W krajobrazie europejskiego przemysłu nadchodzi fundamentalna zmiana. Od 20 stycznia 2027 roku obowiązkowe stanie się nowe Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1230 w sprawie maszyn, które w pełni zastąpi dotychczasową Dyrektywę Maszynową 2006/42/WE.1. To nie jest zmiana kosmetyczna. Przejście z dyrektywy na rozporządzenie oznacza, że nowe przepisy będą obowiązywać bezpośrednio we wszystkich państwach członkowskich, eliminując ryzyko rozbieżności w krajowych interpretacjach i wzmacniając pewność prawa. Zmiany wynikają z potrzeby dostosowania prawa do postępu technologicznego, który dokonał się przez ostatnie kilkanaście lat. Cyfryzacja, sztuczna inteligencja (AI), internet rzeczy (IoT) i cyberbezpieczeństwo wprowadziły nowe kategorie ryzyka, na które dotychczasowe przepisy nie odpowiadały w pełni. Nowe rozporządzenie to rewolucja w myśleniu o bezpieczeństwie maszyn, która wymaga od całej branży fundamentalnej zmiany podejścia, zwłaszcza w dwóch obszarach: odpowiedzialności za modyfikacje oraz integracji cyberbezpieczeństwa z bezpieczeństwem funkcjonalnym.

„Istotna modyfikacja” – gdy użytkownik nieświadomie staje się producentem

Jedną z najdalej idących zmian jest wprowadzenie do porządku prawnego definicji „istotnej modyfikacji”. Pojęcie to, wcześniej znane jako „znacząca modernizacja” i interpretowane na podstawie nieformalnego przewodnika, teraz zyskało ścisłą, prawnie wiążącą definicję w Artykule 3, punkcie 16 Rozporządzenia. Zgodnie z nią, istotna modyfikacja to zmiana nieprzewidziana przez producenta, która tworzy nowe zagrożenie lub zwiększa istniejące ryzyko i wymaga albo dodania osłon lub urządzeń ochronnych, co pociąga za sobą modyfikację systemu bezpieczeństwa, albo zastosowania dodatkowych środków ochronnych dla zapewnienia stateczności lub wytrzymałości maszyny.

W praktyce poprzeczka zawieszona jest bardzo nisko. Prosta wymiana zużytych części na identyczne lub poprawa oświetlenia nie będzie istotną modyfikacją. Jednak już dodanie nowej kurtyny świetlnej, czujnika bezpieczeństwa zintegrowanego z logiką sterowania czy zmiana napędu z pneumatycznego na elektryczny z dużym prawdopodobieństwem spełni tę definicję.

Konsekwencje są ogromne. Podmiot dokonujący istotnej modyfikacji – najczęściej użytkownik maszyny lub integrator systemów – przejmuje na siebie wszystkie obowiązki producenta. Oznacza to konieczność przeprowadzenia od nowa całego procesu oceny zgodności: stworzenia nowej dokumentacji technicznej, przeprowadzenia pełnej oceny ryzyka, wystawienia nowej deklaracji zgodności UE i ponownego naniesienia oznakowania CE. Wiele rutynowych działań modernizacyjnych, dotychczas traktowanych jako zwykłe utrzymanie ruchu, prowadzi do sytuacji, w której firma użytkownik w producenta „nowej” maszyny. Stwarza to potężne, często nieuświadomione ryzyko prawne i finansowe, które wymaga gruntownego przeszkolenia działów inżynieryjnych i utrzymania ruchu oraz rewizji wewnętrznych procedur.

Cyberbezpieczeństwo – nowy, niezbędny filar oceny zgodności

Rozporządzenie 2023/1230 wprowadza cyberbezpieczeństwo jako nowe, zasadnicze wymaganie w zakresie ochrony zdrowia i bezpieczeństwa (EHSR). Nie jest to już opcjonalny dodatek, ale integralna część oceny zgodności, wynikająca wprost z Załącznika III. Punkt 1.1.9 mówi o ochronie przed przypadkowym lub zamierzonym uszkodzeniem oprogramowania i sprzętu, a punkt 1.2.1 wymaga, aby układy sterowania były odporne na „racjonalnie przewidywalne próby doprowadzenia do sytuacji zagrożenia podejmowane w złym zamiarze przez strony trzecie” – co jest bezpośrednim odniesieniem do cyberataków. O praktyczne wyzwania związane z tymi zapisami zapytaliśmy eksperta ds. bezpieczeństwa maszyn, Mateusza Galickiego.

Rozporządzenie nakłada na producentów obowiązek oceny ryzyka cybernetycznego, ale jednocześnie brakuje jeszcze zharmonizowanych norm w tym zakresie, które dawałyby domniemanie zgodności. Jak w tej „szarej strefie” producenci mają udowodnić, że spełnili nowe wymagania?

Mateusz Galicki: – Brak norm zharmonizowanych z Rozporządzeniem Maszynowym w obszarze cyberbezpieczeństwa tworzy stan pewnej niepewności prawnej. Producenci nie mogą po prostu odwołać się do jednej normy, aby uzyskać domniemanie zgodności. W takiej sytuacji muszą opierać swoje działania na aktualnym stanie wiedzy technicznej, czyli „state-of-the-art”. Obecnie najlepszym punktem odniesienia jest międzynarodowa seria norm PN-EN IEC 62443, która kompleksowo podchodzi do bezpieczeństwa systemów automatyki przemysłowej. Wdrożenie jej zasad, takich jak security-by-design (bezpieczeństwo w fazie projektowania) i defense-in-depth (obrona w głąb), jest najsolidniejszym sposobem na wykazanie należytej staranności. Chociaż stosowanie tej normy nie daje dziś formalnego domniemania zgodności z Rozporządzeniem Maszynowym, to stanowi solidną podstawę do analizy ryzyka i przygotowuje firmę na przyszłą harmonizację przepisów.

