Makinaların Siber Güvenliği: (AB) 2023/1230 Makine Tüzüğü ve (AB) 2019/881 Siber Güvenlik Yasası
Makinaların siber güvenliği, ağa bağlı kontrol sistemleri, uzaktan erişim ve yazılım güncellemeleriyle çalışan modern makinelerde artık doğrudan bir emniyet konusudur. Yetkisiz bir müdahale, bozulan bir yazılım veya manipüle edilen bir sinyal; makinenin beklenmedik şekilde çalışmasına, koruyucu fonksiyonların devre dışı kalmasına ve operatör için tehlikeli durumların ortaya çıkmasına yol açabilir.
Avrupa Birliği bu riski, 20 Ocak 2027’den itibaren uygulanacak (AB) 2023/1230 Makine Tüzüğü ile ilk kez temel sağlık ve güvenlik gerekliliklerinin (TSGG) bir parçası hâline getirmiştir. Bu yazıda, Makine Tüzüğü’nün siber güvenlik gerekliliklerini, (AB) 2019/881 Siber Güvenlik Yasası ve (AB) 2024/2847 Siber Dayanıklılık Yasası ile ilişkisini ve üreticilerin dikkate alması gereken başlıca noktaları özetliyoruz.
Siber Güvenlik Neden Artık Bir CE Konusu?
2006/42/AT Makine Direktifi, siber tehditleri açıkça düzenlemiyordu. (AB) 2023/1230 Makine Tüzüğü ise kötü niyetli müdahaleleri, makinenin tasarımında dikkate alınması gereken öngörülebilir riskler arasına almıştır. Burada amaç genel bir bilgi güvenliği şartı getirmek değil; siber bir müdahalenin makinede tehlikeli bir duruma yol açmasını önlemektir. Dolayısıyla siber güvenlik, risk değerlendirmesinin ve teknik dosyanın doğal bir parçası olarak ele alınmalıdır.
Makine Tüzüğü Ne İstiyor?
Ek III – 1.1.9 Bozulmaya Karşı Koruma
- Makineye başka bir cihazın bağlanması veya makineyle uzaktan iletişim kuran bir cihaz, tehlikeli bir duruma yol açmamalıdır.
- Emniyet açısından kritik yazılıma erişim ya da bağlantı için sinyal veya veri ileten donanım bileşenleri, kazara veya kasıtlı bozulmaya karşı yeterli şekilde korunmalıdır.
- Tüzüğe uygunluk açısından kritik olan yazılım ve veriler tanımlanmalı ve korunmalıdır.
- Makinede yüklü yazılım tanımlanabilir olmalı; yazılıma veya yapılandırmaya yapılan meşru ya da yetkisiz müdahalelerin kanıtı toplanabilmelidir.
Ek III – 1.2.1 Kontrol Sistemlerinin Emniyeti ve Güvenilirliği
- Kontrol sistemleri, üçüncü tarafların makul ölçüde öngörülebilir kötü niyetli girişimleri de dâhil olmak üzere, iç ve dış etkilere tehlikeli bir duruma yol açmadan dayanacak şekilde tasarlanmalıdır.
- Kontrol sistemine yapılan müdahalelere ilişkin veriler ve makine piyasaya arz edildikten sonra yüklenen emniyet yazılımı sürümleri, yükleme tarihinden itibaren beş yıl boyunca, yalnızca uygunluğun gösterilmesi amacıyla kayıt altında tutulabilmelidir.
(AB) 2019/881 Siber Güvenlik Yasası ile İlişkisi
Haziran 2019’da yürürlüğe giren Siber Güvenlik Yasası (Cybersecurity Act), Avrupa Birliği Siber Güvenlik Ajansı’nın (ENISA) görev ve yetkilerini güçlendirmiş ve BİT ürünleri, hizmetleri ve süreçleri için AB genelinde geçerli bir siber güvenlik sertifikasyon çerçevesi oluşturmuştur.
Makine Tüzüğü, bu çerçevede kabul edilen ilgili bir siber güvenlik sertifikasyon şeması kapsamında düzenlenen sertifika veya uygunluk beyanının, şemanın kapsadığı ölçüde, Ek III’teki 1.1.9 ve 1.2.1 gerekliliklerine uygunluk varsayımı sağlayabileceğini öngörmektedir. Bu nedenle iki düzenleme, makinelerde emniyet ile siber güvenliğin kesiştiği kritik bir noktayı oluşturur.
