Кибербезопасность кранов: чего два регламента ЕС требуют от крана с PLC-управлением, 2026–2028

Автор: Chen Wei, старший инженер-конструктор SIEC Cranes. 28 октября 2026 г.

С 11 сентября 2026 года каждый, кто производит кран с сетевым контроллером для рынка ЕС, обязан сообщать об активно эксплуатируемых уязвимостях в этом кране в течение 24 часов с момента, когда о них стало известно. Этот отсчёт начался шесть недель назад. Правила безопасности машин, к которым большинство заводов всё ещё готовятся, вступают в силу только 20 января 2027 года. Горизонтальные правила кибербезопасности, превращающие всё это в дело о маркировке CE, применяются в полном объёме только с 11 декабря 2027 года. Три даты, два регламента, одна машина.

Большинство покупателей, которым мы даём предложения в Европе, слышали ровно об одном из них. Обычно о Регламенте о машинах, потому что именно о нём спрашивает их нотифицированный орган. Почти никто пока не спрашивал нас об обязанности отчётности по CRA, а ведь именно она уже действует.

Что это за два режима и почему кран попадает под оба?

Регламент (ЕС) 2023/1230, Регламент о машинах, заменяет прежнюю Директиву о машинах 2006/42/EC и применяется к машинам, выпускаемым на рынок с 20 января 2027 года. Это закон о безопасности, в который теперь включено требование кибербезопасности. Раздел 1.1.9 Приложения III называется «Защита от повреждения»: подключения к другим устройствам не должны создавать опасные ситуации, критичное для безопасности аппаратное и программное обеспечение и данные должны быть защищены от случайного или преднамеренного повреждения и должны быть идентифицированы, а правомерные и неправомерные вмешательства должны регистрироваться. Раздел 1.2.1 охватывает безопасность и надёжность систем управления.

Регламент (ЕС) 2024/2847, Cyber Resilience Act, — закон о кибербезопасности продукции. Он вступил в силу 10 декабря 2024 года. Глава IV о нотифицированных органах применяется с 11 июня 2026 года. Обязанности отчётности начали действовать 11 сентября 2026 года. Основные обязательства применяются с 11 декабря 2027 года.

Кран с PLC-управлением — это машина по первому регламенту и продукт с цифровыми элементами по второму. Собственный FAQ Комиссии по CRA прямо говорит, что это значит. Вопрос 2.4.1 гласит, что производители продуктов, подпадающих под оба документа, «должны соблюдать как основные требования кибербезопасности, изложенные в настоящем Регламенте, так и основные требования охраны здоровья и безопасности, изложенные в Регламенте (ЕС) 2023/1230», а любая синергия «должна быть продемонстрирована производителем». Вопрос 2.4.3 идёт дальше: оценка соответствия по одному документу «не может автоматически считаться достаточной для соблюдения процедуры, требуемой согласно другому документу».

Два дела, две декларации, один кран. Вот как выглядит эта проблема.

Пункт	Регламент о машинах 2023/1230	Cyber Resilience Act 2024/2847
О чём это	Физическая безопасность машины плюс защита функций безопасности от повреждения	Кибербезопасность цифрового продукта на протяжении всего срока службы, включая обновления
Применяется к крану с	20 января 2027 года	11 декабря 2027 года для основных обязательств, 11 сентября 2026 года для отчётности об инцидентах
Кто оценивает	Самостоятельная оценка для большинства кранов, нотифицированный орган для машин из Приложения I	Самостоятельная оценка по умолчанию, третья сторона для «важных продуктов» из Приложения III
Результат	Техническое дело, декларация о соответствии ЕС, знак CE, инструкции с остаточными рисками	Техническая документация, декларация о соответствии ЕС, знак CE, SBOM, период поддержки, процесс работы с уязвимостями
Постоянная обязанность	Хранить дело 10 лет, реагировать на инциденты, выявляющие несоответствие	Обрабатывать уязвимости весь период поддержки, сообщать об эксплуатируемых в течение 24 часов

Что уже действует сегодня и что ещё впереди?

Именно это теряется в обзорах. CRA — не один крайний срок. Это лестница, и сильнее всего бьёт по заводу та её ступень, которая уже в силе.

