机械法规下的防篡改保护：在风险评估中落实附录 III 第 1.1.9 条

发布于 2026 年 11 月 3 日法律状态截至 2026 年 11 月 3 日

自 2027 年 1 月 20 日起，机械法规 (EU) 2023/1230 附录 III B 部分第 1.1.9 条要求：所连接的设备和远程访问不得导致危险状态，安全相关的硬件、软件和数据应受到保护，以防意外和故意篡改，机械应能识别其安全相关软件并收集干预证据。第 1.2.1 条补充规定，控制系统应在适当情况下能够抵御第三方可合理预见的恶意企图，且干预和上传的安全软件在上传后五年内保持可追溯；这两条您都要在风险评估中进行评估。CE-Copilot 将防篡改保护作为风险评估的一部分来覆盖：接口清单，15 个威胁场景作为危险并配有三个层级的措施，以标准草案 prEN 50742 为基础，另有证明检查清单；Starter 方案每月 119 € 起（每次三个月的许可证，最终价格；检查清单在 Professional 及以上方案的测试报告中提供）。

第 1.1.9 条的要求

第 1.1.9 条“防篡改保护”是机械法律中的新内容。它共有五款，以下根据合并版本概述：

所连接的设备和远程访问
第 1.1.9 条第 1 款
通过另一台设备的任何功能，或通过与机械通信的远程设备连接另一台设备，均不得导致危险状态。
安全相关硬件
第 1.1.9 条第 2 款
传输与访问合规关键软件相关的信号或数据的硬件部件，必须得到充分保护，以防意外或故意篡改。机械收集对这些部件进行合法或非法干预的证据。
软件和数据
第 1.1.9 条第 3 款
对符合基本健康与安全要求至关重要的软件和数据，必须被标识为此类软件和数据，并得到充分保护，以防意外或故意篡改。
已安装软件的标识
第 1.1.9 条第 4 款
机械可识别安全运行所需的已安装软件，并能随时以易于获取的形式提供该信息。
软件和配置干预的证据
第 1.1.9 条第 5 款
机械收集对软件进行合法或非法干预的证据，以及对已安装软件或其配置进行修改的证据。

与第 1.2.1 条“控制系统的安全性和可靠性”的关联

第 1.2.1 条将同样的思路应用于控制系统。控制系统必须在与具体情况和风险相适应的范围内，能够抵御外部影响，明确包括可能导致危险状态的、可合理预见的第三方恶意企图（(a) 项）。控制系统硬件或逻辑中的故障不得导致危险状态（(b) 项）。安全功能的限值在风险评估中确定，不允许对设置或规则进行危险的修改，包括在学习阶段（(d) 项）。(f) 项是新内容：与干预相关的数据以及投放市场后上传的安全软件版本的追踪日志，必须在上传后五年内应国家主管机关有理由的请求提供。

另有两点涉及每台联网机械：采用无线控制时，通信或连接中断以及连接故障不得导致危险状态（第 1.2.1 条最后一款）；通信网络连接的中断、恢复或波动不得导致危险状态（第 1.2.6 条）。所有这些要求的保护目标都是人员安全，而不是保护数据或技术诀窍。

