Rozporządzenie maszynowe i Cyber Resilience Act i ich wpływ na maszyny i ich produkcję
Jeśli kupujesz, sprzedajesz, odbierasz lub wyceniasz maszyny, od 2027 roku będziesz miał do czynienia z dwoma rozporządzeniami naraz. Rozporządzenie maszynowe (UE) 2023/1230 zastąpi dyrektywę 2006/42/WE, a obok niego w pełni zacznie obowiązywać akt o cyberodporności, czyli CRA, rozporządzenie (UE) 2024/2847. Maszyna podłączona do sieci podlega obu aktom jednocześnie, a część obowiązków z CRA działa już dziś.
Dwa rozporządzenia, jedna maszyna.
Rozporządzenie maszynowe zajmuje się bezpieczeństwem ludzi przy maszynie, dokładnie tak jak dotychczasowa dyrektywa, o której pisałem przy okazji paradoksu dyrektywy maszynowej. CRA zajmuje się cyberbezpieczeństwem każdego produktu z elementami cyfrowymi, niezależnie od branży. Maszyna z interfejsem sieciowym, portem serwisowym albo zdalnym dostępem wpada w oba zakresy naraz.
Dla osoby oceniającej maszynę istotne jest jedno: zgodność z rozporządzeniem maszynowym nie oznacza automatycznie zgodności z CRA, i odwrotnie. To dwie osobne oceny zgodności, choć producent sporządza jedną wspólną deklarację zgodności UE i umieszcza jedno oznakowanie CE, które potwierdza spełnienie obu aktów naraz.
Kiedy nowe przepisy zaczynają obowiązywać?
Harmonogram warto zapisać, bo rozkłada się na kilka lat.
- 11 września 2026 (już obowiązuje) – producenci zgłaszają aktywnie wykorzystywane podatności i poważne incydenty.
- 20 października 2026 – zaczynają się stosować przepisy o sankcjach z rozporządzenia maszynowego.
- 20 stycznia 2027 – rozporządzenie maszynowe zastępuje dyrektywę 2006/42/WE.
- 11 grudnia 2027 – CRA zaczyna obowiązywać w pełni: wymagania techniczne, ocena zgodności, oznakowanie CE.
- 2 sierpnia 2028 – zaczynają obowiązywać wymagania dla systemów sztucznej inteligencji w maszynach.
Sprostowanie z lipca 2023 roku przesunęło pierwotną datę rozpoczęcia stosowania rozporządzenia maszynowego z 14 na 20 stycznia 2027 roku. Jeśli w dokumentacji, którą analizujesz, pojawia się ta wcześniejsza data, to znak, że ktoś opiera się na nieaktualnej wersji tekstu.
Czy maszyna, którą się zajmujesz podlega CRA?
Kluczowe pytanie brzmi: czy maszyna wymienia dane, czy tylko przesyła sygnał. Według wytycznych Komisji Europejskiej z lipca 2026 roku połączenie danych wymaga nadawcy, który celowo koduje informację cyfrowo, i odbiorcy zdolnego ją odczytać. Samo włączanie i wyłączanie sygnału bez zakodowanej informacji nie jest połączeniem danych w rozumieniu CRA. Magistrala polowa między czujnikiem a sterownikiem, Wi-Fi, Bluetooth, Ethernet czy USB już takim połączeniem są.
Jeśli producent dostarcza oprogramowanie potrzebne do obsługi maszyny, nawet pobierane osobno jako aplikacja albo sterowniki ze strony internetowej, sprzęt i oprogramowanie razem tworzą jeden produkt z elementami cyfrowymi. Złożone systemy, takie jak linie produkcyjne, nie są z CRA wyłączone mimo długich cykli projektowych, ale zgodność można wykazywać na podstawie oceny ryzyka, dokumentując ograniczenia techniczne.
Poza zakresem CRA pozostają między innymi wyroby medyczne, pojazdy objęte odrębną homologacją, identyczne części zamienne oraz maszyny budowane wyłącznie na własny użytek, bo wtedy nie dochodzi do wprowadzenia do obrotu.
Kogo dotyczą obowiązki? Producent, importer, dystrybutor i integrator.
Oba akty przypisują obowiązki konkretnym rolom w łańcuchu dostaw, a jedna firma często występuje w kilku rolach naraz.
- Producent maszyny lub produktu powiązanego odpowiada za spełnienie zasadniczych wymagań zdrowia i bezpieczeństwa oraz zasadniczych wymagań cyberbezpieczeństwa, przeprowadzenie oceny zgodności, sporządzenie dokumentacji i deklaracji oraz umieszczenie CE.
- Producent komponentu sprzedawanego osobno, na przykład sterownika czy panelu operatorskiego, ma obowiązki z CRA niezależnie od tego, do jakiej maszyny trafi.
