Kepatuhan Siber Crane: Apa yang Diminta Dua Rezim UE dari Crane Berbasis PLC, 2026 hingga 2028

Ditulis oleh Chen Wei, Insinyur Desain Senior di SIEC Cranes. 28 Okt 2026.

Sejak 11 September 2026, siapa pun yang memproduksi crane dengan pengendali berjaringan untuk pasar UE memiliki kewajiban hukum untuk melaporkan kerentanan yang dieksploitasi secara aktif di dalam crane tersebut dalam waktu 24 jam sejak mengetahuinya. Hitungan waktu itu dimulai enam minggu lalu. Aturan keselamatan mesin yang masih disiapkan oleh sebagian besar pabrik baru dimulai pada 20 Januari 2027. Aturan siber horizontal yang mengubah semuanya menjadi berkas penandaan CE baru berlaku sepenuhnya pada 11 Desember 2027. Tiga tanggal, dua peraturan, satu mesin.

Sebagian besar pembeli yang kami beri penawaran di Eropa hanya pernah mendengar salah satunya. Biasanya Peraturan Mesin, karena itulah yang ditanyakan badan notifikasi mereka. Hampir belum ada yang bertanya kepada kami tentang kewajiban pelaporan CRA, padahal itulah yang sudah berjalan.

Apa dua rezim itu, dan mengapa crane terkena keduanya?

Regulation (EU) 2023/1230, Peraturan Mesin, menggantikan Machinery Directive 2006/42/EC yang lama dan berlaku untuk mesin yang ditempatkan di pasar sejak 20 Januari 2027. Ini adalah hukum keselamatan yang kini memuat persyaratan keamanan siber. Annex III bagian 1.1.9 berjudul "Perlindungan terhadap korupsi data": koneksi ke perangkat lain tidak boleh menciptakan situasi berbahaya, perangkat keras dan perangkat lunak serta data yang kritis bagi keselamatan harus dilindungi dari korupsi yang tidak disengaja maupun disengaja dan harus dapat diidentifikasi, dan intervensi yang sah maupun tidak sah harus tercatat. Bagian 1.2.1 mencakup keselamatan dan keandalan sistem kendali.

Regulation (EU) 2024/2847, Cyber Resilience Act, adalah hukum keamanan siber produk. Peraturan ini berlaku sejak 10 Desember 2024. Bab IV tentang badan notifikasi telah berlaku sejak 11 Juni 2026. Kewajiban pelaporan dimulai pada 11 September 2026. Kewajiban utamanya berlaku sejak 11 Desember 2027.

Crane overhead yang dikendalikan PLC adalah mesin menurut peraturan pertama dan produk dengan elemen digital menurut peraturan kedua. FAQ CRA milik Komisi sendiri sangat tegas soal artinya. Pertanyaan 2.4.1 menyatakan produsen produk yang termasuk dalam keduanya "harus mematuhi persyaratan keamanan siber esensial yang ditetapkan dalam Peraturan ini maupun persyaratan keselamatan dan kesehatan esensial yang ditetapkan dalam Regulation (EU) 2023/1230", dan bahwa setiap sinergi "harus dibuktikan oleh produsen". Pertanyaan 2.4.3 melangkah lebih jauh: penilaian kesesuaian berdasarkan satu instrumen "tidak dapat secara otomatis dianggap cukup untuk juga memenuhi prosedur yang wajib diikuti menurut instrumen lainnya".

Dua berkas, dua deklarasi, satu crane. Itulah bentuk persoalannya.

Butir	Peraturan Mesin 2023/1230	Cyber Resilience Act 2024/2847
Inti pengaturannya	Keselamatan fisik mesin, ditambah perlindungan terhadap korupsi fungsi keselamatan	Keamanan siber produk digital sepanjang seluruh siklus hidupnya, termasuk pembaruan
Berlaku untuk crane sejak	20 Januari 2027	11 Desember 2027 untuk kewajiban utama, 11 September 2026 untuk pelaporan insiden
Siapa yang menilai	Penilaian mandiri untuk sebagian besar crane, badan notifikasi untuk mesin yang tercantum di Annex I	Penilaian mandiri secara default, pihak ketiga untuk "produk penting" di Annex III
Hasil yang diserahkan	Berkas teknis, deklarasi kesesuaian UE, tanda CE, instruksi dengan risiko residual	Dokumentasi teknis, deklarasi kesesuaian UE, tanda CE, SBOM, periode dukungan, proses penanganan kerentanan
Kewajiban berkelanjutan	Menyimpan berkas 10 tahun, bertindak atas insiden yang mengungkap ketidaksesuaian	Menangani kerentanan sepanjang periode dukungan, melaporkan yang dieksploitasi dalam 24 jam

Apa yang sudah berlaku hari ini, dan apa yang masih di depan?

Inilah bagian yang sering hilang dalam ringkasan. CRA bukan satu tenggat. CRA adalah tangga, dan bagian yang paling menyakitkan bagi pabrik adalah yang sudah berlaku.

