واجب الإبلاغ في CRA ساري منذ 11 سبتمبر 2026. أما لائحة الآلات فلا تبدأ قبل 20 يناير 2027، ووسم CE الكامل بموجب CRA قبل 11 ديسمبر 2027. إليك ما يجب على الرافعة التي يتحكم بها PLC توثيقه، وأي أجهزة التحكم الراديوي تفقد افتراض المطابقة، وتكلفة هذا كله لكل آلة.
منذ 11 سبتمبر 2026، أصبح على كل من يصنع رافعة بمتحكم متصل بالشبكة لسوق الاتحاد الأوروبي واجب قانوني بالإبلاغ عن أي ثغرة تُستغل فعلياً داخل تلك الرافعة خلال 24 ساعة من العلم بها. هذه الساعة بدأت قبل ستة أسابيع. أما قواعد سلامة الآلات التي ما زالت معظم المصانع تستعد لها فلا تبدأ قبل 20 يناير 2027. والقواعد السيبرانية الأفقية التي تحوّل الأمر كله إلى ملف وسم CE لا تُطبق بالكامل قبل 11 ديسمبر 2027. ثلاثة مواعيد، ولائحتان، وآلة واحدة.
معظم المشترين الذين نقدّم لهم عروضاً في أوروبا سمعوا بواحد فقط من هذه المواعيد. عادةً لائحة الآلات، لأنها ما تسأل عنه الجهة المبلَّغة الخاصة بهم. ولا أحد تقريباً سألنا حتى الآن عن واجب الإبلاغ في CRA، وهو الوحيد الساري بالفعل.
اللائحة (EU) 2023/1230، أي لائحة الآلات، تحلّ محل توجيه الآلات القديم 2006/42/EC وتُطبق على الآلات التي تُطرح في السوق اعتباراً من 20 يناير 2027. وهي قانون سلامة أصبح يتضمن متطلباً للأمن السيبراني. يُعنون القسم 1.1.9 من الملحق III بـ «الحماية من التلف»: يجب ألا تُنشئ الاتصالات بأجهزة أخرى حالات خطرة، ويجب حماية العتاد والبرمجيات والبيانات الحرجة للسلامة من التلف العارض أو المتعمد ويجب التعرف عليها، ويجب تسجيل التدخلات المشروعة وغير المشروعة. ويغطي القسم 1.2.1 سلامة وموثوقية أنظمة التحكم.
أما اللائحة (EU) 2024/2847، أي قانون الأمن السيبراني (CRA)، فهي قانون للأمن السيبراني للمنتجات. دخلت حيّز النفاذ في 10 ديسمبر 2024. ويُطبق الفصل الرابع منها المتعلق بالجهات المبلَّغة منذ 11 يونيو 2026. وبدأت التزامات الإبلاغ في 11 سبتمبر 2026. وتُطبق الالتزامات الرئيسية اعتباراً من 11 ديسمبر 2027.
الرافعة الجسرية العلوية التي يتحكم بها PLC هي «آلة» بموجب الأولى و«منتج ذو عناصر رقمية» بموجب الثانية. والأسئلة الشائعة الرسمية للـ CRA صريحة في ما يعنيه ذلك. يقول السؤال 2.4.1 إن مُصنّعي المنتجات التي تخضع للائحتين معاً «يجب أن يمتثلوا لكل من المتطلبات الأساسية للأمن السيبراني المنصوص عليها في هذه اللائحة والمتطلبات الأساسية للصحة والسلامة المنصوص عليها في اللائحة (EU) 2023/1230»، وإن أي تكامل «يجب أن يُثبته المُصنّع». ويذهب السؤال 2.4.3 أبعد من ذلك: تقييم المطابقة بموجب صكّ واحد «لا يمكن اعتباره تلقائياً كافياً للوفاء أيضاً بالإجراء المطلوب اتباعه بموجب الصك الآخر».
ملفان، وإقراران، ورافعة واحدة. هذا هو شكل المشكلة.
| البند | لائحة الآلات 2023/1230 | قانون الأمن السيبراني 2024/2847 |
|---|---|---|
| موضوعه | السلامة المادية للآلة، إضافة إلى الحماية من تلف وظائف السلامة | الأمن السيبراني للمنتج الرقمي على مدى عمره كله، بما في ذلك التحديثات |
| يسري على الرافعة اعتباراً من | 20 يناير 2027 | 11 ديسمبر 2027 للالتزامات الرئيسية، و11 سبتمبر 2026 لإبلاغ الحوادث |
| من يقوم بالتقييم | تقييم ذاتي لمعظم الرافعات، وجهة مبلَّغة للآلات المدرجة في الملحق I | تقييم ذاتي افتراضياً، وطرف ثالث لـ«المنتجات المهمة» في الملحق III |
| المُخرَج | الملف الفني، وإقرار المطابقة الأوروبي، ووسم CE، وتعليمات تتضمن المخاطر المتبقية | الوثائق الفنية، وإقرار المطابقة الأوروبي، ووسم CE، وSBOM، وفترة الدعم، وإجراءات معالجة الثغرات |
| الواجب المستمر | الاحتفاظ بالملف 10 سنوات، والتحرك بشأن الحوادث التي تكشف عدم المطابقة | معالجة الثغرات طوال فترة الدعم، والإبلاغ عن الثغرات المُستغلة خلال 24 ساعة |
هذا هو الجزء الذي يضيع في الملخصات. فـ CRA ليس موعداً واحداً، بل سلّم من الدرجات، والدرجة التي تُوجع المصنع أكثر هي التي دخلت حيّز النفاذ بالفعل.
