Bescherming tegen aantasting onder de Machineverordening
Sytance · Bijgewerkt
Bijlage III, punt 1.1.9, is van toepassing wanneer aantasting van een verbinding, hardwarecomponent, software, gegevens of configuratie van invloed kan zijn op de naleving van essentiële gezondheids- en veiligheidseisen. Dit is geen algemene IT-beveiligingsclausule, maar een machineveiligheidseis.
Verbindingen die gevaarlijke situaties kunnen veroorzaken
De eerste zin stelt de veiligheidsgrens vast. Een verbinding met de machine of het verwante product mag niet tot een gevaarlijke situatie leiden. De verbinding kan lopen via een ander apparaat, via een functie van dat verbonden apparaat zelf of via een extern apparaat dat met de machine of het verwante product communiceert.
De machine of het verwante product moet zodanig zijn ontworpen en gebouwd dat een verbinding van een ander apparaat ermee, via welke functie van het verbonden apparaat zelf dan ook of via een extern apparaat dat met de machine of het verwante product communiceert, niet tot een gevaarlijke situatie leidt.
Verordening (EU) 2023/1230, bijlage III, punt 1.1.9 — Engelse brontekst
Een aangetaste waarde hoort bij deze beoordeling als die het veilige gedrag van de machine kan wijzigen. Alleen het feit dat de waarde in een netwerksysteem is opgeslagen, toont dat veiligheidseffect niet aan.
Beschermde elementen
Punt 1.1.9 noemt verschillende elementen die beschermd moeten worden. De gemeenschappelijke voorwaarde is hun verband met de relevante essentiële gezondheids- en veiligheidseisen.
- een hardwarecomponent die signalen of gegevens verzendt, wanneer deze relevant is voor de verbinding met kritieke software of de toegang daartoe;
- software en gegevens die kritisch zijn voor de naleving van de relevante essentiële gezondheids- en veiligheidseisen;
- software die op de machine of het verwante product is geïnstalleerd en nodig is voor een veilige werking;
- software, softwarewijzigingen en configuratiewijzigingen wanneer bewijs van ingrepen vereist is.
Kritieke software en gegevens
De verordening beschermt niet alle software en gegevens op dezelfde manier. De verordening richt zich op software en gegevens die essentieel zijn voor de naleving van de relevante essentiële gezondheids- en veiligheidseisen. In de praktijk gaat het bijvoorbeeld om veiligheidsgerelateerde logica, veiligheidslimieten, parametersets, aandrijfconfiguratie, robotconfiguratie, firmware en gegevens die door een veiligheidsgerelateerde besturingsfunctie worden gebruikt.
Software en gegevens die kritisch zijn voor de naleving door de machine of het verwante product van de relevante essentiële gezondheids- en veiligheidseisen, moeten als zodanig worden geïdentificeerd en afdoende worden beschermd tegen onopzettelijke of opzettelijke aantasting.
Verordening (EU) 2023/1230, bijlage III, punt 1.1.9 — Engelse brontekst
De precieze bewoording omvat zowel onopzettelijke als opzettelijke aantasting. Een verkeerd geüploade parameter en een opzettelijke kwaadwillige wijziging kunnen allebei relevant zijn als hetzelfde aangetaste element een gevaarlijke situatie kan veroorzaken.
Bewijs van ingrepen
Punt 1.1.9 is niet alleen een vereiste voor preventieve maatregelen. Het vereist ook bewijs van legitieme of illegitieme ingrepen in relevante hardware, software, softwarewijzigingen of configuraties. Deze registraties hebben een specifieker doel dan een algemeen beveiligingsauditlogboek. Ze betreffen ingrepen die veiligheidsrelevante software, gegevens of configuratie kunnen beïnvloeden.
Bewijsobject
Het bewijs moet laten zien dat een relevante handeling of gebeurtenis heeft plaatsgevonden, zoals een software-update, configuratiewijziging of hardwaretoegang die kritieke software beïnvloedt.
Veiligheidsverband
De registratie is alleen nuttig als deze de ingreep koppelt aan een veiligheidsrelevante functie, parameter, versie of configuratie.
Voorbeelden voor machines
De volgende voorbeelden tonen hoe een interface of configuratie van invloed kan zijn op een veiligheidsfunctie. De relevantie hangt af van de machinearchitectuur en risicobeoordeling.
Engineeringtoegang
Lokale of externe engineeringtoegang is relevant als daarmee veiligheidslimieten, veiligheidsmodi, veiligheidslogica of veiligheidsparameters kunnen worden gewijzigd.
Firmware en applicatielogica
Firmware-images en veiligheidsgerelateerde toepassingssoftware zijn relevant wanneer deze een veilige werking of veilig stoppen ondersteunen.
Externe communicatie
Paden via veldbus, Ethernet, wifi, servicetool, HMI, cloud of geheugenkaart zijn relevant wanneer aantasting een veiligheidstoestand kan beïnvloeden.
Integriteit van configuratie
Aandrijfparameters, robotlimieten, instellingen voor beveiligde ruimten en configuratie van veiligheids-PLC’s zijn relevant als gewijzigde waarden een beschermingsmaatregel kunnen ondermijnen.
Verband met het controlesysteem
Bijlage III, punt 1.2.1, versterkt dezelfde grens voor controlesystemen. Controlesystemen moeten gevaarlijke situaties voorkomen en, wanneer de omstandigheden en risico’s dat vereisen, bestand zijn tegen bedoelde en onbedoelde invloeden van buitenaf, waaronder redelijkerwijs voorzienbare kwaadwillige pogingen van derden die tot een gevaarlijke situatie leiden.
Dat maakt niet elke kwaadwillige handeling tot een machineveiligheidskwestie. Het betekent dat de analyse van het controlesysteem kwaadwillige pogingen moet omvatten wanneer die het veilige besturingsgedrag kunnen compromitteren.