Tanggal	Yang berlaku	Artinya bagi pembuat crane
10 Desember 2024	CRA mulai berlaku	Belum ada yang operasional, tetapi hitungan waktu desain dimulai
1 Agustus 2025	Persyaratan siber Radio Equipment Directive (Delegated Regulation 2022/30)	Sudah mengenai setiap remote control radio yang dikirim ke UE
11 Juni 2026	CRA Bab IV, badan notifikasi	Penilaian pihak ketiga mulai dapat dipesan
11 September 2026	Kewajiban pelaporan CRA dan ENISA Single Reporting Platform	Sudah berlaku. Berlaku untuk produk yang sudah ada di pasar UE, bukan hanya produk baru
20 Januari 2027	Peraturan Mesin 2023/1230	Annex III 1.1.9 dan 1.2.1 menjadi bagian dari berkas CE
11 Desember 2027	Kewajiban utama CRA	Penandaan CE penuh berdasarkan CRA, SBOM, periode dukungan yang dinyatakan dalam instruksi
11 Desember 2027	Pelaporan untuk pengelola perangkat lunak sumber terbuka	Relevan hanya jika Anda mengelola proyek yang juga Anda jual secara komersial

Pengumuman Komisi sendiri pada 11 September 2026 menjelaskan detail yang menjebak banyak pihak: kewajiban pelaporan berlaku untuk semua produk dengan elemen digital yang tersedia di UE, "termasuk yang sudah ada di pasar". Crane tahun 2019 dengan gateway diagnostik 4G yang sudah tujuh tahun berada di pabrik di Belanda termasuk dalam kalimat itu. Kewajiban itu melekat pada produsen, bukan pada tahun penjualan.

Apa tepatnya yang harus dilaporkan, dan secepat apa?

Dua kategori, empat hitungan waktu. Kerentanan yang dieksploitasi secara aktif dalam produk Anda dan insiden berat yang memengaruhi keamanannya adalah pemicu yang berbeda, dan keduanya berakhir pada tenggat yang berbeda.

Tahap	Tenggat	Isi laporannya
Peringatan dini	24 jam sejak mengetahui	Bahwa ada dugaan kerentanan yang dapat dieksploitasi atau insiden berat, ditambah fakta dasar
Notifikasi lengkap	72 jam	Informasi umum tentang produk, sifat eksploitasi atau insiden, dan mitigasi awal
Laporan akhir, kerentanan yang dieksploitasi	14 hari setelah tindakan korektif tersedia	Akar masalah, perbaikan yang diterapkan, versi terdampak, tindakan pengguna
Laporan akhir, insiden berat	1 bulan sejak notifikasi 72 jam	Bentuk yang sama, ditambah apa yang dilakukan untuk mencegah terulangnya

Jalur pengajuannya satu portal. ENISA membangun dan mengoperasikan CRA Single Reporting Platform, yang beroperasi sejak 11 September 2026. Produsen melapor sekali. Platform meneruskan notifikasi ke CSIRT negara anggota tempat produsen memiliki pendirian utamanya dan, kecuali ada keadaan luar biasa, sekaligus menyediakan informasinya kepada ENISA. CSIRT penerima kemudian membagikannya kepada CSIRT nasional lain di negara tempat produk dijual.

Ada pintu sempit untuk penundaan. Pada 11 Desember 2025 Komisi mengadopsi peraturan pelimpahan yang menetapkan syarat bagi CSIRT untuk menahan penyebaran kepada CSIRT lain dengan alasan keamanan siber yang dapat dibenarkan. Anggaplah Anda tidak akan memenuhi syarat itu. Rencanakan seolah otoritas nasional di negara pelanggan Anda mengetahuinya pada hari yang sama Anda mengajukan laporan.

Bagi pabrik di Zhejiang tanpa pendirian di UE, pertanyaan praktisnya adalah siapa yang mengajukan. Peraturan meletakkan kewajiban itu pada produsen, dan distributor atau importir tidak dapat menyerapnya. Inilah satu titik di mana mitra penjualan Eropa harus dilibatkan dalam percakapan sejak awal, karena platform membutuhkan organisasi yang bernama dengan proses penanganan insiden yang berjalan di belakangnya, bukan sekadar kantor penjualan.

Bagian mana dari crane yang merupakan produk dengan elemen digital?

Lebih banyak dari yang diakui sebagian besar penawaran. Ujinya bukan "apakah ada chip-nya", melainkan apakah item tersebut merupakan produk perangkat lunak atau perangkat keras yang terhubung, secara langsung atau tidak langsung, ke perangkat atau jaringan lain.

Komponen pada crane EOT standar	Produk dengan elemen digital?	Mengapa masuk ke berkas
PLC / pengendali crane dengan Ethernet atau fieldbus	Ya	Menjalankan logika keselamatan, terhubung ke jaringan pabrik
Variable frequency drive dengan perangkat lunak konfigurasi	Ya	Firmware, parameter yang mengubah pengereman dan batas kecepatan
Panel HMI atau layar sentuh	Ya	Menjalankan sistem operasi, sering dengan server web
Gateway diagnostik jarak jauh, router 4G, kotak VPN	Ya, dan biasanya merupakan "produk penting"	Gateway VPN dan router disebut dalam Annex III Kelas I
Pemancar dan penerima remote radio	Ya, dan juga peralatan radio	Dua rezim sekaligus: persyaratan siber RED ditambah CRA
Pengendali anti-sway atau posisi	Ya	Firmware yang langsung memerintah gerakan
Load cell, tampilan load limiter, proteksi beban lebih	Ya bila memproses dan mengirimkan data	Sinyal beban palsu mengalahkan proteksi mesin itu sendiri
Girder jembatan, end carriage, drum, hook block, tali kawat	Tidak	Tidak ada perangkat lunak, tidak ada koneksi. Baja tetap baja.