- Importer wprowadza do obrotu wyłącznie wyroby zgodne z przepisami i przechowuje kopię deklaracji przez 10 lat.
- Dystrybutor weryfikuje obecność CE i deklaracji, zanim udostępni wyrób na rynku.
- Integrator lub firma serwisowa, która dokonuje istotnej modyfikacji maszyny, sama staje się jej producentem w zakresie zmodyfikowanej części.
Co nowego wprowadza rozporządzenie maszynowe?
Większość wymagań znanych z dyrektywy 2006/42/WE zostaje, ale pojawiają się nowe obowiązki związane z oprogramowaniem. Ochrona przed ingerencją to wymaganie nieobecne w dyrektywie: połączenie maszyny z innym urządzeniem lub urządzeniem zdalnym nie może prowadzić do sytuacji zagrożenia, a sprzęt przekazujący dane istotne dla dostępu do oprogramowania krytycznego dla zgodności musi być zabezpieczony przed uszkodzeniem. Maszyna ma rejestrować dowody ingerencji oraz zmiany oprogramowania i konfiguracji.
Układy sterowania muszą wytrzymać racjonalnie przewidywalne próby celowego wywołania zagrożenia, a dane o ingerencji i wersjach oprogramowania funkcji bezpieczeństwa trzeba przechowywać przez 5 lat od instalacji.
Dokumentacja techniczna zyskuje nowy zakres, obejmujący opis maszyn sterowanych czujnikami i autonomicznych, a kod źródłowy oprogramowania bezpieczeństwa trzeba udostępnić organowi na jego wniosek. Instrukcja może być cyfrowa, ale musi pozostać dostępna online przez cały cykl życia produktu i co najmniej 10 lat. Na maszynie musi znaleźć się rok budowy oraz adres strony internetowej i e-mail producenta.
Co dodaje CRA: cyberbezpieczeństwo przez cały cykl życia maszyny.
Ocena ryzyka w cyberprzestrzeni musi uwzględniać przeznaczenie produktu, racjonalnie przewidywalne wykorzystanie i oczekiwany czas eksploatacji. Wymagania produktowe obejmują między innymi brak znanych podatności możliwych do praktycznego wykorzystania, bezpieczną konfigurację domyślną, ochronę przed nieuprawnionym dostępem oraz ograniczenie powierzchni ataku. CRA nie wymaga produktu wolnego od wszystkich podatności, tylko wolnego od tych znanych i możliwych do wykorzystania w praktyce.
Przez cały okres wsparcia producent prowadzi zestawienie komponentów oprogramowania (SBOM), bezzwłocznie reaguje na podatności i dostarcza poprawki bezpieczeństwa osobno od aktualizacji funkcjonalnych. Okres wsparcia musi wynosić co najmniej 5 lat, a poprawki pozostają dostępne przez co najmniej 10 lat od wydania lub do końca okresu wsparcia, zależnie od tego, który termin jest dłuższy. Datę zakończenia wsparcia trzeba podać klientowi już przy zakupie, co wcześniej w dokumentacji odbiorowej w ogóle się nie pojawiało.
Zgłaszanie podatności i sankcje.
Zgłaszanie działa przez jednolitą platformę ENISA i obejmuje całą zainstalowaną bazę produktów, również te sprzedane przed pełnym wejściem CRA w życie. Przy aktywnie wykorzystywanej podatności wczesne ostrzeżenie trzeba wysłać w 24 godziny, pełne zgłoszenie w 72 godziny, a raport końcowy do 14 dni po udostępnieniu poprawki. Dla poważnego incydentu obowiązują te same 24 i 72 godziny, a raport końcowy składa się w ciągu miesiąca od zgłoszenia. Terminy liczą się od chwili, w której producent dowiedział się o zdarzeniu.
Sankcje za naruszenie zasadniczych wymagań cyberbezpieczeństwa oraz obowiązków zgłoszeniowych sięgają 15 milionów euro lub 2,5 procent rocznego światowego obrotu przedsiębiorstwa, zależnie od tego, która kwota jest wyższa. Mikro i małe przedsiębiorstwa są zwolnione z kar za samo niedotrzymanie terminu 24 godzin, choć nie zwalnia ich to z pozostałych obowiązków.
Jedna deklaracja, jedno CE i dwie oceny zgodności.
Oba rozporządzenia wymagają jednej wspólnej deklaracji zgodności UE, wymieniającej wszystkie mające zastosowanie akty prawne wraz z adresami publikacyjnymi, i jednego oznakowania CE. Nie oznacza to jednak jednej procedury. Zgodnie ze stanowiskiem Komisji Europejskiej maszyna będąca jednocześnie produktem z elementami cyfrowymi wymaga przeprowadzenia dwóch osobnych ocen zgodności. Spełnienie wymagań cyberbezpieczeństwa z jednego aktu nie oznacza automatycznie spełnienia wymagań z drugiego.
