Cyberbezpieczeństwo: czy rozporządzenie (UE) 2023/1230 w sprawie maszyn wszystko zmieni?

W ostatnich latach transformacja cyfrowa zrewolucjonizowała sposób, w jaki pracujemy i żyjemy. Nasza codzienność staje się coraz bardziej wzajemnie powiązana dzięki rozwojowi łączności internetowej, inteligentnych urządzeń oraz cyfryzacji usług. Wszystko to stwarza ogromne możliwości rozwoju i innowacji, nawet jeśli zmiany te zachodziły niekiedy niemal niezauważalnie. Ewolucja ta niesie jednak ze sobą również nowe wyzwania. Jednym z nich jest cyberbezpieczeństwo, które stało się kluczowe dla ochrony danych, procesów i infrastruktury. Aby sprostać temu wyzwaniu, firmy muszą zidentyfikować swoje słabe punkty i wdrożyć skuteczne strategie zapobiegania cyberatakom oraz ograniczania ich skutków.

Rozporządzenie w sprawie maszyn (UE) 2023/1230 a cyberbezpieczeństwo

Rozporządzenie w sprawie maszyn (UE) 2023/1230 uwzględnia fakt, że maszyna może stać się celem zdalnego ataku – za pośrednictwem połączenia sieciowego lub aktualizacji oprogramowania. Z tego względu wprowadza ono wyraźne wymogi dotyczące ochrony maszyn przed nieautoryzowanym dostępem cyfrowym oraz modyfikacjami, które mogłyby zagrozić bezpieczeństwu ludzi.

Kwestia ta została wprost zasygnalizowana w motywie 25 rozporządzenia, w którym podkreślono, że podmioty działające w złej wierze mogą wpływać na bezpieczeństwo produktu poprzez cyberataki, a producenci są zobowiązani do wdrożenia odpowiednich środków w celu zapewnienia bezpieczeństwa maszyn.

W kontekście rozporządzenia w sprawie maszyn, wymogi dotyczące cyberbezpieczeństwa nie służą ochronie danych firmowych ani prywatności użytkowników. Ich celem jest zapewnienie bezpieczeństwa samego produktu – chodzi o to, by cyberataki nie prowadziły do powstania sytuacji niebezpiecznych dla ludzi, zwierząt lub mienia.

Nowe wymogi z zakresu cyberbezpieczeństwa zawarto przede wszystkim w Sekcji 1.1.9 załącznika III. Zgodnie z tym zasadniczym wymogiem w zakresie ochrony zdrowia i bezpieczeństwa (EHSR), maszyny muszą być zaprojektowane w taki sposób, aby:

podłączenie urządzeń zewnętrznych nie powodowało sytuacji niebezpiecznych;
układy sterowania zachowywały swoje funkcje bezpieczeństwa nawet w przypadku prób ingerencji;
sprzęt i oprogramowanie mające znaczenie dla bezpieczeństwa były chronione przed przypadkowymi lub celowymi zmianami;
aktualizacje oprogramowania nie naruszały funkcji bezpieczeństwa maszyny;
możliwa była identyfikacja i śledzenie zarówno dozwolonych, jak i niedozwolonych ingerencji.

Wymogi dotyczące cyberbezpieczeństwa zostały również wprowadzone w sekcji 1.2.1 załącznika III. Systemy sterowania muszą nie tylko być odporne na awarie, błędy i zakłócenia, ale także utrzymywać swoje funkcje bezpieczeństwa, które muszą być zaprojektowane tak, aby przeciwdziałać próbom manipulacji oraz złośliwym atakom.

Łatwo zauważyć, jak wpływa to na coraz większą liczbę maszyn – wystarczy pomyśleć o ich podłączeniu do Internetu, wykorzystaniu systemów zdalnego wsparcia, technologiach bezprzewodowych czy integracji z architekturami Przemysłu 4.0. W rezultacie funkcjonalności takie jak zdalne aktualizacje oprogramowania czy monitorowanie w chmurze muszą być oceniane nie tylko pod kątem funkcjonalnym, ale także w kontekście cyberbezpieczeństwa i zgodności z przepisami.

Co powinni zrobić producenci i z jakich norm powinni korzystać?

Choć rozporządzenie w sprawie maszyn (Machinery Regulation) zacznie obowiązywać od 20 stycznia 2027 r., niezbędne działania należy podjąć już dziś. W praktyce producenci maszyn powinni zadać sobie pytanie: „Czy cyberatak mógłby doprowadzić do powstania sytuacji niebezpiecznej lub zakłócić działanie funkcji bezpieczeństwa?”. Jeśli odpowiedź brzmi „tak”, należy jak najszybciej zaplanować i wdrożyć odpowiednie kroki.

