Cyberbezpieczeństwo maszyn: jak współgrają rozporządzenie w sprawie maszyn, RED i CRA

Opublikowano: 17 września 2026Odniesienia prawne zweryfikowane z Dziennikiem Urzędowym

Maszyna ze zdalną konserwacją, bezprzewodowym panelem ręcznym i łączem z chmurą musi do końca 2027 r. spełniać wymogi nawet trzech różnych unijnych reżimów cyberbezpieczeństwa, w zależności od tego, kiedy zostanie wprowadzona do obrotu. Każdy z nich stawia własne pytanie: czy ludzie mogą ulec obrażeniom, czy sieć i dane są chronione oraz czy produkt pozostaje odporny tak długo, jak jest używany? Poradnik porządkuje wymogi, przedstawia harmonogram i wyjaśnia, dlaczego ocena ryzyka w zakresie cyberbezpieczeństwa wymaga własnej metody obok EN ISO 12100.

Trzy akty prawne, trzy cele ochrony

Temat	Rozporządzenie w sprawie maszyn	Dyrektywa w sprawie urządzeń radiowych	Akt o cyberodporności
Co chroni	Zdrowie i bezpieczeństwo ludzi: uszkodzenie i złośliwa ingerencja nie mogą prowadzić do sytuacji zagrożenia (załącznik III pkt 1.1.9 i 1.2.1).	Sieć (lit. d)), dane osobowe i prywatność (lit. e)) oraz ochronę przed oszustwem (lit. f)) na podstawie art. 3 ust. 3 dyrektywy 2014/53/UE.	Cyberbezpieczeństwo produktu w całym cyklu życia: właściwości produktu według załącznika I część I, postępowanie z podatnościami według części II, zgłaszanie według art. 14.
Kogo dotyczy	Maszyny i produkty powiązane.	Urządzenia radiowe; nie jest do końca rozstrzygnięte, czy maszyna z trwale zintegrowanym modułem radiowym jest nim jako całość. Lit. d) dla urządzeń, które mogą komunikować się przez internet.	Produkty z elementami cyfrowymi z połączeniem danych z urządzeniem lub siecią.
Stosowanie	od 20 stycznia 2027 r.	do urządzeń wprowadzonych do obrotu od 1 sierpnia 2025 r. do 10 grudnia 2027 r.	art. 14 od 11 września 2026 r., wszystko pozostałe od 11 grudnia 2027 r.
Metoda	Ocena ryzyka według załącznika III, w praktyce EN ISO 12100: cyberzagrożenia traktuje się jak zagrożenia, z oceną ciężkości i prawdopodobieństwa.	Mechanizmy EN 18031-1, -2 lub -3:2024: stosowalność i adekwatność dla każdego mechanizmu z udokumentowanym uzasadnieniem.	Ocena ryzyka w zakresie cyberbezpieczeństwa według art. 13 ust. 2–4 z oświadczeniem dotyczącym każdego wymogu załącznika I część I pkt 2.
Domniemanie zgodności	Dotychczas w Dzienniku Urzędowym nie opublikowano odniesienia do żadnej normy zharmonizowanej na podstawie rozporządzenia (stan źródeł na 11 września 2026 r.). Domniemanie wynika z norm zharmonizowanych, których odniesienia opublikowano w Dzienniku Urzędowym (art. 20 ust. 1), ze wspólnych specyfikacji przyjętych przez Komisję (art. 20 ust. 6) oraz, w przypadku pkt 1.1.9 i 1.2.1, także z programu certyfikacji cyberbezpieczeństwa przyjętego zgodnie z rozporządzeniem (UE) 2019/881, do którego odniesienia opublikowano w Dzienniku Urzędowym (art. 20 ust. 9).	EN 18031 jest przywołana, ale tylko bez opcji wyłączonych decyzją wykonawczą (UE) 2025/138.	Dotychczas nie przywołano żadnej normy zharmonizowanej (stan źródeł na 11 września 2026 r.).

Harmonogram dla maszyny z modułem radiowym

Obowiązujące wymogi projektowe i dotyczące zgodności zależą od daty wprowadzenia maszyny do obrotu na rynku UE:

