowanie CE jest deklaracją producenta, że produkt spełnia każde mające zastosowanie unijne rozporządzenie harmonizujące. Dla maszyny z elementami cyfrowymi oznacza to ocenę zgodności z rozporządzenia w sprawie maszyn na podstawie własnego załącznika IV (lub innej mającej zastosowanie ścieżki) oraz ocenę zgodności z CRA na podstawie artykułu 32 z modułami z załącznika VIII. Obie unijne deklaracje zgodności muszą istnieć; oznakowanie CE jest pojedyncze, lecz dokumentacja za nim stojąca jest podwójna.
Od kiedy stosują się oba rozporządzenia?
Rozporządzenie w sprawie maszyn (rozporządzenie (UE) 2023/1230) stosuje się w pełni od 20 stycznia 2027 r., zastępując dyrektywę maszynową 2006/42/WE dla produktów wprowadzanych do obrotu od tej daty. CRA (rozporządzenie (UE) 2024/2847) stosuje się w pełni od 11 grudnia 2027 r., przy czym obowiązki zgłaszania producenta z artykułu 14 startują wcześniej, 11 września 2026 r. Maszyna wprowadzona do obrotu na rynku UE między 20 stycznia a 11 grudnia 2027 r. już podlega nowemu rozporządzeniu w sprawie maszyn; od 11 grudnia 2027 r. podlega także CRA.
Czy moja jednostka notyfikowana z rozporządzenia w sprawie maszyn obejmuje także CRA?
Tylko jeśli posiada desygnację z CRA obok desygnacji z rozporządzenia w sprawie maszyn. Jednostki notyfikowane są desygnowane rozporządzenie po rozporządzeniu. Jednostka wpisana dla modułu B/C2/H z rozporządzenia w sprawie maszyn nie pojawia się automatycznie na liście jednostek notyfikowanych CRA na podstawie artykułu 43. Należy sprawdzić bazę EU NANDO dla obu rozporządzeń pod numerem jednostki; jeśli obie desygnacje są obecne, jedna jednostka może przeprowadzić obie oceny, co jest operacyjnie prostsze niż ich rozdzielanie.
Co jeśli moja maszyna nie ma interfejsu sieciowego? Czy CRA nadal się stosuje?
Najprawdopodobniej tak. Artykuł 3 punkt 1 CRA definiuje produkt z elementami cyfrowymi jako produkt programowy lub sprzętowy oraz jego rozwiązania zdalnego przetwarzania danych. Wyzwalaczem jest funkcjonalność cyfrowa, a nie łączność. Maszyna z wbudowanym oprogramowaniem, oprogramowaniem układowym lub sterownikiem programowalnym jest w zakresie nawet bez interfejsu sieciowego, ponieważ samo wbudowane oprogramowanie jest elementem cyfrowym. Wąski przypadek, w którym CRA się nie stosuje, to maszyna czysto mechaniczna bez oprogramowania, bez oprogramowania układowego i bez logiki programowalnej, co jest coraz rzadsze dla produktów w zakresie nowego rozporządzenia w sprawie maszyn.