制造商必须证明什么

机械法规没有规定特定的技术，但每项要求都必须以可追溯的方式得到满足。实践中会形成以下证明材料：

要求	条款	典型证明材料
接口不会导致危险状态	第 1.1.9 条第 1 款	接口清单，风险评估中针对每个接口的威胁场景及措施，面向集成商的接口说明
安全相关硬件受保护，干预可追溯	第 1.1.9 条第 2 款	受保护组件清单，铅封，禁用的端口，控制系统的事件列表及示例日志
软件和数据已标识并受保护	第 1.1.9 条第 3 款	含版本和校验和的安全相关软件及数据清单，完整性检查和访问保护的说明
已安装软件随时可识别	第 1.1.9 条第 4 款	版本显示的屏幕截图，与验收记录的比对
对软件和配置的干预已记录	第 1.1.9 条第 5 款	包含用户、时间、内容和版本的变更和事件日志，导出途径
控制系统能够抵御第三方可预见的恶意企图	第 1.2.1 条 (a) 项	包含区域、角色和密码规则的安全概念，加固证明，测试报告
不对设置或规则进行危险的修改	第 1.2.1 条 (d) 项	风险评估中确定的安全功能限值，安全相关参数的写保护
上传后五年的追踪日志	第 1.2.1 条 (f) 项	干预数据和安全软件版本的存储和保存方案，应主管机关要求的导出流程
通信网络或无线连接中断不会造成危险	第 1.2.6 条；第 1.2.1 条最后一款	关于通信中断以及所有模式下重新启动的测试报告，连接中断时的停止时间

技术文档包含列有适用要求清单和保护措施的风险评估（附录 IV A 部分 (b) 项）以及测试报告（(g) 项）。(m) 项是新内容：如为检查基本要求所需，安全相关软件的源代码或编程逻辑应国家主管机关有理由的请求提供（另见第 10 条第 3 款）。

prEN 50742、IEC 62443 与符合性推定

prEN 50742《机械安全防篡改保护》是 CENELEC 针对第 1.1.9 条编制的标准草案。在德国，它已作为草案 DIN EN 50742 (VDE 0113-742):2026-03 发布。根据 IBF Solutions GmbH 的一篇专业文章（最近更新于 2026 年 10 月 5 日），该项目正处于批准阶段；EN 何时发布尚未确定。该草案在机械法规下没有欧盟官方公报引用。只有存在这样的引用，才会产生第 20 条第 1 款规定的符合性推定。

根据该文章，草案描述了两条路径。路径 A 以制造商自行进行的、依据 EN ISO 12100 的威胁分析为基础，也就是在常规风险评估之内进行。路径 B 采用 IEC 62443 系列标准，包括安全开发流程（IEC 62443-4-1）、系统要求（-3-3）和组件要求（-4-2）。

IEC 62443 是工业自动化系统信息安全方面的成熟系列标准，也是制定安全措施的良好参考。在机械法规下，它不是协调标准，不提供符合性推定。如果您采用该标准，请在技术文档中将其作为所采用的技术规范加以说明（附录 IV A 部分 (f) 项），并在风险评估中说明各项措施如何降低对人员的危险。

第 20 条第 9 款提供了获得推定的另一条途径：依据法规 (EU) 2019/881 通过、且其引用已在欧盟官方公报中公布的网络安全认证方案取得认证或符合性声明的机械，在该认证或声明涵盖相关要求的范围内，推定满足第 1.1.9 条和第 1.2.1 条。请检查这样的方案对您的产品是否可行。

与网络弹性法案和无线电设备指令的关系

网络弹性法案 (EU) 2024/2847。适用于含数字元素的产品，包括联网机械，在整个生命周期内保护产品的网络安全。第 14 条规定的报告义务自 2026 年 9 月 11 日起适用，也适用于已交付的产品；其他义务适用于自 2027 年 12 月 11 日起投放市场的产品。根据鉴于条款第 53 条，满足 CRA 要求可以便于证明符合第 1.1.9 条和第 1.2.1 条；制造商要证明这种协同作用，并遵循两项法规下的合格评定程序。符合 CRA 并不构成对第 1.1.9 条的推定。详情请参阅指南面向机械的网络弹性法案。
无线电设备指令 2014/53/EU。对于 2025 年 8 月 1 日至 2027 年 12 月 10 日期间投放市场的无线电设备，第 3 条第 3 款 (d)、(e) 和 (f) 项的网络要求通过授权法规 (EU) 2022/30 适用，配套 EN 18031 系列标准。授权法规 (EU) 2026/339 将其自 2027 年 12 月 11 日起废止；此后由 CRA 接替。装有固定安装无线模块的机械整体上是否属于无线电设备，目前尚无定论。

