ELi masinamäärus alates 20. jaanuarist 2027: mida see nõuab teie masina tarkvaralt

20. jaanuaril 2027 asendatakse masinadirektiiv määrusega (EL) 2023/1230 ehk masinamäärusega. Suurem osa sellest tundub tuttav kõigile, kes ehitavad CE-märgisega masinaid. Üks osa mitte. Esimest korda paneb masinaõigus kohustused otse tarkvarale: masin peab ütlema, millist tarkvara ta ohutuks tööks vajab, märkama, kui see tarkvara või selle konfiguratsioon muutub, pidama vastu rikkumisele ja säilitama ohutustarkvara uuenduste jälje viis aastat.

See artikkel on kirjutatud masinaehitajate inseneeria- ja automaatikajuhtidele. Kui tarnite masinaid ELi pärast seda kuupäeva, jõuavad need nõuded teie PLC-programmidesse, HMI-sse, kaugjuurdepääsu ja uuenduste taustsüsteemi.

Mida seadus tegelikult ütleb

Euroopa Komisjon märgib, et määrus „on kohustuslik alates 20. jaanuarist 2027“ ja et see „hõlmab sätteid vastavuse seisukohalt oluliste tarkvaraandmete ja ohutusega seotud juhtimissüsteemide küberohutuse kohta“. 2023. aastal avaldatud tekstis oli kuupäevaks 14. jaanuar; selle nihutas parandus.

Tarkvarakohustused paiknevad määruse III lisa kahes olulises tervisekaitse- ja ohutusnõudes.

Punkt 1.1.9, kaitse rikkumise eest. Lühidalt:

• Teise seadme ühendamine masinaga, otse või kaugelt, ei tohi tekitada ohtlikku olukorda.
• Tarkvara ja andmed, mis on ohutusnõuetele vastavuse seisukohalt kriitilised, „tuleb sellistena identifitseerida“ ja kaitsta juhusliku või tahtliku rikkumise eest.
• Kaitsta tuleb ka riistvara, mis kannab sellele tarkvarale juurdepääsu võimaldavaid signaale või andmeid (mõelge programmeerimispordile või ohutuskontrolleri võrguliidesele), ning masin peab koguma tõendeid sellesse sekkumise kohta.
• Masin „identifitseerib sellele paigaldatud tarkvara, mis on vajalik tema ohutuks tööks, ning suudab seda teavet igal ajal hõlpsasti juurdepääsetaval kujul esitada“.
• Masin „kogub tõendeid masinale või sellega seotud tootele paigaldatud tarkvarasse või selle konfiguratsiooni tehtud õiguspärase või õigusvastase sekkumise või tarkvara muutmise kohta“.

Punkt 1.2.1, juhtimissüsteemide ohutus ja töökindlus. Juhtimissüsteemid peavad vastu pidama „kolmandate isikute põhjendatult prognoositavatele pahatahtlikele katsetele, mis põhjustavad ohtliku olukorra“. Alapunkt f lisab logimiskohustuse: sekkumisel tekkinud andmete ning pärast masina turule laskmist üles laaditud ohutustarkvara versioonide jälgimislogi „on lubatud viie aasta jooksul pärast sellist üleslaadimist“. Logi on olemas selleks, et tõendada vastavust, kui riiklik asutus esitab põhjendatud taotluse, ja mitte millekski muuks.

Samuti nimekirjas: tehnilise dokumentatsiooni põhjal peab asutuse nõudmisel olema võimalik esitada „ohutusega seotud tarkvara lähtekood või programmiloogika“ (IV lisa).

Milliseid masinaid see hõlmab

Reeglid kehtivad masinatele, mis lastakse turule alates 20. jaanuarist 2027. Masinaid, mis on lastud turule vana direktiivi alusel enne seda kuupäeva, võib edasi müüa (artikkel 52) ning juba kasutuses olevat masinaparki uued tarkvarareeglid ei puuduta.

Konks on selles, mida tähendab „turule laskmine“. Komisjoni sinine juhend ütleb, et mõiste „viitab igale üksikule tootele, mitte tootetüübile“. Iga eksemplar, mis lahkub alates 20. jaanuarist 2027 teie tehasest ELi kliendile, peab vastama uutele nõuetele, tarkvara kaasa arvatud. Pidevalt tarnitav masinapere vajab valmis juhtimistarkvara enne 2027. aasta esimest eksemplari, mitte järgmise mudelivahetuse ajaks.

