20 Ocak 2027'de 2006/42/AT sayılı Makine Direktifi yürürlükten kalkıyor ve (AB) 2023/1230 sayılı Tüzük uygulanmaya başlıyor (Madde 54). Çoğu makine üreticisi için göze görünen değişiklik, yeni bir siber güvenlik gereksinimleri dizisi. Direktif bunlardan hiç söz etmiyordu. Tüzük ise onları temel sağlık ve güvenlik gereksinimi hâline getiriyor; koruyucular veya acil durdurma gibi denetleniyorlar.
Düzeltilmiş tarih
29 Haziran 2023'te AB Resmî Gazetesi'nde yayımlanan metin 14 Ocak 2027 diyor. 4 Temmuz 2023'te yayımlanan bir düzeltme (OJ L 169) tarihi 20 Ocak 2027 olarak düzeltti. Bazı özetler hâlâ eski tarihi tekrarlıyor. Tüzük 19 Temmuz 2023'te yürürlüğe girdi.
20 Ocak 2027'den itibaren piyasaya sunulan her makine gereksinimleri karşılamak zorunda; yıllardır sattığınız bir tipteki makineler de dahil. Tasarımlar için kazanılmış hak yok: belirleyici olan, her bir ünitenin piyasaya sunulduğu tarih.
Kimler etkileniyor
Tüzük makineleri, değiştirilebilir ekipman ve güvenlik bileşenleri gibi ilgili ürünleri ve kısmen tamamlanmış makineleri kapsıyor (Madde 2(1)). Yazılım da tek başına bir güvenlik bileşeni olabilir (Madde 3(3)).
İki istisna kafa karıştırıyor. Motorlu araçlar, römorklar ve tarım veya ormancılık traktörleri sistemleriyle birlikte kapsam dışında (Madde 2(2)). Üzerlerine monte edilen makineler ise değil: traktör üzerindeki bir pülverizatör, kamyon üzerindeki bir yükleme vinci, römork üzerindeki bir arka kapı asansörü kapsamda kalıyor. Uygulama yazılımı yüklenmeden fabrikadan çıkan bir makine de yine makinedir (Madde 3(1)).
Gereksinimler ne diyor
Siber güvenlik işini Ek III'ün iki bölümü taşıyor.
| Bölüm | Sade bir dille |
|---|---|
| 1.1.9 Bozulmaya karşı koruma | Başka bir cihazı doğrudan ya da uzaktan bağlamak tehlikeli bir duruma yol açmamalı. Güvenlik açısından önemli yazılıma erişim sağlayan donanım, o yazılım ve verileri, kazara veya kasıtlı bozulmaya karşı yeterince korunmalı. Makine güvenlik yazılımını tanımlar ve izinli olsun olmasın müdahalelerin kanıtını toplar. |
| 1.2.1 Kontrol sistemlerinin güvenliği ve güvenilirliği | Kontrol sistemleri, tehlikeye yol açabilecek makul ölçüde öngörülebilir kötü niyetli girişimlere dayanır. Güvenlik sınırları ve ayarlar tehlike yaratacak şekilde değiştirilemez. Müdahalelerin ve satıştan sonra yüklenen güvenlik yazılımının izleme kaydı, her yüklemeden sonra beş yıl tutulur. |
Amaç dar. Bu gereksinimler makinenin çevresindeki insanların güvenliğini koruyor. Gizlilik, veri koruma ve başka ağlara verilen zarar başka mevzuatın, başta Siber Dayanıklılık Tüzüğü'nün konusu (gerekçe 25).
İşinizi kim denetler
Makinelerin çoğu Ek I'de yer almaz ve iç üretim kontrolünü (Modül A) izler: değerlendirmeyi siz yapar, siz imzalarsınız. Ek I, Bölüm B'deki 19 kategori için Modül A yalnızca ilgili tüm gereksinimleri kapsayan uyumlaştırılmış standartları veya ortak spesifikasyonları uyguladığınızda mümkündür; aksi hâlde onaylanmış kuruluş devreye girer. Bölüm A'daki altı kategori her zaman onaylanmış kuruluş gerektirir (Madde 25).
Bu yüzden standartların durumu önemli. Ekim 2026 itibarıyla yeni tüzük kapsamında Resmî Gazete'de atıf yapılmış hiçbir uyumlaştırılmış standart yoktu; ilk listenin 2026 sonuna kadar çıkması bekleniyordu. EN 50742, Safety of machinery – Protection against corruption, Ekim 2026'da onaylandı ve Kasım 2026'da yayımlanması planlanıyor. Uygunluk varsayımını ancak Resmî Gazete'de atfı yayımlandıktan sonra sağlar (Madde 20).
Önce yanıtlanması gereken beş soru
- Ürün nedir? Makine, ilgili ürün ya da kısmen tamamlanmış makine.
- Kapsam dışında mı? Madde 2(2)'yi madde madde okuyun. Bir istisnaya dayanıyorsanız hangisine ve neden dayandığınızı yazın.
- Uygunluğu kim değerlendirir? Her şeyden önce Ek I'in A ve B bölümlerine bakın. Onaylanmış kuruluşla zamanında anlaşmak gerekir.
- Hangi siber güvenlik gereksinimleri uygulanıyor? 1.1.9'u, 1.2.1'i ve bağlantılı 1.2.6 (enerji ve iletişim kesintisi ve geri gelmesi) ile 3.3 (uzaktan kumanda) maddelerini evet veya hayır ve bir gerekçeyle yanıtlayın.
- İkinci bir mevzuat da uygulanıyor mu? Ağ bağlantısı veya telsizi olan bir makine genellikle Siber Dayanıklılık Tüzüğü kapsamında dijital unsurlar içeren bir üründür. İkisi paralel uygulanır.
Yanıtları yazılı hâle getirin
Yanıtlar, teknik dosyanızın siber güvenlik bölümünün ilk sayfasıdır. Ürünü ve sınırlarını, kategoriyi, incelenen istisnaları, uygunluk değerlendirme yolunu, her gereksinimi gerekçesiyle ve kimin ne zaman karar verdiğini kaydedin. Bir otorite vardığınız sonuca katılmayabilir; ama sorunun hiç sorulmadığını görmemeli.
Bu makale (AB) 2023/1230 sayılı Tüzüğü sade bir dille açıklar. Hukuki danışmanlık değildir.