Kyberturvallisuus konevalmistajille

Vuodesta 2027 alkaen koneeseen, jossa on ohjausjärjestelmä, käyttäjän näyttö tai dataliitäntä, sovelletaan kahta EU-asetusta. Molemmat lähtevät samasta kysymyksestä: mitä ohjelmistoja tässä koneessa on, versio versiolta, ja mitä niiden sisällä on?

1. 11.9.2026Kyberkestävyyssäädöksen (Cyber Resilience Act) mukainen aktiivisesti hyödynnettyjen haavoittuvuuksien ja vakavien poikkeamien raportointi alkaa.
2. 20.1.2027Koneasetusta, (EU) 2023/1230, aletaan soveltaa, ja se korvaa konedirektiivin.
3. 11.12.2027Kyberkestävyyssäädöstä, (EU) 2024/2847, sovelletaan kokonaisuudessaan.

Koneasetus

Liitteen III olennaisista terveys- ja turvallisuusvaatimuksista kaksi koskee kyberturvallisuutta:

• 1.1.9, Suojaus tietojen turmeltumista vastaan. Toisen laitteen liittäminen koneeseen suoraan tai etäyhteydellä ei saa johtaa vaaralliseen tilanteeseen. Ohjelmistot ja tiedot, jotka ovat kriittisiä koneen olennaisten terveys- ja turvallisuusvaatimusten täyttymiselle, on tunnistettava ja suojattava tahattomalta tai tahalliselta turmeltumiselta. Koneen on tunnistettava siihen asennetut ohjelmistot, joita se tarvitsee toimiakseen turvallisesti, ja annettava nämä tiedot aina. Sen on myös kerättävä näyttöä näihin ohjelmistoihin tai niiden konfiguraatioon kohdistuneista oikeutetuista tai luvattomista toimenpiteistä.
• 1.2.1, Ohjausjärjestelmien turvallisuus ja toimintavarmuus. Ohjausjärjestelmien on kestettävä kolmansien osapuolten kohtuudella ennakoitavissa olevat vahingolliset yritykset, jotka johtavat vaaralliseen tilanteeseen. Kohdan 1.2.1(f) mukaan niiden on pidettävä jäljityslokia toimenpiteistä ja koneen markkinoille saattamisen jälkeen ladatuista turvallisuusohjelmiston versioista viiden vuoden ajan latauksesta.

Kyberkestävyyssäädös

Kone, jossa on dataliitäntä, tai sen erikseen myytävä osa on digitaalisia elementtejä sisältävä tuote. Valmistajan on noudatettava asianmukaista huolellisuutta integroimiensa kolmansien osapuolten komponenttien suhteen, laadittava SBOM, joka kattaa vähintään ylimmän tason riippuvuudet, käsiteltävä haavoittuvuuksia tukiajan, joka on vähintään viisi vuotta, ellei tuotetta odoteta käytettävän lyhyempää aikaa, ja säilytettävä tekninen dokumentaatio vähintään kymmenen vuotta tai tukiajan, sen mukaan, kumpi on pidempi.

Ei automaattisesti. Kyberkestävyyssäädös ei anna vaatimustenmukaisuusolettamaa koneasetuksen suhteen. Sen johdanto-osan 53 kappaleen mukaan CRA:n olennaisten vaatimusten täyttäminen voisi helpottaa koneasetuksen tietojen turmeltumiselta suojaamista sekä ohjausjärjestelmien turvallisuutta ja toimintavarmuutta koskevien vaatimusten täyttämistä. Siinä todetaan myös, että valmistajan on osoitettava tämä esimerkiksi soveltamalla yhdenmukaistettuja standardeja riskinarvioinnin jälkeen ja että molempien asetusten vaatimustenmukaisuuden arviointimenettelyt ovat edelleen voimassa.