Tamamlayıcı Düzenleme: (AB) 2024/2847 Siber Dayanıklılık Yasası
Dijital unsur içeren ürünleri kapsayan Siber Dayanıklılık Yasası (Cyber Resilience Act – CRA), bağlantılı makine ve bileşen üreticilerini de doğrudan ilgilendirmektedir:
- 10 Aralık 2024 – Yürürlüğe giriş
- 11 Eylül 2026 – Aktif olarak istismar edilen güvenlik açıkları ve ciddi olaylar için bildirim yükümlülüklerinin başlaması
- 11 Aralık 2027 – Temel siber güvenlik gerekliliklerinin tamamen uygulanması
Kısaca; Makine Tüzüğü siber tehdidin makine emniyetine etkisini ele alırken, CRA ürünün yaşam döngüsü boyunca siber güvenliğini (güvenlik açığı yönetimi, güncellemeler, yazılım bileşen listesi vb.) düzenler. Bağlantılı makinelerde iki düzenlemenin birlikte değerlendirilmesi gerekir.
İlgili Standartlar
- prEN 50742 Makinelerde emniyet – Bozulmaya karşı koruma: Ek III 1.1.9 ve 1.2.1 gerekliliklerine yönelik hazırlanan taslak standarttır; uyumlaştırılmış standart olarak yayımlanması beklenmektedir. IEC 62443 serisini uygulayan üreticiler için alternatif bir uygulama yolu da öngörmektedir.
- IEC 62443 serisi: Endüstriyel otomasyon ve kontrol sistemlerinin siber güvenliği (ör. 62443-3-3 sistem gereklilikleri, 62443-4-1 güvenli ürün geliştirme, 62443-4-2 bileşen gereklilikleri).
- EN ISO 12100, EN ISO 13849-1 ve EN IEC 62061: Risk değerlendirmesi ve emniyetle ilgili kontrol sistemleri; siber tehdit senaryoları bu çalışmalarla birlikte ele alınmalıdır.
Üreticiler İçin Temel Önlemler
- Risk değerlendirmesi: Siber tehdit senaryolarının makinenin risk değerlendirmesine dâhil edilmesi.
- Kimlik doğrulama ve erişim kontrolü: Kullanıcıların ve cihazların sisteme erişmeden önce güvenli şekilde doğrulanması, yetki seviyelerinin tanımlanması.
- Ağ güvenliği: Güvenlik duvarları, ağ ayrıştırma (segmentasyon) ve uzaktan erişimin kontrol altına alınması.
- Veri bütünlüğü ve şifreleme: Emniyet açısından kritik veri ve sinyallerin iletim ve depolama sırasında korunması.
- Güvenli yazılım güncellemeleri: İmzalı yazılım/firmware, sürüm takibi ve güncellemelerin kayıt altına alınması.
- Fiziksel koruma: Servis portlarının, kontrol panolarının ve sunucuların yetkisiz erişime karşı korunması.
- Kayıt ve olay müdahalesi: Müdahale kayıtlarının tutulması, siber olay ve arızalar için müdahale prosedürlerinin hazırlanması.
- Teknik dosya: Alınan tüm önlemlerin ve doğrulama sonuçlarının teknik dosyada belgelenmesi.
Sonuç
20 Ocak 2027’den itibaren piyasaya arz edilecek makinelerde siber güvenlik, CE işaretlemesi için karşılanması gereken bir emniyet gerekliliğidir. Bağlantılı makine üreten firmaların; Makine Tüzüğü, Siber Güvenlik Yasası ve Siber Dayanıklılık Yasası’nı birlikte değerlendirerek tasarım, risk değerlendirmesi ve teknik dosya süreçlerini şimdiden bu gerekliliklere göre güncellemeleri önem taşımaktadır.
TESTPLUS (Onaylanmış Kuruluş NB 2908) teknik ekibi, makinaların siber güvenliği ve (AB) 2023/1230 Makine Tüzüğü’ne geçiş sürecindeki gelişmeleri yakından takip etmektedir. Uygunluk değerlendirmesi talepleriniz ve sorularınız için teknik ekibimizle iletişime geçebilirsiniz.
