Kewajipan pelaporan CRA telah berkuat kuasa sejak 11 September 2026. Peraturan Jentera hanya bermula pada 20 Januari 2027, dan penandaan CE penuh CRA pada 11 Disember 2027. Inilah yang perlu didokumenkan oleh kren dikawal PLC, alat kawalan jauh radio yang mana hilang anggapan pematuhan, dan berapa kos keseluruhan latihan ini bagi setiap mesin.
Sejak 11 September 2026, sesiapa yang mengeluarkan kren dengan pengawal berangkaian untuk pasaran EU mempunyai kewajipan undang-undang untuk melaporkan kelemahan yang dieksploitasi secara aktif di dalam kren itu dalam masa 24 jam selepas mengetahuinya. Jam itu telah bermula enam minggu lalu. Peraturan keselamatan jentera yang masih disediakan oleh kebanyakan kilang tidak bermula sehingga 20 Januari 2027. Peraturan siber mendatar yang menjadikan keseluruhan perkara ini satu fail penandaan CE tidak terpakai sepenuhnya sehingga 11 Disember 2027. Tiga tarikh, dua peraturan, satu mesin.
Kebanyakan pembeli yang kami beri sebut harga di Eropah hanya pernah mendengar tentang satu daripada ini. Biasanya Peraturan Jentera, kerana itulah yang ditanya oleh badan notifikasi mereka. Hampir tiada sesiapa yang bertanya kepada kami tentang kewajipan pelaporan CRA, dan itulah yang sudah berjalan.
Regulation (EU) 2023/1230, iaitu Peraturan Jentera, menggantikan Machinery Directive 2006/42/EC yang lama dan terpakai kepada jentera yang diletakkan di pasaran mulai 20 Januari 2027. Ia ialah undang-undang keselamatan yang kini mengandungi keperluan keselamatan siber. Seksyen 1.1.9 Annex III bertajuk "Perlindungan terhadap kerosakan data": sambungan kepada peranti lain tidak boleh menimbulkan situasi berbahaya, perkakasan dan perisian serta data yang kritikal kepada keselamatan mesti dilindungi daripada kerosakan tidak sengaja atau disengajakan dan mesti dikenal pasti, dan campur tangan sah atau tidak sah mesti direkodkan. Seksyen 1.2.1 meliputi keselamatan dan kebolehpercayaan sistem kawalan.
Regulation (EU) 2024/2847, iaitu Cyber Resilience Act, ialah undang-undang keselamatan siber produk. Ia mula berkuat kuasa pada 10 Disember 2024. Bab IV mengenai badan notifikasi telah terpakai sejak 11 Jun 2026. Kewajipan pelaporan bermula pada 11 September 2026. Kewajipan utama terpakai mulai 11 Disember 2027.
Kren atas kepala yang dikawal PLC ialah jentera di bawah yang pertama dan produk dengan elemen digital di bawah yang kedua. FAQ CRA terbitan Suruhanjaya sendiri jelas tentang maksudnya. Soalan 2.4.1 menyatakan pengeluar produk yang termasuk dalam kedua-duanya "hendaklah mematuhi kedua-dua keperluan keselamatan siber penting yang dinyatakan dalam Peraturan ini dan keperluan kesihatan dan keselamatan penting yang dinyatakan dalam Regulation (EU) 2023/1230", dan bahawa sebarang sinergi "mesti dibuktikan oleh pengeluar". Soalan 2.4.3 melangkah lebih jauh: penilaian pematuhan di bawah satu instrumen "tidak boleh secara automatik dianggap mencukupi untuk turut memenuhi prosedur yang dikehendaki di bawah instrumen yang lain".
Dua fail, dua perisytiharan, satu kren. Itulah bentuk masalahnya.
| Perkara | Peraturan Jentera 2023/1230 | Cyber Resilience Act 2024/2847 |
|---|---|---|
| Apa yang diperkatakan | Keselamatan fizikal mesin, serta perlindungan terhadap kerosakan fungsi keselamatan | Keselamatan siber produk digital sepanjang hayatnya, termasuk kemas kini |
| Terpakai kepada kren mulai | 20 Januari 2027 | 11 Disember 2027 untuk kewajipan utama, 11 September 2026 untuk pelaporan insiden |
| Siapa yang menilai | Penilaian kendiri untuk kebanyakan kren, badan notifikasi untuk jentera tersenarai dalam Annex I | Penilaian kendiri secara lalai, pihak ketiga untuk "produk penting" dalam Annex III |
| Hasil serahan | Fail teknikal, perisytiharan pematuhan EU, tanda CE, arahan dengan risiko sisa | Dokumentasi teknikal, perisytiharan pematuhan EU, tanda CE, SBOM, tempoh sokongan, proses kelemahan |
| Kewajipan berterusan | Simpan fail selama 10 tahun, bertindak atas insiden yang mendedahkan ketidakpatuhan | Kendalikan kelemahan sepanjang tempoh sokongan, laporkan yang dieksploitasi dalam 24 jam |
Inilah bahagian yang sering hilang dalam ringkasan. CRA bukan satu tarikh akhir. Ia satu tangga, dan bahagian yang paling menyakitkan kilang ialah bahagian yang sudah berkuat kuasa.