Дата	Что применяется	Что это значит для производителя кранов
10 декабря 2024 г.	Вступление CRA в силу	Операционно ничего, но отсчёт для проектирования начался
1 августа 2025 г.	Требования кибербезопасности Директивы о радиооборудовании (Делегированный регламент 2022/30)	Уже касается каждого радиопульта, поставляемого в ЕС
11 июня 2026 г.	Глава IV CRA, нотифицированные органы	Оценка третьей стороной становится доступной для заказа
11 сентября 2026 г.	Обязанности отчётности по CRA и единая платформа отчётности ENISA	Уже действует. Распространяется на продукты, уже находящиеся на рынке ЕС, а не только на новые
20 января 2027 г.	Регламент о машинах 2023/1230	Разделы 1.1.9 и 1.2.1 Приложения III становятся частью дела CE
11 декабря 2027 г.	Основные обязательства CRA	Полная маркировка CE по CRA, SBOM, период поддержки, указанный в инструкциях
11 декабря 2027 г.	Отчётность для распорядителей открытого программного обеспечения	Актуально, только если вы поддерживаете проект, который также продаёте коммерчески

Собственное объявление Комиссии от 11 сентября 2026 года разъяснило деталь, которая и застаёт людей врасплох: обязанности отчётности распространяются на все продукты с цифровыми элементами, предоставленные на рынке ЕС, «включая те, что уже находятся на рынке». Кран 2019 года с шлюзом диагностики 4G, который семь лет стоит на голландском заводе, попадает под это предложение. Обязанность привязана к производителю, а не к году продажи.

О чём именно нужно сообщать и как быстро?

Две категории, четыре срока. Активно эксплуатируемая уязвимость в вашем продукте и серьёзный инцидент, затрагивающий его безопасность, — это разные триггеры, и они завершаются в разные сроки.

Этап	Срок	Что в него входит
Раннее предупреждение	24 часа с момента, когда стало известно	Факт наличия предполагаемой эксплуатируемой уязвимости или серьёзного инцидента плюс базовые сведения
Полное уведомление	72 часа	Общие сведения о продукте, характер эксплуатации или инцидента и первоначальные меры реагирования
Итоговый отчёт, эксплуатируемая уязвимость	14 дней после появления корректирующей меры	Корневая причина, применённое исправление, затронутые версии, действия пользователей
Итоговый отчёт, серьёзный инцидент	1 месяц с 72-часового уведомления	То же самое плюс меры по предотвращению повторения

Канал подачи — единый портал. ENISA создала и эксплуатирует единую платформу отчётности CRA, работающую с 11 сентября 2026 года. Производитель сообщает один раз. Платформа направляет уведомление в CSIRT государства-члена, где находится основное учреждение производителя, и, если не применяются исключительные обстоятельства, одновременно предоставляет информацию ENISA. Получивший CSIRT затем передаёт её другим национальным CSIRT в странах, где продаётся продукт.

Для задержки есть узкая дверь. 11 декабря 2025 года Комиссия приняла делегированный акт, устанавливающий условия, при которых CSIRT может приостановить передачу другим CSIRT по обоснованным соображениям кибербезопасности. Исходите из того, что вы под это не подпадёте. Планируйте так, будто национальный орган вашего заказчика узнаёт в тот же день, когда вы подаёте уведомление.

Для завода в Чжэцзяне без учреждения в ЕС практический вопрос — кто подаёт. Регламент возлагает обязанность на производителя, и дистрибьютор или импортёр не могут её принять на себя. Это единственный момент, когда европейского торгового партнёра нужно подключить к разговору заранее, потому что платформе нужна названная организация с работающим процессом реагирования на инциденты, а не торговый офис.

Какие части крана являются продуктами с цифровыми элементами?

Больше позиций в спецификации, чем признаёт большинство коммерческих предложений. Критерий — не «есть ли там чип», а является ли изделие программным или аппаратным продуктом, который прямо или косвенно подключается к другому устройству или сети.