Pierwszym etapem jest bez wątpienia analiza maszyn w celu zidentyfikowania potencjalnych obszarów podatnych na ataki (tzw. powierzchni ataku). Ocena ta będzie wymagała przeglądu procesu szacowania ryzyka, tak aby uwzględnić w nim zagrożenia cybernetyczne. Na tej podstawie producenci mogą określić wymogi z zakresu cyberbezpieczeństwa, które muszą spełniać sprzęt i oprogramowanie. Wymogi te pozwolą następnie na wdrożenie odpowiednich środków ochronnych już na etapie projektowania, zgodnie z podejściem „bezpieczeństwo w fazie projektowania” (ang. *security-by-design*).

Oczywiście wszystkie te wymogi muszą zostać udokumentowane i wykazane w dokumentacji technicznej oraz procedurach wewnętrznych firmy. Na szczęście producenci mogą korzystać z uznanych norm. W dziedzinie cyberbezpieczeństwa przemysłowego głównym międzynarodowym punktem odniesienia jest obecnie seria norm IEC 62443.

Na poziomie europejskim oczekuje się również rychłej publikacji normy EN 50742 – „Bezpieczeństwo maszyn – Ochrona przed nieuprawnionymi zmianami” (ang. *Safety of machinery – Protection against corruption*). Norma ta ma wypełnić lukę wynikającą z rozporządzenia w sprawie maszyn w odniesieniu do sekcji 1.2.1(a), 1.2.1(f) oraz 1.1.9. Dostarczy ona szczegółowych wytycznych dotyczących spełnienia wymogów w zakresie ochrony przed manipulacjami i cyberatakami. Po zharmonizowaniu dokument ten ma stać się kluczowym punktem odniesienia przy projektowaniu i ocenie cyberbezpieczeństwa maszyn.

Czy wszystko ulega zmianie?

Podsumowując, cyberbezpieczeństwo nie jest już zagadnieniem ograniczonym wyłącznie do obszaru IT. Staje się ono pełnoprawnym wymogiem w zakresie bezpieczeństwa maszyn.

Celem rozporządzenia jest zapewnienie, aby maszyny pozostawały bezpieczne, niezawodne i konkurencyjne – nawet w warunkach wzajemnego połączenia w sieci. Wyzwaniem dla producentów jest osiągnięcie tego w sposób prosty, ustrukturyzowany i zgodny z przepisami.

Wyzwanie już się rozpoczęło…

Prześlij opinię

W ostatnich latach transformacja cyfrowa zrewolucjonizowała sposób, w jaki pracujemy i żyjemy. Nasza codzienność staje się coraz bardziej wzajemnie powiązana dzięki rozwojowi łączności internetowej, inteligentnych urządzeń oraz cyfryzacji usług. Wszystko to stwarza ogromne możliwości rozwoju i innowacji, nawet jeśli zmiany te zachodziły niekiedy niemal niezauważalnie. Ewolucja ta niesie jednak ze sobą również nowe wyzwania. Jednym z nich jest cyberbezpieczeństwo, które stało się kluczowe dla ochrony danych, procesów i infrastruktury. Aby sprostać temu wyzwaniu, firmy muszą zidentyfikować swoje słabe punkty i wdrożyć skuteczne strategie zapobiegania cyberatakom oraz ograniczania ich skutków.
Rozporządzenie w sprawie maszyn (UE) 2023/1230 uwzględnia fakt, że maszyna może stać się celem zdalnego ataku – za pośrednictwem połączenia sieciowego lub aktualizacji oprogramowania. Z tego względu wprowadza ono wyraźne wymogi dotyczące ochrony maszyn przed nieautoryzowanym dostępem cyfrowym oraz modyfikacjami, które mogłyby zagrozić bezpieczeństwu ludzi.

Kwestia ta została wprost zasygnalizowana w motywie 25 rozporządzenia, w którym podkreślono, że podmioty działające w złej wierze mogą wpływać na bezpieczeństwo produktu poprzez cyberataki, a producenci są zobowiązani do wdrożenia odpowiednich środków w celu zapewnienia bezpieczeństwa maszyn.

W kontekście rozporządzenia w sprawie maszyn, wymogi dotyczące cyberbezpieczeństwa nie służą ochronie danych firmowych ani prywatności użytkowników. Ich celem jest zapewnienie bezpieczeństwa samego produktu – chodzi o to, by cyberataki nie prowadziły do powstania sytuacji niebezpiecznych dla ludzi, zwierząt lub mienia.

Nowe wymogi z zakresu cyberbezpieczeństwa zawarto przede wszystkim w Sekcji 1.1.9 załącznika III. Zgodnie z tym zasadniczym wymogiem w zakresie ochrony zdrowia i bezpieczeństwa (EHSR), maszyny muszą być zaprojektowane w taki sposób, aby:

- podłączenie urządzeń zewnętrznych nie powodowało sytuacji niebezpiecznych;
- układy sterowania zachowywały swoje funkcje bezpieczeństwa nawet w przypadku prób ingerencji;
- sprzęt i oprogramowanie mające znaczenie dla bezpieczeństwa były chronione przed przypadkowymi lub celowymi zmianami;
- aktualizacje oprogramowania nie naruszały funkcji bezpieczeństwa maszyny;
- możliwa była identyfikacja i śledzenie zarówno dozwolonych, jak i niedozwolonych ingerencji.