Tjekliste: Er I klar til maskinforordningens cybersikkerhedskrav?

Fra januar 2027 skærpes kravene til cybersikkerhed i maskiner. En tjekliste fra Teknologisk Institut kan afsløre, om I er på sikker grund eller har huller, der skal lukkes.

Cybertruslen rykker ind på fabriksgulvet.

Når maskiner kobles på netværk, cloud og fjernadgang, kan et angreb eller blot en utilsigtet ændring give forstyrrelser af driften eller i værste fald skabe farlige situationer for medarbejderne.

Den nye EU-maskinforordning gør derfor cybersikkerhed til et eksplicit krav, og den nye europæiske norm (EN 50742) giver en konkret ramme for, hvordan man kan gøre maskinens sikkerhedsfunktioner cybersikre.

Men hvordan vurderer man, om en maskine er godt nok rustet?

Seniorspecialist ved Teknologisk Institut Morten Kühnrich har lavet en tjekliste, der omsætter kravene til spørgsmål, I kan bruge direkte i dialogen med leverandører.

Hvis du vil være fri for lidt uddybende prosa om listens centrale punkter, kan du springe direkte til tjeklisten ved at scrolle længere ned.
 

Sporbarhed: Kan I se, hvad der er sket - også om fem år?

Hvis noget går galt, er sporbarhed afgørende.

Maskinforordningen kræver, at styresystemet kan logge relevante indgreb og ændringer, og at disse sporingslogge gemmes i mindst fem år. Det handler om at kunne se, hvilke ændringer der er foretaget, hvornår de fandt sted og ideelt af hvem.

Har I ikke en velfungerende logning, står I svagt, når der skal findes årsager, drages læring eller dokumenteres over for myndigheder og kunder, at maskinen har været i sikker drift.

Sikkerhedskontekst: I hvilken verden står maskinen?

Begrebet "sikkerhedskontekst" handler om at forstå maskinens virkelighed.

Står den bag adgangskontrol, eller i et åbent produktionsområde? Er der fjernadgang og i så fald hvordan?

Uden en beskrevet sikkerhedskontekst bliver trusselsvurderingen rent gætværk.

En maskine, der på papiret ser "lukket" ud, kan i praksis være højt eksponeret på grund af midlertidige løsninger, serviceadgange eller utydelige procedurer.

At få sikkerhedskonteksten ned på skrift er et første, helt konkrete skridt mod bedre cybersikkerhed.

Har I et overblik over software og konfiguration?

Maskinforordningen stiller krav om, at sikkerhedskritisk software og konfigurationer kan identificeres, og at der er adgang til information om versioner og ændringer.

I praksis betyder det, at I skal kunne svare hurtigt og præcist på spørgsmål som:

Hvilken version kører maskinens styring på i dag? Hvilke ændringer er foretaget de seneste måneder? Hvad var den tidligere konfiguration af en given sikkerhedsfunktion?

Hvis det kræver detektivarbejde at finde frem til svaret, er I næppe på linje med kravene.
 

Morten Kühnrich fra Teknologisk Institut
Seniorspecialist, Ph.D. og uvildig ekspert i sikkerhed til robotteknologi

Er kritiske signaler og data beskyttet?

Kritiske signaler og datakommunikation, der påvirker sikkerhedsfunktioner, må ikke være lette at opsnappe eller manipulere. Alligevel er der stadig maskiner med åbne forbindelser, ubeskyttede serviceporte og netværk, hvor produktionsudstyr og forbruger-IoT ligger side om side.

Her skærper maskinforordningen kravene: Kritiske signaler og data skal beskyttes, indtrængning skal kunne spores, og sikkerhedskritisk software skal kunne identificeres.

Hvem må ændre hvad og efter hvilke politikker?

Cybersikkerhed handler ikke kun om teknologi, men også om mennesker, roller og ansvar.

Dokumentationen skal gøre det klart, hvilke ændringer der er tilladt, hvilke der er forbudt, og hvem der i givet fald må udføre dem.

Desuden skal der være gennemsigtighed om, hvordan adgangstilladelser og rettigheder tildeles.

Beredskab: Hvad hvis noget går galt?

Selv robuste systemer kan blive ramt. Trusselsbilledet ændrer sig løbende, og ingen tekniske foranstaltninger er perfekte.

Derfor er en konkret, gennemprøvet beredskabsplan et afgørende element i virksomhedens modstandsdygtighed.

Planen bør beskrive, hvordan produktionen bringes i en sikker tilstand ved mistanke om kompromittering, hvem der tager beslutningerne, hvordan systemer genskabes til en kendt sikker konfiguration, og hvem der skal informeres internt og eksternt.

Maskinforordningen kræver det ikke eksplicit, men uden beredskab er det svært at omsætte gode tekniske løsninger til reel robusthed.

Tjekliste

• Stiller maskinen sporingslog til rådighed i minimum fem år?

• Har maskinen en trusselsvurdering udfærdiget?

• Er der adgang til information om softwareversioner og konfigurationer (med relevans for sikkerhedsfunktioner, samt ændringer af disse)?

• Er kritiske signaler og datakommunikation beskyttet?

• Kan sikkerhedskritisk software og data identificeres og beskyttes?

• Er der information om tilladelse til og/eller forbud mod ændringer?

• Er der information om adgangstilladelse/rettighedstildeling?

• Er der en beredskabsplan i tilfælde af et angreb? (Ikke et krav, men det anbefales.)

Fra tjekliste til handling

Tjeklisten til maskinforordningens cybersikkerhedskrav er et praktisk værktøj til at vurdere jeres udgangspunkt.

Den kan bruges både til eksisterende anlæg og til kravspecificering ved nye investeringer og som fælles sprog mellem produktion, udvikling, indkøb, leverandører og IT.

Teknologisk Institut hjælper virksomheder med at omsætte maskinforordningens cybersikkerhedskrav til konkret praksis fra første overblik til specifikke tiltag på anlæg og maskiner.

• Vil I have en systematisk gennemgang af jeres nuværende anlæg med udgangspunkt i tjeklisten?
• Har I brug for sparring på, hvordan I stiller de rigtige krav til nye maskiner og leverandører?
• Eller ønsker I at kombinere klassisk maskinsikkerhed med de nye cybersikkerhedskrav?

Kontakt Teknologisk Institut for en uforpligtende dialog om jeres situation og få hjælp til at sikre, at jeres maskiner er klar til maskinforordningen - både på papiret og i den daglige drift.