Wprowadzenie do obrotu	Prawo maszynowe	Cyberbezpieczeństwo radiowedla urządzenia radiowego; nie jest do końca rozstrzygnięte, czy maszyna jako całość jest urządzeniem radiowym	Akt o cyberodporności
do 31.07.2025	Dyrektywa maszynowa 2006/42/WE	lit. d), e), f) RED nie mają zastosowania	obowiązki projektowe nie mają zastosowania
od 01.08.2025 do 19.01.2027	Dyrektywa maszynowa 2006/42/WE	lit. d), e), f) na podstawie rozporządzenia delegowanego (UE) 2022/30, jeśli spełnione są jego kryteria	obowiązki projektowe nie mają zastosowania
od 20.01.2027 do 10.12.2027	Rozporządzenie w sprawie maszyn (UE) 2023/1230, w tym pkt 1.1.9 i 1.2.1	lit. d), e), f) nadal obowiązują na podstawie rozporządzenia delegowanego (UE) 2022/30	obowiązki projektowe nie mają zastosowania
od 11.12.2027	Rozporządzenie w sprawie maszyn (UE) 2023/1230	rozporządzenie delegowane (UE) 2022/30 uchylone; lit. d), e), f) nie mają już zastosowania do urządzeń nowo wprowadzanych do obrotu	stosowany w pełni: załącznik I, art. 13, ocena zgodności według art. 32

Niezależnie od daty: od 11 września 2026 r. obowiązki zgłaszania CRA z art. 14 dotyczą wszystkich produktów z elementami cyfrowymi, także maszyn dostarczonych dawno temu (art. 69 ust. 3 CRA). Zob. Akt o cyberodporności dla maszyn.

Od stycznia 2026 r. stowarzyszenia branżowe domagają się dostosowania pkt 1.1.9 oraz pkt 1.2.1 akapit drugi lit. f) rozporządzenia w sprawie maszyn do harmonogramu CRA, czyli przesunięcia ich na 11 grudnia 2027 r. Według stanu na 15 września 2026 nie był znany żaden akt prawny w tym zakresie; należy planować z datą 20 stycznia 2027 r.

Rozporządzenie w sprawie maszyn: zabezpieczenie przed uszkodzeniem

Pkt 1.1.9 załącznika III jest nowością w prawie maszynowym. W istocie wymaga pięciu rzeczy. Podłączenie innego urządzenia lub dostęp zdalny nie mogą prowadzić do sytuacji zagrożenia. Sprzęt komputerowy przenoszący sygnały lub dane istotne dla dostępu do oprogramowania krytycznego dla bezpieczeństwa musi być chroniony przed przypadkowym lub zamierzonym uszkodzeniem, a maszyna musi rejestrować dowody interwencji w ten sprzęt. Oprogramowanie i dane krytyczne dla bezpieczeństwa muszą być zidentyfikowane i chronione. Zainstalowane oprogramowanie niezbędne do bezpiecznej pracy musi być w każdej chwili możliwe do zidentyfikowania na maszynie. Wreszcie maszyna musi rejestrować dowody uprawnionej lub nieuprawnionej interwencji w oprogramowanie lub jego konfigurację.

Pkt 1.2.1 dodaje, że układy sterowania muszą, stosownie do okoliczności i ryzyka, wytrzymać m.in. racjonalnie przewidywalne próby doprowadzenia do sytuacji zagrożenia podejmowane w złym zamiarze przez strony trzecie (lit. a)), że wartości graniczne dla funkcji bezpieczeństwa wynikają z oceny ryzyka, a niebezpieczne zmiany ustawień są wykluczone (lit. d)), oraz że rejestrowanie danych o ingerencjach i o wersjach wgranego oprogramowania realizującego funkcję bezpieczeństwa jest możliwe przez pięć lat od wgrania, na uzasadniony wniosek właściwych organów (lit. f)).

Celem ochrony pozostaje bezpieczeństwo ludzi, dlatego wymogi te należą do oceny ryzyka: cyberzagrożenia, takie jak zmanipulowany parametr bezpieczeństwa lub nieoczekiwane uruchomienie zdalne, ocenia się jako zagrożenia pod kątem ciężkości i prawdopodobieństwa oraz ogranicza zwykłą hierarchią środków. Norma wspierająca, prEN 50742, jest tylko projektem (raporty branżowe z 31 lipca i 25 sierpnia 2026 r.) i opisuje dwie ścieżki: podejście A z własnym procesem i wymogami produktowymi normy, oparte na analizie cyberzagrożeń specyficznej dla producenta zgodnie z EN ISO 12100, oraz podejście B w oparciu o serię IEC 62443. Domniemanie zgodności na podstawie art. 20 ust. 1 pojawi się dopiero wraz z przywołaniem w Dzienniku Urzędowym; wspólne specyfikacje przyjęte przez Komisję dawałyby je również na podstawie art. 20 ust. 6. Ponadto art. 20 ust. 9 rozporządzenia w sprawie maszyn przyznaje domniemanie zgodności z pkt 1.1.9 i 1.2.1 certyfikatom lub deklaracjom zgodności wydanym w ramach programu certyfikacji cyberbezpieczeństwa przyjętego zgodnie z aktem o cyberbezpieczeństwie (UE) 2019/881, do którego odniesienia opublikowano w Dzienniku Urzędowym.