Компонент стандартного мостового крана	Продукт с цифровыми элементами?	Почему он попадает в дело
PLC / контроллер крана с Ethernet или полевой шиной	Да	Исполняет логику безопасности, подключён к заводской сети
Преобразователь частоты (VFD) с программным обеспечением для настройки	Да	Прошивка, параметры, изменяющие торможение и ограничения скорости
Панель HMI или сенсорный экран	Да	Работает под операционной системой, часто с веб-сервером
Шлюз удалённой диагностики, маршрутизатор 4G, VPN-модуль	Да, и обычно «важный продукт»	VPN-шлюзы и маршрутизаторы названы в Приложении III, класс I
Передатчик и приёмник радиопульта	Да, а также радиооборудование	Два режима одновременно: требования кибербезопасности RED плюс CRA
Контроллер защиты от раскачивания или позиционирования	Да	Прошивка, которая напрямую управляет движением
Тензодатчик, дисплей ограничителя груза, защита от перегрузки	Да, если обрабатывает и передаёт данные	Подменённый сигнал нагрузки обходит собственную защиту машины
Мостовая балка, концевые балки, барабан, крюковая подвеска, канат	Нет	Нет программного обеспечения, нет подключения. Сталь остаётся сталью.

Этот список важен потому, что CRA не требует сертифицировать каждый винт. Он требует знать, какие позиции являются цифровыми, кто их изготовил, какая у них версия и как уязвимость в любой из них устраняется в течение периода поддержки. Это задача инвентаризации прежде, чем инженерная задача.

Стандартный однобалочный кран с цепным тельфером и подвесным пультом обычно несёт три-четыре таких позиции. Добавьте шлюз удалённой диагностики — и количество удваивается. Комплект тельфер и комплектующие, продаваемый отдельно, приносит собственную декларацию, потому что тельфер сам является продуктом с цифровыми элементами, когда поставляется с преобразователем частоты и платой управления.

Является ли мостовой кран «важным продуктом» по Приложению III?

Нет. Комиссия изложила технические описания важных продуктов с цифровыми элементами в Имплементационном регламенте (ЕС) 2025/2392, и кранов там нет. Это хорошая новость, потому что продукты класса I и класса II требуют более тяжёлых процедур оценки соответствия.

Но с компонентами история другая. Список класса I включает вещи, которые появляются в спецификациях кранов каждую неделю:

Категория класса I в Приложении III	Где она встречается на кране
Продукты с функцией виртуальной частной сети	Туннель удалённого обслуживания, который вы устанавливаете, чтобы ваш инженер мог войти из Чжэцзяна
Маршрутизаторы, модемы для подключения к интернету и коммутаторы	Маршрутизатор 4G в шкафу, который даёт крану SIM-карту
Физические и виртуальные сетевые интерфейсы	Карты и адаптеры интерфейсов Ethernet, Wi-Fi и полевой шины
Операционные системы	ОС реального времени или сборка Windows внутри панели HMI
Управление идентификацией и привилегированным доступом	Система учётных записей удалённого доступа, которой пользуется ваша сервисная служба
Системы управления событиями и информацией безопасности	Только если вы перепродаёте вместе с краном мониторинг уровня завода

Статья 7(1) CRA защищает вас от каскада: интеграция продукта, обладающего основной функциональностью категории класса I или класса II, сама по себе не втягивает головной продукт в эти процедуры. Но вы всё равно должны убедиться, что поставщик сделал свою работу, и если на этот компонент нет декларации о соответствии и нет маркировки CE, ответственность за него лежит на вас. Впишите это в заказ, а не в телефонный разговор.

Как долго кран должен поддерживаться?

Пять лет — это минимум, а для промышленного оборудования преамбула говорит идти дальше. Пункт 60 преамбулы CRA устанавливает, что период поддержки должен составлять не менее пяти лет, если срок службы продукта не короче, и добавляет, что продукты, «предназначенные для использования в промышленных условиях, такие как промышленные системы управления, часто эксплуатируются значительно дольше».

Сопоставьте это с реальным сроком службы крана в 20–30 лет, и разрыв очевиден. Никто не ожидает, что PLC 2027 года будет получать патчи в 2052 году. Регламент ожидает, что вы письменно укажете, когда патчи прекратятся.

Приложение II требует, чтобы конечная дата периода поддержки была предоставлена пользователю вместе с продуктом. Именно эту строку в руководстве менеджер по техническому обслуживанию использует для планирования модернизации, и именно её инспектор по надзору за рынком прочитает первой.