因此，同一个接口可能出现在最多三项保护目标不同的评估中：人员（机械法规）、网络和数据（无线电设备指令）以及整个生命周期内的产品（CRA）。时间线和方法请参阅指南机械网络安全。

七步法

1. 记录接口和资产
数据或命令到达机械的每条途径：网络和现场总线、远程维护、云连接、无线、USB 和存储卡、带参数管理的操作面板、控制系统的编程访问、更新途径、控制柜中可触及的安全硬件以及所连接的第三方设备。再加上对安全至关重要的软件和数据，例如安全程序、限值和屏蔽参数。
2. 将威胁识别为危险
针对每个接口提问：意外或故意篡改能否引发危险状态？典型场景包括通过网络修改安全参数、有人在危险区内作业时进行远程访问、更新后出现未经批准的软件版本、安全触点被桥接，或通信中断后意外重新启动。
3. 估计和评价风险
与其他任何危险相同：可能伤害的严重程度和发生概率。对于信息安全场景，概率主要取决于接口的可达性（互联网、本地网络、仅限现场）、所需的投入以及干预是否会被发现。
4. 按优先顺序确定措施
依据第 1.1.2 条 (b) 项，首先是设计措施，例如安全相关参数只保存在安全控制器中，且不能通过过程网络写入；其次是认证、签名更新、网络分段和日志记录等技术保护措施；最后才是使用信息。
5. 评价剩余风险并验证有效性
按场景重新评估剩余风险并测试措施：版本显示、更新后的日志条目、通信中断时的行为、远程访问的现场批准。结果属于附录 IV A 部分 (g) 项所述的测试报告。
6. 技术文档中的证明
包含适用要求清单（含第 1.1.9 条）和保护措施的风险评估（附录 IV A 部分 (b) 项），针对标准草案或 IEC 62443 所采用的技术规范（(f) 项）以及测试报告（(g) 项）。安全相关软件的源代码或编程逻辑应国家主管机关有理由的请求提供（(m) 项，第 10 条第 3 款）。
7. 使用说明书中的信息
第 1.7.4.2 条没有单独的信息安全条目。相关信息属于投入使用和使用（(k) 项）、剩余风险（(l) 项）以及使用者应采取的保护措施（(m) 项）：软件版本在何处显示，更新程序及随后对安全功能的功能测试（第 1.1.2 条 (e) 项），对使用单位网络的要求，远程访问的批准以及日志的保存。

示例：接口、威胁、措施

接口	威胁	典型措施
网络、OPC UA、MES	未经授权的写访问修改了屏蔽时间或速度限值	安全参数只保存在安全控制器中，不能通过过程网络写入；认证，安全配置的校验和，每次更改都有日志
远程维护、VPN	危险区内有人员时，远程修改程序或进行复位	远程访问不通往安全控制器，仅在现场批准且有时间限制，“远程访问已激活”指示，会话日志
软件更新	安装了被篡改或未经批准的安全软件版本	激活前检查签名固件，操作面板上显示校验和，版本记录保存五年，每次更新后进行功能测试
控制柜	安全触点被桥接或安全模块的 DIP 开关被更改	上锁的控制柜、铅封、编码连接器，开启时记录时间戳
现场总线、无线	通信中断后以过时的设定值意外启动	安全报文的时间监控，转入安全状态，仅在确认后重新启动

CE-Copilot 如何覆盖防篡改保护

CE-Copilot 遵循标准草案 prEN 50742 的路径 A：威胁分析是依据 EN ISO 12100 的风险评估的一部分，与其他所有危险一样，以由严重程度和发生概率得出的同一风险数值进行评价。