| Tarikh | Apa yang terpakai | Apa maknanya bagi pembuat kren |
|---|---|---|
| 10 Disember 2024 | CRA mula berkuat kuasa | Tiada apa yang beroperasi, tetapi jam reka bentuk bermula |
| 1 Ogos 2025 | Keperluan siber Radio Equipment Directive (Delegated Regulation 2022/30) | Sudah terkena setiap alat kawalan jauh radio yang dihantar ke EU |
| 11 Jun 2026 | Bab IV CRA, badan notifikasi | Penilaian pihak ketiga boleh ditempah |
| 11 September 2026 | Kewajipan pelaporan CRA dan Platform Pelaporan Tunggal ENISA | Sudah berkuat kuasa. Terpakai kepada produk yang sudah berada di pasaran EU, bukan hanya yang baharu |
| 20 Januari 2027 | Peraturan Jentera 2023/1230 | Annex III 1.1.9 dan 1.2.1 menjadi bahagian fail CE |
| 11 Disember 2027 | Kewajipan utama CRA | Penandaan CE penuh di bawah CRA, SBOM, tempoh sokongan yang diisytiharkan dalam arahan |
| 11 Disember 2027 | Pelaporan untuk pemegang amanah perisian sumber terbuka | Relevan hanya jika anda menyelenggara projek yang juga anda jual secara komersial |
Pengumuman Suruhanjaya sendiri pada 11 September 2026 menjelaskan perincian yang menangkap orang: kewajipan pelaporan terpakai kepada semua produk dengan elemen digital yang disediakan di EU, "termasuk yang sudah berada di pasaran". Kren 2019 dengan gerbang diagnostik 4G yang telah berada di loji di Belanda selama tujuh tahun termasuk dalam ayat itu. Kewajipan itu terletak pada pengeluar, bukan pada tahun jualan.
Dua kategori, empat jam. Kelemahan yang dieksploitasi secara aktif dalam produk anda dan insiden serius yang menjejaskan keselamatannya ialah pencetus berbeza, dan ia berakhir pada tarikh akhir yang berbeza.
| Peringkat | Tarikh akhir | Apa yang dimasukkan |
|---|---|---|
| Amaran awal | 24 jam dari mula mengetahui | Bahawa kelemahan yang disyaki boleh dieksploitasi atau insiden serius wujud, serta fakta asas |
| Notifikasi penuh | 72 jam | Maklumat umum tentang produk, sifat eksploitasi atau insiden, dan mitigasi awal |
| Laporan akhir, kelemahan dieksploitasi | 14 hari selepas langkah pembetulan tersedia | Punca akar, pembaikan yang digunakan, versi terjejas, tindakan pengguna |
| Laporan akhir, insiden serius | 1 bulan dari notifikasi 72 jam | Bentuk yang sama, serta apa yang dilakukan untuk menghentikan pengulangan |
Laluan pemfailan ialah satu portal. ENISA membina dan mengendalikan Platform Pelaporan Tunggal CRA, beroperasi sejak 11 September 2026. Pengeluar melaporkan sekali. Platform itu menghantar notifikasi kepada CSIRT negara anggota tempat pengeluar mempunyai penubuhan utamanya dan, melainkan keadaan luar biasa terpakai, menjadikan maklumat itu tersedia kepada ENISA pada masa yang sama. CSIRT penerima kemudian berkongsinya dengan CSIRT kebangsaan lain di tempat produk itu dijual.
Terdapat pintu sempit untuk kelewatan. Pada 11 Disember 2025 Suruhanjaya menerima pakai akta delegasi yang menetapkan syarat di mana CSIRT boleh menahan penyebaran kepada CSIRT lain atas alasan keselamatan siber yang berjustifikasi. Anggaplah anda tidak akan layak. Rancang seolah-olah pihak berkuasa kebangsaan pelanggan anda mengetahui pada hari yang sama anda memfailkan.
Bagi kilang di Zhejiang tanpa penubuhan di EU, persoalan praktikalnya ialah siapa yang memfailkan. Peraturan itu meletakkan kewajipan pada pengeluar, dan pengedar atau pengimport tidak boleh menyerapnya. Ini satu-satunya titik di mana rakan jualan Eropah mesti dibawa masuk ke dalam perbincangan lebih awal, kerana platform itu memerlukan organisasi bernama dengan proses insiden yang berfungsi di belakangnya, bukan sebuah pejabat jualan.
Lebih banyak daripada senarai bahan yang diakui oleh kebanyakan sebut harga. Ujiannya bukan "adakah ia mempunyai cip", tetapi sama ada item itu ialah produk perisian atau perkakasan yang bersambung, secara langsung atau tidak langsung, kepada peranti atau rangkaian lain.