| التاريخ | ما يسري | ما يعنيه ذلك لمُصنّع الرافعات |
|---|---|---|
| 10 ديسمبر 2024 | دخول CRA حيّز النفاذ | لا شيء تشغيلي، لكن ساعة التصميم تبدأ |
| 1 أغسطس 2025 | متطلبات الأمن السيبراني في توجيه المعدات اللاسلكية (اللائحة المفوضة 2022/30) | تصيب بالفعل كل جهاز تحكم راديوي يُشحن إلى الاتحاد الأوروبي |
| 11 يونيو 2026 | الفصل الرابع من CRA، الجهات المبلَّغة | يصبح تقييم الطرف الثالث قابلاً للحجز |
| 11 سبتمبر 2026 | التزامات الإبلاغ في CRA والمنصة الموحدة للإبلاغ الخاصة بـ ENISA | ساري بالفعل. يسري على المنتجات الموجودة في سوق الاتحاد الأوروبي أصلاً، لا على الجديدة فقط |
| 20 يناير 2027 | لائحة الآلات 2023/1230 | يصبح الملحق III البندان 1.1.9 و 1.2.1 جزءاً من ملف CE |
| 11 ديسمبر 2027 | الالتزامات الرئيسية في CRA | وسم CE الكامل بموجب CRA، وSBOM، وفترة دعم معلنة في التعليمات |
| 11 ديسمبر 2027 | الإبلاغ لأمناء البرمجيات مفتوحة المصدر | ذو صلة فقط إذا كنت تدير مشروعاً تبيعه تجارياً أيضاً |
أوضح إعلان المفوضية نفسه في 11 سبتمبر 2026 التفصيل الذي يوقع الناس في الخطأ: إن التزامات الإبلاغ تسري على جميع المنتجات ذات العناصر الرقمية المتاحة في الاتحاد الأوروبي، «بما في ذلك تلك الموجودة في السوق أصلاً». ورافعة من 2019 مزوّدة ببوابة تشخيص 4G قابعة في مصنع هولندي منذ سبع سنوات تدخل في نطاق تلك الجملة. فالالتزام يتعلق بالمُصنّع، لا بسنة البيع.
فئتان، وأربع ساعات زمنية. فالثغرة المُستغلة فعلياً في منتجك والحادث الجسيم الذي يمسّ أمنه محفّزان مختلفان، وينتهيان بموعدين نهائيين مختلفين.
| المرحلة | الموعد النهائي | ما يتضمنه |
|---|---|---|
| إنذار مبكر | 24 ساعة من العلم | أن ثمة ثغرة مشتبهاً بقابليتها للاستغلال أو حادثاً جسيماً، مع الوقائع الأساسية |
| إبلاغ كامل | 72 ساعة | معلومات عامة عن المنتج، وطبيعة الاستغلال أو الحادث، والتخفيف الأولي |
| التقرير النهائي، ثغرة مُستغلة | 14 يوماً بعد توفر إجراء تصحيحي | السبب الجذري، والإصلاح المطبق، والإصدارات المتأثرة، وإجراءات المستخدم |
| التقرير النهائي، حادث جسيم | شهر واحد من إبلاغ الـ 72 ساعة | الشكل نفسه، إضافة إلى ما اتُّخذ لمنع التكرار |
مسار التقديم بوابة واحدة. بنت ENISA منصة CRA الموحدة للإبلاغ وتشغّلها، وهي عاملة منذ 11 سبتمبر 2026. يُبلّغ المُصنّع مرة واحدة، وتوجّه المنصة الإشعار إلى CSIRT في الدولة العضو التي يقع فيها المقر الرئيسي للمُصنّع، وتتيح المعلومات لـ ENISA في الوقت نفسه ما لم توجد ظروف استثنائية. ثم يشاركها CSIRT المستقبِل مع بقية فرق CSIRT الوطنية في الدول التي يُباع فيها المنتج.
ثمة باب ضيّق للتأجيل. في 11 ديسمبر 2025 اعتمدت المفوضية قانوناً مفوضاً يحدد شروط أن تُحجب CSIRT نشر المعلومات إلى فرق CSIRT أخرى لأسباب سيبرانية مبرَّرة. افترض أنك لن تستوفي هذه الشروط. خطّط كما لو أن السلطة الوطنية لدى عميلك تعلم في اليوم نفسه الذي تُقدّم فيه إبلاغك.
وبالنسبة لمصنع في تشجيانغ بلا كيان في الاتحاد الأوروبي، السؤال العملي هو: مَن يُقدّم الإبلاغ؟ اللائحة تُلقي الواجب على المُصنّع، ولا يمكن للموزّع أو المستورد أن يستوعبه. وهذه هي النقطة الوحيدة التي يجب أن يُدخل فيها شريك المبيعات الأوروبي في النقاش مبكراً، لأن المنصة تحتاج منظمة محددة بالاسم تقف خلفها عملية حوادث عاملة، لا مكتب مبيعات.