Класс крана и режим работы	Типичный срок службы	Защитимый заявленный период поддержки
Лёгкий цеховой кран, A3–A4, 1–10 т	15–20 лет	5 лет для цифровых компонентов, с указанием этого
Производственный кран, A5–A6, 10–50 т	20–25 лет	8–10 лет с документированным путём замены контроллера
Тяжёлый или технологический кран, A7–A8, 50–100 т	25–30 лет	10 лет плюс договорное окно миграции
Кран только с радиопультом, без сети	15–20 лет	Период поддержки определяется радиооборудованием, часто 5–7 лет

Эти диапазоны — наши собственные плановые допущения на основе китайских и европейских сервисных записей, а не опубликованная статистика. Пятилетний минимум — это закон; всё, что выше, — коммерческое решение, которое следует принять с покупателем до заказа, потому что пообещать десять лет с планом замены контроллера гораздо дешевле, чем спорить об этом на шестом году.

Что входит в техническое дело и что такое SBOM?

Требование технической документации — та часть, которая превращает существующее дело CE завода в рабочий документ. Дело на кран, написанное под старую Директиву о машинах, обычно содержит чертежи, расчёты, оценку рисков, протоколы испытаний и декларацию. В нём почти никогда нет перечня компонентов с версиями.

Пункт	Как это выглядит на кране	Типичный пробел сегодня
Общее описание и назначение	Грузоподъёмность, пролёт, класс режима, среда, интерфейсы	Обычно есть, редко упоминает сетевой интерфейс
Оценка рисков, включая киберриски	Что произойдёт с движением, если сигнал подменят или повторят	Отсутствует. Оценка рисков безопасности останавливается на механических опасностях
Перечень программного обеспечения (SBOM)	Каждая сторонняя библиотека и версия прошивки в контроллере, HMI и шлюзе	Не существует. Пункт 77 преамбулы его ожидает и не требует публичности
Процесс работы с уязвимостями	Кто получает сообщение, кто его сортирует, как исправление доходит до крана в Испании	Отсутствует, и именно этот пункт проверит IT-отдел покупателя
Механизм защищённого обновления	Подписанная прошивка, откат и путь, работающий без подключения к интернету	Обычно USB-накопитель и письмо, без документации
Политика координированного раскрытия и контакт	Публичный контакт по безопасности, а не почта отдела продаж	Отсутствует, и это самый дешёвый пункт в списке

Про SBOM стоит сказать прямо две вещи. Во-первых, регламент не обязывает вас его публиковать. Пункт 77 преамбулы гласит, что производители «не должны быть обязаны делать SBOM публичным». Во-вторых, он бесполезен, если составлен один раз. Ценность в том, чтобы в течение дня ответить, находится ли библиотека, о которой стало известно на прошлой неделе, внутри прошивки вашего контроллера. Это база данных, а не PDF.

Кто несёт юридическую ответственность: завод, экспортёр или импортёр в ЕС?

Все трое, по-разному, и импортёр несёт больше, чем предполагает большинство китайских поставщиков. По CRA импортёр — это субъект ЕС, который выпускает на рынок продукт с именем производителя из третьей страны. Он должен проверить, что производитель выполнил основные требования кибербезопасности и имеет процессы работы с уязвимостями, что оценка соответствия проведена, что техническая документация существует и что нанесена маркировка CE. Импортёр, который этого не делает, — не пассивный канал, а ответственная сторона.

Производитель может назначить уполномоченного представителя внутри Союза письменным мандатом для выполнения определённых задач. Это необязательно и не заменяет собственных обязательств производителя, но это механизм, который делает 24-часовую обязанность отчётности выполнимой для компании, чьи инженеры спят, когда Европа бодрствует.

Роль	Основная обязанность по CRA	Где обычно ломается
Производитель	Проектирование, оценка соответствия, CE, документация, период поддержки, работа с уязвимостями, 24-часовая отчётность	Нет процесса, который выдерживает выходные
Уполномоченный представитель	Задачи, перечисленные в письменном мандате, обычно связь с органами и хранение документации	Мандат подписан, но технических возможностей за ним нет
Импортёр	Проверить соответствие, CE, документацию и процесс работы с уязвимостями производителя до выпуска на рынок	Относится к крану как к любой машине и просит только сертификат CE
Дистрибьютор	Проверить CE и декларацию перед предоставлением продукта, действовать при несоответствии	Хранит PDF и никогда не проверяет версию

Штрафы объясняют, почему импортёры начинают спрашивать. Статья 64 устанавливает административные штрафы до 15 000 000 EUR или 2,5 % общего мирового годового оборота, в зависимости от того, что выше, за нарушение основных требований кибербезопасности и обязательств производителя. Нарушения в документации и процедурах — 10 000 000 EUR или 2 %. Предоставление неверной, неполной или вводящей в заблуждение информации нотифицированному органу или органу надзора за рынком — 5 000 000 EUR или 1 %.