Kohtaa 1.1.9 varten laadittava yhdenmukaistettu standardi on EN 50742, Safety of machinery: Protection against corruption. Marraskuussa 2026 se oli lopullinen luonnos, FprEN 50742, joka kattaa kohdan 1.1.9 ja siihen liittyvät kohdan 1.2.1 osat, eikä se anna vaatimustenmukaisuusolettamaa ennen kuin lopullinen versio on julkaistu Euroopan unionin virallisessa lehdessä. Se yhdistää EN ISO 12100 -standardin riskinarvioinnin IEC 62443 -sarjan tietoturvakäsitteisiin ja hyväksyy IEC 62443-4-1:n, IEC 62443-3-3:n ja IEC 62443-4-2:n johdonmukaisen soveltamisen vastaavaksi tavaksi saavuttaa sen suojaustavoitteet. IEC 62443-4-2 asettaa ohjausjärjestelmien komponenttien tekniset tietoturvavaatimukset tietoturvatason mukaan porrastettuina. Saksassa heinäkuun 2026 testausperiaatteet GS-IFA-M25 muuttavat tietojen turmeltumiselta suojaamisen 66 testikriteeriksi prEN 50742:n termein. Yksi niistä, T46, edellyttää, että tuote pystyy pyydettäessä antamaan asennetun ohjelmistoversionsa ja konfiguraationsa. Tähän vastaaminen jokaisen konfiguraation osalta vaatii tallenteen siitä, mitä kukin ohjelmistoversio sisältää.

Koneasetuksella on oma olettamansa, ja se kulkee eri reittiä: kyberturvallisuusasetuksen, asetuksen (EU) 2019/881, nojalla hyväksyttyjen EU:n kyberturvallisuussertifiointijärjestelmien kautta. Tällaisen järjestelmän mukainen sertifikaatti tai vaatimustenmukaisuusilmoitus antaa olettaman kohtien 1.1.9 ja 1.2.1 mukaisuudesta siltä osin kuin se kattaa nämä vaatimukset.

Yksi riskinarviointi ja yksi näyttökokonaisuus voi siis palvella molempia asetuksia, mutta vaatimustenmukaisuus osoitetaan kummallekin erikseen. Jos koneessasi on dataliitäntä, varaudu molempiin. Ohjelmistonäyttö eli SBOM:t, haavoittuvuustiedot ja päivityshistoria on niille yhteinen osa.

Tammikuussa 2026 koneteollisuuden järjestöt pyysivät kohtien 1.1.9 ja 1.2.1(f) lykkäämistä ja maaliskuussa 2026 niiden soveltamista CRA:n päivämäärästä 11.12.2027 alkaen. Kyse on pyynnöstä, ei laista: marraskuuhun 2026 mennessä lykkäystä ei ollut hyväksytty. Tämän sivun päivämäärät ovat asetusten päivämääriä.

• Rakennus-, materiaalinkäsittely-, kaivos- ja teollisuuskoneet kuuluvat koneasetuksen piiriin, ja lisäksi CRA:n piiriin, kun koneessa tai sen osissa on dataliitäntä.
• Maa- ja metsätaloustraktorit, joihin sovelletaan asetusta (EU) N:o 167/2013, on suljettu koneasetuksen ulkopuolelle niihin asennettuja koneita lukuun ottamatta. CRA:n poikkeusluettelossa tätä asetusta ei mainita, joten verkkoon kytketty traktori voi kuulua CRA:n soveltamisalaan.
• Tieliikenteen ajoneuvot, jotka on tyyppihyväksytty asetuksen (EU) 2019/2144 mukaisesti, on suljettu CRA:n ulkopuolelle.
• Erikseen myytävät komponentit. CRA koskee myös erikseen markkinoille saatettuja ohjelmisto- ja laitteistokomponentteja. Toimittaja, joka myy ohjainyksikön (ECU) tai telematiikkayksikön erikseen, on itse CRA:n mukainen valmistaja. Jos yksikkö vain rakennetaan koneeseen, koneen valmistaja kantaa velvoitteen koko koneesta ja sen on noudatettava asianmukaista huolellisuutta toimittajan komponentin suhteen.

Tämä on yleistä tietoa, ei oikeudellista neuvontaa. Tarkista oman tuotteesi luokitus.

Yhden koneen sisällä ohjelmistot tulevat eri paikoista, ja vain ohjelmiston rakentava tiimi voi luotettavasti kertoa, mitä siinä on. Konevalmistajilta kuulemamme mukaan bare metal -ohjainyksiköissä on vähän avointa lähdekoodia, kun taas Linux-, Android- ja Windows-ohjelmistoissa sitä on paljon.