أكثر مما تعترف به معظم عروض الأسعار من قائمة المكوّنات. فالاختبار ليس «هل فيه شريحة؟»، بل هل البند منتج برمجي أو عتادي يتصل، مباشرةً أو غير مباشرة، بجهاز أو شبكة أخرى.
| المكوّن في رافعة EOT قياسية | منتج ذو عناصر رقمية؟ | لماذا يدخل الملف |
|---|---|---|
| PLC / متحكم الرافعة مع Ethernet أو ناقل حقلي | نعم | ينفّذ منطق السلامة، ويتصل بشبكة المصنع |
| محرك ترددي متغير مع برمجيات تهيئة | نعم | برنامج ثابت، ومعاملات تغيّر الكبح وحدود السرعة |
| لوحة HMI أو شاشة لمس | نعم | تشغّل نظام تشغيل، وغالباً مع خادم ويب |
| بوابة تشخيص عن بُعد، أو راوتر 4G، أو صندوق VPN | نعم، وغالباً «منتج مهم» | بوابات VPN والراوترات مذكورة في الملحق III الفئة I |
| جهاز إرسال التحكم الراديوي وجهاز استقباله | نعم، وهو أيضاً معدات لاسلكية | نظامان في وقت واحد: متطلبات الأمن السيبراني في RED إضافة إلى CRA |
| متحكم منع التمايل أو التموضع | نعم | برنامج ثابت يأمر بالحركة مباشرةً |
| خلية الحمل، وشاشة محدّد الحمل، وحماية الحمل الزائد | نعم عندما تعالج البيانات وترسلها | إشارة حمل مزيفة تُبطل حماية الآلة نفسها |
| العارضة الرئيسية، والعربة الطرفية، والبكرة، وكتلة الخطاف، والسلك | لا | لا برمجيات ولا اتصال. الفولاذ يبقى فولاذاً. |
القائمة مهمة لأن CRA لا يطلب منك إصدار شهادة لكل مسمار. بل يطلب أن تعرف أي البنود رقمية، ومن صنعها، وعلى أي إصدار هي، وكيف تُصلح ثغرة في أي منها خلال فترة الدعم. هذه مشكلة جرد قبل أن تكون مشكلة هندسية.
الرافعة القياسية ذات العارضة الواحدة مع ونش سلسلة وتحكم معلّق تحمل عادةً ثلاثة أو أربعة من هذه البنود. أضف بوابة تشخيص عن بُعد فيتضاعف العدد. وحزمة الونش والملحقات التي تُباع منفصلة تجلب إقرارها الخاص، لأن الونش منتج قائم بذاته ذو عناصر رقمية عندما يُشحن مع عاكس ولوحة تحكم.
لا. حدّدت المفوضية الأوصاف الفنية للمنتجات المهمة ذات العناصر الرقمية في اللائحة التنفيذية (EU) 2025/2392، والرافعات ليست فيها. وهذه بشرى، لأن منتجات الفئتين I و II تحمل مسارات تقييم مطابقة أثقل.
لكن المكوّنات حكاية أخرى. فقائمة الفئة I تضم بنوداً تظهر في قوائم مكوّنات الرافعات كل أسبوع:
| فئة الفئة I في الملحق III | أين تظهر في الرافعة |
|---|---|
| منتجات تؤدي وظيفة الشبكة الخاصة الافتراضية | نفق الخدمة عن بُعد الذي تركّبه ليدخل مهندسك من تشجيانغ |
| الراوترات، والمودمات المخصصة للاتصال بالإنترنت، والمحوّلات | راوتر 4G في الخزانة الذي يمنح الرافعة بطاقة SIM |
| واجهات الشبكة المادية والافتراضية | بطاقات ومهايئات واجهات Ethernet و Wi-Fi والناقل الحقلي |
| أنظمة التشغيل | نظام التشغيل في الزمن الحقيقي أو إصدار Windows داخل لوحة HMI |
| إدارة الهويات وإدارة الوصول المميز | نظام حسابات الوصول عن بُعد الذي يستخدمه فريق الخدمة لديك |
| أنظمة إدارة معلومات وأحداث الأمن | فقط إذا كنت تبيع مع الرافعة مراقبة على مستوى المصنع |
تحميك المادة 7(1) من CRA من التسلسل: فدمج منتج يمتلك الوظيفة الجوهرية لفئة من الفئة I أو الفئة II لا يجرّ منتج المضيف في حد ذاته إلى تلك الإجراءات. لكن عليك مع ذلك التأكد من أن المورّد أدّى عمله، وإذا لم يوجد إقرار مطابقة ولا وسم CE لذلك المكوّن، فالمسؤولية مسؤوليتك. ضع ذلك في أمر الشراء، لا في مكالمة هاتفية.
خمس سنوات هي الحد الأدنى، وفي المعدات الصناعية يوجهك الديباجة إلى أبعد من ذلك. تقول الديباجة 60 من CRA إن فترة الدعم يجب ألا تقل عن خمس سنوات ما لم يكن عمر المنتج أقصر، وتضيف أن المنتجات «المخصصة للاستخدام في البيئات الصناعية، مثل أنظمة التحكم الصناعية، غالباً ما تكون قيد الاستخدام لفترات أطول بكثير».
اقرأ ذلك مقابل العمر الخدمي الحقيقي للرافعة، 20 إلى 30 عاماً، وستكون الفجوة واضحة. لا أحد يتوقع أن يستقبل PLC من 2027 تصحيحات في 2052. ما تتوقعه اللائحة هو أن تقول كتابةً متى تتوقف التصحيحات.
