Fra januar 2027 skærpes kravene til cybersikkerhed i maskiner. En tjekliste fra Teknologisk Institut kan afsløre, om virksomhederne er på sikker grund eller har huller, der skal lukkes.
Når maskiner kobles på netværk, cloud og fjernadgang, kan et angreb eller blot en utilsigtet ændring give forstyrrelser af driften eller i værste fald skabe farlige situationer for medarbejderne.
Den nye EU-maskinforordning gør derfor cybersikkerhed til et eksplicit krav, og den nye europæiske norm (EN 50742) giver en konkret ramme for, hvordan man kan gøre maskinens sikkerhedsfunktioner cybersikre.
Men hvordan vurderer man, om en maskine er godt nok rustet?
Tjekliste, der omsætter krav til spørgsmål
Seniorspecialist, Ph.D. og uvildig ekspert i sikkerhed til robotteknologi ved Teknologisk Institut, Morten Kühnrich, har lavet en tjekliste, der omsætter kravene til spørgsmål, man kan bruge direkte i dialogen med leverandører.
• Sporbarhed: Kan I se, hvad der er sket – også om fem år?
Hvis noget går galt, er sporbarhed afgørende. Maskinforordningen kræver, at styresystemet kan logge relevante indgreb og ændringer, og at disse sporingslogge gemmes i mindst fem år. Det handler om at kunne se, hvilke ændringer der er foretaget, hvornår de fandt sted og ideelt af hvem.
Har man ikke en velfungerende logning, står man svagt, når der skal findes årsager, drages læring eller dokumenteres over for myndigheder og kunder, at maskinen har været i sikker drift.
• Sikkerhedskontekst: I hvilken verden står maskinen?
Begrebet “sikkerhedskontekst” handler om at forstå maskinens virkelighed. Står den bag adgangskontrol, eller i et åbent produktionsområde? Er der fjernadgang og i så fald hvordan?
Uden en beskrevet sikkerhedskontekst bliver trusselsvurderingen rent gætværk.
En maskine, der på papiret ser “lukket” ud, kan i praksis være højt eksponeret på grund af midlertidige løsninger, serviceadgange eller utydelige procedurer. At få sikkerhedskonteksten ned på skrift er et første, helt konkrete skridt mod bedre cybersikkerhed.
• Overblik over software og konfiguration
Maskinforordningen stiller krav om, at sikkerhedskritisk software og konfigurationer kan identificeres, og at der er adgang til information om versioner og ændringer.
I praksis betyder det, at man skal kunne svare hurtigt og præcist på spørgsmål som: Hvilken version kører maskinens styring på i dag? Hvilke ændringer er foretaget de seneste måneder? Hvad var den tidligere konfiguration af en given sikkerhedsfunktion?
Hvis det kræver detektivarbejde at finde frem til svaret, er man næppe på linje med kravene.
• Er kritiske signaler og data beskyttet?
Kritiske signaler og datakommunikation, der påvirker sikkerhedsfunktioner, må ikke være lette at opsnappe eller manipulere. Alligevel er der stadig maskiner med åbne forbindelser, ubeskyttede serviceporte og netværk, hvor produktionsudstyr og forbruger-IoT ligger side om side.
Her skærper maskinforordningen kravene: Kritiske signaler og data skal beskyttes, indtrængning skal kunne spores, og sikkerhedskritisk software skal kunne identificeres.
• Hvem må ændre hvad og efter hvilke politikker?
Cybersikkerhed handler ikke kun om teknologi, men også om mennesker, roller og ansvar. Dokumentationen skal gøre det klart, hvilke ændringer der er tilladt, hvilke der er forbudt, og hvem der i givet fald må udføre dem.
Desuden skal der være gennemsigtighed om, hvordan adgangstilladelser og rettigheder tildeles.
• Beredskab: Hvad hvis noget går galt?
Selv robuste systemer kan blive ramt. Trusselsbilledet ændrer sig løbende, og ingen tekniske foranstaltninger er perfekte. Derfor er en konkret, gennemprøvet beredskabsplan et afgørende element i virksomhedens modstandsdygtighed.
Planen bør beskrive, hvordan produktionen bringes i en sikker tilstand ved mistanke om kompromittering, hvem der tager beslutningerne, hvordan systemer genskabes til en kendt sikker konfiguration, og hvem der skal informeres internt og eksternt.
Maskinforordningen kræver det ikke eksplicit, men uden beredskab er det svært at omsætte gode tekniske løsninger til reel robusthed.
Fra tjekliste til handling
Tjeklisten til maskinforordningens cybersikkerhedskrav er et praktisk værktøj til at vurdere udgangspunktet. Den kan bruges både til eksisterende anlæg og til kravspecificering ved nye investeringer og som fælles sprog mellem produktion, udvikling, indkøb, leverandører og IT.
Teknologisk Institut hjælper virksomheder med at omsætte maskinforordningens cybersikkerhedskrav til konkret praksis fra første overblik til specifikke tiltag på anlæg og maskiner.
Tjekliste i kort form
• Stiller maskinen sporingslog til rådighed i minimum fem år?
• Har maskinen en trusselsvurdering udfærdiget?
• Er der adgang til information om softwareversioner og konfigurationer (med relevans for sikkerhedsfunktioner, samt ændringer af disse)?
• Er kritiske signaler og datakommunikation beskyttet?
• Kan sikkerhedskritisk software og data identificeres og beskyttes?
• Er der information om tilladelse til og/eller forbud mod ændringer?
• Er der information om adgangstilladelse/rettighedstildeling?
• Er der en beredskabsplan i tilfælde af et angreb? (Ikke et krav, men det anbefales.)
Kilde: Teknologisk Insitut.
