Maskindirektivet blir maskinförordningen 2027

Direktiv blir förordning – varför det spelar roll

Maskindirektivet var ett direktiv och behövde införlivas i varje medlemsstats lagstiftning, vilket gav utrymme för nationella tolkningar. Maskinförordningen är en förordning och gäller direkt och identiskt i hela EU från tillämpningsdatumet.

Övergången är hård: maskiner som släpps ut på marknaden från och med den 20 januari 2027 ska uppfylla förordningen. Det finns ingen lång parallellperiod, så konstruktions- och dokumentationsarbetet behöver vara klart under 2026.

De viktigaste nyheterna

• Cybersäkerhet är nu ett grundläggande hälso- och säkerhetskrav – styrsystem ska stå emot såväl oavsiktlig som avsiktlig manipulation.
• Programvara som har en säkerhetsfunktion omfattas i sig, även när den levereras separat.
• Maskiner med självutvecklande beteende, exempelvis maskininlärning, får uttryckliga krav på riskbedömning och spårbarhet.
• En ny lista över maskinkategorier med hög risk, där tredjepartsbedömning krävs.
• Digital bruksanvisning tillåts, men användaren har rätt att få en pappersversion på begäran.
• Skärpta krav på spårbarhet: loggar över ingrepp i säkerhetsrelaterade funktioner ska bevaras och skyddas.

Vad kraven på dataintegritet innebär i praktiken

Bilaga III till förordningen ställer krav på skydd mot korruption av maskinvara och programvara, på att säkerhetsrelaterad programvara identifieras och att bevis på ingrepp registreras. För en tillverkare eller maskinägare betyder det tre konkreta saker.

• Konfigurationen av styrsystem, PLC-program och parametrar måste finnas i en känd, verifierbar version – annars går det inte att visa att maskinen är i det tillstånd som CE-märkningen gäller för.
• Loggar över ingrepp i säkerhetsfunktioner måste bevaras på ett sätt där ingen – inte heller en administratör eller en angripare – kan radera dem i efterhand.
• Efter en incident måste maskinen kunna återställas till ett verifierat säkert tillstånd, inte till "senaste kända konfiguration" som någon kopierat till en USB-sticka.

Kopplingen till backup i OT-miljöer

Produktionsmiljöer är ofta det sista som backas upp ordentligt. Filservern har immutable backup i molnet medan robotcellernas program ligger på en laptop i verkstaden. Med maskinförordningen blir den ordningen ett efterlevnadsproblem, inte bara en driftrisk.

• Versionshanterad backup av PLC- och HMI-program, robotprogram och säkerhetsparametrar, kopplat till maskinens serienummer.
• Oföränderlig lagring av säkerhetsloggar med retention som matchar maskinens livslängd och er dokumentationsskyldighet.
• Isolerade kopior som inte kan nås från kontorsnätet – de flesta OT-incidenter börjar på IT-sidan.
• Dokumenterade återställningstester som visar hur lång tid det tar att få tillbaka en linje efter ett angrepp.
• Rutin för att säkerhetskopiera före och efter varje förändring i ett styrsystem.

Så förbereder ni er under 2026

• Inventera vilka maskiner och vilken programvara ni släpper ut på marknaden efter 20 januari 2027.
• Uppdatera riskbedömningen med cyberhot mot styrsystem och kommunikationsgränssnitt.
• Klassificera säkerhetsrelaterad programvara och sätt en process för signering och versionshantering.
• Bygg loggning som uppfyller kravet på spårbarhet och skydda loggarna mot ändring.
• Kontrollera om era produkter hamnar i kategorin med hög risk och boka tid hos anmält organ i god tid.
• Uppdatera teknisk dokumentation och EU-försäkran om överensstämmelse.

Maskinförordningen och andra regelverk

Förordningen står inte ensam. Cyberresiliensakten (CRA) ställer krav på produkter med digitala element, NIS2 ställer krav på tillverkningssektorn som verksamhet, och för många industriföretag gäller båda samtidigt. Den gemensamma nämnaren är krav på att ni kan visa vilken version som körs, vad som hänt och hur ni tar er tillbaka.

Vanliga frågor