يلزم الملحق II بتسليم تاريخ انتهاء فترة الدعم إلى المستخدم مع المنتج. ذلك السطر الواحد في دليل التعليمات هو ما سيستخدمه مدير الصيانة للتخطيط للتحديث، وهو أول ما سيقرأه مسؤول مراقبة السوق.
| فئة الرافعة وطبيعة الخدمة | العمر الخدمي المعتاد | فترة دعم معلنة قابلة للدفاع عنها |
|---|---|---|
| رافعة ورشة خفيفة، A3-A4، 1-10 طن | 15-20 سنة | 5 سنوات للمكوّنات الرقمية، منصوصاً عليها كذلك |
| رافعة إنتاج، A5-A6، 10-50 طن | 20-25 سنة | 8-10 سنوات، مع مسار موثّق لترقية المتحكم |
| رافعة ثقيلة أو رافعة عمليات، A7-A8، 50-100 طن | 25-30 سنة | 10 سنوات، إضافة إلى نافذة هجرة تعاقدية |
| رافعة بتحكم راديوي فقط، بلا شبكة | 15-20 سنة | فترة الدعم تحددها المعدات اللاسلكية، وغالباً 5-7 سنوات |
نطاقات المدد هذه افتراضات تخطيط خاصة بنا مستمدة من سجلات خدمة صينية وأوروبية، وليست إحصائية منشورة. حدّ الخمس سنوات قانوني؛ وكل ما فوقه قرار تجاري ينبغي أن يُتخذ مع المشتري قبل الطلب، لأن الوعد بعشر سنوات مع خارطة طريق للمتحكم أرخص بكثير من الجدال في السنة السادسة.
متطلب الوثائق الفنية هو الجزء الذي يحوّل ملف CE القائم في المصنع إلى وثيقة عاملة. فملف الرافعة المكتوب وفق توجيه الآلات القديم يحتوي عادةً على الرسومات والحسابات وتقييم المخاطر وتقارير الاختبار وإقرار. ولا يحتوي تقريباً أبداً على جرد مكوّنات بإصداراتها.
| البند | كيف يبدو في الرافعة | الفجوة الشائعة اليوم |
|---|---|---|
| الوصف العام والاستخدام المقصود | السعة، والباع، وفئة الخدمة، والبيئة، والواجهات | موجود عادةً، ونادراً ما يذكر واجهة الشبكة |
| تقييم المخاطر بما في ذلك المخاطر السيبرانية | ما يحدث للحركة إذا زُيّفت إشارة أو أُعيد بثها | غائب. تقييم مخاطر السلامة يتوقف عند المخاطر الميكانيكية |
| قائمة مكوّنات البرمجيات | كل مكتبة خارجية وإصدار برنامج ثابت في المتحكم و HMI والبوابة | غير موجودة. والديباجة 77 تتوقعها ولا تشترط أن تكون علنية |
| إجراءات معالجة الثغرات | مَن يتلقى البلاغ، ومَن يفرزه، وكيف يصل الإصلاح إلى رافعة في إسبانيا | غائبة، وهذا هو البند الذي سيختبره قسم تقنية المعلومات لدى المشتري |
| آلية تحديث آمنة | برنامج ثابت موقّع، وإمكانية التراجع، ومسار يعمل دون اتصال بالإنترنت | عادةً ذاكرة USB ورسالة بريد إلكتروني، غير موثّقتين |
| سياسة الإفصاح المنسّق وجهة الاتصال | جهة اتصال أمنية علنية، لا صندوق بريد مبيعات | غائبة، وهي أرخص بند في القائمة إصلاحاً |
ثمة أمران يستحقان القول بوضوح عن SBOM. أولاً، اللائحة لا تفرض عليك نشرها. تقول الديباجة 77 إنه «لا ينبغي إلزام» المصنّعين بجعل SBOM علنية. ثانياً، لا قيمة لها إن جُمعت مرة واحدة. فالقيمة في أن تستطيع الإجابة، خلال يوم، عمّا إذا كانت مكتبة كُشفت الأسبوع الماضي موجودة داخل برنامج المتحكم الثابت. تلك قاعدة بيانات، لا ملف PDF.
الثلاثة، بطرق مختلفة، والمستورد يحمل أكثر مما يفترض معظم المورّدين الصينيين. فبموجب CRA، المستورد هو الكيان في الاتحاد الأوروبي الذي يطرح في السوق منتجاً يحمل اسم مُصنّع غير أوروبي. وعليه التحقق من أن المُصنّع استوفى المتطلبات الأساسية للأمن السيبراني ولديه إجراءات لمعالجة الثغرات، وأن تقييم المطابقة أُجري، وأن الوثائق الفنية موجودة، وأن وسم CE موضوع. والمستورد الذي لا يفعل ذلك ليس قناة سلبية، بل طرف مسؤول.
ويجوز للمُصنّع أن يعيّن ممثلاً مفوضاً داخل الاتحاد بموجب تفويض كتابي للقيام بمهام محددة. وهو اختياري، وليس بديلاً عن التزامات المُصنّع نفسه، لكنه الآلية التي تجعل واجب الإبلاغ في 24 ساعة قابلاً للاستمرار لشركة مهندسوها نائمون حين تكون أوروبا مستيقظة.
| الدور | الواجب الجوهري بموجب CRA | أين ينكسر عادةً |
|---|---|---|
| المُصنّع | التصميم، وتقييم المطابقة، وCE، والتوثيق، وفترة الدعم، ومعالجة الثغرات، والإبلاغ في 24 ساعة | لا توجد عملية تصمد خلال عطلة نهاية الأسبوع |
| الممثل المفوض | المهام المدرجة في تفويض كتابي، وعادةً التواصل مع السلطات وحفظ الوثائق | تفويض موقّع بلا قدرة فنية خلفه |
| المستورد | التحقق من الامتثال و CE والتوثيق وعملية الثغرات لدى المُصنّع قبل الطرح في السوق | يعامل الرافعة كأي آلة أخرى ويطلب شهادة CE فقط |
| الموزّع | التحقق من CE والإقرار قبل إتاحة المنتج، والتحرك إذا كان غير مطابق | يخزّن ملف PDF ولا يتحقق من الإصدار أبداً |
العقوبات تفسّر لماذا بدأ المستوردون يسألون. تحدد المادة 64 غرامات إدارية تصل إلى EUR 15,000,000 أو 2.5 % من إجمالي رقم الأعمال السنوي العالمي، أيهما أعلى، لمخالفة المتطلبات الأساسية للأمن السيبراني والتزامات المُصنّع. وتقع إخفاقات التوثيق والإجراءات عند EUR 10,000,000 أو 2 %. أما تقديم معلومات غير صحيحة أو ناقصة أو مضللة إلى جهة مبلَّغة أو إلى سلطة مراقبة سوق فيقع عند EUR 5,000,000 أو 1 %.