Dyrektywa w sprawie urządzeń radiowych: EN 18031 do 10 grudnia 2027 r.

Kiedy maszyna staje się urządzeniem radiowym

Nie jest do końca rozstrzygnięte, czy maszyna z trwale zintegrowanym modułem radiowym jest urządzeniem radiowym jako całość. Uzupełniające wytyczne Komisji z 2018 r. traktują nieradiowy produkt elektryczny z wbudowanym, trwale zamocowanym urządzeniem radiowym jako jeden produkt w rozumieniu RED; FEM i CAPIEL interpretują RED w ten sam sposób w swoich wytycznych dla produktów ze swoich sektorów. Przewodnik do dyrektywy maszynowej jest węższy. Według tej interpretacji moduł wtykowy lub łatwo wyjmowalny pozostaje odrębnym produktem. Zdaniem stowarzyszeń producent maszyny opiera się na dowodach producenta modułu, ale ocenia połączenie. Jeśli maszyna jest uznawana za urządzenie radiowe, motyw 8 rozporządzenia delegowanego (UE) 2022/30 stanowi, że wszystkie aspekty i części urządzenia powinny spełniać wymogi, a nie tylko funkcja radiowa.

Które litery mają zastosowanie

Lit. d), ochrona sieci: wszystkie urządzenia radiowe, które same mogą komunikować się przez internet, bezpośrednio lub za pośrednictwem innych urządzeń (art. 1 ust. 1 rozporządzenia delegowanego 2022/30). Typowe dla maszyn ze zdalną konserwacją przez sieć komórkową lub Wi-Fi.
Lit. e), dane osobowe i prywatność: m.in. urządzenia radiowe połączone z internetem, które mogą przetwarzać dane osobowe, dane o ruchu lub dane o lokalizacji (art. 1 ust. 2), takie jak loginy operatorów lub dane o lokalizacji maszyn mobilnych.
Lit. f), ochrona przed oszustwem: urządzenia radiowe połączone z internetem, które umożliwiają przekazywanie pieniędzy, wartości pieniężnej lub waluty wirtualnej (art. 1 ust. 3); rzadkie w maszynach.

EN 18031 i jej ograniczenia

EN 18031-1, -2 i -3:2024 zostały przywołane decyzją wykonawczą (UE) 2025/138 z 28 stycznia 2025 r. z ograniczeniami. Sekcje zatytułowane „rationale” i „guidance” (zasadność i wytyczne) nie dają domniemania zgodności. Jeśli użytkownicy mogą zrezygnować z ustawienia lub używania hasła na podstawie pkt 6.2.5.1 i 6.2.5.2, domniemanie zgodności jest tracone we wszystkich trzech częściach. W części 2 jest tracone także dla niektórych kategorii produktów dla dzieci i zabawek, w których kontrola dostępu przez rodziców nie jest zapewniona wskazanymi punktami, a w części 3 kryteria oceny z pkt 6.3.2.4 dotyczące bezpiecznych aktualizacji nie dają domniemania zgodności.

Skutek dla procedury: bez domniemania zgodności art. 17 ust. 4 dyrektywy 2014/53/UE pozostawia dla wymogów cyberbezpieczeństwa tylko badanie typu UE (załącznik III) lub zgodność opartą na pełnym zapewnieniu jakości (załącznik IV), obie z udziałem jednostki notyfikowanej. Dotyczy to ograniczeń w zakresie haseł, kontroli dostępu przez rodziców i pkt 6.3.2.4; samo ograniczenie dotyczące sekcji „rationale” i „guidance” nie wymaga jednostki notyfikowanej. Wytyczne Komisji do EN 18031 stwierdzają, że część 3 z pkt 6.3.2.4 zawsze wymaga oceny przez stronę trzecią. Wewnętrzna kontrola produkcji pozostaje w każdym przypadku dostępna dla bezpieczeństwa i EMC (art. 3 ust. 1).

Normy działają w oparciu o mechanizmy. Dla każdego interfejsu i każdego zasobu wymagającego ochrony Państwo decydują, czy mechanizm ma zastosowanie i czy jego wdrożenie jest adekwatne, z udokumentowanym uzasadnieniem:

ACMkontrola dostępu do zasobów wymagających ochrony
AUMuwierzytelnianie, w tym zasady dotyczące haseł i ochrona przed atakami brute force
SUMbezpieczne aktualizacje
SSMbezpieczne przechowywanie
SCMbezpieczna komunikacja
RLModporność na przeciążenie (tylko część 1)
NMM, TCMmonitorowanie sieci i kontrola ruchu (urządzenia sieciowe, część 1)
LGMrejestrowanie zdarzeń (części 2 i 3)
DLM, UNMusuwanie danych i powiadamianie użytkownika (część 2)
CCK, CRYklucze kryptograficzne i kryptografia zgodna z aktualnym stanem wiedzy
GECogólne właściwości urządzenia, takie jak brak znanych podatności możliwych do wykorzystania i brak zbędnych interfejsów

Kody pochodzą z EN 18031, opisy są sformułowane własnymi słowami. Istotne dla maszyn: norma dopuszcza wyjątek od możliwości aktualizacji, gdy bezpieczeństwo funkcjonalne na to nie pozwala, oraz wyjątki dla środowisk o ograniczonym dostępie, które muszą być uzasadnione. Sygnały radiowe często wykraczają poza mury zakładu.