Нарушение	Максимальный административный штраф
Основные требования кибербезопасности, обязательства производителя	15 000 000 EUR или 2,5 % мирового годового оборота, в зависимости от того, что выше
Обязанности импортёра, дистрибьютора и другие процедурные обязанности	10 000 000 EUR или 2 % мирового годового оборота, в зависимости от того, что выше
Неверная, неполная или вводящая в заблуждение информация для органов	5 000 000 EUR или 1 % мирового годового оборота, в зависимости от того, что выше

Для среднего производителя кранов процентная ветка срабатывает редко. Ветке в 15 миллионов евро всё равно, сколько у вас сотрудников, а предписание вывести модель с рынка ЕС стоит дороже любого штрафа.

Угроза реальна или это бумажная работа?

Промышленные системы управления — не теоретическая цель. Один только поток раскрытий говорит о многом: число опубликованных бюллетеней по промышленным системам управления растёт, и серьёзность растёт вместе с ним.

Показатель	Значение	Источник
Бюллетени по ICS, опубликованные в 2025 году	508, охватывают 2 155 CVE (первый год выше 500)	Forescout Research, февраль 2026, по данным CISA
Средний CVSS этих бюллетеней	8,07, рост на 25 % с 6,44 в 2010 году; 82 % высоких или критических	Forescout Research, февраль 2026
Совокупные бюллетени с 2010 года	3 637 бюллетеней, 12 174 уязвимости, 2 783 продукта, 689 поставщиков	Forescout Research, февраль 2026
Устройства OT с известными эксплуатируемыми уязвимостями	12 % из более чем 940 000 устройств в 270 организациях	Claroty Team82, State of CPS Security 2025
Организации с такими устройствами, доступными из интернета	40 %, и до 31 % в подмножестве, где уязвимость связана с программами-вымогателями	Claroty Team82, State of CPS Security 2025
Рост программ-вымогателей в производстве, 2024–2025	61 %, наибольший рост среди всех критических отраслей	Claroty, 31 октября 2025

Прочитайте четвёртую и пятую строки вместе. Примерно четыре из десяти обследованных заводов имели небезопасный удалённый доступ к активам, на которых уже была известная эксплуатируемая уязвимость. Именно такую ситуацию создаёт шлюз диагностики, прикрученный к крану, чтобы завод мог помогать клиенту, не отправляя инженера. Проблема не в шлюзе. Проблема в шлюзе с общим паролем и без пути обновления.

Что теперь должен доказать радиопульт?

Радиоуправление добралось до этого первым. Делегированный регламент Комиссии (ЕС) 2022/30 сделал основные требования кибербезопасности из статьи 3(3)(d), (e) и (f) Директивы о радиооборудовании обязательными для перечисленных категорий радиооборудования с 1 августа 2025 года. Пара передатчик-приёмник для крана — это радиооборудование, поэтому каждый пульт, поставленный в ЕС с этой даты, попадает под него.

Гармонизированные стандарты — EN 18031-1:2024 для радиооборудования, подключённого к интернету, и EN 18031-2:2024 для оборудования, обрабатывающего персональные данные. Они процитированы в Официальном журнале с ограничениями, и одно ограничение необычайно конкретно. Ссылка в Имплементационном решении (ЕС) 2025/138 содержит уведомление, что EN 18031-1 не даёт презумпции соответствия, если при применении его пунктов 6.2.5.1 и 6.2.5.2 «пользователю разрешено не устанавливать и не использовать пароль».

Это единственное предложение дисквалифицирует массу оборудования. Передатчик, поставляемый с фиксированным кодом сопряжения и без требования установить пароль, не может опираться на гармонизированный стандарт. Это не делает продукт автоматически незаконным, но убирает самый простой путь доказать соответствие, и отдел комплаенса покупателя это обнаружит.