| المخالفة | الحد الأقصى للغرامة الإدارية |
|---|---|
| المتطلبات الأساسية للأمن السيبراني، والتزامات المُصنّع | EUR 15,000,000 أو 2.5 % من رقم الأعمال السنوي العالمي، أيهما أعلى |
| التزامات المستورد والموزّع وغيرها من الالتزامات الإجرائية | EUR 10,000,000 أو 2 % من رقم الأعمال السنوي العالمي، أيهما أعلى |
| معلومات غير صحيحة أو ناقصة أو مضللة للسلطات | EUR 5,000,000 أو 1 % من رقم الأعمال السنوي العالمي، أيهما أعلى |
وبالنسبة لمُصنّع رافعات متوسط الحجم، نادراً ما يعضّ فرع النسبة المئوية. أما فرع EUR 15 مليون فلا يبالي بعدد موظفيك، والأمر بسحب طراز من سوق الاتحاد الأوروبي يكلّف أكثر من أي غرامة.
أنظمة التحكم الصناعية ليست هدفاً نظرياً. فخط الإفصاح وحده يحكي قصة: عدد التنبيهات الصناعية المنشورة في تصاعد مستمر، والخطورة تتصاعد معه.
| المقياس | القيمة | المصدر |
|---|---|---|
| تنبيهات ICS المنشورة في 2025 | 508 تنبيهات تغطي 2,155 ثغرة CVE (أول سنة تتجاوز 500) | Forescout Research، فبراير 2026، استناداً إلى بيانات CISA |
| متوسط CVSS لتلك التنبيهات | 8.07، بزيادة 25 % عن 6.44 في 2010؛ و82 % منها عالية أو حرجة | Forescout Research، فبراير 2026 |
| التنبيهات التراكمية منذ 2010 | 3,637 تنبيهاً، و12,174 ثغرة، و2,783 منتجاً، و689 مورّداً | Forescout Research، فبراير 2026 |
| أجهزة OT التي تحتوي ثغرات معروفة الاستغلال | 12 % من أكثر من 940,000 جهاز في 270 منظمة | Claroty Team82، تقرير حالة أمن CPS لعام 2025 |
| المنظمات التي لديها مثل هذه الأجهزة مكشوفة على الإنترنت | 40 %، وتصل إلى 31 % في المجموعة الفرعية التي ترتبط ثغرتها ببرامج الفدية | Claroty Team82، تقرير حالة أمن CPS لعام 2025 |
| نمو برامج الفدية في التصنيع، 2024 إلى 2025 | 61 %، وهي أكبر زيادة في أي قطاع حرج | Claroty، 31 أكتوبر 2025 |
اقرأ الصفين الرابع والخامس معاً. نحو أربعة من كل عشرة من المصانع المشمولة بالمسح كانت لديها وسيلة وصول عن بُعد غير آمنة على أصول تحمل أصلاً ثغرة معروفة الاستغلال. وهذا بالضبط الترتيب الذي تنشئه بوابة تشخيص مثبّتة على رافعة ليتمكن المصنع من مساعدة العميل دون إرسال مهندس. البوابة ليست المشكلة. المشكلة هي البوابة بكلمة مرور مشتركة وبلا مسار تحديث.
أجهزة التحكم الراديوي وصلت إلى هذا الحفل أولاً. جعلت اللائحة المفوضة (EU) 2022/30 متطلبات الأمن السيبراني الأساسية في المادة 3(3)(د) و(هـ) و(و) من توجيه المعدات اللاسلكية إلزامية لفئات محددة من المعدات اللاسلكية اعتباراً من 1 أغسطس 2025. وزوج جهاز الإرسال والاستقبال في الرافعة معدات لاسلكية، لذا فكل وحدة محمولة تُشحن إلى الاتحاد الأوروبي منذ ذلك التاريخ تدخل في نطاقها.
المعايير المنسّقة هي EN 18031-1:2024 للمعدات اللاسلكية المتصلة بالإنترنت، و EN 18031-2:2024 للمعدات التي تعالج البيانات الشخصية. وهي مُدرجة في الجريدة الرسمية بقيد، وأحد القيود ملموس على نحو غير معتاد. فالإدراج في قرار التنفيذ (EU) 2025/138 يحمل إشعاراً بأن EN 18031-1 لا يمنح افتراض مطابقة إذا كان «يُسمح للمستخدم بعدم تعيين أي كلمة مرور واستخدامها» عند تطبيق البندين 6.2.5.1 و 6.2.5.2.