Pienet volyymit, suuri vaihtelu. Konevalmistajalla voi olla markkinoilla satoja alustoja, kutakin myydään kourallinen vuodessa, ja monet koneet konfiguroidaan tilauksesta. Jokainen konfiguraatio on eri ohjelmistokokonaisuus, joten SBOM jokaisesta buildista on tärkeämpi kuin SBOM jokaisesta tuotelinjasta.

Pitkä elinkaari. Koneet ovat käytössä kymmenen vuotta tai kauemmin, ja sillä välin toimittajat vaihtuvat tai lopettavat toimintansa. Tallenne siitä, mitä ohjelmistoversioon meni, on tehtävä buildin aikana, koska sitä ei voi rekonstruoida vuosia myöhemmin.

Toimittajien ohjelmistot hallitsevat, ja toimittajien SBOM:t ovat usein heikkoja. Kuulemme toimittajien SBOM:eista, joista puuttuu komponentteja, joissa ei ole package URL:eja eikä CPE:itä, lisenssejä eikä tiivisteitä, ja joista osa on kirjoitettu käsin eikä läpäise skeemavalidointia. Flashatun ohjainyksikön binäärianalyysi on väliaikainen ratkaisu: se arvaa sisällön sen sijaan, että tallentaisi sen.

Riski on verkkoon kytketyissä kerroksissa. Suuri osa ohjainyksiköiden logiikasta generoidaan malleista, ja siinä on vähän avointa lähdekoodia. Avoin lähdekoodi ja verkkoaltistus keskittyvät Linux-, yhteys- ja sovelluskerroksiin, joten kohdista panostuksesi ensin niihin.

Havainnollistava esimerkki: kuvitteellisen pyöräkuormaaja-alustan ohjelmistopino pilvestä ohjainyksiköihin.

1. Pilven taustajärjestelmä ja oheissovellusOma. Enimmäkseen avointa lähdekoodia ja verkkoon päin avoin. Kyberkestävyyssäädös.
2. TelematiikkayhdyskäytäväSulautettu Linux, enimmäkseen avointa lähdekoodia, kytketty matkaviestinverkkoon. Kyberkestävyyssäädös sekä etäyhteyden osalta 1.1.9.
3. Käyttäjän näyttöSulautetun Linuxin levykuva käyttöliittymäkehyksellä, enimmäkseen avointa lähdekoodia, kytketty koneen väylään ja huoltotyökaluihin. Kyberkestävyyssäädös ja 1.1.9.
4. Koneen ohjausjärjestelmäOma sovellus toimittajan alustalla, turvallisuuden kannalta merkityksellinen. 1.1.9 ja 1.2.1 sekä kyberkestävyyssäädös, jos siihen pääsee yhteyden kautta.
5. Hydrauliikan, ohjauksen ja moottorin ohjainyksikötToimittajan laiteohjelmisto, suljettua ja mallista generoitua, vähän avointa lähdekoodia, turvallisuuden kannalta merkityksellinen. 1.1.9 ja 1.2.1; kyberkestävyyssäädös koneen kautta.

Avoin lähdekoodi ja verkkoaltistus ovat kolmessa ylimmässä kerroksessa, ja siellä ovat yleensä myös omat build-putkesi. Aloita niistä.

Konevalmistajat asettavat nykyään SBOM-vaatimuksia ostamilleen ohjelmistoille, kuten package URL:t tai CPE:t, lisenssit, tiivisteet ja validoinnin läpäisevä muoto, ja palauttavat tiedostot, jotka eivät täytä niitä. Jos buildaat GitHub Actionsissa, CRACI tuottaa SBOM:n suoraan buildista, joten se listaa, mitä julkaisuun todella meni, myös komponentit, joita mikään lukitustiedosto ei mainitse, ja jokaiselle komponentille package URL:n ja ilmoitetun lisenssin. Tarkista vienti asiakkaasi pyytämien kenttien koko listaa vasten. Lue lisää asiakkaiden SBOM-pyyntöihin vastaamisesta.