20 Ocak 2027'den İtibaren AB Makine Tüzüğü: Makine Yazılımınızdan Ne İstiyor

20 Ocak 2027'de Makine Direktifi'nin yerini (AB) 2023/1230 sayılı Tüzük, yani Makine Tüzüğü alıyor. CE işaretli makine üreten herkes için büyük kısmı tanıdık gelecek. Bir kısmı ise gelmeyecek. Makine mevzuatı ilk kez doğrudan yazılıma yükümlülük getiriyor: makine güvenli çalışmak için hangi yazılıma ihtiyaç duyduğunu söylemek, bu yazılım ya da yapılandırması değiştiğinde bunu fark etmek, bozulmaya karşı direnmek ve güvenlik yazılımı güncellemelerinin izini beş yıl boyunca tutmak zorunda.

Bu yazı makine üreticilerindeki mühendislik ve kontrol sistemleri yöneticileri için. Bu tarihten sonra AB'ye makine gönderiyorsanız, bu gereklilikler PLC programlarınıza, HMI'nıza, uzaktan erişiminize ve güncelleme altyapınıza yansıyacak.

Yasa Gerçekte Ne Diyor

Avrupa Komisyonu, Tüzüğün “20 Ocak 2027 itibarıyla zorunlu olarak uygulandığını” ve “uyumla ilgili yazılım verileri ve güvenlik kontrol sistemleri için siber güvenlik hükümlerini bünyesine kattığını” belirtiyor. 2023'te yayımlanan metinde tarih 14 Ocak'tı; bir düzeltme ile değiştirildi.

Yazılım yükümlülükleri, Tüzüğün Ek III'ündeki iki temel sağlık ve güvenlik gerekliliğinde yer alıyor.

Bölüm 1.1.9: bozulmaya karşı koruma. Kısaca:

• Makineye doğrudan ya da uzaktan başka bir cihaz bağlanması tehlikeli bir duruma yol açmamalı.
• Güvenlik gerekliliklerine uyum açısından kritik olan yazılım ve veriler “bu şekilde tanımlanmalı” ve kazara ya da kasıtlı bozulmaya karşı korunmalı.
• Bu yazılıma erişim sağlayan sinyal veya verileri taşıyan donanım da (güvenlik kontrolörüne açılan bir programlama portu ya da ağ arayüzü gibi) korunmalı ve makine bu donanıma yapılan müdahalenin kanıtını toplamalı.
• Makine “üzerinde kurulu olan ve güvenli çalışması için gerekli yazılımı tanımlamalı ve bu bilgiyi her zaman kolay erişilebilir bir biçimde sağlayabilmeli.”
• Makine “makinede veya ilgili üründe kurulu yazılıma ya da yapılandırmasına yapılan meşru veya meşru olmayan bir müdahalenin ya da yazılımda yapılan bir değişikliğin kanıtını toplamalı.”

Bölüm 1.2.1: kontrol sistemlerinin güvenliği ve güvenilirliği. Kontrol sistemleri “üçüncü tarafların tehlikeli bir duruma yol açan, makul ölçüde öngörülebilir kötü niyetli girişimlerine” dayanmalı. (f) bendi kayıt tutma yükümlülüğünü ekliyor: bir müdahalenin ürettiği verilere ve makine piyasaya arz edildikten sonra yüklenen güvenlik yazılımı sürümlerine ait bir izleme kaydı, “bu yüklemeden sonra beş yıl boyunca etkin tutulur.” Kayıt, bir ulusal makam gerekçeli bir talepte bulunduğunda uygunluğu göstermek için vardır, başka hiçbir amaç için değil.

Listede şu da var: teknik dosya, bir makam isterse “güvenlikle ilgili yazılımın kaynak kodunu veya programlama mantığını” sunabilmeli (Ek IV).

Hangi Makineler Kapsamda

Kurallar 20 Ocak 2027'den itibaren piyasaya arz edilen makineler için geçerli. Bu tarihten önce eski Direktif kapsamında piyasaya arz edilmiş makineler satılmaya devam edebilir (Madde 52) ve sahada hâlihazırda çalışan makineler yeni yazılım kurallarının kapsamına girmez.

Püf noktası “piyasaya arz” kavramının anlamı. Komisyon'un Blue Guide'ı, bu kavramın “bir ürün tipini değil, her bir ürünü ayrı ayrı ifade ettiğini” söylüyor. 20 Ocak 2027'den itibaren fabrikanızdan bir AB müşterisine çıkan her ünite, yazılım dahil yeni gereklilikleri karşılamak zorunda. Sürekli sevkiyatı yapılan bir ürün ailesinin kontrol yazılımı bir sonraki model değişikliğinde değil, 2027'nin ilk ünitesinden önce hazır olmalı.