Класс атаки на промышленный радиопульт	Что делает злоумышленник	Вопрос поставщику
Перехват и повтор	Записывает действительную посылку и позже передаёт её повторно, чтобы заставить кран двигаться	Зашифрован ли канал и защищены ли посылки от повтора счётчиком или меткой времени?
Внедрение команд	Декодирует структуру посылки и подставляет другую команду	Есть ли аутентификация сообщения по полезной нагрузке команды, а не только по адресу?
Вредоносное перепрограммирование	Переписывает соответствие между органом управления и выходом машины	Можно ли записать прошивку без подписанного образа и физического шага обслуживания?
Вредоносное пересопряжение	Эмулирует оригинальный передатчик, чтобы приёмник принял новый	Требует ли сопряжение физического доступа к приёмнику и авторизованного ключа?

Четыре класса атак выше — это таксономия, использованная HBC-radiomatic в опубликованном техническом отчёте о безопасности промышленного радиоуправления, где также отмечено, что компания более десяти лет обеспечивает полностью шифрованную радиопередачу и по возможности передаёт системы на внешнее тестирование на проникновение. Вот стандарт, по которому теперь работает серьёзный поставщик. Это и разумный ориентир для покупателя, сравнивающего европейский пульт с более дешёвым: вопрос не в том, написано ли в паспорте «шифрование», а в том, какой из четырёх классов закрыт и как вы это докажете.

Сколько стоит IEC 62443 и заменяет ли он работу по CE?

IEC 62443 — промышленный ответ на вопрос «как показать, что я сделал это правильно», и он не заменяет маркировку CE. Это сертификация вашего процесса разработки и технических требований безопасности продукта. Дело CE всё равно должно существовать.

Для производителя кранов важны три части: 4-1 для жизненного цикла безопасной разработки, 4-2 для технических требований безопасности компонента и 3-3 для системы. Опубликованные тарифы схем 2026 года и диапазоны оценки дают пригодный порядок величин.

Что сертифицируется	Стандарт	Тариф схемы	Оценка, типичный диапазон
Жизненный цикл безопасной разработки	62443-4-1	1 500 USD в год	15 000–35 000 EUR при уровне зрелости 2
Компонент	62443-4-2	1 200 USD за компонент или 1 500 за семейство в год	25 000–50 000 EUR сверх сертифицированного процесса 4-1
Система	62443-3-3	1 200 USD в год	30 000–50 000 EUR
Первая сертификация устройства, всё включено	Схема ISASecure	Включено выше	50 000–75 000 USD, согласно FAQ самой схемы

Сами стандарты — самая дешёвая строка и та, которую чаще всего пропускают. IEC продаёт каждую часть отдельно: 62443-4-1 стоит 335 CHF, а 62443-4-2 — 405 CHF, так что минимальный набор для поставщика продукта — 740 CHF. Полный набор, необходимый, чтобы понять, что завод потребует от своих сервисных подрядчиков, — менее 3 000 CHF. Купить стандарт дешевле, чем платить консультанту за его пересказ.

Есть второй путь, важный именно для Регламента о машинах. Сертификация по схеме кибербезопасности, принятой в соответствии с Регламентом (ЕС) 2019/881, даёт презумпцию соответствия разделам 1.1.9 и 1.2.1 Приложения III Регламента о машинах. Текущая схема — EUCC, установленная Имплементационным регламентом (ЕС) 2024/482, применяемая с 27 февраля 2025 года, с двумя уровнями гарантии: «существенный» и «высокий». Самостоятельная оценка по EUCC не допускается. Для производителя кранов, который хочет один сертификат на оба закона, это тот механизм, и стоит он как серьёзный проект, а не как проверка документов.

Сколько на самом деле стоит соответствие в расчёте на кран?

Никто в этой отрасли не публикует цифру на единицу продукции, поэтому вот наша. Приведённые ниже цифры — плановые оценки SIEC для линейки из трёх моделей кранов с PLC-управлением, построенные на наших собственных предложениях по испытаниям и документации. Это не опубликованная статистика, и они будут меняться вместе с объёмом системы управления.

Пакет работ	Первый год	Регулярно
Модель угроз и оценка киберрисков, добавленные в дело безопасности	5–8 инженерных дней	1–2 дня на изменение модели
Составление и обновление SBOM для контроллера, HMI и шлюза	4–6 дней	1–2 дня в квартал
Внешнее тестирование на проникновение шлюза и радиоканала	8 000–15 000 EUR	8 000–15 000 EUR каждые 2–3 года
Документация, декларация о соответствии, обновление руководства	3–5 дней	1–2 дня в год
Работа с уязвимостями и 24-часовая обязанность отчётности	Настройка процесса, 3–4 дня	4–8 дней в год плюс дежурство на связи
Опционально: сертификация EUCC или IEC 62443-4-2	40 000–90 000 EUR	Тарифы схемы плюс надзорный аудит
Итого без сертификации третьей стороной	25 000–55 000 EUR	10 000–25 000 EUR в год

