Schutz vor Verfälschung nach der Maschinenverordnung
Sytance · Aktualisiert
Anhang III Abschnitt 1.1.9 gilt, wenn die Manipulation einer Verbindung, Hardwarekomponente, Software, Daten oder Konfiguration die Einhaltung der grundlegenden Gesundheits- und Sicherheitsanforderungen beeinträchtigen kann. Es handelt sich nicht um eine allgemeine IT-Sicherheitsklausel, sondern um eine Anforderung an die Maschinensicherheit.
Verbindungen, die gefährliche Situationen verursachen können
Der erste Satz legt die Sicherheitsgrenze fest. Eine Verbindung zur Maschine oder zum verwandten Produkt darf nicht zu einer gefährlichen Situation führen. Sie kann über ein anderes Gerät, eine Funktion dieses verbundenen Geräts oder ein entferntes Gerät erfolgen, das mit der Maschine oder dem verwandten Produkt kommuniziert.
Die Maschine oder das verwandte Produkt muss so konstruiert und gebaut sein, dass eine Verbindung mit einem anderen Gerät – über eine beliebige Funktion des verbundenen Geräts selbst oder über ein entferntes Gerät, das mit der Maschine oder dem verwandten Produkt kommuniziert – nicht zu einer gefährlichen Situation führt.
Verordnung (EU) 2023/1230, Anhang III Abschnitt 1.1.9 – englischer Originaltext
Ein manipulierter Wert gehört zu dieser Bewertung, wenn er das sichere Verhalten der Maschine verändern kann. Die Speicherung in einem vernetzten System allein belegt noch keine solche Auswirkung auf die Sicherheit.
Geschützte Elemente
Abschnitt 1.1.9 nennt mehrere geschützte Elemente. Gemeinsam ist ihnen der Bezug zu den einschlägigen grundlegenden Gesundheits- und Sicherheitsanforderungen.
- eine Hardwarekomponente, die Signale oder Daten überträgt, wenn sie für die Verbindung mit kritischer Software oder den Zugriff darauf relevant ist;
- Software und Daten, die für die Einhaltung der einschlägigen grundlegenden Gesundheits- und Sicherheitsanforderungen entscheidend sind;
- auf der Maschine oder dem verwandten Produkt installierte Software, die für den sicheren Betrieb erforderlich ist;
- Software, Softwareänderungen und Konfigurationsänderungen, wenn ein Nachweis des Eingriffs erforderlich ist.
Kritische Software und Daten
Die Verordnung schützt nicht alle Software und Daten auf dieselbe Weise. Sie konzentriert sich auf Software und Daten, die für die Einhaltung der einschlägigen grundlegenden Gesundheits- und Sicherheitsanforderungen entscheidend sind. In der Praxis betrifft dies sicherheitsbezogene Logik, Sicherheitsgrenzwerte, Parametersätze, Antriebskonfiguration, Roboterkonfiguration, Firmware und Daten, die von einer sicherheitsbezogenen Steuerungsfunktion verwendet werden.
Software und Daten, die für die Einhaltung der einschlägigen grundlegenden Gesundheits- und Sicherheitsanforderungen durch die Maschine oder das verwandte Produkt entscheidend sind, müssen als solche identifiziert und angemessen vor unbeabsichtigter oder vorsätzlicher Manipulation geschützt werden.
Verordnung (EU) 2023/1230, Anhang III Abschnitt 1.1.9 – englischer Originaltext
Der genaue Wortlaut umfasst unbeabsichtigte und vorsätzliche Manipulation. Sowohl ein versehentlicher Upload eines Parameters als auch eine gezielte böswillige Änderung können relevant sein, wenn dasselbe manipulierte Element eine gefährliche Situation verursachen kann.
Nachweise zu Eingriffen
Abschnitt 1.1.9 verlangt nicht nur vorbeugende Kontrollen. Er sieht auch Nachweise zu legitimen oder illegitimen Eingriffen in relevante Hardware, Software, Softwareänderungen oder Konfigurationen vor. Diese Aufzeichnungen verfolgen einen konkreteren Zweck als ein allgemeines Sicherheitsprüfprotokoll. Sie betreffen Eingriffe, die sicherheitsrelevante Software, Daten oder Konfigurationen beeinträchtigen können.
Nachweisgegenstand
Der Nachweis sollte zeigen, dass eine relevante Handlung oder ein Ereignis stattgefunden hat, etwa ein Softwareupdate, eine Konfigurationsänderung oder ein Hardwarezugriff mit Auswirkungen auf kritische Software.
Sicherheitsbezug
Die Aufzeichnung ist nur nützlich, wenn sie den Eingriff mit einer sicherheitsrelevanten Funktion, einem Parameter, einer Version oder einer Konfiguration verknüpft.
Beispiele für Maschinen
Die folgenden Beispiele zeigen, wie eine Schnittstelle oder Konfiguration eine Sicherheitsfunktion beeinträchtigen kann. Ihre Relevanz hängt von der Maschinenarchitektur und der Risikobewertung ab.
Engineering-Zugriff
Lokaler oder entfernter Engineering-Zugriff ist relevant, wenn dadurch Sicherheitsgrenzwerte, Sicherheitsmodi, Sicherheitslogik oder Sicherheitsparameter geändert werden können.
Firmware und Anwendungslogik
Firmware-Images und sicherheitsbezogene Anwendungssoftware sind relevant, wenn sie den sicheren Betrieb oder sicheres Anhalten unterstützen.
Externe Kommunikation
Feldbus-, Ethernet-, WLAN-, Servicewerkzeug-, HMI-, Cloud- oder Speicherkartenpfade sind relevant, wenn Manipulation einen Sicherheitszustand beeinträchtigen kann.
Integrität der Konfiguration
Antriebsparameter, Robotik-Grenzwerte, Einstellungen gesicherter Bereiche und Konfigurationen von Sicherheits-SPS sind relevant, wenn geänderte Werte eine Schutzmaßnahme außer Kraft setzen können.
Bezug zum Steuerungssystem
Anhang III Abschnitt 1.2.1 bekräftigt dieselbe Grenze für Steuerungssysteme. Steuerungssysteme müssen gefährliche Situationen verhindern und, soweit es den Umständen und Risiken entspricht, vorgesehenen und unbeabsichtigten äußeren Einwirkungen standhalten. Dazu gehören vernünftigerweise vorhersehbare böswillige Versuche Dritter, die zu einer gefährlichen Situation führen.
Dadurch wird nicht jede böswillige Handlung zu einem Thema der Maschinensicherheit. Es bedeutet, dass die Analyse des Steuerungssystems böswillige Versuche einbeziehen muss, wenn sie das sichere Steuerungsverhalten beeinträchtigen können.