تلك الجملة الواحدة تُسقط الكثير من العتاد. فجهاز إرسال يُشحن برمز اقتران ثابت وبلا اشتراط لتعيين كلمة مرور لا يمكنه الاستناد إلى المعيار المنسّق. وهذا لا يجعل المنتج غير قانوني تلقائياً، لكنه يزيل أسهل طريق لإثبات المطابقة، وسيجده قسم الامتثال لدى المشتري.
| فئة الهجوم على التحكم الراديوي الصناعي | ما يفعله المهاجم | السؤال الذي يجب طرحه على المورّد |
|---|---|---|
| الالتقاط وإعادة البث | يسجّل برقية صحيحة ويعيد بثها لاحقاً لتحريك الرافعة | هل الرابط مشفّر، وهل البرقيات محمية من إعادة البث بعدّاد أو طابع زمني؟ |
| حقن الأوامر | يفكّ بنية البرقية ويستبدلها بأمر مختلف | هل توجد مصادقة للرسائل على حمولة الأمر، لا على العنوان فقط؟ |
| إعادة البرمجة الخبيثة | يعيد كتابة الربط بين عنصر تشغيل ومخرج من مخرجات الآلة | هل يمكن كتابة البرنامج الثابت دون صورة موقّعة وخطوة خدمة مادية؟ |
| إعادة الاقتران الخبيثة | يحاكي جهاز الإرسال الأصلي حتى يقبل المستقبل جهازاً جديداً | هل يتطلب الاقتران وصولاً مادياً إلى المستقبل ومفتاحاً مصرّحاً به؟ |
فئات الهجوم الأربع أعلاه هي التصنيف المستخدم في الورقة البيضاء المنشورة لشركة HBC-radiomatic عن الأمن في التحكم الراديوي الصناعي، والتي تلاحظ أيضاً أن الشركة تقدّم إرسالاً راديوياً مشفّراً بالكامل منذ أكثر من عقد وتُخضع أنظمتها لاختبار اختراق خارجي حيث أمكن ذلك. هذا هو المعيار الذي يعمل به مورّد جادّ اليوم. وهو أيضاً مرجع معقول للمشتري الذي يقارن تحكماً أوروبياً بآخر أرخص: السؤال ليس هل تقول ورقة البيانات «مشفّر»، بل أي من الفئات الأربع مغلق وكيف تثبت ذلك.
IEC 62443 هي الجواب الصناعي عن سؤال «كيف أُثبت أنني فعلت هذا بشكل صحيح»، وهي لا تحلّ محل وسم CE. إنها شهادة على عملية تطويرك وعلى المتطلبات الفنية الأمنية لمنتجك. ويبقى ملف CE قائماً.
ثلاثة أجزاء تهم مُصنّع الرافعات: 4-1 لدورة حياة التطوير الآمن، و4-2 للمتطلبات الفنية الأمنية للمكوّن، و3-3 للنظام. وتعطي رسوم المخطط المنشورة لعام 2026 ونطاقات التقييم مرتبة حجم قابلة للاستخدام.
| ما الذي يُشهد عليه | المعيار | رسم المخطط | التقييم، النطاق المعتاد |
|---|---|---|---|
| دورة حياة التطوير الآمن | 62443-4-1 | USD 1,500 سنوياً | EUR 15,000-35,000 عند مستوى النضج 2 |
| المكوّن | 62443-4-2 | USD 1,200 لكل مكوّن أو 1,500 لكل عائلة، سنوياً | EUR 25,000-50,000 إضافة إلى عملية 4-1 معتمدة |
| النظام | 62443-3-3 | USD 1,200 سنوياً | EUR 30,000-50,000 |
| أول شهادة لجهاز، شاملة | مخطط ISASecure | مشمولة أعلاه | USD 50,000-75,000، وفق الأسئلة الشائعة للمخطط نفسه |
المعايير نفسها هي أرخص بند وأكثره إغفالاً. تبيع IEC كل جزء منفصلاً: 62443-4-1 بـ CHF 335 و 62443-4-2 بـ CHF 405، فالمجموعة الدنيا لمورّد منتج هي CHF 740. والمجموعة الكاملة اللازمة لفهم ما سيلزم به المصنع مقدّمي خدماته تقل عن CHF 3,000. وشراء المعيار أرخص من الدفع لمستشار لتلخيصه.
ثمة مسار ثانٍ يهم بالنسبة للائحة الآلات تحديداً. فالشهادة بموجب مخطط أمن سيبراني معتمد وفق اللائحة (EU) 2019/881 تمنح افتراض مطابقة مع القسمين 1.1.9 و 1.2.1 من الملحق III في MR. والمخطط الحالي هو EUCC، المنشأ باللائحة التنفيذية (EU) 2024/482، والساري منذ 27 فبراير 2025، بمستويي ضمان: «جوهري» و«عالٍ». ولا يُسمح بالتقييم الذاتي بموجب EUCC. ولمُصنّع الرافعات الذي يريد شهادة واحدة تخدم القانونين، هذه هي الآلية، وهي مسعّرة كمشروع جادّ لا كمراجعة وثائق.
لا أحد في هذه الصناعة ينشر رقماً لكل وحدة، فهذا رقمنا. الأرقام أدناه تقديرات تخطيط من SIEC لمجموعة من ثلاثة طرازات من الرافعات التي يتحكم بها PLC، مبنية على عروض أسعارنا الخاصة لأعمال الاختبار والتوثيق. وهي ليست إحصائية منشورة، وستتغير مع نطاق نظام التحكم.