风险评估中的“防篡改保护”模块
一旦机器描述中提到网络、远程维护、USB、无线或带参数管理的操作面板等数字接口，该模块就会出现在风险评估编辑器中；否则您可以通过“依据其他法律文件的评估”将其显示出来。接口清单涵盖十种接口类型，并根据描述预填；明确否定的表述（例如“无 WLAN”）不会被采纳。您确认或更正所选内容，选择结果保存在项目的机械概况中。
Starter 及以上方案
15 个威胁场景作为危险
模块针对所选接口推荐相应场景，从通过网络篡改参数到缺少日志记录。只有您在选择对话框中勾选的内容才会被采纳：作为“篡改/信息安全”类型的危险，包含场景、生命周期阶段、法律出处、预填的严重程度和发生概率以及三个层级的措施。法律出处遵循项目的法律体系：在机械法规项目中为附录 III 第 1.1.9、1.2.1 和 1.2.6 条；在机械指令项目中为作为技术水平的附录 I 第 1.2.1 和 1.2.6 条，并附有关于自 2027 年 1 月 20 日起适用第 1.1.9 条的提示。每个场景都列出对应的 IEC 62443-3-3 系统要求作为参考。
Starter 及以上方案
关注接口的 AI 危险搜索
如果清单中包含接口，AI 危险搜索还会额外查找机器特有的场景，即恰恰在这些接口上发生的篡改可能引发危险状态的场景，并像其他危险一样进行评估。这些建议是供您进行技术审核的草稿。
Starter 及以上方案，在方案的 AI 额度内
导出中的证明
风险评估的 PDF 和 Word 导出以及整个项目档案都包含一个“防篡改保护”框，列出已评估场景的数量、接口清单和法律依据，并明确提示：在欧盟官方公报中没有引用时，不存在符合性推定。
Starter 及以上方案
含十二项要求的测试报告章节
A1 至 A12 项要求涉及第 1.1.9、1.2.1 和 1.2.6 条，另加使用说明书和更新流程，每项均有法律出处、预期的证明材料以及 IEC 62443 参考。在机械法规项目中，全部十二项均为必检项；在机械指令项目中，仅存在于法规中的要求作为针对自 2027 年 1 月 20 日起投放市场的建议显示。
Professional 及以上方案
使用说明书中的网络安全章节
经检查的接口连同名称、协议、连接方式和更新途径一起写入使用说明书。关于访问保护的信息被有意排除在文档之外，以免使用说明书变成一份漏洞说明。
使用说明书模块，Professional 及以上方案，按项目一次性购买
机械法规、无线电设备和 CRA 共用一份清单
每个接口的详细信息和需要保护的资产只需维护一次；无线电设备模块和“网络安全（CRA）”页面使用同一份清单。模块还会提示：CRA 下的网络风险评估是与第 1.1.9 条并行的单独评估。
清单 Starter 及以上方案，网络安全（CRA）页面 Professional 及以上方案

CE-Copilot 不做的事情：不进行认证，不进行渗透测试，不审查您的控制软件，也不按 IEC 62443 或标准草案划分安全等级（路径 B 只是按场景作为参考列出，并不实施）。应用中不包含 prEN 50742 的文本。方案和价格列在价格页面上；您的机械在 2027 年 1 月 20 日之前还有哪些需要处理的地方，可通过免费的机械法规就绪度检查了解。

FAQ

常见问题

第 1.1.9 条适用于所有机械吗？

第 1.1.9 条适用于自 2027 年 1 月 20 日起投放市场的所有机械和相关产品。但根据附录 III 一般原则第 2 点，只有当机械存在相应危险时，这些义务才适用。如果机械既没有数字接口，也没有安全相关软件，第 1.1.9 条通常不相关；您在风险评估中说明并记录理由。对于部分完成机械，这些要求在相关范围内适用。

