Machineverordening en Cyber Resilience Act: wat verandert er aan je technisch dossier

Vanaf 20 januari 2027 geldt de Machineverordening (EU) 2023/1230. Ze vervangt de Machinerichtlijn. Een machine die je voor die datum voor het eerst in de handel brengt, valt nog onder de richtlijn. Daarnaast loopt de Cyber Resilience Act (CRA), voor producten met software of een verbinding. Dit artikel is voor machinebouwers die hun technisch dossier per variant bijhouden.

Wat de regel vraagt

Machineverordening

Digitale handleiding. De gebruiksaanwijzing mag digitaal. Op de machine, de verpakking of een begeleidend document staat hoe je haar vindt. Ze moet te printen, te downloaden en op te slaan zijn. Ze blijft online zolang de machine naar verwachting meegaat, en minstens tien jaar. Vraagt een koper bij aankoop om papier, dan lever je dat kosteloos binnen een maand. Voor niet-professionele gebruikers staat de essentiële veiligheidsinformatie altijd op papier.

Beveiliging van software. Software die kritiek is voor de veiligheid, moet je benoemen en beschermen tegen aantasting. De machine verzamelt bewijs van ingrepen in die software of de configuratie, bevoegd of onbevoegd. Versies van veiligheidssoftware die na levering worden geïnstalleerd, worden vijf jaar vastgelegd.

Substantiële wijziging. De verordening omschrijft wanneer een wijziging substantieel is. Wie een machine zo wijzigt, geldt als fabrikant. Dat raakt ombouw en uitbreiding van machines die al in gebruik zijn.

Cyber Resilience Act

Meldplicht sinds 11 september 2026. Een actief misbruikte kwetsbaarheid of een ernstig incident meld je bij het NCSC:

• binnen 24 uur een vroegtijdige waarschuwing;
• binnen 72 uur een melding;
• een eindverslag binnen 14 dagen na een oplossing, of binnen een maand bij een incident.

Dit geldt ook voor producten die je al jaren geleden op de markt bracht.

Vanaf 11 december 2027. Dan gelden de producteisen, de conformiteitsbeoordeling en de CE-markering onder de CRA. Je maakt een risicobeoordeling voor cyberbeveiliging en neemt die op in de technische documentatie. Je houdt een softwarestuklijst bij in een machineleesbaar formaat. Je ondersteunt het product minstens vijf jaar, of langer als het langer meegaat. Veiligheidsupdates zijn kosteloos.

Wat dat betekent voor je proces

Het technisch dossier was vaak een document dat je afrondde bij levering. Met deze twee regels blijft het leven. Software verandert na levering, en dat moet terug te vinden zijn.

Per machinevariant leg je vast:

• de risicobeoordeling, ook voor cyberbeveiliging;
• welke software erin zit, met versie en leverancier: de softwarestuklijst;
• de handleiding die bij die variant en softwareversie hoort.

Per geleverde machine leg je vast:

• serienummer, variant en klant;
• de softwareversie bij levering;
• elke update daarna: wat, wanneer en door wie.

Met die koppeling kun je een vraag snel beantwoorden. Een leverancier meldt een kwetsbaarheid in een onderdeel van de besturing. Welke machines hebben die versie, en bij welke klanten staan ze? Bij actief misbruik heb je 24 uur voor de eerste melding.

Wie doet wat. Engineering maakt de risicobeoordeling en de stuklijst. De softwareontwikkelaars beheren versies. De servicedienst legt updates in het veld vast. Kwaliteit geeft het dossier vrij. Iemand is eigenaar van de meldroute bij kwetsbaarheden.

Toeleveranciers. Veel software in een machine komt van anderen: besturingen, aandrijvingen, bedieningspanelen. Je hebt van hen nodig welke software erin zit en wanneer er een kwetsbaarheid is. Dat spreek je af in je inkoopvoorwaarden.

Wat je nu kunt doen

1. Bepaal welke machines je na 20 januari 2027 voor het eerst in de handel brengt.
2. Maak per variant een overzicht van de software: welke, welke versie, van wie.
3. Leg per geleverde machine de softwareversie vast, en houd updates bij.
4. Richt een meldroute in: wie beoordeelt een kwetsbaarheid, en wie meldt binnen 24 uur.
5. Kies hoe je de digitale handleiding beschikbaar houdt, en hoe je papier levert op verzoek.
6. Spreek met toeleveranciers af hoe zij kwetsbaarheden en updates aan jou doorgeven.

Een prototype op je eigen machinevarianten laat zien hoe het dossier per variant en per serienummer bijgehouden kan worden.

Dit artikel is informatief en geen juridisch advies.