Daftar ini penting karena CRA tidak meminta Anda mensertifikasi setiap sekrup. CRA meminta Anda mengetahui item mana yang digital, siapa pembuatnya, versi apa yang dipakai, dan bagaimana kerentanan pada salah satunya diperbaiki selama periode dukungan. Itu adalah masalah inventaris sebelum menjadi masalah teknik.

Crane girder tunggal standar dengan chain hoist dan kontrol pendant biasanya membawa tiga atau empat item tersebut. Tambahkan gateway diagnostik jarak jauh dan jumlahnya berlipat dua. Paket hoist dan aksesori yang dijual terpisah membawa deklarasinya sendiri, karena hoist adalah produk tersendiri dengan elemen digital ketika dikirim bersama inverter dan papan kendali.

Apakah crane overhead merupakan "produk penting" berdasarkan Annex III?

Tidak. Komisi menetapkan uraian teknis produk penting dengan elemen digital dalam Implementing Regulation (EU) 2025/2392, dan crane tidak termasuk di dalamnya. Itu kabar baik, karena produk Kelas I dan Kelas II membawa jalur penilaian kesesuaian yang lebih berat.

Tetapi komponennya berbeda cerita. Daftar Kelas I mencakup hal-hal yang muncul di BOM crane setiap minggu:

Kategori Kelas I dalam Annex III	Di mana muncul pada crane
Produk dengan fungsi virtual private network	Terowongan layanan jarak jauh yang Anda pasang agar insinyur Anda dapat masuk dari Zhejiang
Router, modem yang ditujukan untuk koneksi internet, dan switch	Router 4G di dalam kabinet yang memberi crane kartu SIM-nya
Antarmuka jaringan fisik dan virtual	Kartu dan adaptor antarmuka Ethernet, Wi-Fi, dan fieldbus
Sistem operasi	OS real-time atau versi Windows di dalam panel HMI
Manajemen identitas dan manajemen akses istimewa	Sistem akun akses jarak jauh yang dipakai tim layanan Anda
Sistem manajemen informasi dan peristiwa keamanan	Hanya jika Anda menjual ulang pemantauan tingkat pabrik bersama crane

Pasal 7(1) CRA melindungi Anda dari efek berantai: mengintegrasikan produk yang memiliki fungsionalitas inti dari kategori Kelas I atau Kelas II tidak dengan sendirinya menyeret produk induk ke dalam prosedur tersebut. Tetapi Anda tetap harus memastikan pemasok melakukan tugasnya, dan jika tidak ada deklarasi kesesuaian serta tidak ada tanda CE untuk komponen tersebut, tanggung jawabnya ada pada Anda. Masukkan itu ke dalam purchase order, bukan ke dalam panggilan telepon.

Berapa lama sebuah crane harus didukung?

Lima tahun adalah batas minimum, dan untuk peralatan industri recital mengarahkan Anda untuk melangkah lebih jauh. Recital 60 CRA menyatakan periode dukungan tidak boleh kurang dari lima tahun kecuali masa pakai produk lebih pendek, dan menambahkan bahwa produk "yang ditujukan untuk digunakan di lingkungan industri, seperti sistem kendali industri, sering digunakan untuk periode yang jauh lebih lama".

Bacalah itu bersanding dengan masa layan nyata crane 20 hingga 30 tahun dan celahnya jelas. Tidak ada yang mengharapkan PLC tahun 2027 menerima patch pada 2052. Yang diharapkan peraturan adalah Anda menyatakan, secara tertulis, kapan patch berhenti.

Annex II mewajibkan tanggal berakhir periode dukungan diberikan kepada pengguna bersama produk. Satu baris dalam buku petunjuk itulah yang akan dipakai manajer pemeliharaan untuk merencanakan retrofit, dan itulah yang pertama dibaca petugas pengawasan pasar.

Kelas crane dan tugas	Masa layan tipikal	Periode dukungan yang dinyatakan secara defensif
Crane bengkel ringan, A3-A4, 1-10 t	15-20 tahun	5 tahun untuk komponen digital, dinyatakan demikian
Crane produksi, A5-A6, 10-50 t	20-25 tahun	8-10 tahun, dengan jalur peningkatan pengendali yang terdokumentasi
Crane berat atau proses, A7-A8, 50-100 t	25-30 tahun	10 tahun, ditambah jendela migrasi kontraktual
Crane hanya dengan remote radio, tanpa jaringan	15-20 tahun	Periode dukungan ditentukan peralatan radio, sering 5-7 tahun

Rentang periode itu adalah asumsi perencanaan kami sendiri dari catatan layanan di Tiongkok dan Eropa, bukan statistik yang diterbitkan. Batas lima tahun adalah hukum; semua di atasnya adalah keputusan komersial yang sebaiknya diambil bersama pembeli sebelum pesanan, karena jauh lebih murah menjanjikan sepuluh tahun dengan peta jalan pengendali daripada berdebat soal itu pada tahun keenam.