Data wygaśnięcia

Rozporządzenie delegowane (UE) 2026/339 z 16 lutego 2026 r. uchyla rozporządzenie delegowane (UE) 2022/30 ze skutkiem od 11 grudnia 2027 r. Powody wyjaśniają motywy 3 i 4: zasadnicze wymagania CRA obejmują wszystkie elementy lit. d), e) i f), a urządzenia radiowe nie powinny podlegać obu reżimom jednocześnie. Nadzór rynku nad urządzeniami radiowymi wprowadzonymi do obrotu od 1 sierpnia 2025 r. do 10 grudnia 2027 r. pozostaje możliwy na podstawie dawnych wymogów (motyw 5), więc Państwa dokumentacja EN 18031 pozostaje istotna dla tych egzemplarzy. EN 18031 nie ma odniesienia na gruncie CRA (stan źródeł na 11 września 2026 r.), ale to solidna podstawa: według motywu 30 CRA prace normalizacyjne prowadzone na podstawie decyzji wykonawczej C(2022) 5637 należy uwzględnić przy opracowywaniu norm zharmonizowanych dla CRA.

Akt o cyberodporności: produkt w całym okresie użytkowania

CRA ma zastosowanie do maszyny jako produktu z elementami cyfrowymi, gdy tylko ma ona połączenie danych z urządzeniem lub siecią. Jego przedmiotem jest cyberbezpieczeństwo samego produktu, przy jak najmniejszym wpływie incydentów na zdrowie i bezpieczeństwo użytkowników (art. 13 ust. 2): bezpieczna konfiguracja domyślna, ochrona przed nieuprawnionym dostępem, integralność i poufność danych, mała powierzchnia ataku, aktualizacje zabezpieczeń przez określony okres wsparcia, wykaz składników oprogramowania (SBOM) i postępowanie z podatnościami. Zgłaszanie obowiązuje już teraz; wszystko pozostałe następuje 11 grudnia 2027 r. Zakres, klasyfikację, procedury i zgłaszanie wyjaśnia Akt o cyberodporności dla maszyn.

Dlaczego ocena ryzyka w zakresie cyberbezpieczeństwa wymaga własnej metody

Ocena ryzyka według EN ISO 12100 szuka zagrożeń, czyli potencjalnych źródeł urazu lub uszczerbku na zdrowiu, i szacuje ryzyko jako połączenie ciężkości i prawdopodobieństwa takiej szkody (załącznik III część A rozporządzenia w sprawie maszyn). Ryzyko w zakresie cyberbezpieczeństwa (w polskiej wersji aktu: „ryzyko w cyberprzestrzeni”) w rozumieniu art. 3 pkt 37 CRA to co innego: potencjalna strata lub zakłócenie spowodowane incydentem, wyrażone jego skalą i prawdopodobieństwem. CRA uwzględnia wprawdzie skutki dla zdrowia i bezpieczeństwa użytkowników (art. 13 ust. 2), ale punktem wyjścia jest incydent. Wyciek danych receptur, sparaliżowana sieć zakładowa czy sfałszowane liczniki produkcji nikogo nie ranią, więc nigdy nie pojawiają się w ocenie ryzyka dla bezpieczeństwa.

Różni się także wymagana forma. CRA wymaga oświadczenia dotyczącego każdego wymogu załącznika I część I pkt 2: czy i jak ma zastosowanie oraz jak jest wdrożony, z jasnym uzasadnieniem, gdy nie ma zastosowania (art. 13 ust. 3 i 4). EN 18031 wymaga decyzji dla każdego mechanizmu. A art. 13 ust. 4 CRA w brzmieniu zmienionym rozporządzeniem (UE) 2025/327 wyraźnie przewiduje włączenie oceny CRA do oceny ryzyka na podstawie innego aktu tylko w przypadku systemów sztucznej inteligencji wysokiego ryzyka i systemów elektronicznej dokumentacji medycznej. Odzwierciedla to ogólną zasadę unijnego prawa produktowego: wymagana analiza ryzyka odpowiada celom ochrony danego aktu.