| حزمة العمل | السنة الأولى | متكرر |
|---|---|---|
| نموذج التهديد وتقييم المخاطر السيبرانية مضافاً إلى ملف السلامة | 5-8 أيام مهندس | 1-2 يوم لكل تغيير طراز |
| بناء SBOM وتحديثها للمتحكم و HMI والبوابة | 4-6 أيام | 1-2 يوم كل ربع سنة |
| اختبار اختراق خارجي للبوابة والرابط الراديوي | EUR 8,000-15,000 | EUR 8,000-15,000 كل 2-3 سنوات |
| التوثيق، وإقرار المطابقة، وتحديث دليل التعليمات | 3-5 أيام | 1-2 يوم سنوياً |
| معالجة الثغرات وواجب الإبلاغ في 24 ساعة | إعداد العملية، 3-4 أيام | 4-8 أيام سنوياً إضافة إلى تغطية المناوبة |
| اختياري: شهادة EUCC أو IEC 62443-4-2 | EUR 40,000-90,000 | رسوم المخطط إضافة إلى تدقيق المراقبة |
| الإجمالي دون شهادة طرف ثالث | EUR 25,000-55,000 | EUR 10,000-25,000 سنوياً |
عند توزيعها على الإنتاج تتغير الصورة كلياً. فعند أربعين رافعة سنوياً تكون تكلفة السنة الأولى EUR 625 إلى 1,375 للوحدة. وعند ثماني رافعات سنوياً تكون EUR 3,100 إلى 6,900 للوحدة، وهو ترتيب يقارب شحن آلة واحدة بوزن 20 طناً. والرقم المتكرر هو ما يحدد قدرة مُصنّع صغير على البقاء في هذه الشريحة: EUR 10,000 إلى 25,000 سنوياً لا تنكمش مع الحجم، فترتفع التكلفة الثابتة للرافعة مع تراجع دفتر الطلبات.
والبند الذي يقلّله الناس هو واجب الإبلاغ. فساعة الـ 24 تعني أن أحداً يجب أن يكون متاحاً في الثالثة صباحاً بتوقيت أوروبا من تشجيانغ. عملياً، هذا يعني إما شريك خدمة أوروبي لديه عملية حوادث، أو جدول مناوبات. كلاهما يكلّف مالاً، ولا يظهر أيٌّ منهما في عرض سعر.
المشترون الذين يفهمون النظامين يكتبون أوامر شراء مختلفة عن الذين لا يفهمون. هذه هي البنود التي نراها الآن في الاستفسارات الأوروبية، والتي كنا سنضعها لو كنا في جانب الشراء.
| البند | الصياغة التي تعمل |
|---|---|
| 1. الجرد | اذكر كل منتج ذي عناصر رقمية في الرافعة، مع الصانع والطراز وإصدار البرنامج الثابت |
| 2. الإقرارات | قدّم إقرار المطابقة CE لكل بند من طرف ثالث، أو صرّح كتابةً بعدم وجوده |
| 3. فترة الدعم | اذكر تاريخ انتهاء الدعم في دليل التعليمات وحدّد الشخص المسؤول عنه |
| 4. الوصول عن بُعد | اتصال صادر فقط، بلا منفذ وارد، وبيانات اعتماد لكل موقع، وبلا حساب خدمة مشترك |
| 5. الرابط الراديوي | إرسال مشفّر، وعدّاد إعادة بث، وكلمة مرور إلزامية عند أول استخدام، وخطوة اقتران مادية |
| 6. التحديثات | برنامج ثابت موقّع، ومسار تحديث دون اتصال موثّق، وإجراء تراجع |
| 7. SBOM | تُسلّم عند الطلب خلال خمسة أيام عمل، بموجب اتفاقية عدم إفصاح، وتُحدّث مع كل إصدار برنامج ثابت |
| 8. الإبلاغ | إبلاغ المشتري خلال 24 ساعة من العلم بثغرة مُستغلة فعلياً تمسّ الرافعة |
| 9. التصعيد | جهة اتصال أمنية محددة بالاسم مع زمن استجابة، لا عنوان مبيعات عام |
| 10. ضبط التغيير | أي استبدال لمتحكم أو HMI أو بوابة يتطلب موافقة كتابية وملفاً محدثاً |
البند 10 هو الذي يحمي المشتري من أكثر إخفاق واقعي شيوعاً. يُستبدل متحكم في المصنع بسبب تأخر في التوريد، ولا أحد يحدّث التوثيق، وبعد ثمانية عشر شهراً لم تعد الرافعة في الموقع تطابق الملف المُقرّ. وبموجب لائحة الآلات هذه مشكلة مطابقة. وبموجب CRA هي إخفاق توثيقي يقع في شريحة EUR 10 مليون.
الطلبات المقدَّمة الآن تقع في النافذة التي يتداخل فيها النظامان، والتسلسل أهم من الأوراق.
| المرحلة | التوقيت | ما يجب أن يكون جاهزاً |
|---|---|---|
| الطلب وتجميد التصميم | الربع الرابع 2026 إلى الربع الأول 2027 | جرد المكوّنات وإقرارات المورّدين مثبّتة مع الطلب، لا بعده |
| سريان لائحة الآلات | 20 يناير 2027 | أدلة الملحق III البند 1.1.9: بنية الاتصال، والتدخلات المسجلة، وبرمجيات السلامة المحمية |
| واجب الإبلاغ في CRA على الأسطول القائم | ساري بالفعل منذ 11 سبتمبر 2026 | جهة اتصال محددة بالاسم وعملية فرز مكتوبة لكل رافعة متصلة موجودة أصلاً في الاتحاد الأوروبي |
| الالتزامات الرئيسية في CRA | 11 ديسمبر 2027 | تقييم مطابقة CRA، والإقرار، و CE، وSBOM، وفترة الدعم المعلنة |
| أول دورة تدقيق CRA | 2028 | أدلة على أن عملية الثغرات عملت فعلاً، لا أنها كُتبت فقط |
النتيجة العملية أن رافعة تُسلَّم في النصف الثاني من 2027 يجب أن تستوفي لائحة الآلات عند التسليم، وستدخل نظام CRA في غضون أشهر. وتصميم الملف مرة واحدة للاثنين أرخص من إدخال أحدهما في الآخر لاحقاً. ونظام التحكم هو نقطة التداخل: فالبند 1.1.9 يسأل هل يمكن لتدخل أن يُتلف وظيفة سلامة، و CRA يسأل هل تستطيع العلم بذلك وإصلاحه.