Apa isi berkas teknis, dan apa itu SBOM?

Persyaratan dokumentasi teknis adalah bagian yang mengubah berkas CE yang sudah ada di pabrik menjadi dokumen yang berfungsi. Berkas crane yang ditulis untuk Machinery Directive lama biasanya berisi gambar, perhitungan, penilaian risiko, laporan uji, dan deklarasi. Hampir tidak pernah berisi inventaris komponen dengan versinya.

Butir	Bentuknya pada sebuah crane	Kekurangan yang umum hari ini
Deskripsi umum dan tujuan penggunaan	Kapasitas, span, kelas tugas, lingkungan, antarmuka	Biasanya ada, jarang menyebut antarmuka jaringan
Penilaian risiko termasuk risiko siber	Apa yang terjadi pada gerakan jika sinyal dipalsukan atau diputar ulang	Tidak ada. Penilaian risiko keselamatan berhenti pada bahaya mekanis
Software bill of materials	Setiap pustaka pihak ketiga dan versi firmware di pengendali, HMI, dan gateway	Tidak ada. Recital 77 mengharapkannya, dan tidak mewajibkannya dipublikasikan
Proses penanganan kerentanan	Siapa yang menerima laporan, siapa yang melakukan triase, bagaimana perbaikan sampai ke crane di Spanyol	Tidak ada, dan inilah klausul yang akan diuji departemen TI pembeli
Mekanisme pembaruan yang aman	Firmware bertanda tangan, rollback, dan jalur yang berfungsi tanpa koneksi internet	Biasanya flash disk dan email, tanpa dokumentasi
Kebijakan pengungkapan terkoordinasi dan kontak	Kontak keamanan publik, bukan kotak masuk penjualan	Tidak ada, dan ini butir termurah dalam daftar untuk diperbaiki

Ada dua hal yang layak dikatakan terang-terangan soal SBOM. Pertama, peraturan tidak memaksa Anda mempublikasikannya. Recital 77 menyatakan produsen "tidak boleh diwajibkan membuat SBOM menjadi publik". Kedua, SBOM tidak berguna jika disusun sekali saja. Nilainya ada pada kemampuan menjawab, dalam satu hari, apakah pustaka yang diungkapkan pekan lalu ada di dalam firmware pengendali Anda. Itu basis data, bukan PDF.

Siapa yang bertanggung jawab secara hukum: pabrik, eksportir, atau importir UE?

Ketiganya, dengan cara berbeda, dan importir memikul lebih banyak daripada yang diasumsikan sebagian besar pemasok Tiongkok. Berdasarkan CRA, importir adalah entitas UE yang menempatkan produk dengan nama produsen non-UE di pasar. Importir harus memverifikasi bahwa produsen memenuhi persyaratan keamanan siber esensial dan memiliki proses penanganan kerentanan, bahwa penilaian kesesuaian telah dilakukan, bahwa dokumentasi teknis ada, dan bahwa tanda CE terpasang. Importir yang tidak melakukan ini bukan saluran pasif; ia adalah pihak yang bertanggung jawab.

Produsen dapat menunjuk perwakilan resmi di dalam Uni melalui mandat tertulis untuk melaksanakan tugas tertentu. Itu bersifat opsional, dan bukan pengganti kewajiban produsen sendiri, tetapi itulah mekanisme yang membuat kewajiban pelaporan 24 jam dapat dijalani oleh perusahaan yang insinyurnya tidur saat Eropa terjaga.

Peran	Kewajiban inti berdasarkan CRA	Di mana biasanya gagal
Produsen	Desain, penilaian kesesuaian, CE, dokumentasi, periode dukungan, penanganan kerentanan, pelaporan 24 jam	Tidak ada proses yang bertahan melewati akhir pekan
Perwakilan resmi	Tugas yang tercantum dalam mandat tertulis, biasanya penghubung otoritas dan penyimpanan dokumentasi	Mandat ditandatangani tetapi tidak ada kapasitas teknis di belakangnya
Importir	Memverifikasi kepatuhan, CE, dokumentasi, dan proses kerentanan produsen sebelum menempatkan di pasar	Memperlakukan crane seperti mesin lain dan hanya meminta sertifikat CE
Distributor	Memeriksa CE dan deklarasi sebelum menyediakan produk, bertindak jika tidak sesuai	Menyimpan PDF, tidak pernah memeriksa versinya

Sanksinya menjelaskan mengapa importir mulai bertanya. Pasal 64 menetapkan denda administratif hingga EUR 15.000.000 atau 2,5 % dari total omzet tahunan global, mana yang lebih tinggi, untuk pelanggaran persyaratan keamanan siber esensial dan kewajiban produsen. Kegagalan dokumentasi dan prosedural berada pada EUR 10.000.000 atau 2 %. Memberikan informasi yang salah, tidak lengkap, atau menyesatkan kepada badan notifikasi atau otoritas pengawasan pasar berada pada EUR 5.000.000 atau 1 %.