Według wytycznych Komisji dotyczących CRA kryterium nie jest wewnętrzny apetyt na ryzyko ani koszty, ryzyka nie wolno przerzucać na użytkowników, a ograniczenie użytkowania do środowisk zaufanych jest dopuszczalne (treść zatwierdzona 27 lipca 2026 r.; według stanu na 15 września 2026 nie stwierdzono formalnego przyjęcia).

Przykład: zdalny dostęp serwisowy przez router komórkowy

Akt prawny	Kluczowe pytanie	Wynik
Rozporządzenie w sprawie maszyn, załącznik III pkt 1.1.9 i 1.2.1	Czy dostęp zdalny może stworzyć sytuację zagrożenia, na przykład uruchomienie podczas konserwacji lub zmianę parametru bezpieczeństwa?	Zagrożenie w ocenie ryzyka z oszacowaniem ryzyka; środki według metody trzystopniowej, np. dostęp zdalny dopiero po lokalnym zatwierdzeniu, parametry bezpieczeństwa niemożliwe do zmiany zdalnie, rejestrowanie dowodów interwencji.
RED, rozporządzenie delegowane (UE) 2022/30 lit. d)	Czy router jest urządzeniem radiowym połączonym z internetem i czy zestaw chroni sieć?	EN 18031-1: uwierzytelnianie bez opcji „brak hasła”, bezpieczna komunikacja, bezpieczne aktualizacje, brak zbędnych usług, każde z uzasadnieniem.
Akt o cyberodporności	Czy produkt jest odporny na ataki i utrzymywany przez cały okres użytkowania?	Oświadczenie dotyczące załącznika I część I pkt 2, np. lit. d) nieuprawniony dostęp i lit. j) powierzchnia ataku; okres wsparcia obejmujący oprogramowanie układowe routera, SBOM, postępowanie z podatnościami i proces zgłaszania.

Ten sam interfejs występuje w trzech ocenach z trzema kluczowymi pytaniami. Nie jest to podwójna praca, o ile wszystkie trzy opierają się na jednym wspólnym inwentarzu.

Punkt wyjścia: inwentarz interfejsów i zasobów

Wszystkie trzy akty zakładają, że wiedzą Państwo, jak maszyna może zostać zaatakowana i co wymaga ochrony. Pkt 1.1.9 rozporządzenia w sprawie maszyn wyraźnie wymaga identyfikacji oprogramowania i danych krytycznych dla bezpieczeństwa; EN 18031 rozróżnia zasoby bezpieczeństwa, sieciowe, prywatności i finansowe; a załącznik VII pkt 2 lit. a) CRA wymienia, tam gdzie to stosowne, rysunki, schematy lub opis architektury systemu w dokumentacji technicznej.

Dla każdego interfejsu

Typ: Ethernet, magistrala polowa, USB, Wi-Fi, Bluetooth, sieć komórkowa, HMI, port serwisowy, chmura
Protokół i połączenie: lokalne, sieć zakładowa lub internet
Uwierzytelnianie i prawa dostępu
Ścieżka aktualizacji
Zasięg, w przypadku radia także poza budynkiem

Dla każdego zasobu

Funkcje bezpieczeństwa, parametry bezpieczeństwa i oprogramowanie bezpieczeństwa
Programy, receptury i konfiguracja
Dane uwierzytelniające i klucze kryptograficzne
Dane osobowe, takie jak loginy operatorów lub dane o lokalizacji
Skutki manipulacji, ujawnienia i utraty

Zakupione sterowniki PLC, panele HMI i routery należą do inwentarza wraz z informacjami o bezpieczeństwie i okresami wsparcia. Jeżeli takie komponenty są przeznaczone do integracji z innymi produktami i wprowadzane do obrotu od 11 grudnia 2027 r., załącznik II pkt 8 lit. f) CRA zobowiązuje ich producentów do poinformowania integratorów, jak spełnić wymogi.

Mapa drogowa dla producentów maszyn

Zbudować inwentarz: Interfejsy, zasoby i zakupione komponenty dla każdego typu maszyny.

Ustalić sytuację prawną dla każdej linii produktów: Zapisać datę wprowadzenia do obrotu; z niej wynikają obowiązki dotyczące cyberbezpieczeństwa radiowego, rozporządzenia w sprawie maszyn i CRA.

Wdrożyć zgłaszanie CRA według art. 14: Już wymagane dla maszyn eksploatowanych u klientów: podział odpowiedzialności, adres kontaktowy, lista państw, dostęp do platformy sprawozdawczej.

Uwzględnić zagrożenie uszkodzeniem w ocenie ryzyka: Cyberzagrożenia, które mogą prowadzić do sytuacji zagrożenia, z oszacowaniem ryzyka i środkami, na długo przed 20 stycznia 2027 r.

