Maskindirektivet 2006/42/EF stillede krav til, at styresystemer kunne tåle driftsbelastninger og forudsigelige ydre påvirkninger. Software og data havde ingen selvstændige krav. Med maskinforordningen får styresystemet en digital opgradering: det skal også stå imod manipulation, og maskiner med selvudviklende adfærd får deres egne krav.
Område
Maskindirektivet 2006/42/EF
Maskinforordningen 2023/1230
Ydre påvirkninger
Driftsbelastninger og forudsigelige ydre påvirkninger
Også tredjeparters ondsindede handlinger
Software og data
Ingen selvstændige krav
Beskyttelse mod forvanskning og opsamling af beviser (ny)
Selvudviklende adfærd
Ikke reguleret
Krav til autonom drift, korrektion og logning (ny)
Læringsfaser
Ingen grænser for selvgenererede parametre
Farlige regelændringer er forbudt (ny)
Netværk
Fokus på svigt i energitilførslen
Også afbrydelse, genetablering og variation i dataforbindelser
BILAG III, PUNKT 1.1.9
Kravet er helt nyt. Det gælder den software, som maskinens overensstemmelse med sikkerhedskravene afhænger af, og den hardware, der giver adgang til den. I praksis betyder det tre ting:
Forbindelser må ikke skabe fare
Tilslutning af en ekstern enhed, via kabel eller trådløst, må aldrig føre til en farlig situation. Det gælder også en servicetekniker med en bærbar computer eller et USB-stik.
Beskyt dataoverførslen
Hardware, der giver adgang til kritisk software, beskyttes mod forvanskning, fx med kryptering og adgangskontrol som adgangskoder eller fysiske låse på serviceporte.
Opsaml beviser automatisk
Både legitime og illegitime indgreb samt alle ændringer i softwaren registreres, så det kan dokumenteres, hvem der har ændret hvad, og hvornår.
Status på standarden: prEN 50742 skal understøtte kravet. Udkastet har været i offentlig høring fra januar 2026, men er endnu ikke harmoniseret. Indtil da skal I selv kunne begrunde, hvordan jeres løsning opfylder bilag III.
BILAG III, PUNKT 1.2.1
De tre første krav kender I fra direktivet. De handler om funktionel sikkerhed. Det fjerde er nyt og gør styresystemet til et cybersikkerhedsanliggende.
Ingen farlig tilstand
Fejl og udfald i styresystemet må ikke føre til fare.
Forudsigelig adfærd
Under alle tilsigtede driftsforhold.
Sikker reaktion
Fejl fører maskinen til en sikker tilstand.
Modstår ondsindede handlinger (ny)
Rimeligt forudsigelige forsøg på manipulation, fra tredjeparter, må ikke føre til fare.
Konsekvensen er, at test og validering skal dække både funktionel sikkerhed, fx efter EN ISO 13849-1, og modstand mod digital manipulation. Safety og security kan ikke længere verificeres hver for sig.
BILAG III, PUNKT 1.2.1 OG 1.2.6
Bygger I maskiner med maskinlæring eller adaptiv adfærd, gælder en række ekstra krav. Den selvudviklende algoritme må aldrig kunne tilsidesætte maskinens fysiske grænser eller definerede opgaver.
Krav til autonom drift
Hold maskinen inden for rammen
Ingen handlinger uden for de definerede opgaver og bevægelsesområder.
Mennesket kan altid gribe ind
En operatør skal til enhver tid kunne korrigere eller nulstille maskinen manuelt, uanset hvad algoritmen har besluttet.
Registrér beslutningerne
Sikkerhedsrelaterede beslutninger logges, og logningen er altid aktiveret.
Læringsfaser: lås det kritiske
Under en læringsfase, fx når en robot lærer en ny bane, må maskinen og operatøren justere parametre inden for et fastlagt område. Sikkerhedsgrænserne ligger uden for læringen og er låst. De fastlægges i risikovurderingen, og ændringer, der kan føre til fare, blokeres.
Netværk: test både afbrydelse og genetablering
Kravet i punkt 1.2.6 er udvidet fra energitilførsel til også at omfatte dataforbindelser, fx fabriksnetværk og cloud. Afbrydes forbindelsen, må der ikke opstå en farlig situation. Genetableres den, må maskinen ikke starte uventet. Sikkerhedskredsen bør derfor køre lokalt på maskinen og ikke være afhængig af en forbindelse til en server.
