En uppkopplad maskin får programuppdateringar i många år efter att den lämnat fabriken. Varje uppdatering kan täppa till en sårbarhet, lägga till en funktion eller ändra en säkerhetsfunktion, ibland allt på en gång. Maskinförordningen förbjuder inte uppdateringar. Den kräver att ni kan säga vad som är installerat, att ändringar lämnar bevis och att en uppdatering aldrig skapar en fara.
Vad förordningen kräver
| Bestämmelse | Vad den betyder för uppdateringar |
|---|---|
| 1.1.9, stycke 4 | Maskinen identifierar den programvara som behövs för säker drift och visar den alltid i en lättillgänglig form |
| 1.1.9, stycke 3 | Den programvaran identifieras som kritisk och skyddas mot oavsiktlig eller avsiktlig korruption |
| 1.1.9, stycke 1 | En fjärrenhet, till exempel en uppdateringstjänst, får inte leda till en farlig situation |
| 1.2.1 f | Versioner av säkerhetsprogramvara som laddats upp efter försäljning ingår i spårningsloggen, som sparas i fem år efter varje uppladdning |
| Art. 3.16, art. 18 | En ändring som tillverkaren inte förutsett, som skapar en fara och kräver nya skyddsåtgärder, är en väsentlig ändring; den som gör den blir tillverkare |
Gör identiteten läsbar
Ge varje programvarudel som har betydelse för säkerheten en unik identitet och version, och låt maskinen visa dem på sin egen skärm eller terminal. Operatören, en servicetekniker och en inspektör ska alla nå samma skärm utan ett återförsäljarverktyg. Håll listan i den tekniska dokumentationen och uppdatera den vid varje release.
Aktivera bara när det är säkert
Att ladda ner en uppdatering och att aktivera den är två olika steg. Nedladdningen kan ske i bakgrunden. Aktiveringen bör följa regler som går att testa:
- Avbilden är signerad och signaturen verifieras i den enhet som kör den, före aktivering.
- Maskinen är i ett säkert läge: stillastående, utgångar avstängda, ingen funktion pågår.
- Operatören bekräftar på maskinen, så att inget ändras medan någon står bredvid utan att veta om det.
- Om aktiveringen misslyckas behåller maskinen den tidigare giltiga avbilden eller stannar i ett säkert viloläge.
- Uppladdningen, dess version och resultatet förs in i spårningsloggen.
Behandla en säkerhetsrättelse som en säkerhetsändring
En patch som täpper till en sårbarhet körs fortfarande på en styrenhet som utför säkerhetsfunktioner. Kör era regressionstester för säkerhetsfunktionerna före release, dokumentera resultatet och spara det med releaseposten. Om en ändring inte var förutsedd i er uppdateringsprocedur och påverkar säkerheten på det sätt som artikel 3.16 beskriver, bedöm den som en möjlig väsentlig ändring innan ni levererar den.
Där CRA drar åt ett annat håll
Från den 11 december 2027 tillämpas cyberresiliensförordningen fullt ut. Dess bilaga I kräver att sårbarheter kan åtgärdas genom säkerhetsuppdateringar, med automatiska uppdateringar aktiverade som standard där det är tillämpligt och en möjlighet för användaren att välja bort dem. Det går ihop med maskinförordningen om ni håller isär nedladdning och aktivering: automatisk nedladdning med möjlighet att välja bort, aktivering bara i ett säkert läge efter operatörens bekräftelse. Skriv ner den hållningen en gång och hänvisa till den i båda dokumentationerna.
Nycklar överlever algoritmer
En maskin kan vara i drift i 15 år eller mer. Ha minst två platser för verifieringsnycklar, stöd signerade nyckeluppdateringar och återkallelse, och håll den privata signeringsnyckeln borta från produkten, i en hårdvarusäkerhetsmodul, med två personer som krävs för varje signatur.
Informera användaren
Bruksanvisningen ska beskriva hur uppdateringar når maskinen, vad operatören ska göra och vad som händer om en uppdatering misslyckas (bilaga III, 1.7.4.2; art. 10.7 tillåter digitala bruksanvisningar). Från december 2027 lägger CRA till en egen lista, bland annat supportperioden och hur automatiska uppdateringar stängs av.
Artikeln förklarar förordning (EU) 2023/1230 med enkla ord. Den är inte juridisk rådgivning.