Wykazać cyberbezpieczeństwo radiowe: Ustalić mające zastosowanie części EN 18031, uzasadnić każdy mechanizm i unikać wyłączonych opcji albo zaplanować udział jednostki notyfikowanej.

Przygotować dokumentację CRA do 11 grudnia 2027 r.: Ocena ryzyka z macierzą wymagań, okres wsparcia, SBOM, polityka ujawniania podatności i informacje dla użytkownika z załącznika II.

Wydać jedną deklarację: Jedna deklaracja zgodności UE wymieniająca wszystkie mające zastosowanie akty wraz z ich odniesieniami do Dziennika Urzędowego.

Jak CE-Copilot to obsługuje

W CE-Copilot te trzy wątki to odrębne oceny w tym samym projekcie, oparte na wspólnym inwentarzu interfejsów i zasobów: strona projektu CRA korzysta z niego w pełni, analiza zabezpieczenia przed uszkodzeniem przyjmuje zarejestrowane interfejsy jako punkt wyjścia, a moduł radiowy przypisuje zarejestrowane zasoby do mechanizmów EN 18031.

Zabezpieczenie przed uszkodzeniem (od planu Starter): analiza cyberzagrożeń dla pkt 1.1.9 i 1.2.1 według podejścia A projektu prEN 50742 (analiza cyberzagrożeń specyficzna dla producenta zgodnie z EN ISO 12100), ze scenariuszami cyberzagrożeń jako zagrożeniami z oszacowaniem ryzyka i środkami według metody trzystopniowej, powiązanymi wymogami IEC 62443-3-3 jako odniesieniem oraz listą kontrolną wymagań w sprawozdaniach z badań (od planu Professional).
Urządzenia radiowe (od planu Starter): lista kontrolna mechanizmów EN 18031 dla każdej mającej zastosowanie części, ograniczenia decyzji wykonawczej (UE) 2025/138 wraz z ich skutkiem dla procedury oraz przepisy obowiązujące według daty wprowadzenia do obrotu.
Akt o cyberodporności: klasyfikacja i mające zastosowanie obowiązki w edytorze oceny ryzyka (od planu Starter) oraz strona projektu Cyberbezpieczeństwo z oceną ryzyka, macierzą wymagań, postępowaniem z podatnościami, zgłaszaniem i sprawozdaniem CRA (od planu Professional).
Wyraźne rozdzielenie w dokumentach: w ocenie ryzyka w PDF i Word ocena dotycząca urządzeń radiowych i ocena CRA występują jako osobno zatytułowane sekcje obok zagrożeń EN ISO 12100. Scenariusze uszkodzenia świadomie pozostają zagrożeniami oceny ryzyka, ponieważ pkt 1.1.9 należy do rozporządzenia w sprawie maszyn. Wraz z danymi CRA pełna dokumentacja otrzymuje własny rozdział o cyberbezpieczeństwie.

Przykład znajdą Państwo w przykładowej dokumentacji, a plany można porównać na stronie z cennikiem. Ocena, wdrożenie techniczne i zatwierdzenie pozostają po stronie producenta.

FAQ

Najczęściej zadawane pytania

Które przepisy UE regulują cyberbezpieczeństwo maszyn?

Trzy, każdy z własnym celem ochrony i własnym harmonogramem. Rozporządzenie w sprawie maszyn (UE) 2023/1230 wymaga od 20 stycznia 2027 r. zabezpieczenia przed uszkodzeniem (załącznik III pkt 1.1.9) oraz układów sterowania, które, stosownie do okoliczności i ryzyka, są odporne na racjonalnie przewidywalne próby doprowadzenia do sytuacji zagrożenia podejmowane w złym zamiarze przez strony trzecie (pkt 1.2.1); chodzi o bezpieczeństwo ludzi. Dyrektywa 2014/53/UE w sprawie urządzeń radiowych, za pośrednictwem rozporządzenia delegowanego (UE) 2022/30, wymaga, aby urządzenia radiowe wprowadzone do obrotu między 1 sierpnia 2025 r. a 10 grudnia 2027 r., które spełniają kryteria jego art. 1, na przykład łączność z internetem, chroniły sieć i dane osobowe oraz zapewniały ochronę przed oszustwem. Akt o cyberodporności (UE) 2024/2847 obejmuje produkty z elementami cyfrowymi, z obowiązkami zgłaszania od 11 września 2026 r. i wszystkimi pozostałymi obowiązkami od 11 grudnia 2027 r.

Czy wbudowany moduł Wi-Fi lub komórkowy czyni moją maszynę urządzeniem radiowym?

