Cybersikkerhed i Maskinforordningen

Hvornår bliver cybersikkerhed et krav til maskinsikkerheden?

Maskinforordningen (EU) 2023/1230 indfører et udtrykkeligt krav om beskyttelse af maskiner mod korrumpering af sikkerhedsrelevant hardware og software.

Det betyder ikke, at enhver maskine skal behandles som et IT-system.

Det afgørende er, om en forbindelse, adgang eller ændring kan påvirke maskinens overensstemmelse med de væsentlige sikkerheds- og sundhedskrav.

Hvad skal beskyttes?

Maskinforordningens bilag III, pkt. 1.1.9 – Beskyttelse mod forvanskning (Beskyttelse mod manipulering), kræver blandt andet, at maskinen konstrueres og fremstilles, så tilslutning af andre enheder – fysisk eller via fjernadgang – ikke fører til en farlig situation.

Sikkerhedsrelevant hardware og software skal være tilstrækkeligt beskyttet mod utilsigtet eller tilsigtet ændringer.

Maskinen skal desuden kunne indsamle dokumentation for legitime og illegitime indgreb i denne hardware eller software, når indgrebene er relevante for maskinens overensstemmelse.

Hvad betyder det i praksis?

En moderne maskine kan eksempelvis have:

PLC og safety-PLC
HMI
fjernservice via VPN eller anden remote access
Ethernet/Profinet/andre industrielle netværk
softwareopdateringer
USB- eller serviceporte
parameteropsætning fra eksternt udstyr
kommunikation med MES, SCADA eller cloud-systemer.

Forbindelsen er ikke problemet i sig selv.

Spørgsmålet er:

Kan adgang gennem forbindelsen ændre noget, som har betydning for maskinens sikkerhed?

Hvis svaret er ja, skal risikoen håndteres.

Et praktisk eksempel

En maskine har remote service.

Serviceforbindelsen giver adgang til PLC’en og gør det muligt at ændre maskinparametre.

Hvis adgangen også gør det muligt at ændre eksempelvis:

sikker hastighed,
stopparametre,
sikkerhedsafstande,
muting,
operating modes,
safety-program,
sikkerhedsrelaterede konfigurationsdata,

– er det ikke længere alene et spørgsmål om IT-sikkerhed.

Adgangen kan påvirke maskinens sikkerhed og dermed dens overensstemmelse med Maskinforordningen.

Hvad skal fabrikanten gøre?

Cybersecurity skal indgå i risikovurderingen, hvor en digital påvirkning kan føre til eller bidrage til en farlig situation.

Den praktiske vurdering kan struktureres således:

1. Identificér adgangsvejene
Hvilke fysiske og digitale interfaces giver mulighed for kommunikation eller ændringer?

2. Identificér sikkerhedsrelevant hardware og software
Hvilke systemer, parametre og data kan påvirke en sikkerhedsfunktion eller et VSSK?

3. Vurder mulige ændringer
Hvad kan ske ved utilsigtet ændring, fejl, uautoriseret adgang eller manipulation?

4. Etablér beskyttelse
Adgangskontrol, rettighedsstyring, segmentering, autentifikation, beskyttelse af programmer og relevante andre tekniske foranstaltninger fastlægges efter risikoen.

5. Dokumentér indgreb
Hvor Maskinforordningen kræver det, skal maskinen kunne indsamle evidens for legitime og illegitime indgreb i relevant hardware og software.

6. Verificér sikkerheden
Det skal dokumenteres, at den valgte beskyttelse understøtter opfyldelsen af de relevante VSSK.

Standarder du bør forholde dig til

EN ISO 12100 – risikovurdering og risikoreduktion.
EN ISO 13849-1 / IEC 62061 – sikkerhedsrelaterede styresystemer, hvor relevant.
IEC 62443-serien – industriel automation og cybersecurity.
prEN 50742 – kommende standard om beskyttelse mod forvanskning i relation til Maskinforordningen.

Cybersecurity bliver et maskinsikkerhedsspørgsmål, når en digital påvirkning kan påvirke maskinens sikkerhed.

Kommende standard – prEN 50742

Der arbejdes på prEN 50742 – Safety of machinery – Protection against corruption, som er udviklet med henblik på Maskinforordningens krav om beskyttelse mod forvanskning.

Standarden er endnu et udkast og giver derfor ikke i sig selv formodning om overensstemmelse med Maskinforordningen.

Udkastet giver imidlertid en relevant teknisk retning for, hvordan kravene til beskyttelse af sikkerhedsrelevant hardware, software og kommunikation kan håndteres i praksis.

prEN 50742 inddrager blandt andet principper fra EN IEC 62443-serien om cybersikkerhed for industrielle automations- og kontrolsystemer.

Du kan læse mere hos Dansk standard