Moet het onderwerp Cybersecurity op worden genomen in de handleiding?

Ja, aspecten van cybersecurity moeten worden opgenomen in de handleiding (gebruiksaanwijzing) van de machine zodra de Machineverordening (EU) 2023/1230 van kracht wordt op 20 januari 2027.

De Machineverordening legt nieuwe essentiële veiligheids- en gezondheidseisen (EHSR’s – Essential Health and Safety Requirements) op met betrekking tot de bescherming tegen corruptie en de veiligheid van besturingssystemen, waaronder expliciet cybersecurity-aspecten.

Hier is waarom en wat dit betekent voor de handleiding:

Nieuwe Essentiële Veiligheids- en Gezondheidseisen (EHSR’s):

• EHSR 1.1.9 – Bescherming tegen corruptie: Deze eis stelt dat machines zo moeten worden ontworpen en gebouwd dat ze beschermd zijn tegen onopzettelijke of opzettelijke corruptie die kan leiden tot gevaarlijke situaties. Dit omvat de bescherming van hardwarecomponenten en software. De instructies moeten informatie bevatten over de maatregelen die de gebruiker moet nemen.

• EHSR 1.2.1 – Veiligheid en betrouwbaarheid van besturingssystemen: Dit vereist dat besturingssystemen zo worden ontworpen en gebouwd dat gevaarlijke situaties worden voorkomen. Dit omvat ook de risico’s die voortvloeien uit externe beïnvloeding (opzettelijk of onopzettelijk) van de software en hardware die relevant is voor de veiligheid. De instructies moeten specificeren welke software en hardware relevant is voor de veiligheid en welke maatregelen de gebruiker dient te treffen voor het onderhoud en de beveiliging daarvan.

Vereisten voor de gebruiksaanwijzing (handleiding):

Artikel 10, lid 7 van de Machineverordening stelt dat de gebruiksaanwijzing alle informatie moet bevatten die nodig is voor het veilig gebruiken en onderhouden van de machine. Dit omvat informatie over de risico’s die niet konden worden weggenomen door ontwerpmaatregelen of beschermende voorzieningen.

Specifiek met betrekking tot cybersecurity (zoals afgeleid uit de EHSR’s en de algemene verplichting tot informatievoorziening) moet de handleiding informatie bevatten over:

• Geïmplementeerde cybersecuritymaatregelen: Een beschrijving van de beveiligingsfuncties en -maatregelen die door de fabrikant zijn ingebouwd.

• Restrisico’s met betrekking tot cybersecurity: Eventuele resterende risico’s en hoe de gebruiker hiermee om moet gaan.

• Verantwoordelijkheden van de gebruiker: Instructies voor de gebruiker over hoe de machine veilig te configureren, te gebruiken en te onderhouden vanuit een cybersecurityperspectief. Dit kan gaan over:

• Veilig netwerkgebruik (indien de machine verbonden is).

• Software-updates en patchmanagement (indien van toepassing en door de gebruiker uit te voeren).

• Toegangsbeheer en wachtwoordbeleid.

• Maatregelen tegen ongeautoriseerde toegang of wijzigingen.

• Aanbevolen beveiligingsinstellingen.

• Informatie over hoe de software en hardware die relevant is voor de veiligheid, te identificeren en te onderhouden.

Kortom: Fabrikanten moeten een risicobeoordeling uitvoeren met betrekking tot cybersecurity. De maatregelen die hieruit voortvloeien en de informatie die de gebruiker nodig heeft om de machine gedurende haar levensduur veilig te houden vanuit een cyberperspectief, moeten deel uitmaken van de gebruiksaanwijzing. Dit is een expliciete uitbreiding ten opzichte van de oude Machinerichtlijn.