Cyberbezpieczeństwo maszyn i automatyki – przygotowanie do Rozporządzenia (UE) 2023/1230

Co zmienia się 20 stycznia 2027 roku

Rozporządzenie (UE) 2023/1230 zastępuje Dyrektywę Maszynową 2006/42/WE i stosuje się je od 20 stycznia 2027 r. Weszło w życie już w 2023 r., ale to wtedy kończy się okres przejściowy. Maszyny wprowadzane od tego dnia do obrotu w Unii muszą spełniać nowe zasadnicze wymagania z załącznika III.

Dla automatyki najważniejsze są dwa wątki. Elementy sprzętowe i programowe przenoszące sygnały związane z bezpieczeństwem mają być chronione przed uszkodzeniem i zmianą – przypadkową i celową – a układ sterowania ma odnotowywać ingerencję w oprogramowanie związane z bezpieczeństwem. Drugi wątek każe wskazać oprogramowanie i dane krytyczne dla zgodności maszyny oraz zabezpieczyć je przed nieuprawnioną modyfikacją.

W praktyce sprowadza się to do pytań, na które w wielu zakładach nikt nie odpowie od ręki. Kto ma dziś hasło do CPU. Skąd wiadomo, że w sterowniku pracuje dokładnie ta wersja programu, którą odebrano. Co się dzieje, gdy laptop zewnętrznego serwisanta wpina się prosto do sieci maszyny.

Trzy rzeczy, które możesz zrobić, zanim zaczniesz szukać wykonawcy

Do żadnej z nich nie potrzebujesz automatyka i mieszczą się w jedno popołudnie.

Po pierwsze: spisz, kto ma dziś zdalny dostęp do maszyn. Producent, integrator, dostawca robota, firma od systemu wizyjnego, własne utrzymanie ruchu, student na praktykach sprzed dwóch lat. Ta lista bywa dłuższa, niż ktokolwiek zakłada, a spora część pozycji to wspólne konta bez daty ważności.

Po drugie: sprawdź, czy masz kopie programów PLC, HMI i robotów – i kiedy ktoś ostatni raz próbował z nich cokolwiek odtworzyć. Kopia, której nikt nigdy nie przywracał, jest deklaracją, nie backupem.

Po trzecie: zapytaj producenta maszyny, którą właśnie zamawiasz, jak zamierza spełnić wymagania rozporządzenia po 2027 r. To pytanie kosztuje najmniej przed podpisaniem umowy.

Na zakres i cenę wpływa głównie liczba urządzeń oraz to, czy istnieje jakakolwiek dokumentacja sieci. Nie dokładaj tego własnemu automatykowi obok bieżącej produkcji: inwentaryzację przerywa każda awaria, a przerwana inwentaryzacja jest warta tyle co żadna.

Czego ta usługa nie obejmuje

Nie wystawiamy certyfikatów ani deklaracji zgodności UE. Formalna odpowiedzialność za ocenę zgodności i oznakowanie CE zostaje przy producencie maszyny albo przy podmiocie, który przejmuje jego obowiązki – również wtedy, gdy tym podmiotem stajesz się ty po istotnej modyfikacji maszyny.

To nie jest też program cyberbezpieczeństwa dla całej firmy ani wdrożenie IEC 62443. Rozporządzenie Maszynowe zajmuje się cyberzagrożeniami tylko w takim zakresie, w jakim mogą wpłynąć na bezpieczeństwo maszyny, i my pracujemy dokładnie w tym zakresie. Poczty, księgowości i serwerów w serwerowni nie ruszamy.

Jeżeli masz własny dział OT, który prowadzi inwentaryzację, segmentację i kontrolę wersji, prawdopodobnie nie potrzebujesz nas do niczego poza spojrzeniem z zewnątrz na jedną maszynę. Powiemy to wprost, zamiast sprzedawać audyt całej hali.