Läbimõtlemist vajavad ka hilisemad uuendused. Muudatus, mis on tehtud „füüsiliste või digitaalsete vahenditega“ ja mida tootja ette ei näinud ning mis tekitab uue ohu või suurendab riski, võib olla oluline muutmine. Põhjenduse 32 kohaselt peaks riskihindamine hõlmama turule laskmise ajal ette nähtud tarkvarauuendusi, seega kirjeldage oma uuendusteed seal juba praegu.

Mida see tähendab masina igas kihis

Ohutuskontroller ja PLC

• Otsustage, mis on ohutuse seisukohalt oluline. Tavaliselt on see ohutusprogramm, kuid sinna võib kuuluda ka tavaline PLC-kood, mis toidab mõnd ohutusfunktsiooni, ajamite ohutusparameetrid ning laserskannerite või valguskardinate konfiguratsioon. Pange see iga masinapere kohta kirja; kõik muu sõltub sellest.
• Lähtetase ja võrdlus. Salvestage iga väljaantud konfiguratsiooni jaoks iga ohutuse seisukohalt olulise elemendi kontrollsumma või allkiri. Käivitamisel ja kindlate ajavahemike järel võrdleb masin töötavat versiooni selle lähtetasemega ja salvestab iga erinevuse. Nii jääb vahele sekkumine, mis läks teie juurdepääsukontrollist mööda, näiteks otse kontrolleriga ühendatud sülearvuti.
• Lukustage inseneri juurdepääs. Ohutusprogrammile paroolid, kasutamata pordid ja teenused välja lülitatud ning inseneri juurdepääs ainult teed pidi, mis autendib inimese ja logib, mida ta tegi.

HMI

• Tarkvara identifitseerimise ekraan, mis loetleb ohutuse seisukohalt olulise tarkvara koos versioonide ja kontrollsummadega. Lugege väärtused seadmetest reaalajas. Väljalaske ajal käsitsi kirjutatud leht nihkub tegelikkusest eemale ja nõue ütleb „igal ajal“.
• Parameetrite ekraanid. Punkti 1.2.1 alapunkt d välistab seadete või reeglite muutmise, mis võivad põhjustada ohtlikke olukordi. Ohutusega seotud parameetrid kuuluvad juurdepääsutasemete taha, piirangud jõustatakse kontrolleris, mitte ainult HMI-s, ning iga muudatus salvestatakse koos sellega, kes ja millal muutis, vana ja uue väärtusega.

Kaugjuurdepääs

Punkt 1.1.9 nimetab kaugseadmeid selgesõnaliselt. Praktikas:

• Ohutusfunktsioonid jäävad kohalikuks. Kaugseanss saab lugeda, diagnoosida ja muudatust ette valmistada. See ei saa tühistada seiskamist, kaitsepiiret ega lubamisseadet.
• Seansid autenditakse inimese kaupa, mitte jagatud teenusekonto kaudu, ja klient näeb, millal seanss on avatud.
• Iga seansi algus, lõpp ja muudatus läheb samasse tõendilogisse nagu kohapealsed sekkumised.

Taustsüsteem ja uuenduste konveier

Kui tarnite uuendusi pärast masina tarnimist, kuulub teie uuendusserver töö ulatusse. Iga seerianumbri kohta peate teadma, milline ohutustarkvara versioon üles laaditi, millal ja kes seda tegi. Allkirjastage uuendused ja laske masinal enne paigaldamist allkirja kontrollida.

Jälgimislogi ise

Määrus ei ütle, kus logi asub. Meie seisukoht: arvestatav koopia asub masinas, sest paljud kliendid ei luba püsiühendust. Pilvepeegel on kasulik, kuid see ei saa olla ainus koopia.

Maht on väike: sekkumised ja ohutustarkvara üleslaadimised, mitte protsessiandmed. Viis aastat mahub kohalikku salvestusruumi, kui selle teadlikult dimensioneerite. Kaitske logi kustutamise eest ja veenduge, et see elab üle kontrolleri vahetuse. Kui kirjetes on tehniku nimi, on need kliendi juures isikuandmed: logige seda, mida nõue vajab, ja mitte rohkem.

