Maskinforordningen og CRA: dette gjelder fra 2027

To EU-forordninger begynner å gjelde i 2027: maskinforordningen og Cyber Resilience Act. De berører mange selskaper, enten de produserer industrimaskiner, tilkoblede produkter eller systemer med innebygd programvare. Jo tidligere dere setter dere inn i kravene, desto lettere blir det å oppfylle dem.

Maskinforordningen (EU) 2023/1230

Maskinforordningen begynner å gjelde 20. januar 2027 og erstatter maskindirektivet 2006/42/EF. Den tar hensyn til den tekniske utviklingen siden direktivet ble vedtatt, særlig digitalisering, tilkobling og KI i maskiner.

De største endringene:

• tydeligere ansvar for produsenter, importører og distributører;
• oppdaterte grunnleggende helse- og sikkerhetskrav;
• krav om vern mot risikoer i tilkoblede og KI-styrte maskiner;
• bruksanvisninger kan under visse vilkår leveres digitalt;
• skjerpede krav til teknisk dokumentasjon og sporbarhet.

Forordningen gjelder direkte i alle medlemsstater. I motsetning til direktivet må den ikke innføres i nasjonal lov, og reglene blir dermed like i hele EU.

Cyber Resilience Act (CRA)

Cyber Resilience Act er den første EU-forordningen med bindende cybersikkerhetskrav for produkter med digitale elementer, fra industriell maskinvare med innebygd programvare til smarthjemprodukter og IoT-sensorer.

Forordningen trådte i kraft i desember 2024 og gjelder etappevis. Kravene om å rapportere aktivt utnyttede sårbarheter og alvorlige hendelser gjelder fra 11. september 2026. Alle krav gjelder fra 11. desember 2027.

CRA krever blant annet at:

• sikkerheten bygges inn allerede når produktet konstrueres;
• sårbarheter håndteres gjennom hele produktets levetid;
• produsenten leverer sikkerhetsoppdateringer i en oppgitt støtteperiode;
• alvorlige hendelser rapporteres til ENISA og nasjonale myndigheter;
• produktet har teknisk dokumentasjon og CE-merking.

CRA gjelder produsenter, importører og distributører av maskinvare, programvare og kombinerte produkter på EU-markedet.

Viktige datoer

CRA trådte i kraft 10. desember 2024. Reglene om meldte organer gjelder fra 11. juni 2026, og rapporteringskravene fra 11. september 2026.

Maskinforordningen begynner å gjelde 20. januar 2027, samme dag som maskindirektivet slutter å gjelde.

Alle krav i CRA gjelder fra 11. desember 2027.

Hvor dere kan starte

Det tar tid å gå gjennom teknisk dokumentasjon, risikovurderinger, konstruksjoner og interne rutiner. Start med å finne ut hvilke produkter og maskiner som berøres av hver forordning, sammenlign dagens rutiner med de nye kravene, oppdater dokumentasjon og risikovurderinger, og lag en plan frem til 2027.

NodeCE støtter risikovurdering og CE-merking etter maskinforordningen.