Sonraki güncellemeler de üzerinde düşünülmeyi gerektiriyor. Üreticinin öngörmediği ve yeni bir tehlike yaratan ya da bir riski artıran, “fiziksel veya dijital yollarla” yapılmış bir değişiklik, esaslı bir değişiklik sayılabilir. Gerekçe 32, risk değerlendirmesinin piyasaya arz sırasında öngörülen yazılım güncellemelerini de kapsaması gerektiğini söylüyor; bu nedenle güncelleme yolunuzu şimdiden orada tarif edin.

Makinenin Her Katmanında Ne Anlama Geliyor

Güvenlik kontrolörü ve PLC

• Neyin güvenlikle ilgili olduğuna karar verin. Bu genellikle güvenlik programıdır, ancak bir güvenlik fonksiyonunu besleyen standart PLC kodunu, sürücülerdeki güvenlik parametrelerini ve lazer tarayıcıların ya da ışık perdelerinin yapılandırmasını da kapsayabilir. Bunu her makine ailesi için yazılı hâle getirin; geri kalan her şey buna bağlı.
• Referans alın ve karşılaştırın. Yayımlanan her yapılandırma için güvenlikle ilgili her öğenin bir sağlama toplamını ya da imzasını kaydedin. Makine açılışta ve belirli aralıklarla çalışan yazılımı bu referansla karşılaştırır ve her farkı kaydeder. Bu, erişim kontrolünüzü atlayan müdahaleyi yakalar; örneğin kontrolöre doğrudan takılan bir dizüstü bilgisayarı.
• Mühendislik erişimini kilitleyin. Güvenlik programında parolalar, kullanılmayan portların ve servislerin devre dışı bırakılması ve mühendislik erişiminin yalnızca kişinin kimliğini doğrulayan ve yaptıklarını kaydeden bir yoldan verilmesi.

HMI

• Bir yazılım tanımlama ekranı. Güvenlikle ilgili yazılımı sürümleri ve sağlama toplamlarıyla listelesin. Değerleri cihazlardan canlı olarak okuyun. Yayım sırasında elle doldurulmuş bir sayfa zamanla gerçeklikten uzaklaşır; gereklilik ise “her zaman” diyor.
• Parametre ekranları. 1.2.1(d) bendi, tehlikeli durumlara yol açabilecek ayar veya kural değişikliklerini yasaklıyor. Güvenlikle ilgili parametreler erişim seviyelerinin arkasında olmalı, sınırlar yalnızca HMI'da değil kontrolörde de uygulanmalı ve her değişiklik kimin yaptığı, ne zaman yapıldığı, eski değer ve yeni değerle birlikte kaydedilmeli.

Uzaktan erişim

Bölüm 1.1.9 uzak cihazları açıkça anıyor. Pratikte:

• Güvenlik fonksiyonları yerel kalır. Uzak bir oturum okuyabilir, teşhis koyabilir ve bir değişikliği hazırlayabilir. Bir durdurmayı, bir koruyucuyu ya da bir etkinleştirme cihazını geçersiz kılamaz.
• Oturumlarda kimlik doğrulama paylaşılan bir servis hesabıyla değil, kişi bazında yapılır ve müşteri bir oturumun ne zaman açık olduğunu görebilir.
• Her oturum başlangıcı, bitişi ve değişikliği, yerel müdahalelerle aynı kanıt kaydına girer.

Altyapı ve güncelleme hattı

Sevkiyattan sonra güncelleme gönderiyorsanız, güncelleme sunucunuz da bu işin kapsamındadır. Her seri numarası için hangi güvenlik yazılımı sürümünün, ne zaman ve kim tarafından yüklendiğini bilmeniz gerekir. Güncellemeleri imzalayın ve makinenin herhangi bir şey kurmadan önce imzayı kontrol etmesini sağlayın.

İzleme kaydının kendisi

Tüzük, kaydın nerede tutulacağını söylemiyor. Bizim görüşümüz: geçerli olan kopya makinede durmalı, çünkü pek çok müşteri kalıcı bir bağlantıya izin vermeyecektir. Bir bulut yansısı faydalıdır, ancak tek kopya olamaz.

Veri hacmi küçüktür: süreç verileri değil, müdahaleler ve güvenlik yazılımı yüklemeleri. Bilerek boyutlandırırsanız beş yıllık kayıt yerel depolamaya sığar. Kaydı silinmeye karşı koruyun ve bir kontrolör değişiminden sağ çıktığından emin olun. Kayıtlarda bir teknisyenin adı geçiyorsa bu, müşterinin tesisinde kişisel veridir: gerekliliğin ihtiyaç duyduğunu kaydedin, fazlasını değil.