Pelanggaran	Denda administratif maksimum
Persyaratan keamanan siber esensial, kewajiban produsen	EUR 15.000.000 atau 2,5 % dari omzet tahunan global, mana yang lebih tinggi
Kewajiban importir, distributor, dan prosedural lainnya	EUR 10.000.000 atau 2 % dari omzet tahunan global, mana yang lebih tinggi
Informasi yang salah, tidak lengkap, atau menyesatkan kepada otoritas	EUR 5.000.000 atau 1 % dari omzet tahunan global, mana yang lebih tinggi

Bagi pembuat crane ukuran menengah, cabang persentase jarang menggigit. Cabang EUR 15 juta tidak peduli pada jumlah karyawan Anda, dan perintah menarik sebuah model dari pasar UE lebih mahal daripada denda apa pun.

Apakah ancamannya nyata, atau ini hanya dokumen?

Sistem kendali industri bukan target teoretis. Alur pengungkapan saja sudah bercerita: jumlah advisory kendali industri yang diterbitkan terus naik, dan tingkat keparahannya ikut naik.

Ukuran	Nilai	Sumber
Advisory ICS yang diterbitkan pada 2025	508, mencakup 2.155 CVE (tahun pertama di atas 500)	Forescout Research, Februari 2026, atas data CISA
Rata-rata CVSS dari advisory tersebut	8,07, naik 25 % dari 6,44 pada 2010; 82 % tinggi atau kritis	Forescout Research, Februari 2026
Advisory kumulatif sejak 2010	3.637 advisory, 12.174 kerentanan, 2.783 produk, 689 vendor	Forescout Research, Februari 2026
Perangkat OT yang memuat kerentanan yang diketahui dieksploitasi	12 % dari lebih dari 940.000 perangkat di 270 organisasi	Claroty Team82, State of CPS Security 2025
Organisasi dengan perangkat tersebut terpapar internet	40 %, naik menjadi 31 % pada subset yang kerentanannya terkait ransomware	Claroty Team82, State of CPS Security 2025
Pertumbuhan ransomware di manufaktur, 2024 hingga 2025	61 %, kenaikan terbesar di antara semua sektor kritis	Claroty, 31 Oktober 2025

Bacalah baris keempat dan kelima bersama-sama. Kira-kira empat dari sepuluh pabrik yang disurvei memiliki akses jarak jauh yang tidak aman pada aset yang sudah membawa kerentanan diketahui yang dieksploitasi. Itu persis tatanan yang tercipta dari gateway diagnostik yang dipasang pada crane agar pabrik dapat membantu pelanggan tanpa mengirim insinyur. Gateway-nya bukan masalah. Gateway dengan kata sandi bersama dan tanpa jalur pembaruan adalah masalahnya.

Apa yang harus dibuktikan remote control radio sekarang?

Remote control radio mencapai pesta ini lebih dulu. Commission Delegated Regulation (EU) 2022/30 menjadikan persyaratan esensial keamanan siber dalam Pasal 3(3)(d), (e), dan (f) Radio Equipment Directive menjadi wajib bagi kategori peralatan radio yang tercantum sejak 1 Agustus 2025. Pasangan pemancar dan penerima crane adalah peralatan radio, jadi setiap unit genggam yang dikirim ke UE sejak tanggal itu termasuk di dalamnya.

Standar harmonisnya adalah EN 18031-1:2024 untuk peralatan radio yang terhubung internet dan EN 18031-2:2024 untuk peralatan yang memproses data pribadi. Keduanya dirujuk dalam Official Journal dengan pembatasan, dan satu pembatasan sangat konkret. Rujukan dalam Implementing Decision (EU) 2025/138 memuat pemberitahuan bahwa EN 18031-1 tidak memberikan praduga kesesuaian jika, saat menerapkan klausul 6.2.5.1 dan 6.2.5.2, "pengguna diizinkan untuk tidak menetapkan dan menggunakan kata sandi apa pun".

Satu kalimat itu menggugurkan banyak perangkat keras. Pemancar yang dikirim dengan kode pairing tetap dan tanpa kewajiban menetapkan kata sandi tidak dapat bersandar pada standar harmonis. Itu tidak otomatis membuat produknya ilegal, tetapi menghilangkan jalur termudah untuk membuktikan kesesuaian, dan departemen kepatuhan pembeli akan menemukannya.

Kelas serangan terhadap remote radio industri	Apa yang dilakukan penyerang	Pertanyaan untuk pemasok
Capture dan replay	Merekam telegram yang sah dan menyiarkannya ulang nanti untuk membuat crane bergerak	Apakah tautannya terenkripsi, dan apakah telegram dilindungi dari replay dengan counter atau timestamp?
Injeksi perintah	Mengurai struktur telegram dan menggantinya dengan perintah berbeda	Apakah ada autentikasi pesan atas muatan perintah, bukan hanya atas alamatnya?
Pemrograman ulang berbahaya	Menulis ulang pemetaan antara elemen operasi dan keluaran mesin	Apakah firmware dapat ditulis tanpa image bertanda tangan dan langkah servis fisik?
Pairing ulang berbahaya	Mengemulasi pemancar asli sehingga penerima menerima pemancar baru	Apakah pairing memerlukan akses fisik ke penerima dan kunci yang sah?