| Komponen pada kren EOT standard | Produk dengan elemen digital? | Mengapa ia masuk dalam fail |
|---|---|---|
| PLC / pengawal kren dengan Ethernet atau fieldbus | Ya | Melaksanakan logik keselamatan, bersambung ke rangkaian loji |
| Pemacu frekuensi boleh ubah dengan perisian konfigurasi | Ya | Firmware, parameter yang mengubah brek dan had kelajuan |
| Panel HMI atau skrin sentuh | Ya | Menjalankan sistem pengendalian, selalunya dengan pelayan web |
| Gerbang diagnostik jauh, penghala 4G, kotak VPN | Ya, dan biasanya "produk penting" | Gerbang VPN dan penghala dinamakan dalam Annex III Kelas I |
| Pemancar dan penerima alat kawalan jauh radio | Ya, dan juga peralatan radio | Dua rejim serentak: keperluan siber RED serta CRA |
| Pengawal anti-ayun atau kedudukan | Ya | Firmware yang mengarahkan pergerakan secara langsung |
| Sel beban, paparan pengehad beban, perlindungan beban lampau | Ya apabila ia memproses dan menghantar data | Isyarat beban yang dipalsukan mengalahkan perlindungan mesin itu sendiri |
| Rasuk jambatan, kereta hujung, dram, blok cangkuk, tali dawai | Tidak | Tiada perisian, tiada sambungan. Keluli tetap keluli. |
Senarai itu penting kerana CRA tidak meminta anda mensijilkan setiap skru. Ia meminta anda mengetahui item mana yang digital, siapa yang membuatnya, versi mana yang digunakan, dan bagaimana kelemahan dalam mana-mana daripadanya diperbaiki sepanjang tempoh sokongan. Ia masalah inventori sebelum ia masalah kejuruteraan.
Sebuah kren rasuk tunggal standard dengan hoist rantai dan kawalan gantung biasanya membawa tiga atau empat item ini. Tambah gerbang diagnostik jauh dan kiraannya berganda. Pakej hoist dan aksesori yang dijual berasingan membawa perisytiharannya sendiri, kerana hoist itu ialah produknya sendiri dengan elemen digital apabila ia dihantar dengan penyongsang dan papan kawalan.
Tidak. Suruhanjaya menetapkan huraian teknikal produk penting dengan elemen digital dalam Implementing Regulation (EU) 2025/2392, dan kren tidak termasuk di dalamnya. Itu berita baik, kerana produk Kelas I dan Kelas II membawa laluan penilaian pematuhan yang lebih berat.
Tetapi komponennya cerita lain. Senarai Kelas I termasuk perkara yang muncul dalam BOM kren setiap minggu:
| Kategori Kelas I dalam Annex III | Di mana ia muncul pada kren |
|---|---|
| Produk dengan fungsi rangkaian persendirian maya | Terowong perkhidmatan jauh yang anda pasang supaya jurutera anda boleh log masuk dari Zhejiang |
| Penghala, modem yang bertujuan untuk sambungan internet, dan suis | Penghala 4G dalam kabinet yang memberi kren itu kad SIM |
| Antara muka rangkaian fizikal dan maya | Kad dan penyesuai antara muka Ethernet, Wi-Fi dan fieldbus |
| Sistem pengendalian | OS masa nyata atau binaan Windows di dalam panel HMI |
| Pengurusan identiti dan pengurusan akses istimewa | Sistem akaun akses jauh yang digunakan oleh pasukan servis anda |
| Sistem pengurusan maklumat dan peristiwa keselamatan | Hanya jika anda menjual semula pemantauan peringkat loji bersama kren |
Artikel 7(1) CRA melindungi anda daripada kesan berantai: menyepadukan produk yang mempunyai fungsi teras kategori Kelas I atau Kelas II tidak dengan sendirinya menarik produk hos ke dalam prosedur tersebut. Tetapi anda masih perlu memastikan pembekal melakukan tugasnya, dan jika tiada perisytiharan pematuhan dan tiada tanda CE bagi komponen itu, tanggungjawabnya ialah milik anda. Letakkan itu dalam pesanan belian, bukan dalam panggilan telefon.
Lima tahun ialah lantai, dan bagi peralatan industri recital memberitahu anda untuk melangkah lebih jauh. Recital 60 CRA menyatakan tempoh sokongan hendaklah tidak kurang daripada lima tahun melainkan hayat produk itu lebih pendek, dan menambah bahawa produk "yang bertujuan untuk digunakan dalam persekitaran industri, seperti sistem kawalan industri, sering digunakan untuk tempoh yang jauh lebih lama".
Baca itu bersebelahan dengan hayat perkhidmatan sebenar kren selama 20 hingga 30 tahun dan jurangnya jelas. Tiada siapa menjangka PLC 2027 menerima tampalan pada 2052. Apa yang peraturan itu jangkakan ialah anda menyatakan, secara bertulis, bila tampalan berhenti.
Annex II menghendaki tarikh tamat tempoh sokongan diberikan kepada pengguna bersama produk. Baris tunggal dalam manual arahan itu ialah apa yang akan digunakan oleh pengurus penyelenggaraan untuk merancang retrofit, dan itulah yang akan dibaca pertama oleh pegawai pengawasan pasaran.
| Kelas dan tugas kren | Hayat perkhidmatan biasa | Tempoh sokongan diisytiharkan yang boleh dipertahankan |
|---|---|---|
| Kren bengkel ringan, A3-A4, 1-10 t | 15-20 tahun | 5 tahun untuk komponen digital, dinyatakan sedemikian |
| Kren pengeluaran, A5-A6, 10-50 t | 20-25 tahun | 8-10 tahun, dengan laluan naik taraf pengawal yang didokumenkan |
| Kren berat atau proses, A7-A8, 50-100 t | 25-30 tahun | 10 tahun, serta tetingkap migrasi kontraktual |
| Kren dengan alat kawalan jauh radio sahaja, tiada rangkaian | 15-20 tahun | Tempoh sokongan ditetapkan oleh peralatan radio, selalunya 5-7 tahun |
Julat tempoh itu ialah andaian perancangan kami sendiri daripada rekod servis China dan Eropah, bukan statistik yang diterbitkan. Lantai lima tahun itu ialah undang-undang; apa-apa di atasnya ialah keputusan komersial yang harus dibuat dengan pembeli sebelum pesanan, kerana jauh lebih murah untuk menjanjikan sepuluh tahun dengan peta jalan pengawal daripada berbalah tentangnya pada tahun keenam.