To prowadzi do kolejnej kwestii – maszynach o podwyższonym ryzyku. Jak brak norm zharmonizowanych dla cyberbezpieczeństwa wpływa na proces ich certyfikacji?

Mateusz Galicki: – Jest to jedna z największych pułapek interpretacyjnych w nowych przepisach. Rozporządzenie w Artykule 25 dzieli maszyny wysokiego ryzyka na te z części A i B Załącznika I. Dla maszyn z części B teoretycznie dopuszcza prostszą ścieżkę – ocenę zgodności opartą na wewnętrznej kontroli produkcji, czyli tzw. Moduł A. Jest jednak kluczowy warunek: producent musi w pełni zastosować normy zharmonizowane lub specyfikacje techniczne, które pokrywają wszystkie mające zastosowanie zasadnicze wymagania.

W tym miejscu pojawia się niepewność. Cyberbezpieczeństwo jest wymaganiem bazowym. Skoro brakuje dla niego zharmonizowanych norm, pojawia się fundamentalne pytanie: czy producent może w ogóle twierdzić, że spełnił ten warunek? Producent, który zdecyduje się na samocertyfikację, bierze na siebie ciężar udowodnienia przed organami nadzoru rynku, że jego własne rozwiązania w pełni i bezsprzecznie pokrywają ryzyka cybernetyczne. To ryzykowna strategia. Dlatego, choć prawo wprost tego nie nakazuje, wielu producentów z czystej ostrożności i w obawie przed zakwestionowaniem ich deklaracji, prawdopodobnie uzna za rozsądne wybór droższej, ale bezpieczniejszej ścieżki z udziałem jednostki notyfikowanej (Modułów B+C, H lub G). Przyjęta strategia postępowania powinna stanowić efekt analizy ryzyka.

Maszyny wysokiego ryzyka – nowy podział, nowe obowiązki

Jak wspomniał ekspert, dawny Załącznik IV Dyrektywy stał się teraz Załącznikiem I Rozporządzenia i został podzielony na dwie części.

• Część A zawiera listę maszyn, które zawsze wymagają udziału jednostki notyfikowanej w ocenie zgodności.
• Część B to maszyny, dla których ocena własna (Moduł A) jest teoretycznie możliwa, ale jak wykazano, w praktyce często wykluczona dla nowoczesnych, połączonych maszyn z powodu braku norm zharmonizowanych dla cyberbezpieczeństwa.

Co więcej, lista została zaktualizowana o nowe kategorie, odzwierciedlające postęp technologiczny. Zalicza się do nich m.in. maszyny z wbudowanymi systemami AI zapewniającymi funkcje bezpieczeństwa oraz elementy bezpieczeństwa o całkowicie lub częściowo samo zmieniającym się zachowaniu.

Pozostałe zmiany w pigułce

Rozporządzenie zawiera również inne istotne zmiany, w tym:

• Dokumentacja cyfrowa: Domyślnie instrukcje mogą być dostarczane w formie cyfrowej, z obowiązkiem udostępnienia wersji papierowej na żądanie klienta i zapewnienia dostępu online przez 10 lat.
• Nowe definicje: Rozszerzono definicję „maszyny” o oprogramowanie niezbędne do jej działania i doprecyzowano pojęcie „funkcja bezpieczeństwa”.
• Sztuczna inteligencja: Wprowadzono ogólne wymagania dla systemów uczących się i maszyn autonomicznych, w tym wymóg funkcji nadzorczej.
• Obowiązki w łańcuchu dostaw: Wyraźnie zdefiniowano obowiązki nie tylko dla producentów, ale także dla importerów i dystrybutorów, wzmacniając identyfikowalność i odpowiedzialność.

Strategia na przyszłość – przygotowania czas zacząć

Rozporządzenie maszynowe 2023/1230 wymusza holistyczne i zintegrowane podejście do bezpieczeństwa, gdzie aspekty mechaniczne, elektryczne, programowe i prawne są nierozerwalnie połączone. Mimo że termin wejścia w życie to 20 stycznia 2027 r., firmy muszą rozpocząć proces adaptacji już teraz. Niezbędne jest szkolenie personelu, przegląd wewnętrznych procedur oceny ryzyka i zarządzania modyfikacjami oraz nawiązanie współpracy z ekspertami i jednostkami notyfikowanymi. Firmy, które potraktują nowe przepisy nie jako uciążliwy obowiązek, ale jako szansę na podniesienie standardów i innowacyjność, wykorzystają zgodność z przepisami jako przewagę konkurencyjną na coraz bardziej wymagającym rynku.

Zapraszamy na szkolenie z Rozporządzenia (UE) ws. Maszyn 2023/1230

Materiał we współpracy z Engineering Shield Sp. z o.o. – bezpieczeństwo maszyn i automatyka przemysłowa.

www.eshield.pl