AI-baserede sikkerhedsfunktioner kan høre under bilag I, del A. Så skal et bemyndiget organ inddrages i overensstemmelsesvurderingen.
BILAG III, PUNKT 1.1.9 OG 1.2.1
Forordningen skelner mellem to logs med forskellige formål og opbevaringsfrister. Begge skal beskyttes mod uautoriseret ændring og sletning, og begge indgår i jeres bevis for overensstemmelse i det tekniske dossier.
Sporingslog
Gælder alle maskiner med sikkerhedsrelateret software. Svarer på hvem, hvad og hvornår.
Hvad
Data fra fysiske og digitale indgreb og uploadede versioner af sikkerhedssoftware
Hvor længe
Mindst 5 år efter upload
Formål
Påvise overensstemmelse over for myndighederne
Beslutningslog
Gælder maskiner med selvudviklende adfærd. Svarer på hvorfor.
Hvad
De sikkerhedsrelaterede beslutninger, maskinen har truffet
Hvor længe
Mindst 1 år, med logning altid aktiveret
Formål
Forklare, hvorfor maskinen traf beslutningen
Maskinforordningen er ét af tre EU-regelsæt, der tilsammen dækker cybersikkerhed fra komponent til fabrik. De fordeler ansvaret i værdikæden:
Cyber Resilience Act
Komponentleverandøren
Leverer cybersikre byggeklodser som PLC’er og routere, uden kendte sårbarheder og med opdateringer i supportperioden.
Finder anvendelse fra december 2027
Maskinforordningen
Maskinbyggeren
Integrerer komponenterne i en maskine, der er robust både fysisk og digitalt og beskyttet mod forvanskning.
Finder anvendelse fra 20. januar 2027
NIS2-direktivet
Virksomheden, der bruger maskinen
Driver maskinen i et sikret og overvåget setup med backup, logning, beredskab og krav til leverandørerne.
Gældende fra 18. oktober 2024
For maskinbyggere betyder det, at jeres kunder i stigende grad vil efterspørge dokumentation for cybersikkerhed som en del af deres egne NIS2-forpligtelser.
Første skridt er at kortlægge maskinens angrebsflade. Tag alle grænseflader med, også dem der normalt er plomberet, for de er stadig en vej ind:
Netværk
Ethernet, wifi og Bluetooth, fra det lokale OT-net og videre ud i fabrikken
Fysiske porte
USB og andre interfaces, hvor nogen kobler sig direkte på
Hukommelseskort
SD- og CF-kort, hvor software og konfiguration kan skiftes
Cloud og fjernadgang
Fjernservice, diagnose og softwareopdateringer udefra
To veje: Approach A eller B
Udkastet giver to metoder. Approach A er en direkte trusselsvurdering pr. grænseflade, rettet mod maskinproducenter, og kræver ikke fuld brug af EN IEC 62443. Approach B arbejder med zoner og forbindelser efter EN IEC 62443-3-3, 4-1 og 4-2 og bruges typisk af integratorer og anlægsejere, der ser på fabriks- og OT-netværket som helhed. Beregningen nedenfor følger Approach A.
Angrebspotentiale og SRSL
For hver sikkerhedsfunktion og tilhørende grænseflade beregnes et angrebspotentiale (AP). Sammen med skadens alvorlighed giver det krævede Safety-Related Security Level (SRSL), som er cybersikkerhedens pendant til Performance Level i funktionel sikkerhed.
Eksponeringsniveau × adgangsmulighed + angriberkapacitet
Find SRSL-niveauet for én grænseflade
Vælg et eksempel eller indstil værdierne selv. Resultatet opdateres med det samme.
- Autentificering: Enheder autentificeres
- Autorisation: Autorisation kræves
- Systemintegritet: Checksums ved opstart
- Boot-integritet: Checksums ved opstart
- Datatransmission: Integritet verificeres
- Inputvalidering: Simpel grænsekontrol
- Fysisk manipulation: Detektion, fx plombe
- Softwareautenticitet: Ingen krav
| Skade | AP0 0–5 | AP1 5,1–10 | AP2 10,1–15 | AP3 15,1–20 | AP4 over 20 |
|---|---|---|---|---|---|
| Lav eller reversibel skade | SRSL 0 | SRSL 1 | SRSL 1 | SRSL 2 | SRSL 3 |
| Høj eller irreversibel skade | SRSL 0 | SRSL 1 | SRSL 2 | SRSL 3 | SRSL 3 |
Værdierne følger udkastet prEN 50742:2025 og kan ændre sig i den endelige standard. Beregneren er et overslag og erstatter ikke en dokumenteret trusselsvurdering.