Keperluan dokumentasi teknikal ialah bahagian yang menukar fail CE sedia ada kilang menjadi dokumen yang berfungsi. Fail kren yang ditulis untuk Machinery Directive lama biasanya mengandungi lukisan, pengiraan, penilaian risiko, laporan ujian dan perisytiharan. Ia hampir tidak pernah mengandungi inventori komponen dengan versi.
| Perkara | Bentuknya pada kren | Jurang biasa hari ini |
|---|---|---|
| Huraian umum dan kegunaan yang dimaksudkan | Kapasiti, rentang, kelas tugas, persekitaran, antara muka | Biasanya ada, jarang menyebut antara muka rangkaian |
| Penilaian risiko termasuk risiko siber | Apa yang berlaku kepada pergerakan jika isyarat dipalsukan atau dimainkan semula | Tiada. Penilaian risiko keselamatan berhenti pada bahaya mekanikal |
| Senarai bahan perisian | Setiap pustaka pihak ketiga dan versi firmware dalam pengawal, HMI dan gerbang | Tidak wujud. Recital 77 menjangkakan satu, dan tidak menghendakinya didedahkan kepada umum |
| Proses pengendalian kelemahan | Siapa menerima laporan, siapa menilainya, bagaimana pembaikan sampai ke kren di Sepanyol | Tiada, dan inilah klausa yang akan diuji oleh jabatan IT pembeli |
| Mekanisme kemas kini selamat | Firmware bertandatangan, rollback, dan laluan yang berfungsi tanpa sambungan internet | Biasanya kayu USB dan e-mel, tanpa dokumentasi |
| Dasar pendedahan terkoordinasi dan kenalan | Kenalan keselamatan awam, bukan peti masuk jualan | Tiada, dan ia item paling murah dalam senarai untuk dibaiki |
Dua perkara wajar dikatakan secara terus tentang SBOM. Pertama, peraturan itu tidak memaksa anda menerbitkannya. Recital 77 menyatakan pengeluar "tidak sepatutnya diwajibkan menjadikan SBOM itu awam". Kedua, ia tidak berguna jika disusun sekali sahaja. Nilainya terletak pada keupayaan menjawab, dalam masa sehari, sama ada pustaka yang didedahkan minggu lalu berada di dalam firmware pengawal anda. Itu pangkalan data, bukan PDF.
Ketiga-tiganya, dalam cara yang berbeza, dan pengimport memikul lebih banyak daripada yang diandaikan oleh kebanyakan pembekal China. Di bawah CRA, pengimport ialah entiti EU yang meletakkan produk yang membawa nama pengeluar bukan EU di pasaran. Ia perlu mengesahkan bahawa pengeluar memenuhi keperluan keselamatan siber penting dan mempunyai proses pengendalian kelemahan, bahawa penilaian pematuhan telah dijalankan, bahawa dokumentasi teknikal wujud, dan bahawa tanda CE dipasang. Pengimport yang tidak melakukan ini bukan saluran pasif; ia pihak yang bertanggungan.
Pengeluar boleh melantik wakil sah di dalam Kesatuan melalui mandat bertulis untuk menjalankan tugas tertentu. Ia pilihan, dan ia bukan pengganti kewajipan pengeluar sendiri, tetapi ia mekanisme yang menjadikan kewajipan pelaporan 24 jam dapat ditanggung oleh syarikat yang juruteranya sedang tidur ketika Eropah berjaga.
| Peranan | Kewajipan teras di bawah CRA | Di mana ia biasanya gagal |
|---|---|---|
| Pengeluar | Reka bentuk, penilaian pematuhan, CE, dokumentasi, tempoh sokongan, pengendalian kelemahan, pelaporan 24 jam | Tiada proses yang bertahan sepanjang hujung minggu |
| Wakil sah | Tugas yang disenaraikan dalam mandat bertulis, biasanya perhubungan pihak berkuasa dan penyimpanan dokumentasi | Mandat ditandatangani tetapi tiada keupayaan teknikal di belakangnya |
| Pengimport | Sahkan pematuhan, CE, dokumentasi, dan proses kelemahan pengeluar sebelum meletakkan di pasaran | Menganggap kren seperti mesin lain dan hanya meminta sijil CE |
| Pengedar | Semak CE dan perisytiharan sebelum menyediakan produk, bertindak jika ia tidak mematuhi | Menyimpan PDF, tidak pernah menyemak versi |
Penalti menjelaskan mengapa pengimport mula bertanya. Artikel 64 menetapkan denda pentadbiran sehingga EUR 15,000,000 atau 2.5 % daripada jumlah pusing ganti tahunan sedunia, yang mana lebih tinggi, kerana melanggar keperluan keselamatan siber penting dan kewajipan pengeluar. Kegagalan dokumentasi dan prosedur terletak pada EUR 10,000,000 atau 2 %. Membekalkan maklumat tidak betul, tidak lengkap atau mengelirukan kepada badan notifikasi atau pihak berkuasa pengawasan pasaran terletak pada EUR 5,000,000 atau 1 %.