Typowa maszyna produkcyjna zwykle nie należy do kategorii ważnych produktów z elementami cyfrowymi (takich jak systemy zarządzania tożsamością czy zapory sieciowe) i trafia do kategorii domyślnej, z możliwością samooceny. Praktyczna trudność dotyczy norm zharmonizowanych: według dostępnych informacji z lipca 2026 roku dla CRA żadna norma nie została jeszcze powołana w Dzienniku Urzędowym, a dla rozporządzenia maszynowego trwają prace nad normą prEN 50742 dotyczącą ochrony przed uszkodzeniem. Brak norm może w praktyce zamknąć drogę do samooceny i wymusić udział jednostki notyfikowanej.
Maszyny już wyprodukowane i sprzedane.
To pytanie pojawia się najczęściej, bo dotyczy bieżącej działalności, a nie tylko przyszłych wdrożeń. Maszyny wprowadzone do obrotu zgodnie z dyrektywą 2006/42/WE przed 20 stycznia 2027 roku mogą być nadal udostępniane na rynku. Produkty z elementami cyfrowymi wprowadzone do obrotu przed 11 grudnia 2027 roku podlegają CRA tylko wtedy, gdy zostaną istotnie zmodyfikowane po tej dacie. Wyjątkiem jest obowiązek zgłaszania podatności, który dotyczy całej zainstalowanej bazy, niezależnie od daty sprzedaży.
Liczy się data wprowadzenia do obrotu konkretnego egzemplarza, nie całego typu maszyny. Maszyny stojące w magazynie producenta w dniu zmiany przepisów formalnie jeszcze nie zostały wprowadzone do obrotu, bo to następuje dopiero przy pierwszym przekazaniu do łańcucha dystrybucji. Komisja Europejska zajęła jednoznaczne stanowisko: egzemplarze wyprodukowane według typu niezgodnego z CRA nie mogą trafiać na rynek po 11 grudnia 2027 roku, nawet jeśli pierwszy egzemplarz tego typu sprzedano znacznie wcześniej.
Jest jednak dobra wiadomość dla producentów z ustabilizowaną konstrukcją. Według wytycznych Komisji z lipca 2026 roku maszyna zaprojektowana przed wejściem CRA w życie może być wprowadzana do obrotu bez przeprojektowania, jeśli aktualna ocena ryzyka i dokumentacja wykażą odpowiednie zabezpieczenia. Obowiązek oceny zgodności, deklaracji, CE i obsługi podatności pozostaje jednak w mocy.
Modernizacja a istotna modyfikacja: dwie różne definicje.
Definicje istotnej modyfikacji w obu aktach różnią się od siebie, co oznacza konieczność podwójnej oceny każdej większej zmiany. W rozporządzeniu maszynowym liczy się wpływ zmiany na bezpieczeństwo mechaniczne, tworzącej nowe zagrożenie lub zwiększającej istniejące ryzyko. Naprawa i konserwacja, które nie wpływają na spełnianie zasadniczych wymagań, istotną modyfikacją nie są.
W CRA liczy się przede wszystkim wpływ zmiany na profil ryzyka cyberbezpieczeństwa, często niezależnie od tego, jak duża jest sama zmiana. Funkcje przewidziane i ocenione już w pierwotnej ocenie ryzyka nie stanowią istotnej modyfikacji. Z kolei nawet pozornie drobna funkcja, na przykład zapamiętywanie danych logowania, może zostać uznana za istotną modyfikację, jeśli wprowadza nieuwzględnione wcześniej ryzyko. Dodanie zdalnego dostępu albo nowego modułu komunikacyjnego do istniejącej maszyny może więc uruchomić obowiązek nowej oceny zgodności z CRA, nawet jeśli z punktu widzenia bezpieczeństwa mechanicznego nic się nie zmieniło. Kto taką modyfikację wykonuje, sam staje się producentem w zakresie zmienionej części.
Identyczne części zamienne, dostarczane przez kanał serwisowy z jasną identyfikacją produktu, pozostają poza zakresem CRA. Jeśli jednak zastępcza część różni się algorytmem, protokołem komunikacyjnym lub mechanizmem zabezpieczeń od oryginału, nie można jej uznać za identyczną i sama podlega przepisom CRA.
Co to oznacza w praktyce kiedy oceniasz lub kupujesz maszynę?
To jest ta część, która ma praktyczne znaczenie dla kogoś, kto nie projektuje maszyn, tylko je ocenia, kupuje albo przejmuje. Trzy obszary, na które warto zwrócić uwagę już teraz.
