Maskinförordningen 2027

Den 20 januari 2027 börjar EU:s nya maskinförordning att tillämpas och ersätter dagens maskindirektiv. En viktig förändring är att förordningen tydligare tar höjd för att moderna maskiner är uppkopplade, mjukvarustyrda och integrerade med andra system. Cybersäkerhet blir därmed en tydligare del av kraven på maskinsäkerhet.

För maskintillverkare innebär det ett bredare säkerhetsperspektiv. Det räcker inte längre att enbart analysera och riskbedöma tekniska fel och mekaniska risker. När digital påverkan kan resultera i en fysiskt farlig situation behöver även cyberhot och digitala sårbarheter beaktas.

Cyberhot blir en del av maskinens riskbild

En central del gällande cyberhot i maskinförordningen är att maskinens styrsystem, där det är relevant utifrån omständigheter och risker, ska utformas så att det kan stå emot rimligen förutsebara antagonistiska försök från tredje part om dessa kan leda till en farlig situation.

Det innebär en tydlig koppling mellan OT-säkerhet och traditionell maskinsäkerhet. I alltmer uppkopplade maskiner kan styrsystem inte bara påverkas lokalt av exempelvis komponentfel eller programmeringsfel. En angripare kan potentiellt försöka manipulera styrningen, förändra säkerhetsparametrar eller påverka kommunikationen mellan maskinen och andra system.

För maskintillverkare blir det därför viktigt att förstå maskinens digitala attackyta. Nätverksanslutningar, fjärråtkomst, servicegränssnitt, trådlös kommunikation och integrationer behöver bedömas utifrån hur de skulle kunna påverka maskinens säkra funktion.

Uppkopplade maskiner ställer högre krav på OT-säkerheten

Moderna produktionsmiljöer består ofta av sammankopplade system. PLC:er, HMI:er och andra styrsystem kommunicerar över industriella nätverk samtidigt som maskinen kan vara ansluten till produktionssystem, molntjänster eller fjärranslutningar för övervakning och service.

Maskinförordningen ställer uttryckliga krav på att anslutning av andra enheter, även via fjärrkommunikation, inte ska kunna leda till en farlig situation. Hårdvarukomponenter som överför signaler eller data och som är relevanta för anslutning till eller åtkomst till säkerhetskritisk programvara ska vara tillräckligt skyddade mot oavsiktlig eller avsiktlig manipulation. Även säkerhetskritisk programvara och data ska identifieras och skyddas mot sådan påverkan.

Det kan exempelvis handla om styrapplikationer eller andra gränssnitt genom vilka maskinens styrsystem och programvara kan nås.

Det blir därför viktigt att förstå för maskintillverkare, och vid behov ställa krav på, hur maskinen ansluts till kundens OT- och IT-nätverk. Tillverkarens säkerhetsperspektiv kan inte sluta vid maskinens gränssnitt, utan behöver även omfatta hur maskinen ansluts till OT-miljö och nätverk samt hur externa systemanslutningar kan påverka maskinens säkra funktion.

Ett bredare ansvar för maskinsäkerheten

Maskinförordningen innebär ett tydligt paradigmskifte för maskintillverkare, där IT- och OT-säkerhet blir en del av maskinsäkerheten när digital påverkan kan få fysiska säkerhetskonsekvenser.

Tillverkaren behöver inte längre bara säkerställa att styrsystem är säkra vid tekniska fel, utan även beakta hur cyberangrepp, manipulation och externa nätverksanslutningar kan påverka maskinens säkra funktion.

Källor
https://eur-lex.europa.eu/eli/reg/2023/1230/oj/eng
Förordning (EU) 2023/1230 om maskiner, EUR-Lex, särskilt bilaga III, punkterna 1.1.9 Protection against corruption och 1.2.1 Safety and reliability of control systems.