Kontrolör Tedarikçinizin Size Verdikleri ve Vermedikleri

Kontrolör platformunuz bunun bir kısmını sağlayacaktır. Bir şey geliştirmeden önce neler sunduğunu kontrol edin: güvenlik programı üzerinde bir imza veya sağlama toplamı, parola koruması, kullanıcı yönetimi, bir değişiklik kaydı, sürüm okuma. Ne varsa kullanın.

Bunlar yapı taşlarıdır. Tedarikçi, sürücülerinizden ve tarayıcılarınızdan hangilerinin güvenlikle ilgili olduğunu bilmez, uzaktan erişim ağ geçidinizi ya da güncelleme sunucunuzu göremez ve kanıtların beş yılı ve bir kontrolör değişimini nasıl atlatacağına karar veremez. Bu özellikleri yapılandırmak, bunları tüm makine genelinde birbirine bağlamak ve sonucu belgelemek üreticinin işidir ve uygunluk beyanını imzalayan da üreticidir.

Bunun Cyber Resilience Act ile İlişkisi

Cyber Resilience Act kendi takvimiyle ilerliyor. Raporlama yükümlülükleri 11 Eylül 2026'dan beri uygulanıyor, gerekliliklerinin tamamı ise 11 Aralık 2027'den itibaren geçerli. Makine Tüzüğü bu ikisinin arasına düşüyor.

CRA bu örtüşmeyi kabul ediyor. (AB) 2024/2847 sayılı Tüzüğün 53. gerekçesi, aynı zamanda dijital unsurlu bir ürün olan makinelerin üreticilerinin her ikisine de uyması gerektiğini ve CRA'ya uyumun 1.1.9 ve 1.2.1 numaralı bölümlere uyumu “kolaylaştırabileceğini” söylüyor. Bu sinerjiyi göstermek üreticiye düşüyor. CRA'nın Ek I'i “komutların, programların ve yapılandırmanın” bütünlüğünün korunmasını ve bozulmaların raporlanmasını istiyor; bu, 1.1.9'un istediğine yakın.

Bir fark kayıt tasarımınız açısından önemli. CRA'nın iç faaliyetleri kaydetme ve izleme gerekliliği “kullanıcı için bir devre dışı bırakma mekanizmasıyla” birlikte geliyor. Makine Tüzüğü'nün izleme kaydı ise beş yıl boyunca etkin kalmak zorunda. İsterseniz tek bir kayıt mekanizması kurun, ancak CRA'nın devre dışı bırakma seçeneğinin makine kaydını kapatmasına izin vermeyin.

Önce o geldiği için şimdi Makine Tüzüğü'ne göre geliştirin ve tasarımı, aynı kanıt deposu, imzalama ve güncelleme kayıtları Aralık 2027'de CRA'ya da hizmet edecek şekilde yapın.

Standartlar ve Başarısız Erteleme Talebi

Bu gereklilikleri kapsayan bir uyumlaştırılmış standardın 20 Ocak 2027'ye kadar yayımlanacağına güvenmeyin. Komisyon'un Eylül 2026'da güncellenen uyumlaştırılmış standartlar sayfası, Makine Tüzüğü kapsamındaki ilk listenin hazırlanmakta olduğunu söylüyor. Liste, Direktif kapsamında atıf yapılan standartların çoğunu devralacak ve yeni gereklilikleri “henüz tam olarak karşılamadıkları” noktalarda bunlara açıklık getirecek; listenin “bu yılın sonundan önce” çıkması bekleniyor.

Ocak 2026'da CEMA, CECE, CECIMO, EGMF ve FEM, ortak bir sektör görüşünde 1.1.9 ve 1.2.1(f) hükümlerinin CRA ile uyumlu olarak 11 Aralık 2027'ye ertelenmesini istedi. Uyum maliyetlerini “platform mimarisi başına 1 milyon €'dan fazla” olarak hesapladılar ve beklenen standartların 1.2.1(f)'deki veri kaydı konusunda çok genel kaldığını söylediler.

Bu talep kabul edilmedi. Makine Tüzüğü Temmuz 2026'da (AB) 2026/1744 sayılı Tüzük ile değiştirildi, ancak bu değişiklik makinelerdeki yüksek riskli yapay zeka sistemleriyle ilgili ve uygulama tarihine dokunmuyor. Planınızı 20 Ocak 2027'ye göre yapın.