Nie jest to do końca rozstrzygnięte. Uzupełniające wytyczne Komisji z 2018 r. dotyczące dyrektywy niskonapięciowej, dyrektywy EMC i RED traktują nieradiowy produkt elektryczny z wbudowanym, trwale zamocowanym urządzeniem radiowym jako jeden produkt w rozumieniu RED. Stowarzyszenia branżowe FEM i CAPIEL interpretują RED w ten sam sposób w swoich wytycznych dla produktów ze swoich sektorów. Przewodnik do dyrektywy maszynowej jest węższy i wspomina jedynie o wymogach dotyczących korzystania z widma radiowego. Według tej interpretacji moduł wtykowy lub łatwo wyjmowalny pozostaje odrębnym produktem. Jeśli przyjmą Państwo szeroką interpretację, należy ocenić połączenie maszyny i modułu radiowego.

Czy wystarczy moduł radiowy z oznakowaniem CE od mojego dostawcy?

Sam moduł nie wystarczy. Według FEM i CAPIEL ocena zgodności producenta modułu nie musi być powtarzana, ale Państwo sprawdzają i dokumentują, że przestrzegano instrukcji integracji oraz że integracja nie narusza zgodności. Jeśli maszyna jest uznawana za urządzenie radiowe, motyw 8 rozporządzenia delegowanego (UE) 2022/30 stanowi, że wszystkie aspekty i części urządzenia powinny spełniać wymogi, a nie tylko funkcja radiowa; w ocenie może się więc znaleźć serwer WWW lub dostęp zdalny w sterowniku maszyny. Jak zauważa „Niebieski przewodnik” Komisji (Blue Guide), części z oznakowaniem CE nie gwarantują automatycznie zgodności gotowego wyrobu.

Co dzieje się z EN 18031 po 11 grudnia 2027 r.?

Rozporządzenie delegowane (UE) 2022/30 zostaje uchylone ze skutkiem od 11 grudnia 2027 r. rozporządzeniem delegowanym (UE) 2026/339. Urządzenia radiowe wprowadzane do obrotu od tej daty nie podlegają już wymogom cyberbezpieczeństwa RED; tę rolę przejmuje akt o cyberodporności. Nadzór rynku nad urządzeniami wprowadzonymi do obrotu między 1 sierpnia 2025 r. a 10 grudnia 2027 r. pozostaje możliwy na podstawie dawnych wymogów (motyw 5 rozporządzenia delegowanego 2026/339), dlatego należy zachować dokumentację EN 18031. EN 18031 nie ma odniesienia na gruncie CRA (stan źródeł na 11 września 2026 r.), ale może posłużyć jako podstawa: według motywu 30 CRA zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w CRA obejmują wszystkie elementy wymogów z art. 3 ust. 3 lit. d), e) i f) RED, a prace normalizacyjne prowadzone na podstawie decyzji wykonawczej C(2022) 5637 należy uwzględnić przy opracowywaniu norm zharmonizowanych dla CRA.

Czy zgodność maszyny z CRA automatycznie oznacza spełnienie pkt 1.1.9 rozporządzenia w sprawie maszyn?

Nie. Motyw 53 CRA mówi, że zgodność z CRA może ułatwić zgodność z pkt 1.1.9 i 1.2.1, ale producent musi wykazać synergię i powinien stosować obie procedury oceny zgodności. Sama zgodność z CRA nie daje domniemania zgodności. Rozporządzenie w sprawie maszyn zakłada domniemanie zgodności, gdy stosuje się normy zharmonizowane, których odniesienia opublikowano w Dzienniku Urzędowym (art. 20 ust. 1), lub wspólne specyfikacje przyjęte przez Komisję (art. 20 ust. 6), a w przypadku tych dwóch punktów także wtedy, gdy maszynę certyfikowano lub wydano dla niej deklarację zgodności w ramach programu certyfikacji cyberbezpieczeństwa przyjętego zgodnie z aktem o cyberbezpieczeństwie (UE) 2019/881, do którego odniesienia opublikowano w Dzienniku Urzędowym (art. 20 ust. 9).

Czy istnieje norma zharmonizowana dotycząca zabezpieczenia przed uszkodzeniem?

Jeszcze nie (stan źródeł na 11 września 2026 r.). prEN 50742 dotycząca zabezpieczenia przed uszkodzeniem jest projektem; według raportu branżowego z 25 sierpnia 2026 r. głosowanie końcowe zaplanowano na wrzesień 2026 r., a publikacja może nastąpić w listopadzie 2026 r. Bez przywołania w Dzienniku Urzędowym na podstawie rozporządzenia w sprawie maszyn nie ma domniemania zgodności. Do tego czasu pozostaje analiza cyberzagrożeń w ramach oceny ryzyka, wspierana merytorycznie projektem normy i serią IEC 62443.

Dlaczego ocena ryzyka według EN ISO 12100 nie wystarcza dla cyberbezpieczeństwa?