- Sprawdzaj zakres deklaracji zgodności. Po 11 grudnia 2027 roku deklaracja maszyny z elementami cyfrowymi powinna wymieniać oba akty prawne. Jeśli widzisz deklarację odnoszącą się wyłącznie do bezpieczeństwa mechanicznego, a maszyna ma sterownik sieciowy albo zdalny dostęp serwisowy, zapytaj dostawcę o dokumentację cyberbezpieczeństwa. Sama obecność CE tego nie rozstrzyga.
- Pytaj o okres wsparcia, nie tylko o gwarancję. Przy zakupie maszyny z elementami cyfrowymi warto zapytać wprost, jaki okres wsparcia cyberbezpieczeństwa deklaruje producent i kiedy się kończy, bo to informacja, która wcześniej w ogóle nie pojawiała się w dokumentacji odbiorowej.
- Traktuj modernizację jak podwójną decyzję. Zanim zlecisz dodanie zdalnego dostępu albo nowego modułu komunikacyjnego do istniejącej maszyny, sprawdź, czy taka zmiana uruchamia obowiązek nowej oceny zgodności z CRA, nawet jeśli z punktu widzenia bezpieczeństwa mechanicznego nic się nie zmienia.
Jak taka kontrola wygląda w praktyce, opisuję w artykułach o ekspertyzie technicznej maszyny przed odbiorem i o protokole odbioru maszyny.
Najważniejsze niewiadome.
Kilka kwestii pozostaje otwartych. Nie wiadomo, który organ w Polsce będzie nadzorował stosowanie obu rozporządzeń i jakie dokładnie będą krajowe sankcje. Dla CRA, według dostępnych informacji z lipca 2026 roku, żadna norma zharmonizowana nie została jeszcze powołana w Dzienniku Urzędowym, co w praktyce może ograniczać możliwość samodzielnej oceny zgodności i wymuszać udział jednostki notyfikowanej. Wymagania dla systemów sztucznej inteligencji w maszynach poznamy dopiero po przyjęciu aktów delegowanych, stosowanych od sierpnia 2028 roku. Wytyczne i FAQ Komisji Europejskiej, choć przydatne, nie są prawnie wiążące, a ostateczną wykładnię może wydać wyłącznie Trybunał Sprawiedliwości Unii Europejskiej.
Potrzebujesz oceny konkretnej maszyny pod kątem tych przepisów?
Jeśli oceniasz maszynę przed zakupem, przygotowujesz ją do sprzedaży albo odbierasz nowe urządzenie i chcesz wiedzieć, czy dokumentacja faktycznie pokrywa to, co powinna pokrywać zgodnie z aktualnymi przepisami, napisz do mnie przez formularz kontaktowy. Opiszę, jaki zakres weryfikacji dokumentacji ma sens w Twojej sytuacji. Zobacz też stronę ekspertyzy techniczne maszyn i urządzeń oraz pełną listę usług, które oferuję.
Najczęściej zadawane pytania
Czy maszyna bez dostępu do internetu też podlega CRA?
Nie podlega, jeśli nie ma żadnego interfejsu umożliwiającego połączenie danych, ani bezpośrednio, ani pośrednio, z innym urządzeniem lub siecią. Prosty sygnał włącz/wyłącz bez zakodowanej informacji nie jest połączeniem danych w rozumieniu przepisów.
Czy trzeba przeprojektować maszynę zaprojektowaną przed wejściem CRA w życie?
Nie zawsze. Jeśli aktualna ocena ryzyka i dokumentacja techniczna wykażą odpowiednie zabezpieczenia cyberbezpieczeństwa, maszynę można wprowadzić do obrotu bez zmian konstrukcyjnych. Trzeba jednak przeprowadzić ocenę zgodności, sporządzić deklarację i umieścić CE.
Czy mikro i małe firmy mają jakieś ułatwienia w CRA?
Są zwolnione z kar pieniężnych za samo niedotrzymanie terminu 24 godzin przy zgłaszaniu aktywnie wykorzystywanej podatności lub poważnego incydentu. Nie są zwolnione z pozostałych obowiązków merytorycznych, w tym z samego obowiązku zgłoszenia.
Czy jedna deklaracja zgodności wystarczy dla obu rozporządzeń?
Tak, oba akty wymagają jednej wspólnej deklaracji zgodności UE, wymieniającej wszystkie mające zastosowanie akty prawne. Nie zwalnia to jednak z przeprowadzenia dwóch osobnych procedur oceny zgodności, po jednej dla każdego rozporządzenia.
Czy identyczna część zamienna do starej maszyny wymaga zgodności z CRA?
Nie, jeśli jest dostarczana jako część zamienna przez kanał serwisowy, z jasną identyfikacją produktu, i nie różni się od oryginału cechami istotnymi dla cyberbezpieczeństwa, na przykład algorytmem czy protokołem komunikacyjnym. Różnice w tych cechach oznaczają, że część sama podlega CRA.