Mida teie kontrolleri tarnija annab ja mida mitte

Teie kontrolleriplatvorm annab osa sellest. Enne kui midagi ehitate, kontrollige, mida see pakub: ohutusprogrammi allkiri või kontrollsumma, paroolikaitse, kasutajahaldus, muudatuste logi, versiooni väljalugemine. Kasutage kõike, mis olemas on.

Need on ehitusplokid. Tarnija ei tea, millised teie ajamitest ja skanneritest on ohutuse seisukohalt olulised, ei näe teie kaugjuurdepääsu lüüsi ega uuendusserverit ega saa otsustada, kuidas tõendid elavad üle viis aastat ja kontrolleri asendamise. Nende funktsioonide seadistamine, kogu masina ulatuses ühendamine ja tulemuse dokumenteerimine on ehitaja töö ning ehitaja allkirjastab vastavusdeklaratsiooni.

Kuidas see seostub küberkerksuse määrusega

Küberkerksuse määrusel (Cyber Resilience Act, CRA) on oma ajakava. Selle teavitamiskohustused kehtivad alates 11. septembrist 2026 ja täielikud nõuded alates 11. detsembrist 2027. Masinamäärus jõustub nende kahe vahel.

CRA tunnistab kattuvust. Määruse (EL) 2024/2847 põhjendus 53 ütleb, et masinate tootjad, kelle masin on ühtlasi digielementidega toode, peaksid järgima mõlemat ning et CRA järgimine „võiks hõlbustada“ punktide 1.1.9 ja 1.2.1 järgimist. Selle sünergia peab tõendama tootja. CRA I lisa nõuab „käskude, programmide ja konfiguratsiooni“ terviklikkuse kaitset ning rikkumistest teatamist, mis on lähedane sellele, mida nõuab punkt 1.1.9.

Üks erinevus on teie logi ülesehituse jaoks oluline. CRA nõue registreerida ja jälgida sisemist tegevust tuleb koos „kasutaja loobumisvõimalusega“. Masinamääruse jälgimislogi peab jääma sisselülitatuks viieks aastaks. Ehitage soovi korral üks logimismehhanism, kuid ärge laske CRA loobumislülitil masinalogi välja lülitada.

Ehitage praegu masinamääruse jaoks, sest see tuleb esimesena, ja kujundage lahendus nii, et samad tõendihoidla, allkirjastamine ja uuenduste kirjed teeniksid 2027. aasta detsembris ka CRA-d.

Standardid ja ebaõnnestunud edasilükkamine

Ärge lootke, et neid nõudeid hõlmav harmoneeritud standard avaldatakse viitena 20. jaanuariks 2027. Komisjoni harmoneeritud standardite leht, mida uuendati 2026. aasta septembris, ütleb, et esimene masinamääruse alusel koostatav loetelu on ettevalmistamisel. See kannab üle enamiku direktiivi alusel viidatud standarditest ja täpsustab neid seal, kus need uusi nõudeid „veel täielikult ei käsitle“, ning seda „võib oodata enne selle aasta lõppu“.

2026. aasta jaanuaris palusid CEMA, CECE, CECIMO, EGMF ja FEM ühises tööstuse seisukohas lükata punktid 1.1.9 ja 1.2.1(f) edasi 11. detsembrini 2027, kooskõlas CRA-ga. Nad hindasid vastavuskuludeks „rohkem kui 1 miljon € platvormiarhitektuuri kohta“ ja ütlesid, et oodatavad standardid jäävad punkti 1.2.1(f) andmelogi osas väga üldiseks.

Seda taotlust ei rahuldatud. Masinamäärust muudeti 2026. aasta juulis määrusega (EL) 2026/1744, kuid see muudatus käsitleb masinates kasutatavaid suure riskiga tehisintellektisüsteeme ega puuduta kohaldamise kuupäeva. Planeerige 20. jaanuari 2027 järgi.

Seega ei pruugi teil esimesel päeval olla standardit, mis annaks nende kahe nõude osas vastavuseelduse. Teie tehniline toimik peab siis kirjeldama lahendust, mida kummagi puhul rakendasite (IV lisa). Kirjutage see ehitamise ajal, mitte pärast. I lisa B osas loetletud masinate puhul on veel üks samm: enesehindamine on võimalik ainult siis, kui harmoneeritud standardid või ühtsed kirjeldused hõlmavad kõiki asjakohaseid nõudeid; vastasel juhul kaasatakse teavitatud asutus (artikkel 25). I lisas loetlemata masinad hindavad end igal juhul ise.