| Pelanggaran | Denda pentadbiran maksimum |
|---|---|
| Keperluan keselamatan siber penting, kewajipan pengeluar | EUR 15,000,000 atau 2.5 % daripada pusing ganti tahunan sedunia, yang mana lebih tinggi |
| Pengimport, pengedar dan kewajipan prosedur lain | EUR 10,000,000 atau 2 % daripada pusing ganti tahunan sedunia, yang mana lebih tinggi |
| Maklumat tidak betul, tidak lengkap atau mengelirukan kepada pihak berkuasa | EUR 5,000,000 atau 1 % daripada pusing ganti tahunan sedunia, yang mana lebih tinggi |
Bagi pembina kren bersaiz sederhana, cabang peratusan jarang menggigit. Cabang EUR 15 juta tidak mengambil peduli bilangan kakitangan anda, dan diarahkan menarik balik sesuatu model daripada pasaran EU menelan kos lebih besar daripada mana-mana denda.
Sistem kawalan industri bukan sasaran teori. Saluran pendedahan itu sendiri memberitahu sesuatu: bilangan nasihat kawalan industri yang diterbitkan terus meningkat, dan keterukannya meningkat bersama.
| Ukuran | Nilai | Sumber |
|---|---|---|
| Nasihat ICS yang diterbitkan pada 2025 | 508, meliputi 2,155 CVE (tahun pertama melebihi 500) | Forescout Research, Februari 2026, berdasarkan data CISA |
| Purata CVSS bagi nasihat tersebut | 8.07, naik 25 % daripada 6.44 pada 2010; 82 % tinggi atau kritikal | Forescout Research, Februari 2026 |
| Jumlah kumulatif nasihat sejak 2010 | 3,637 nasihat, 12,174 kelemahan, 2,783 produk, 689 vendor | Forescout Research, Februari 2026 |
| Peranti OT yang mengandungi kelemahan dieksploitasi yang diketahui | 12 % daripada lebih 940,000 peranti merentas 270 organisasi | Claroty Team82, State of CPS Security 2025 |
| Organisasi dengan peranti sedemikian terdedah kepada internet | 40 %, meningkat kepada 31 % bagi subset yang kelemahannya berkait dengan ransomware | Claroty Team82, State of CPS Security 2025 |
| Pertumbuhan ransomware dalam pembuatan, 2024 hingga 2025 | 61 %, peningkatan terbesar antara semua sektor kritikal | Claroty, 31 Oktober 2025 |
Baca baris keempat dan kelima bersama. Kira-kira empat daripada sepuluh loji yang ditinjau mempunyai akses jauh tidak selamat pada aset yang sudah membawa kelemahan dieksploitasi yang diketahui. Itulah tepatnya susunan yang dicipta oleh gerbang diagnostik yang dipasang pada kren supaya kilang dapat membantu pelanggan tanpa menghantar jurutera. Gerbang itu bukan masalahnya. Gerbang dengan kata laluan dikongsi dan tiada laluan kemas kini ialah masalahnya.
Alat kawalan jauh radio sampai ke parti ini lebih dahulu. Commission Delegated Regulation (EU) 2022/30 menjadikan keperluan penting keselamatan siber dalam Artikel 3(3)(d), (e) dan (f) Radio Equipment Directive wajib bagi kategori peralatan radio tersenarai mulai 1 Ogos 2025. Pasangan pemancar dan penerima kren ialah peralatan radio, jadi setiap unit tangan yang dihantar ke EU sejak tarikh itu termasuk di dalamnya.
Piawaian yang diselaraskan ialah EN 18031-1:2024 untuk peralatan radio bersambung internet dan EN 18031-2:2024 untuk peralatan yang memproses data peribadi. Ia disebut dalam Official Journal dengan sekatan, dan satu sekatan luar biasa konkrit. Sebutan dalam Implementing Decision (EU) 2025/138 membawa notis bahawa EN 18031-1 tidak memberikan anggapan pematuhan jika, semasa menggunakan klausa 6.2.5.1 dan 6.2.5.2, "pengguna dibenarkan untuk tidak menetapkan dan menggunakan sebarang kata laluan".
Satu ayat itu menggugurkan banyak perkakasan. Pemancar yang dihantar dengan kod pasangan tetap dan tiada keperluan menetapkan kata laluan tidak boleh bersandar pada piawaian yang diselaraskan. Ia tidak secara automatik menjadikan produk itu haram, tetapi ia membuang laluan paling mudah untuk membuktikan pematuhan, dan jabatan pematuhan pembeli akan menjumpainya.