Empat kelas serangan di atas adalah taksonomi yang dipakai HBC-radiomatic dalam white paper terbitannya tentang keamanan pada remote control radio industri, yang juga mencatat bahwa perusahaan tersebut telah menyediakan transmisi radio terenkripsi penuh selama lebih dari satu dekade dan mengajukan sistemnya untuk uji penetrasi eksternal bila memungkinkan. Itulah standar yang kini dijadikan acuan pemasok serius. Itu juga tolok ukur yang wajar bagi pembeli yang membandingkan remote Eropa dengan yang lebih murah: pertanyaannya bukan apakah datasheet menyebut "terenkripsi", melainkan kelas mana dari empat itu yang tertutup dan bagaimana Anda membuktikannya.

Berapa biaya IEC 62443, dan apakah itu menggantikan pekerjaan CE?

IEC 62443 adalah jawaban industri atas "bagaimana saya menunjukkan bahwa saya melakukannya dengan benar", dan itu tidak menggantikan penandaan CE. Ini adalah sertifikasi proses pengembangan Anda dan persyaratan keamanan teknis produk Anda. Berkas CE tetap harus ada.

Tiga bagian penting bagi pembuat crane: 4-1 untuk siklus hidup pengembangan yang aman, 4-2 untuk persyaratan keamanan teknis komponen, dan 3-3 untuk sistem. Biaya skema dan rentang penilaian yang diterbitkan pada 2026 memberi gambaran besaran yang dapat dipakai.

Yang disertifikasi	Standar	Biaya skema	Penilaian, rentang tipikal
Siklus hidup pengembangan yang aman	62443-4-1	USD 1.500 per tahun	EUR 15.000-35.000 pada maturity level 2
Komponen	62443-4-2	USD 1.200 per komponen atau 1.500 per keluarga, per tahun	EUR 25.000-50.000 di atas proses 4-1 yang sudah tersertifikasi
Sistem	62443-3-3	USD 1.200 per tahun	EUR 30.000-50.000
Sertifikasi perangkat pertama, semuanya	Skema ISASecure	Termasuk di atas	USD 50.000-75.000, menurut FAQ skema itu sendiri

Standarnya sendiri adalah pos termurah dan yang paling sering dilewati. IEC menjual setiap bagian secara terpisah: 62443-4-1 adalah CHF 335 dan 62443-4-2 adalah CHF 405, jadi set minimum bagi pemasok produk adalah CHF 740. Set lengkap yang dibutuhkan untuk memahami apa yang akan dituntut pabrik dari penyedia layanannya di bawah CHF 3.000. Membeli standarnya lebih murah daripada membayar konsultan untuk merangkumnya.

Ada jalur kedua yang khusus penting bagi Peraturan Mesin. Sertifikasi berdasarkan skema keamanan siber yang diadopsi di bawah Regulation (EU) 2019/881 memberikan praduga kesesuaian dengan Annex III bagian 1.1.9 dan 1.2.1 MR. Skema yang berlaku saat ini adalah EUCC, yang ditetapkan oleh Implementing Regulation (EU) 2024/482, berlaku sejak 27 Februari 2025, dengan dua tingkat jaminan, "substantial" dan "high". Penilaian mandiri tidak diizinkan berdasarkan EUCC. Bagi pembuat crane yang ingin satu sertifikat melayani kedua hukum, itulah mekanismenya, dan harganya seperti proyek serius, bukan seperti telaah dokumen.

Berapa biaya kepatuhan sebenarnya, per crane?

Tidak ada pihak di industri ini yang menerbitkan angka per unit, jadi inilah angka kami. Angka di bawah adalah estimasi perencanaan SIEC untuk rangkaian tiga model crane berbasis PLC, disusun dari penawaran kami sendiri untuk pekerjaan pengujian dan dokumentasi. Ini bukan statistik yang diterbitkan dan akan bergerak sesuai lingkup sistem kendali.

Paket pekerjaan	Tahun pertama	Berulang
Threat model dan penilaian risiko siber yang ditambahkan ke berkas keselamatan	5-8 hari-insinyur	1-2 hari per perubahan model
Penyusunan dan pembaruan SBOM untuk pengendali, HMI, dan gateway	4-6 hari	1-2 hari per kuartal
Uji penetrasi eksternal pada gateway dan tautan radio	EUR 8.000-15.000	EUR 8.000-15.000 setiap 2-3 tahun
Dokumentasi, deklarasi kesesuaian, pembaruan buku petunjuk	3-5 hari	1-2 hari per tahun
Penanganan kerentanan dan kewajiban pelaporan 24 jam	Penyiapan proses, 3-4 hari	4-8 hari per tahun ditambah petugas siaga
Opsional: sertifikasi EUCC atau IEC 62443-4-2	EUR 40.000-90.000	Biaya skema ditambah audit pengawasan
Total tanpa sertifikasi pihak ketiga	EUR 25.000-55.000	EUR 10.000-25.000 per tahun

Jika diamortisasi atas volume, gambarannya berubah sepenuhnya. Pada empat puluh crane per tahun, biaya tahun pertama adalah EUR 625 hingga 1.375 per unit. Pada delapan crane per tahun, angkanya EUR 3.100 hingga 6.900 per unit, setara dengan biaya pengiriman satu mesin 20 ton. Angka berulanglah yang menentukan apakah pembuat kecil dapat bertahan di segmen ini: EUR 10.000 hingga 25.000 per tahun tidak mengecil mengikuti volume, sehingga biaya tetap per crane naik saat buku pesanan menyusut.