В пересчёте на объём выпуска картина полностью меняется. При сорока кранах в год стоимость первого года составляет 625–1 375 EUR на единицу. При восьми кранах в год это 3 100–6 900 EUR на единицу — тот же порядок, что и фрахт одной 20-тонной машины. Именно регулярная цифра решает, может ли небольшой производитель остаться в этом сегменте: 10 000–25 000 EUR в год не масштабируются вниз вместе с объёмом, поэтому фиксированная стоимость на кран растёт по мере сокращения портфеля заказов.

Строка, которую недооценивают, — обязанность отчётности. 24-часовой отсчёт означает, что кто-то должен быть на связи в 3 часа ночи по европейскому времени из Чжэцзяна. На практике это либо европейский сервисный партнёр с процессом реагирования на инциденты, либо график дежурств. И то и другое стоит денег, и ни то ни другое не попадает в коммерческое предложение.

Что должно быть в запросе предложения?

Покупатели, которые понимают оба режима, пишут другие заказы, чем те, кто не понимает. Вот пункты, которые мы теперь видим в европейских запросах, и те, которые мы включили бы, если бы были на стороне покупателя.

Пункт	Формулировка, которая работает
1. Инвентаризация	Перечислить каждый продукт с цифровыми элементами в кране с маркой, моделью и версией прошивки
2. Декларации	Предоставить декларацию о соответствии CE для каждой сторонней позиции или письменно указать, что её нет
3. Период поддержки	Указать дату окончания поддержки в руководстве и назвать ответственное лицо
4. Удалённый доступ	Только исходящее соединение, без входящего порта, отдельные учётные данные для каждого объекта, без общей сервисной учётной записи
5. Радиоканал	Шифрованная передача, счётчик защиты от повтора, обязательный пароль при первом использовании, физический шаг сопряжения
6. Обновления	Подписанная прошивка, документированный путь обновления офлайн, процедура отката
7. SBOM	Предоставить по запросу в течение пяти рабочих дней, под NDA, с обновлением при каждом выпуске прошивки
8. Отчётность	Уведомить покупателя в течение 24 часов с момента, когда стало известно об активно эксплуатируемой уязвимости, затрагивающей кран
9. Эскалация	Названный контакт по безопасности со временем реакции, а не общий адрес отдела продаж
10. Управление изменениями	Любая замена контроллера, HMI или шлюза требует письменного согласования и обновления дела

Пункт 10 защищает покупателя от самого частого сбоя в реальной жизни. Контроллер меняют на заводе из-за задержки поставки, никто не обновляет документацию, и через восемнадцать месяцев кран на объекте уже не соответствует заявленному делу. По Регламенту о машинах это проблема соответствия. По CRA это нарушение в документации, попадающее в категорию 10 миллионов евро.

Каков реалистичный график для поставки в 2027 году?

Заказы, размещённые сейчас, попадают в окно, где два режима пересекаются, и последовательность важнее бумаг.

Этап	Срок	Что должно быть готово
Заказ и фиксация проекта	IV квартал 2026 — I квартал 2027	Перечень компонентов и декларации поставщиков зафиксированы вместе с заказом, а не после
Применение Регламента о машинах	20 января 2027 г.	Доказательства по Приложению III 1.1.9: архитектура подключений, регистрация вмешательств, защищённое ПО безопасности
Обязанность отчётности CRA по существующему парку	Действует с 11 сентября 2026 г.	Названный контакт и письменный процесс сортировки для каждого подключённого крана, уже находящегося в ЕС
Основные обязательства CRA	11 декабря 2027 г.	Оценка соответствия CRA, декларация, CE, SBOM, заявленный период поддержки
Первый цикл аудита CRA	2028	Доказательства, что процесс работы с уязвимостями действительно работал, а не просто был написан

Практическое следствие: кран, поставленный во второй половине 2027 года, должен удовлетворять Регламенту о машинах при поставке и в течение нескольких месяцев окажется внутри режима CRA. Один раз спроектировать дело под оба документа дешевле, чем достраивать одно под другое. Система управления — место, где они пересекаются: 1.1.9 спрашивает, может ли вмешательство повредить функцию безопасности, а CRA спрашивает, можете ли вы об этом узнать и это исправить.