| Kelas serangan terhadap alat kawalan jauh radio industri | Apa yang penyerang lakukan | Soalan untuk pembekal |
|---|---|---|
| Tangkap dan main semula | Merakam telegram yang sah dan menyiarkannya semula kemudian untuk menggerakkan kren | Adakah pautan disulitkan, dan adakah telegram dilindungi daripada main semula dengan pembilang atau cap masa? |
| Suntikan arahan | Menyahkod struktur telegram dan menggantikannya dengan arahan lain | Adakah pengesahan mesej meliputi muatan arahan, bukan hanya alamat? |
| Pengaturcaraan semula berniat jahat | Menulis semula pemetaan antara elemen kendalian dan output mesin | Bolehkah firmware ditulis tanpa imej bertandatangan dan langkah servis fizikal? |
| Pemasangan pasangan semula berniat jahat | Meniru pemancar asal supaya penerima menerima yang baharu | Adakah pemasangan pasangan memerlukan akses fizikal kepada penerima dan kunci yang dibenarkan? |
Empat kelas serangan di atas ialah taksonomi yang digunakan oleh HBC-radiomatic dalam kertas putih terbitannya mengenai keselamatan dalam alat kawalan jauh radio industri, yang juga menyatakan bahawa syarikat itu telah menyediakan penghantaran radio tersulit sepenuhnya selama lebih sedekad dan mengemukakan sistem untuk ujian penembusan luaran apabila wajar. Itulah standard yang kini menjadi rujukan pembekal serius. Ia juga penanda aras wajar bagi pembeli yang membandingkan alat kawalan jauh Eropah dengan yang lebih murah: soalannya bukan sama ada helaian data menyebut "disulitkan", tetapi kelas mana antara empat itu yang ditutup dan bagaimana anda akan membuktikannya.
IEC 62443 ialah jawapan industri kepada "bagaimana saya menunjukkan saya melakukannya dengan betul", dan ia tidak menggantikan penandaan CE. Ia pensijilan proses pembangunan anda dan keperluan keselamatan teknikal produk anda. Fail CE masih perlu wujud.
Tiga bahagian penting bagi pembina kren: 4-1 untuk kitaran hayat pembangunan selamat, 4-2 untuk keperluan keselamatan teknikal komponen, dan 3-3 untuk sistem. Yuran skema 2026 yang diterbitkan dan julat penilaian memberi urutan magnitud yang boleh digunakan.
| Apa yang disijilkan | Piawaian | Yuran skema | Penilaian, julat biasa |
|---|---|---|---|
| Kitaran hayat pembangunan selamat | 62443-4-1 | USD 1,500 setahun | EUR 15,000-35,000 pada tahap kematangan 2 |
| Komponen | 62443-4-2 | USD 1,200 setiap komponen atau 1,500 setiap keluarga, setahun | EUR 25,000-50,000 di atas proses 4-1 yang telah disijilkan |
| Sistem | 62443-3-3 | USD 1,200 setahun | EUR 30,000-50,000 |
| Pensijilan peranti pertama, termasuk semua | Skema ISASecure | Termasuk di atas | USD 50,000-75,000, menurut FAQ skema itu sendiri |
Piawaian itu sendiri ialah baris paling murah dan yang paling kerap dilangkau. IEC menjual setiap bahagian secara berasingan: 62443-4-1 ialah CHF 335 dan 62443-4-2 ialah CHF 405, jadi set minimum pembekal produk ialah CHF 740. Set penuh yang diperlukan untuk memahami apa yang akan dituntut oleh sesebuah loji daripada pembekal perkhidmatannya ialah di bawah CHF 3,000. Membeli piawaian itu lebih murah daripada membayar perunding untuk meringkaskannya.
Terdapat laluan kedua yang penting khususnya untuk Peraturan Jentera. Pensijilan di bawah skema keselamatan siber yang diterima pakai di bawah Regulation (EU) 2019/881 memberi anggapan pematuhan dengan seksyen 1.1.9 dan 1.2.1 Annex III MR. Skema semasa ialah EUCC, yang ditubuhkan oleh Implementing Regulation (EU) 2024/482, terpakai sejak 27 Februari 2025, dengan dua tahap jaminan, "substancial" dan "tinggi". Penilaian kendiri tidak dibenarkan di bawah EUCC. Bagi pembina kren yang mahukan satu sijil melayani kedua-dua undang-undang, itulah mekanismenya, dan harganya seperti projek serius, bukan semakan dokumen.
Tiada siapa dalam industri ini menerbitkan angka setiap unit, jadi inilah angka kami. Angka di bawah ialah anggaran perancangan SIEC bagi julat tiga model kren dikawal PLC, dibina daripada sebut harga kami sendiri untuk kerja ujian dan dokumentasi. Ia bukan statistik yang diterbitkan dan ia akan berubah mengikut skop sistem kawalan.
| Pakej kerja | Tahun pertama | Berulang |
|---|---|---|
| Model ancaman dan penilaian risiko siber ditambah ke fail keselamatan | 5-8 hari jurutera | 1-2 hari bagi setiap perubahan model |
| Pembinaan dan penyegaran SBOM untuk pengawal, HMI dan gerbang | 4-6 hari | 1-2 hari setiap suku tahun |
| Ujian penembusan luaran bagi gerbang dan pautan radio | EUR 8,000-15,000 | EUR 8,000-15,000 setiap 2-3 tahun |
| Dokumentasi, perisytiharan pematuhan, kemas kini manual arahan | 3-5 hari | 1-2 hari setahun |
| Pengendalian kelemahan dan kewajipan pelaporan 24 jam | Persediaan proses, 3-4 hari | 4-8 hari setahun serta liputan atas panggilan |
| Pilihan: pensijilan EUCC atau IEC 62443-4-2 | EUR 40,000-90,000 | Yuran skema serta audit pengawasan |
| Jumlah tanpa pensijilan pihak ketiga | EUR 25,000-55,000 | EUR 10,000-25,000 setahun |
Setelah dilunaskan atas output, gambaran berubah sepenuhnya. Pada empat puluh kren setahun, kos tahun pertama ialah EUR 625 hingga 1,375 setiap unit. Pada lapan kren setahun, ia ialah EUR 3,100 hingga 6,900 setiap unit, iaitu urutan yang sama dengan tambang pengangkutan bagi satu mesin 20 tan. Angka berulang itulah yang menentukan sama ada pembina kecil dapat kekal dalam segmen ini: EUR 10,000 hingga 25,000 setahun tidak mengecil mengikut jumlah, jadi kos tetap bagi setiap kren meningkat apabila buku pesanan menyusut.