我从什么时候起必须证明防篡改保护？

自 2027 年 1 月 20 日起，即机械法规的适用日期（第 54 条第 2 款）。决定性的是每一台产品各自的投放市场时间。机械指令 2006/42/EC 没有第 1.1.9 条；在该指令下，外部影响和软件故障由附录 I 第 1.2.1 条涵盖。行业协会要求将第 1.1.9 条和第 1.2.1 条 (f) 项推迟至 2027 年 12 月 11 日；截至 2026 年 11 月 3 日，欧盟官方公报尚未公布相应的机械法规修订。

prEN 50742 是协调标准吗？

不是。prEN 50742《机械安全防篡改保护》是 CENELEC 的标准草案；在德国已作为草案 DIN EN 50742 (VDE 0113-742):2026-03 发布。根据 2026 年 10 月 5 日的一篇专业文章，该项目正处于批准阶段。它在机械法规下没有欧盟官方公报引用，因此不具有第 20 条第 1 款规定的符合性推定。不过，您仍可将其作为技术水平和评估方法使用。

采用 IEC 62443 就足够了吗？

IEC 62443 是良好的基础，但不能替代依据第 1.1.9 条的评估。该系列标准在机械法规下不是协调标准，不提供符合性推定。标准草案 prEN 50742 将其列为两条路径之一（路径 B，采用 IEC 62443-4-1、-3-3 和 -4-2）。无论如何，都要在风险评估中检查哪些篡改可能导致对人员的危险，以及是否满足机械法规的具体要点：机械上的软件标识、干预证据以及上传后五年的追踪日志。

防篡改保护与网络弹性法案是什么关系？

两者并行适用。网络弹性法案 (EU) 2024/2847 保护产品的网络安全，机械法规保护人员安全。根据 CRA 鉴于条款第 53 条，满足 CRA 要求可以便于符合第 1.1.9 条和第 1.2.1 条；但制造商必须证明这种协同作用，并遵循两项法规下的合格评定程序。符合 CRA 并不构成对第 1.1.9 条的推定。CRA 第 14 条规定的报告义务自 2026 年 9 月 11 日起适用，其他义务适用于自 2027 年 12 月 11 日起投放市场的产品。

防篡改保护必须纳入风险评估吗？

是的。根据附录 III 一般原则第 1 点，制造商通过风险评估确定适用的基本要求；根据附录 IV A 部分 (b) 项，适用要求清单和保护措施属于技术文档。因此，第 1.1.9 条要么连同威胁、措施和剩余风险一起评估，要么附理由记录为不相关。保护目标始终是人员安全。

关于防篡改保护，使用说明书中应写入哪些内容？

已安装的安全相关软件在何处显示，更新程序及随后对安全功能的功能测试，对使用单位网络的要求，远程访问的批准和终止，通信中断时的行为以及日志的保存。依据为第 1.7.4.2 条 (k)、(l) 和 (m) 项以及第 1.1.2 条 (e) 项；第 1.7.4.2 条没有单独的信息安全条目。

有没有将防篡改保护整合到风险评估中的软件？

有。CE-Copilot 是 SH Engineering 为机械 CE 标志开发的 CE 软件，它将防篡改保护作为风险评估的一个模块来处理：接口清单，15 个威胁场景作为危险并配有三个层级的措施，以标准草案 prEN 50742 的路径 A 为基础，并引用 IEC 62443-3-3。该模块从 Starter 方案起提供（三个月许可证每月 119 €，年付每月 99 €，均为最终价格），测试报告中的证明检查清单 A1 至 A12 从 Professional 方案起提供。建议均为草稿；符合性责任仍由制造商承担。

来源

在企业内部以中文完成欧盟机械合规

本指南出自 CE-Copilot 背后的团队。CE-Copilot 是覆盖机械全部欧盟 CE 流程的软件平台：指令归类、涵盖 3,600+ 项标准并显示协调状态的标准查找工具、依据 EN ISO 12100 的风险评估、功能安全文档、测试报告、技术文档、使用说明书和欧盟符合性声明。文档可导出为七种语言（包括中文），欧盟符合性声明可导出为德语、英语、法语、意大利语、西班牙语和波兰语。平台提供中文版和英文版；AI 起草，您审核并放行。

立即免费试用 14 天预约 30 分钟演示查看示例 CE 档案