Каково честное резюме?

Соответствие требованиям кибербезопасности кранов — не европейская уловка, чтобы не пускать китайские краны. Это закон о документации и процессах, и завод, который уже делает надлежащее дело CE, ближе к соответствию, чем кажется по срокам. Наказывает он именно ту схему, на которую сейчас опирается большинство экспортёров: сторонний PLC и шлюз, общий пароль, недокументированный путь обновления и отсутствие человека, отвечающего за этот вопрос.

Обязанность отчётности — то, что нужно исправить в первую очередь, потому что она уже действует и правильно её настроить почти ничего не стоит. Названный контакт, короткий письменный процесс сортировки и правило, что любое сообщение клиента о необычном поведении крана доходит до этого контакта в течение часа. Это неделя работы. Альтернатива — узнать об обязанности в разгар инцидента, когда 24-часовой отсчёт уже идёт, а импортёр спрашивает, почему ему не сообщили.

Часто задаваемые вопросы

Распространяется ли Cyber Resilience Act на кран без подключения к интернету?

Да, если какая-либо его часть является продуктом с цифровыми элементами, который прямо или косвенно соединяется с другим устройством. Кран с PLC и HMI в локальной сети, без маршрута в интернет, всё равно попадает в область действия. Регламент охватывает и косвенное подключение, а ноутбук техника, подключённый к шкафу, — это тоже подключение. Без доступа в интернет меняется практический риск, а не правовая сфера применения.

Мы экспортируем только через европейского дистрибьютора. Делает ли это его производителем?

Нет. Если на кране указано ваше имя или товарный знак, производителем по CRA являетесь вы, и обязанность отчётности лежит на вас. Ваш дистрибьютор является импортёром, если он выпускает продукт на рынок, что даёт ему обязанности по проверке, но не переносит ваши обязательства. Ваш бренд на машине и имя дистрибьютора в документах не переносят ответственность.

Подпадает ли радиоуправление под два режима одновременно — RED и CRA?

Радиопульт является радиооборудованием, а также продуктом с цифровыми элементами. Требования кибербезопасности Директивы о радиооборудовании применяются с 1 августа 2025 года через Делегированный регламент 2022/30, а гармонизированными стандартами являются EN 18031-1 и EN 18031-2. CRA добавляет отдельный горизонтальный уровень, охватывающий весь продукт и его жизненный цикл. Не предполагайте, что один сертификат закрывает другой; согласно разъяснениям Комиссии о совмещении документов, производитель должен продемонстрировать синергию.

Что произойдёт, если мы обнаружим уязвимость и не сможем устранить её в течение 72 часов?

Вы всё равно уведомляете. Срок 72 часа относится к полному уведомлению, а не к исправлению. Итоговый отчёт об активно эксплуатируемой уязвимости подаётся не позднее 14 дней после появления корректирующей меры — это другой отсчёт, и он признаёт, что исправление занимает больше времени, чем уведомление. Чего делать нельзя — ждать исправления, прежде чем кому-либо сообщить.

Нужна ли сертификация IEC 62443 для продаж в ЕС?

Нет. IEC 62443 не указан как гармонизированный стандарт, дающий автоматическую презумпцию соответствия по CRA. Регламент о машинах предусматривает, что сертификация по схеме, принятой в соответствии с Регламентом (ЕС) 2019/881, даёт презумпцию соответствия разделам 1.1.9 и 1.2.1 Приложения III. IEC 62443 — практический способ выстроить процесс, и покупатель может его потребовать, но это не правовой барьер. Для тельфера, продаваемого как отдельный продукт, та же логика применима к его собственному контроллеру и декларации.

У нас есть краны в Европе, проданные в 2018 году. Неужели на нас действительно распространяется обязанность отчётности 2026 года?

Да. Комиссия заявила 11 сентября 2026 года, что обязанности отчётности распространяются на все продукты с цифровыми элементами, предоставленные на рынке ЕС, включая уже находящиеся в эксплуатации. Обязанность привязана к производителю, а не к дате продажи. На практике у большинства кранов 2018 года нет удалённого подключения и нет способа узнать об эксплуатируемой уязвимости — это аргумент в пользу того, чтобы задокументировать этот факт, а не предполагать, что вопрос не зададут.