Satu baris yang orang selalu terlepas pandang ialah kewajipan pelaporan. Jam 24 jam bermakna seseorang mesti boleh dihubungi pada 3 pagi waktu Eropah dari Zhejiang. Dalam praktiknya itu bermakna sama ada rakan servis Eropah dengan proses insiden, atau jadual giliran. Kedua-duanya menelan kos, dan tiada satu pun muncul dalam sebut harga.
Pembeli yang memahami kedua-dua rejim menulis pesanan belian yang berbeza daripada pembeli yang tidak. Inilah klausa yang kini kami lihat dalam pertanyaan Eropah dan yang akan kami masukkan jika kami berada di pihak pembeli.
| Klausa | Rumusan yang berkesan |
|---|---|
| 1. Inventori | Senaraikan setiap produk dengan elemen digital dalam kren, berserta jenama, model dan versi firmware |
| 2. Perisytiharan | Sediakan perisytiharan pematuhan CE bagi setiap item pihak ketiga, atau nyatakan secara bertulis bahawa tiada |
| 3. Tempoh sokongan | Nyatakan tarikh tamat sokongan dalam manual arahan dan namakan orang yang bertanggungjawab |
| 4. Akses jauh | Sambungan keluar sahaja, tiada port masuk, kelayakan berasingan setiap tapak, tiada akaun perkhidmatan dikongsi |
| 5. Pautan radio | Penghantaran tersulit, pembilang main semula, kata laluan wajib pada penggunaan pertama, langkah pemasangan pasangan fizikal |
| 6. Kemas kini | Firmware bertandatangan, laluan kemas kini luar talian yang didokumenkan, prosedur rollback |
| 7. SBOM | Serahkan atas permintaan dalam lima hari bekerja, di bawah NDA, disegarkan pada setiap keluaran firmware |
| 8. Pelaporan | Maklumkan kepada pembeli dalam 24 jam selepas mengetahui kelemahan yang dieksploitasi secara aktif yang menjejaskan kren |
| 9. Eskalasi | Kenalan keselamatan bernama dengan masa tindak balas, bukan alamat jualan am |
| 10. Kawalan perubahan | Sebarang penggantian pengawal, HMI atau gerbang memerlukan kelulusan bertulis dan fail yang dikemas kini |
Klausa 10 ialah yang melindungi pembeli daripada kegagalan dunia nyata yang paling biasa. Pengawal ditukar di kilang kerana kelewatan bekalan, tiada siapa mengemas kini dokumentasi, dan lapan belas bulan kemudian kren di tapak tidak lagi sepadan dengan fail yang diisytiharkan. Di bawah Peraturan Jentera itu masalah pematuhan. Di bawah CRA ia kegagalan dokumentasi yang terletak dalam lingkungan EUR 10 juta.
Pesanan yang dibuat sekarang tiba dalam tetingkap di mana kedua-dua rejim bertindih, dan urutannya lebih penting daripada kerja kertas.
| Peringkat | Masa | Apa yang mesti sedia |
|---|---|---|
| Pesanan dan pembekuan reka bentuk | S4 2026 hingga S1 2027 | Inventori komponen dan perisytiharan pembekal ditetapkan bersama pesanan, bukan selepasnya |
| Peraturan Jentera terpakai | 20 Januari 2027 | Bukti Annex III 1.1.9: seni bina kesambungan, campur tangan yang direkodkan, perisian keselamatan yang dilindungi |
| Kewajipan pelaporan CRA bagi armada sedia ada | Sudah berkuat kuasa sejak 11 September 2026 | Kenalan bernama dan proses penilaian bertulis bagi setiap kren bersambung yang sudah berada di EU |
| Kewajipan utama CRA | 11 Disember 2027 | Penilaian pematuhan CRA, perisytiharan, CE, SBOM, tempoh sokongan yang diisytiharkan |
| Kitaran audit CRA pertama | 2028 | Bukti bahawa proses kelemahan benar-benar berjalan, bukan sekadar ditulis |
Kesan praktikalnya ialah kren yang dihantar pada separuh kedua 2027 mesti memenuhi Peraturan Jentera semasa penghantaran dan akan berada dalam rejim CRA dalam beberapa bulan. Mereka bentuk fail sekali, untuk kedua-duanya, lebih murah daripada menyesuaikan satu ke dalam yang lain. Sistem kawalan ialah tempat kedua-duanya bertindih: 1.1.9 bertanya sama ada campur tangan boleh merosakkan fungsi keselamatan, dan CRA bertanya sama ada anda boleh mengetahuinya dan membaikinya.