15 nädala plaan

Esmaspäevast, 5. oktoobrist 2026 kuni tähtajani on veidi üle 15 nädala, pühad keskel. See on pingeline, kuid teostatav, kui seate prioriteedid tarnekuupäeva järgi: esimesena tulevad masinapered, mille ELi eksemplarid lähevad välja jaanuaris.

1. 1. ja 2. nädal (5. kuni 16. oktoober): ulatus. Loetlege kõik masinapered, mis tarnivad ELi eksemplare pärast 20. jaanuari 2027. Loetlege igaühe kohta ohutuse seisukohalt olulised tarkvara ja andmed: ohutusprogramm, vastavuse seisukohalt kriitiline standardkood, ajamite ja andurite ohutusparameetrid, HMI, püsivara, kaugjuurdepääsu lüüs. Määrake igale masinaperele üks omanik.
2. 3. ja 4. nädal (19. kuni 30. oktoober): riskihindamine ja puudujäägid. Uuendage riskihindamist ühenduste, kaugjuurdepääsu, pahatahtlike katsete ja uuendustee osas. Kontrollige, mida teie kontrolleriplatvorm pakub ja mis on sisse lülitatud.
3. 5. kuni 9. nädal (2. novembrist 4. detsembrini): ehitamine. Tarkvara identifitseerimise ekraan, lähtetaseme võrdlus, inseneri- ja kaugjuurdepääsu kontroll, viie aasta mahutavusega jälgimislogi, allkirjastatud uuendused ja seerianumbripõhised kirjed taustsüsteemis.
4. 10. ja 11. nädal (7. kuni 18. detsember): testige nii, nagu teeksid tehnik ja ründaja. Muutke ohutusparameetrit otse tarnija tööriistaga ja kontrollige, et masin selle salvestab. Vahetage kontroller ja kontrollige, et logi jääb alles. Katkestage uuenduse ajal toide.
5. 12. ja 13. nädal (21. detsembrist 1. jaanuarini): pühad. Ärge planeerige insenertööd; jätke käima pikaajaline koormustest, mis täidab logi viie aasta mahu suunas.
6. 14. ja 15. nädal (4. kuni 15. jaanuar): dokumentatsioon ja väljalase. Tehnilise toimiku kanded punktide 1.1.9 ja 1.2.1 kohta, kasutusjuhend, mis selgitab, kuidas klient tarkvara identifitseerimise teavet loeb ning mida kaugjuurdepääs teha saab ja mida mitte, ning tootmise samm, mis laadib väljaantud lähtetaseme ja salvestab selle seerianumbri kaupa.

Kui seda vajab rohkem platvormiarhitektuure, kui sellesse aknasse mahub, öelge müügile kohe: eksemplari, mis pole valmis, ei tohi seaduslikult ELi turule lasta.

Kellele see ei ole mõeldud

Enne 20. jaanuari 2027 turule lastud masinaid need tarkvarareeglid ei puuduta, välja arvatud juhul, kui keegi neid hiljem oluliselt muudab. Kui ostate masinaid, mitte ei ehita neid, lasub kohustus teie tarnijal; teie osa on nõuda oma tehnilistes tingimustes tarkvara identifitseerimise teavet ja juurdepääsu logile.

Kust abi saada

Oleme tarkvaraettevõte, mitte teavitatud asutus ega advokaadibüroo. Ehitame ja muudame tarkvara, kuhu need nõuded jõuavad: HMI- ja taustrakendused, kaugjuurdepääsu lüüsid, uuenduste konveierid ja tõendite logimine, töötades koos automaatikainseneridega, kellele ohutusprogramm kuulub. Kõige raskem juhtum on vanemad platvormid, kuhu on aastate jooksul koodi kogunenud, ja sealt algab tavaliselt meie pärandsüsteemide hooldustöö; CRA poolt käsitleb meie küberkerksuse määruse juhend. Kui teie meeskonnal on plaan olemas, kuid puuduvad käed, et see jaanuariks lõpule viia, kirjutage aadressile office@c9group.dev.