Regneeksempel: tre grænseflader på samme maskine
Samme maskine kan have grænseflader på vidt forskellige niveauer. Her er alvorligheden antaget høj og irreversibel:
USB-serviceport i låst el-skab
EL1 (2) × månedligt servicevindue (0,8) + 2 = 3,6
AP0, SRSL 0
Ethernet til linjens PLC på OT-nettet
EL2 (5) × ubegrænset adgang (1,0) + 2 = 7,0
AP1, SRSL 1
Fjernservice-router til internettet
EL4 (24) × daglige sessioner (0,9) + 2 = 23,6
AP4, SRSL 3
Eksemplet viser, hvorfor fjernadgang er den dyreste beslutning i et maskindesign: en maskine med direkte forbindelse til internettet lander på SRSL 3 og skal have hardware-forankret secure boot.
Hvert niveau bygger oven på det foregående. Skridtet fra SRSL 1 til 2 handler om løbende kontrol og signeret software. Skridtet til SRSL 3 handler om kryptografi i stedet for simple checksums.
Krav
SRSL 0
SRSL 1
SRSL 2
SRSL 3
Autentificering
Ingen krav
Enheder autentificeres
Enheder autentificeres
Unik autentificering
Autorisation
Ingen krav
Autorisation kræves
Autorisation kræves
Rollebaseret (RBAC), knyttet til unikke brugere
Systemintegritet
Ingen krav
Checksums ved opstart
Ved opstart og løbende under drift
Kryptografisk under drift (fx HMAC eller CMAC)
Boot-integritet
Ingen krav
Checksums ved opstart
Beskyttet ved opstart
Secure boot med hardware-forankret root of trust
Datatransmission
Ingen krav
Integritet verificeres
Integritet verificeres
Kryptografisk, med beskyttelse mod replay
Inputvalidering
Ingen krav
Simpel grænsekontrol
Syntaks, datatype og semantik
Kontekstbevidst validering
Fysisk manipulation
Ingen krav
Detektion, fx plombe
Detektion, fx plombe
Detektion, fx plombe
Softwareautenticitet
Ingen krav
Ingen krav
Signaturer ved installation
Signaturer ved installation
Kontekstbevidst validering på SRSL 3 betyder, at styresystemet ikke kun tjekker format, datatype og grænseværdier, men også vurderer, om en kommando giver mening ud fra det, maskinen fysisk foretager sig lige nu, og om kommunikationen overholder protokollens regler.
Hvornår gælder maskinforordningens krav til cybersikkerhed?
Maskinforordningen (EU) 2023/1230 finder anvendelse fra 20. januar 2027. Fra den dato skal maskiner, der bringes i omsætning, opfylde kravene i bilag III, herunder beskyttelse mod forvanskning i punkt 1.1.9.
Hvilken standard understøtter kravet om beskyttelse mod forvanskning?
prEN 50742 skal understøtte kravet. Udkastet har været i offentlig høring fra januar 2026 og er endnu ikke harmoniseret, så værdier og niveauer kan ændre sig i den endelige standard.
Hvor længe skal en maskine gemme sine logdata?
Sporingsloggen over indgreb og uploadede versioner af sikkerhedssoftware skal gemmes i mindst 5 år. Maskiner med selvudviklende adfærd skal desuden gemme data om sikkerhedsrelaterede beslutninger i mindst 1 år, med logning altid aktiveret.
Hvad skal der ske, hvis maskinen mister netværksforbindelsen?
Efter bilag III, punkt 1.2.6, må hverken afbrydelse, genetablering eller variation i dataforbindelser føre til en farlig situation. Når forbindelsen genetableres, må maskinen ikke starte uventet.
Kan en softwareopdatering være en væsentlig ændring?
Ja. Væsentlig ændring er nu defineret i artikel 3, nr. 16, og omfatter også digitale ændringer. Konsekvenserne følger af artikel 18.
Kilder
Forordning (EU) 2023/1230 om maskiner, bilag III, punkt 1.1.9, 1.2.1 og 1.2.6
prEN 50742:2025, udkast, tabel B.1 til B.6. Værdierne kan ændre sig i den endelige standard.
Vi ringer inden for 24 timer