Satu pos yang diremehkan orang adalah kewajiban pelaporan. Hitungan waktu 24 jam berarti seseorang harus dapat dihubungi pada pukul 3 pagi waktu Eropa dari Zhejiang. Dalam praktiknya itu berarti mitra layanan Eropa dengan proses insiden, atau sistem giliran jaga. Keduanya berbiaya, dan keduanya tidak ada dalam penawaran.

Apa yang harus dicantumkan dalam RFQ?

Pembeli yang memahami kedua rezim menulis purchase order yang berbeda dari yang tidak. Ini adalah klausul yang kini kami lihat dalam permintaan dari Eropa dan yang akan kami cantumkan jika kami berada di sisi pembeli.

Klausul	Rumusan yang berhasil
1. Inventaris	Cantumkan setiap produk dengan elemen digital dalam crane, beserta merek, model, dan versi firmware
2. Deklarasi	Serahkan deklarasi kesesuaian CE untuk setiap item pihak ketiga, atau nyatakan secara tertulis bahwa tidak ada
3. Periode dukungan	Nyatakan tanggal berakhir dukungan dalam buku petunjuk dan sebutkan penanggung jawabnya
4. Akses jarak jauh	Koneksi hanya keluar, tanpa port masuk, kredensial per lokasi, tanpa akun layanan bersama
5. Tautan radio	Transmisi terenkripsi, counter replay, kata sandi wajib pada penggunaan pertama, langkah pairing fisik
6. Pembaruan	Firmware bertanda tangan, jalur pembaruan offline yang terdokumentasi, prosedur rollback
7. SBOM	Serahkan atas permintaan dalam lima hari kerja, di bawah NDA, diperbarui pada setiap rilis firmware
8. Pelaporan	Beri tahu pembeli dalam 24 jam sejak mengetahui kerentanan yang dieksploitasi secara aktif yang memengaruhi crane
9. Eskalasi	Kontak keamanan yang bernama dengan waktu respons, bukan alamat penjualan umum
10. Kendali perubahan	Setiap penggantian pengendali, HMI, atau gateway memerlukan persetujuan tertulis dan berkas yang diperbarui

Klausul 10 adalah yang melindungi pembeli dari kegagalan nyata yang paling umum. Pengendali ditukar di pabrik karena keterlambatan pasokan, tidak ada yang memperbarui dokumentasi, dan delapan belas bulan kemudian crane di lokasi tidak lagi cocok dengan berkas yang dideklarasikan. Berdasarkan Peraturan Mesin itu masalah kesesuaian. Berdasarkan CRA itu kegagalan dokumentasi yang berada di kisaran EUR 10 juta.

Bagaimana garis waktu yang realistis untuk pengiriman 2027?

Pesanan yang diajukan sekarang jatuh pada jendela ketika kedua rezim tumpang tindih, dan urutannya lebih penting daripada dokumennya.

Tahap	Waktu	Apa yang harus sudah siap
Pesanan dan pembekuan desain	Q4 2026 hingga Q1 2027	Inventaris komponen dan deklarasi pemasok ditetapkan bersama pesanan, bukan setelahnya
Peraturan Mesin berlaku	20 Januari 2027	Bukti Annex III 1.1.9: arsitektur konektivitas, intervensi yang tercatat, perangkat lunak keselamatan yang terlindungi
Kewajiban pelaporan CRA atas armada yang ada	Sudah berlaku sejak 11 September 2026	Kontak yang bernama dan proses triase tertulis untuk setiap crane terhubung yang sudah ada di UE
Kewajiban utama CRA	11 Desember 2027	Penilaian kesesuaian CRA, deklarasi, CE, SBOM, periode dukungan yang dinyatakan
Siklus audit CRA pertama	2028	Bukti bahwa proses kerentanan benar-benar berjalan, bukan hanya bahwa proses itu ditulis

Konsekuensi praktisnya, crane yang dikirim pada paruh kedua 2027 harus memenuhi Peraturan Mesin saat pengiriman dan akan masuk ke rezim CRA dalam hitungan bulan. Merancang berkasnya sekali untuk keduanya lebih murah daripada menambal yang satu ke yang lain. Sistem kendali adalah titik tumpang tindihnya: 1.1.9 menanyakan apakah sebuah intervensi dapat merusak fungsi keselamatan, dan CRA menanyakan apakah Anda dapat mengetahuinya dan memperbaikinya.

Apa ringkasan yang jujur?