الامتثال السيبراني للرافعات ليس حيلة أوروبية لإبعاد الرافعات الصينية. إنه قانون توثيق وإجراءات، والمصنع الذي يبني بالفعل ملف CE سليماً أقرب إلى الامتثال مما يوحي به الموعد النهائي. لكنه يعاقب الترتيب الذي يعتمد عليه معظم المصدّرين حالياً: PLC وبوابة من طرف ثالث، وكلمة مرور مشتركة، ومسار تحديث غير موثّق، ولا أحد يملك السؤال.
واجب الإبلاغ هو الجزء الذي يجب إصلاحه أولاً، لأنه ساري بالفعل ولا يكلّف شيئاً تقريباً إعداده بشكل صحيح. جهة اتصال محددة بالاسم، وعملية فرز مكتوبة قصيرة، وقاعدة بأن أي بلاغ من عميل عن سلوك غير معتاد للرافعة يصل إلى تلك الجهة خلال ساعة. هذا أسبوع من العمل. والبديل هو اكتشاف الالتزام في منتصف حادث، وساعة الـ 24 تعمل بالفعل، ومستورد يسأل لماذا لم يُبلَّغ.
نعم، إذا كان أي جزء منها منتجاً ذا عناصر رقمية يتصل، مباشرةً أو غير مباشرة، بجهاز آخر. فالرافعة التي فيها PLC و HMI على شبكة محلية، بلا مسار إلى الإنترنت، ما زالت في النطاق. فاللائحة تغطي الاتصال غير المباشر أيضاً، وحاسوب المهندس الموصول بالخزانة هو اتصال. وما يتغير بغياب الإنترنت هو الخطر العملي، لا النطاق القانوني.
لا. إذا كانت الرافعة تحمل اسمك أو علامتك التجارية، فأنت المُصنّع بموجب CRA، وواجب الإبلاغ واجبك. وموزّعك مستورد إذا طرح المنتج في السوق، وهذا يمنحه واجبات تحقق لكنه لا ينقل التزاماتك. ووضع علامتك على الآلة واسم موزّعك على الأوراق لا ينقل المسؤولية.
جهاز التحكم الراديوي معدات لاسلكية وأيضاً منتج ذو عناصر رقمية. ومتطلبات الأمن السيبراني في توجيه المعدات اللاسلكية سارية منذ 1 أغسطس 2025 عبر اللائحة المفوضة 2022/30، مع EN 18031-1 و EN 18031-2 كمعيارين منسّقين. ويضيف CRA طبقة أفقية منفصلة تغطي المنتج كله ودورة حياته. لا تفترض أن شهادة واحدة تُغلق الأخرى؛ فإرشاد المفوضية بشأن الجمع بين الصكوك هو أن على المُصنّع إثبات التكامل بينها.
ما زلت تُبلغ. فموعد الـ 72 ساعة هو للإبلاغ الكامل، لا للإصلاح. والتقرير النهائي عن ثغرة مُستغلة فعلياً مستحق في موعد لا يتجاوز 14 يوماً بعد توفر إجراء تصحيحي، وهي ساعة مختلفة تعترف بأن الإصلاح يستغرق وقتاً أطول من الإبلاغ. وما يجب ألا تفعله هو انتظار الإصلاح قبل إخبار أي أحد.
لا. IEC 62443 غير مُشار إليها كمعيار منسّق يمنح افتراض مطابقة تلقائي بموجب CRA. وما تنص عليه لائحة الآلات هو أن الشهادة بموجب مخطط معتمد وفق اللائحة (EU) 2019/881 تمنح افتراض مطابقة مع الملحق III القسمين 1.1.9 و 1.2.1. و IEC 62443 هي الطريقة العملية لبناء العملية، وقد يطلبها المشتري، لكنها ليست البوابة القانونية. وبالنسبة لـ ونش يُباع منتجاً منفصلاً، ينطبق المنطق نفسه على متحكمه وإقراره.
نعم. أعلنت المفوضية في 11 سبتمبر 2026 أن التزامات الإبلاغ تسري على جميع المنتجات ذات العناصر الرقمية المتاحة في الاتحاد الأوروبي، بما في ذلك تلك الموجودة في السوق أصلاً. والواجب يتعلق بالمُصنّع، لا بتاريخ البيع. وعملياً، معظم رافعات 2018 بلا اتصال عن بُعد وبلا طريقة لتعلمك بثغرة مُستغلة، وهذا حجة لتوثيق تلك الحقيقة بدل افتراض أن السؤال لن يُطرح.
مقالات ذات صلة:
نطاق CBAM للرافعات: ماذا يعني حوار أكتوبر الثلاثي للمشترين من 2028
معايير الرافعات الأوروبية في 2026: prEN 15011 ولائحة الآلات وما يتغير
أتمتة الرافعات والتشغيل عن بُعد في 2026: ما يحصل عليه المشترون فعلاً
تحديث الرافعة مقابل استبدالها في 2026: التكلفة والتوقف والامتثال
قطع الغيار وشبكات الخدمة ووقت التشغيل: ما يحدد زمن الاستعادة فعلاً
الرافعات الخاصة: آلات الخطّافات والمسبقة الصب والتخليل والغرف النظيفة