Dolayısıyla ilk gün bu iki gereklilik için uygunluk karinesi sağlayan bir standardınız olmayabilir. Bu durumda teknik dosyanız her biri için uyguladığınız çözümü tarif etmek zorunda (Ek IV). Bunu sonradan değil, geliştirirken yazın. Ek I, Bölüm B'de listelenen makineler için bir adım daha var: öz değerlendirme ancak uyumlaştırılmış standartlar veya ortak spesifikasyonlar ilgili tüm gereklilikleri kapsıyorsa mümkün; aksi hâlde bir onaylanmış kuruluş sürece dahil olur (Madde 25). Ek I'de listelenmeyen makineler her durumda öz değerlendirme yapar.

15 Haftalık Bir Plan

5 Ekim 2026 Pazartesi'den son tarihe kadar 15 haftadan biraz fazla zaman var ve ortasında tatiller bulunuyor. Sevkiyat tarihine göre önceliklendirirseniz sıkışık ama uygulanabilir: Ocak'ta AB ünitesi çıkacak ürün aileleri önce gelir.

1. 1. ve 2. haftalar (5-16 Ekim): kapsam. 20 Ocak 2027'den sonra AB ünitesi sevk edecek her makine ailesini listeleyin. Her biri için güvenlikle ilgili yazılımı ve verileri listeleyin: güvenlik programı, uyum açısından kritik standart kod, sürücü ve sensör güvenlik parametreleri, HMI, firmware, uzaktan erişim ağ geçidi. Her aile için bir sorumlu belirleyin.
2. 3. ve 4. haftalar (19-30 Ekim): risk değerlendirmesi ve eksikler. Risk değerlendirmesini bağlantılar, uzaktan erişim, kötü niyetli girişimler ve güncelleme yolu açısından güncelleyin. Kontrolör platformunuzun neler sağladığını ve nelerin etkin olduğunu kontrol edin.
3. 5. ile 9. haftalar arası (2 Kasım-4 Aralık): geliştirme. Yazılım tanımlama ekranı, referans karşılaştırması, mühendislik ve uzaktan erişimde erişim kontrolü, beş yıllık kapasiteli izleme kaydı, imzalı güncellemeler ve altyapıda seri numarası bazında kayıtlar.
4. 10. ve 11. haftalar (7-18 Aralık): bir teknisyenin ve bir saldırganın yapacağı gibi test edin. Bir güvenlik parametresini doğrudan tedarikçinin aracıyla değiştirin ve makinenin bunu kaydettiğini doğrulayın. Bir kontrolörü değiştirin ve kaydın korunduğunu kontrol edin. Bir güncelleme sırasında elektriği kesin.
5. 12. ve 13. haftalar (21 Aralık-1 Ocak): tatil. Mühendislik çalışması planlamayın; kaydı beş yıllık boyutuna doğru dolduran bir uzun süreli test çalışır durumda kalsın.
6. 14. ve 15. haftalar (4-15 Ocak): dokümantasyon ve yayım. 1.1.9 ve 1.2.1 için teknik dosya girdileri; bir müşterinin yazılım tanımlamasını nasıl okuyacağını ve uzaktan erişimin neleri yapıp neleri yapamayacağını açıklayan kullanım talimatları; ve yayımlanan referansı yükleyip seri numarası bazında kaydeden bir üretim adımı.

Bu zaman aralığına sığandan daha fazla platform mimarisinin buna ihtiyacı varsa satış ekibine şimdi söyleyin: hazır olmayan bir ünite AB pazarına yasal olarak arz edilemez.

Bu Yazı Kimler İçin Değil

20 Ocak 2027'den önce piyasaya arz edilmiş makineler, sonradan biri bunlarda esaslı bir değişiklik yapmadıkça bu yazılım kurallarının kapsamına girmez. Makine üretmiyor da satın alıyorsanız yükümlülük tedarikçinize aittir; sizin payınıza düşen, şartnamelerinizde yazılım tanımlaması ve kayda erişim talep etmektir.

Nereden Yardım Alabilirsiniz

Biz bir onaylanmış kuruluş ya da hukuk bürosu değil, bir yazılım şirketiyiz. Bu gerekliliklerin yansıdığı yazılımı geliştiriyor ve değiştiriyoruz: HMI ve altyapı uygulamaları, uzaktan erişim ağ geçitleri, güncelleme hatları ve kanıt kaydı; bunu güvenlik programının sahibi olan kontrol mühendisleriyle birlikte yapıyoruz. Yıllar içinde birikmiş kodu olan eski platformlar en zor durumdur ve eski sistem bakımı çalışmalarımız genellikle burada başlar; CRA tarafı ise Cyber Resilience Act rehberimizde ele alınıyor. Ekibinizin bir planı var ama Ocak'a kadar bitirecek eli yoksa office@c9group.dev adresine yazın.