En maskin med nätverksanslutning, radio eller app är oftast två saker i EU-rätten: en maskin enligt förordning (EU) 2023/1230 och en produkt med digitala element enligt cyberresiliensförordningen, förordning (EU) 2024/2847. Båda gäller parallellt. Att uppfylla den ena visar inte att ni uppfyller den andra.
Datumen sida vid sida
| Datum | Vad som gäller |
|---|---|
| 11 september 2026 | CRA:s rapporteringsskyldigheter för aktivt utnyttjade sårbarheter och allvarliga incidenter |
| 20 januari 2027 | Maskinförordningen, inklusive bilaga III 1.1.9 och 1.2.1 |
| 11 december 2027 | CRA fullt ut. Samma dag upphör cybersäkerhetskraven enligt radioutrustningsdirektivet för internetansluten radioutrustning att gälla |
En uppkopplad maskin möter alltså CRA:s rapportering innan maskinförordningen börjar tillämpas, och hela CRA elva månader senare.
Olika syften
Maskinförordningen skyddar människor mot faror. Dess cybersäkerhetsåtgärder är begränsade till det som skyddar produktens säkerhet (skäl 25). CRA skyddar produkten, dess data och de nätverk den ansluts till: konfidentialitet, integritet, tillgänglighet, sårbarhetshantering och säkerhetsuppdateringar under supportperioden.
Skäl 53 i CRA uttrycker förhållandet tydligt: en maskin som är en produkt med digitala element måste uppfylla båda uppsättningarna väsentliga krav. Att uppfylla CRA kan göra det lättare att uppfylla 1.1.9 och 1.2.1, men tillverkaren måste visa överlappningen, och båda förfarandena för bedömning av överensstämmelse gäller. På maskinsidan kommer den enda presumtionen för 1.1.9 och 1.2.1 från ett certifikat eller en försäkran om överensstämmelse enligt en ordning för cybersäkerhetscertifiering enligt förordning (EU) 2019/881, i den mån den täcker dem (art. 20.9).
Där de överlappar
Mycket av arbetet tjänar båda: en riskbedömning som omfattar hotscenarier, säker start och signerade uppdateringar, autentiserade gränssnitt, en minskad attackyta, skydd av integriteten. Ett krav, ett test och ett bevis kan räknas för båda förordningarna om era dokument säger det.
Där de drar isär
| Ämne | CRA | Maskinförordningen | En försvarbar hållning |
|---|---|---|---|
| Uppdateringar | Automatiska uppdateringar som standard, med möjlighet att välja bort | Ingen fara från en fjärrenhet; ändringar av säkerhetsprogramvara loggas | Automatisk nedladdning, aktivering bara i säkert läge efter operatörens bekräftelse |
| Övervakning | Användare kan välja bort övervakning | Bevis på ingrepp får inte bero på användaren | Ingen möjlighet att välja bort bevisloggen; möjlighet att välja bort för andra data |
| Radering | Användare kan ta bort data och inställningar | Spårningsloggen sparas fem år efter varje uppladdning | Användare raderar parkopplingar, inställningar och statistik; bevisloggen ligger kvar |
| Tillgänglighet | Väsentliga funktioner förblir tillgängliga | Säkerheten först | Där en säkerhetsfunktion kräver det vinner det säkra stoppet |
Bestäm varje spänning en gång, skriftligt, och låt varje dokument som bygger på den hänvisa till beslutet.
En dokumentation, en försäkran
Där flera rättsakter kräver teknisk dokumentation tillåter CRA en enda uppsättning (CRA art. 31.3). Maskinförordningen kräver en enda EU-försäkran om överensstämmelse som omfattar alla tillämpliga rättsakter (art. 21.3). Bygg en riskbedömning, en teknisk dokumentation med en cybersäkerhetsdel som tjänar båda och en försäkran som nämner båda förordningarna.
En karta som läses åt båda hållen
Det praktiska verktyget är en karta i båda riktningarna: varje krav i CRA mot de skyldigheter i maskinförordningen som det uppfyller, och varje skyldighet i maskinförordningen tillbaka. En koppling som bara finns åt ena hållet är oftast ett misstag. De rader som förblir tomma på ena sidan är era luckor.
Artikeln förklarar förordning (EU) 2023/1230 och förordning (EU) 2024/2847 med enkla ord. Den är inte juridisk rådgivning.