Ponieważ chroni coś innego. Według rozporządzenia w sprawie maszyn zagrożenie to potencjalne źródło urazu lub uszczerbku na zdrowiu. Ryzyko w zakresie cyberbezpieczeństwa w rozumieniu art. 3 pkt 37 CRA to potencjalna strata lub zakłócenie spowodowane incydentem, takim jak wyciek danych lub awaria sieci, które nikogo nie ranią. CRA wymaga ponadto oświadczenia dotyczącego każdego wymogu załącznika I część I pkt 2, a EN 18031 decyzji dla każdego mechanizmu. Cyberzagrożenia, które mogą prowadzić do sytuacji zagrożenia, pozostają w ocenie ryzyka według EN ISO 12100; pozostałe oceny prowadzi się równolegle do niej.

Czy użytkownicy mogą eksploatować maszynę bez hasła?

Jeśli maszyna lub jej moduł radiowy jest urządzeniem radiowym objętym rozporządzeniem delegowanym (UE) 2022/30 i jest wprowadzana do obrotu między 1 sierpnia 2025 r. a 10 grudnia 2027 r., jest to ryzykowne: jeśli producent pozwala użytkownikom nie ustawiać ani nie używać hasła na podstawie pkt 6.2.5.1 i 6.2.5.2 normy EN 18031, norma nie daje domniemania zgodności według decyzji wykonawczej (UE) 2025/138. W odniesieniu do danego wymogu cyberbezpieczeństwa art. 17 ust. 4 dyrektywy 2014/53/UE pozostawia wówczas tylko badanie typu UE lub zgodność opartą na pełnym zapewnieniu jakości, obie z udziałem jednostki notyfikowanej. Dla maszyn wprowadzanych do obrotu od 11 grudnia 2027 r. akt o cyberodporności wymaga, tam gdzie ma to zastosowanie na podstawie oceny ryzyka w zakresie cyberbezpieczeństwa, bezpiecznej konfiguracji domyślnej i ochrony przed nieuprawnionym dostępem (załącznik I część I pkt 2 lit. b) i d) CRA).

Źródła

Rozporządzenie (UE) 2023/1230 w sprawie maszyn: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32023R1230
Dyrektywa 2014/53/UE w sprawie urządzeń radiowych: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32014L0053
Rozporządzenie delegowane Komisji (UE) 2022/30: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022R0030
Decyzja wykonawcza Komisji (UE) 2025/138 (EN 18031-1, -2, -3:2024 z ograniczeniami): https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32025D0138
Rozporządzenie delegowane Komisji (UE) 2026/339 uchylające rozporządzenie delegowane (UE) 2022/30: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32026R0339
Rozporządzenie (UE) 2024/2847 (akt o cyberodporności): https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2847
Komisja Europejska: wytyczne dotyczące wdrażania CRA, C(2026) 5252 z 27 lipca 2026 r. (treść zatwierdzona): https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
Komisja Europejska, DG GROW: Guidance on the application of the harmonised standards series EN 18031:2024 (bez daty): https://circabc.europa.eu/rest/download/70c9aa5b-73a0-4821-8b96-96a7dc46eab1

Z norm EN 18031 przejęto tylko kody i nasze własne krótkie opisy.

Zgodność maszyn z wymogami UE we własnym zakresie, w języku polskim

Ten przewodnik pochodzi od zespołu stojącego za CE-Copilot, platformą programową dla całego unijnego procesu CE maszyn: przypisanie dyrektyw, wyszukiwarka norm z 3600+ normami ze statusem harmonizacji, ocena ryzyka wg EN ISO 12100, dokumentacja bezpieczeństwa funkcjonalnego, sprawozdania z badań, dokumentacja techniczna, instrukcja obsługi i deklaracja zgodności UE z eksportem w języku angielskim, niemieckim, francuskim i włoskim. Platforma jest dostępna w języku polskim i angielskim; AI przygotowuje wersje robocze, Państwo sprawdzają i zatwierdzają.

Wypróbuj teraz bezpłatnie przez 14 dni Zarezerwuj 30-minutowe demo Zobacz przykładową dokumentację CE

Więcej poradników

Akt o cyberodporności dla maszyn: obowiązki, terminy i zgłoszenia Rozporządzenie w sprawie maszyn (UE) 2023/1230: co zmienia się w 2027 r.Ocena ryzyka według EN ISO 12100 Oprogramowanie do aktu o cyberodporności: wdrażanie CRA w CE-Copilot

Niniejszy poradnik zawiera ogólne informacje dla producentów maszyn, sprawdzone z oficjalnymi tekstami prawnymi UE według stanu na 15 września 2026. Nie stanowi porady prawnej. W sprawie decyzji dotyczących konkretnego produktu prosimy zapoznać się z tekstami prawnymi (EUR-Lex) lub skonsultować się z wykwalifikowanym doradcą.