Kepatuhan siber crane bukan trik Eropa untuk menahan crane Tiongkok. Ini hukum dokumentasi dan proses, dan pabrik yang sudah menyusun berkas CE dengan benar lebih dekat pada kepatuhan daripada yang disiratkan tenggatnya. Yang benar-benar dihukum adalah tatanan yang kini diandalkan sebagian besar eksportir: PLC dan gateway pihak ketiga, kata sandi bersama, jalur pembaruan tanpa dokumentasi, dan tidak ada yang bertanggung jawab atas pertanyaan itu.

Kewajiban pelaporan adalah bagian yang harus diperbaiki lebih dulu, karena sudah berlaku dan hampir tidak berbiaya untuk disiapkan dengan benar. Kontak yang bernama, proses triase tertulis yang singkat, dan aturan bahwa setiap laporan pelanggan tentang perilaku crane yang tidak biasa mencapai kontak itu dalam satu jam. Itu pekerjaan satu minggu. Alternatifnya adalah menemukan kewajiban itu di tengah insiden, dengan hitungan 24 jam sudah berjalan dan importir bertanya mengapa mereka tidak diberi tahu.

Pertanyaan yang Sering Diajukan

Apakah Cyber Resilience Act berlaku untuk crane yang tidak memiliki koneksi internet?

Ya, jika ada bagian darinya yang merupakan produk dengan elemen digital yang terhubung secara langsung maupun tidak langsung ke perangkat lain. Crane dengan PLC dan HMI pada jaringan lokal, tanpa rute ke internet, tetap termasuk dalam cakupan. Peraturan ini juga mencakup koneksi tidak langsung, dan laptop teknisi yang dicolokkan ke kabinet adalah sebuah koneksi. Yang berubah tanpa akses internet adalah risiko praktisnya, bukan cakupan hukumnya.

Kami hanya mengekspor melalui distributor Eropa. Apakah itu menjadikan mereka produsen?

Tidak. Jika crane tersebut mencantumkan nama atau merek dagang Anda, maka Anda adalah produsen menurut CRA, dan kewajiban pelaporannya ada pada Anda. Distributor Anda adalah importir jika mereka menempatkan produk di pasar, yang memberi mereka kewajiban verifikasi tetapi tidak mengalihkan kewajiban Anda. Menempelkan merek Anda pada mesin dan nama distributor pada dokumen tidak memindahkan tanggung jawab hukumnya.

Apakah remote control radio tercakup dua kali, oleh RED dan oleh CRA?

Remote radio adalah peralatan radio dan juga produk dengan elemen digital. Persyaratan siber Radio Equipment Directive telah berlaku sejak 1 Agustus 2025 melalui Delegated Regulation 2022/30, dengan EN 18031-1 dan EN 18031-2 sebagai standar harmonisnya. CRA menambahkan lapisan horizontal terpisah yang mencakup keseluruhan produk dan siklus hidupnya. Jangan menganggap satu sertifikat menutup yang lain; panduan Komisi tentang penggabungan instrumen adalah bahwa produsen harus menunjukkan sinerginya.

Apa yang terjadi jika kami menemukan kerentanan dan tidak dapat memperbaikinya dalam 72 jam?

Anda tetap harus melapor. Tenggat 72 jam adalah untuk notifikasi lengkap, bukan untuk perbaikannya. Laporan akhir mengenai kerentanan yang dieksploitasi secara aktif jatuh tempo paling lambat 14 hari setelah tindakan korektif tersedia, yang merupakan hitungan waktu berbeda dan mengakui bahwa perbaikan membutuhkan waktu lebih lama daripada notifikasi. Yang tidak boleh Anda lakukan adalah menunggu perbaikan sebelum memberi tahu siapa pun.

Apakah kami memerlukan sertifikasi IEC 62443 untuk menjual ke UE?

Tidak. IEC 62443 tidak dirujuk sebagai standar harmonis yang memberikan praduga kesesuaian otomatis berdasarkan CRA. Yang diatur oleh Peraturan Mesin adalah bahwa sertifikasi berdasarkan skema yang diadopsi di bawah Regulation (EU) 2019/881 memberikan praduga kesesuaian dengan Annex III bagian 1.1.9 dan 1.2.1. IEC 62443 adalah cara praktis untuk membangun prosesnya, dan pembeli mungkin memintanya, tetapi itu bukan gerbang hukumnya. Untuk hoist yang dijual sebagai produk terpisah, logika yang sama berlaku untuk pengendali dan deklarasinya sendiri.

Kami memiliki crane di Eropa yang dijual pada 2018. Apakah kami benar-benar terpapar kewajiban pelaporan 2026?

Ya. Komisi menyatakan pada 11 September 2026 bahwa kewajiban pelaporan berlaku untuk semua produk dengan elemen digital yang tersedia di UE, termasuk yang sudah ada di pasar. Kewajiban itu melekat pada produsen, bukan pada tanggal penjualan. Dalam praktiknya sebagian besar crane tahun 2018 tidak memiliki koneksi jarak jauh dan tidak ada cara bagi Anda untuk mengetahui adanya kerentanan yang dieksploitasi, yang justru menjadi alasan untuk mendokumentasikan fakta itu daripada menganggap pertanyaan tersebut tidak akan diajukan.