Pematuhan siber kren bukan helah Eropah untuk menghalang kren China. Ia undang-undang dokumentasi dan proses, dan kilang yang sudah membina fail CE yang betul lebih hampir kepada pematuhan daripada yang disangka oleh tarikh akhir itu. Apa yang ia hukum ialah susunan yang kini diharapkan oleh kebanyakan pengeksport: PLC dan gerbang pihak ketiga, kata laluan dikongsi, laluan kemas kini tanpa dokumentasi, dan tiada sesiapa yang memiliki persoalan itu.
Kewajipan pelaporan ialah bahagian yang perlu dibaiki dahulu, kerana ia sudah berkuat kuasa dan kosnya hampir tiada untuk disediakan dengan betul. Kenalan bernama, proses penilaian bertulis yang pendek, dan peraturan bahawa sebarang laporan pelanggan tentang tingkah laku kren yang luar biasa sampai kepada kenalan itu dalam masa sejam. Itu kerja seminggu. Alternatifnya ialah menemui kewajipan itu di tengah-tengah insiden, dengan jam 24 jam sudah berjalan dan pengimport bertanya mengapa mereka tidak dimaklumkan.
Ya, jika mana-mana bahagian daripadanya ialah produk dengan elemen digital yang bersambung secara langsung atau tidak langsung kepada peranti lain. Kren dengan PLC dan HMI pada rangkaian setempat, tanpa laluan ke internet, masih termasuk dalam skop. Peraturan itu meliputi sambungan tidak langsung juga, dan komputer riba juruteknik yang dipasang pada kabinet itu ialah satu sambungan. Apa yang berubah tanpa akses internet ialah risiko praktikal, bukan skop undang-undang.
Tidak. Jika kren itu membawa nama atau tanda dagangan anda, anda ialah pengeluar di bawah CRA, dan kewajipan pelaporan terletak pada anda. Pengedar anda ialah pengimport jika mereka meletakkan produk itu di pasaran, yang memberi mereka kewajipan pengesahan tetapi tidak memindahkan kewajipan anda. Meletakkan jenama anda pada mesin dan nama pengedar anda pada dokumen tidak mengalihkan liabiliti.
Alat kawalan jauh radio ialah peralatan radio dan juga produk dengan elemen digital. Keperluan siber Radio Equipment Directive telah terpakai sejak 1 Ogos 2025 melalui Delegated Regulation 2022/30, dengan EN 18031-1 dan EN 18031-2 sebagai piawaian yang diselaraskan. CRA menambah lapisan mendatar berasingan yang meliputi keseluruhan produk dan kitaran hayatnya. Jangan andaikan satu sijil menutup yang lain; panduan Suruhanjaya tentang menggabungkan instrumen ialah pengeluar mesti membuktikan sinergi itu.
Anda tetap memberitahu. Tarikh akhir 72 jam itu untuk notifikasi penuh, bukan untuk pembaikan. Laporan akhir mengenai kelemahan yang dieksploitasi secara aktif perlu disiapkan tidak lewat daripada 14 hari selepas langkah pembetulan tersedia, iaitu jam yang berbeza dan mengiktiraf bahawa pembaikan mengambil masa lebih lama daripada notifikasi. Apa yang anda tidak boleh lakukan ialah menunggu pembaikan sebelum memberitahu sesiapa.
Tidak. IEC 62443 tidak dirujuk sebagai piawaian yang diselaraskan yang memberi anggapan pematuhan automatik di bawah CRA. Apa yang Peraturan Jentera sediakan ialah pensijilan di bawah skema yang diterima pakai di bawah Regulation (EU) 2019/881 memberi anggapan pematuhan dengan seksyen 1.1.9 dan 1.2.1 Annex III. IEC 62443 ialah cara praktikal untuk membina proses itu, dan pembeli mungkin memintanya, tetapi ia bukan pintu undang-undang. Bagi hoist yang dijual sebagai produk berasingan, logik yang sama terpakai kepada pengawal dan perisytiharannya sendiri.
Ya. Suruhanjaya menyatakan pada 11 September 2026 bahawa kewajipan pelaporan terpakai kepada semua produk dengan elemen digital yang disediakan di EU, termasuk yang sudah berada di pasaran. Kewajipan itu terletak pada pengeluar, bukan pada tarikh jualan. Dalam praktiknya, kebanyakan kren 2018 tiada sambungan jauh dan tiada cara bagi anda untuk mengetahui tentang kelemahan yang dieksploitasi, yang menjadi hujah untuk mendokumenkan fakta itu daripada menganggap soalan itu tidak akan ditanya.
Artikel berkaitan:
Skop Kren CBAM: Apa Yang Trilog Oktober Itu Bermakna bagi Pembeli Mulai 2028
Piawaian Kren EU pada 2026: prEN 15011, Peraturan Jentera dan Apa Yang Berubah
Automasi Kren dan Operasi Jauh pada 2026: Apa Yang Sebenarnya Diperoleh Pembeli
Modenisasi vs Penggantian Kren pada 2026: Kos, Masa Henti dan Pematuhan
Alat Ganti, Rangkaian Servis dan Masa Operasi: Apa Yang Sebenarnya Menentukan Masa Pemulihan
Kren Khas: Mesin Grab, Pratuang, Pengawetan Asid dan Bilik Bersih