ภาระการรายงานภายใต้ CRA มีผลบังคับใช้แล้วตั้งแต่ 11 กันยายน 2026 ส่วน Machinery Regulation จะเริ่มใช้ใน 20 มกราคม 2027 และการติดเครื่องหมาย CE เต็มรูปแบบภายใต้ CRA ใน 11 ธันวาคม 2027 นี่คือสิ่งที่เครนที่ควบคุมด้วย PLC ต้องจัดทำเอกสาร รีโมทวิทยุแบบใดที่เสียข้อสันนิษฐานความสอดคล้อง และงานทั้งหมดนี้มีต้นทุนต่อเครื่องเท่าไร
ตั้งแต่ 11 กันยายน 2026 ใครก็ตามที่ผลิตเครนพร้อมตัวควบคุมที่เชื่อมต่อเครือข่ายเพื่อขายในตลาด EU มีหน้าที่ตามกฎหมายในการรายงานช่องโหว่ที่ถูกใช้ประโยชน์จริงภายในเครนนั้น ภายใน 24 ชั่วโมงนับจากที่รู้เรื่อง นาฬิกาเรือนนั้นเริ่มเดินมาตั้งแต่หกสัปดาห์ก่อน ส่วนกฎความปลอดภัยของเครื่องจักรที่โรงงานส่วนใหญ่ยังเตรียมตัวอยู่จะเริ่มใช้ใน 20 มกราคม 2027 และกฎไซเบอร์แนวนอนที่เปลี่ยนเรื่องทั้งหมดให้กลายเป็นแฟ้มเครื่องหมาย CE จะมีผลเต็มรูปแบบใน 11 ธันวาคม 2027 สามวันที่ สองกฎระเบียบ หนึ่งเครื่อง
ผู้ซื้อที่เราเสนอราคาในยุโรปส่วนใหญ่เคยได้ยินเพียงหนึ่งในสามข้อนี้เท่านั้น มักเป็น Machinery Regulation เพราะเป็นสิ่งที่องค์กรแจ้ง (notified body) ของพวกเขาถามถึง แทบยังไม่มีใครถามเราเรื่องภาระการรายงานภายใต้ CRA เลย และนั่นคือข้อที่กำลังมีผลบังคับใช้อยู่แล้ว
Regulation (EU) 2023/1230 หรือ Machinery Regulation แทนที่ Machinery Directive 2006/42/EC ฉบับเดิม และใช้บังคับกับเครื่องจักรที่วางจำหน่ายตั้งแต่ 20 มกราคม 2027 เป็นกฎหมายความปลอดภัยที่ปัจจุบันบรรจุข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ไว้ด้วย ภาคผนวก III ข้อ 1.1.9 มีชื่อว่า "การป้องกันการถูกทำให้เสียหาย" (Protection against corruption) กล่าวคือ การเชื่อมต่อกับอุปกรณ์อื่นต้องไม่ก่อให้เกิดสถานการณ์อันตราย ฮาร์ดแวร์และซอฟต์แวร์และข้อมูลที่สำคัญต่อความปลอดภัยต้องได้รับการป้องกันจากการถูกทำให้เสียหายโดยอุบัติเหตุหรือโดยเจตนา และต้องระบุตัวตนได้ รวมถึงต้องบันทึกการแทรกแซงทั้งที่ชอบด้วยกฎหมายและไม่ชอบด้วยกฎหมาย ส่วนข้อ 1.2.1 ครอบคลุมความปลอดภัยและความน่าเชื่อถือของระบบควบคุม
Regulation (EU) 2024/2847 หรือ Cyber Resilience Act เป็นกฎหมายความมั่นคงปลอดภัยไซเบอร์ของผลิตภัณฑ์ มีผลใช้บังคับเมื่อ 10 ธันวาคม 2024 บทที่ IV ว่าด้วยองค์กรแจ้งมีผลตั้งแต่ 11 มิถุนายน 2026 ภาระการรายงานเริ่มเมื่อ 11 กันยายน 2026 และภาระหลักมีผลตั้งแต่ 11 ธันวาคม 2027
เครนยกของเหนือศีรษะที่ควบคุมด้วย PLC เป็น "เครื่องจักร" ภายใต้ฉบับแรก และเป็น "ผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัล" ภายใต้ฉบับที่สอง คำถามที่พบบ่อยของ CRA ที่คณะกรรมาธิการจัดทำเองพูดตรง ๆ ถึงความหมายของเรื่องนี้ ข้อ 2.4.1 ระบุว่าผู้ผลิตผลิตภัณฑ์ที่เข้าเกณฑ์ทั้งสองฉบับ "ควรปฏิบัติตามทั้งข้อกำหนดความมั่นคงปลอดภัยไซเบอร์ที่จำเป็นตามกฎระเบียบนี้ และข้อกำหนดด้านสุขภาพและความปลอดภัยที่จำเป็นตาม Regulation (EU) 2023/1230" และการทำงานเสริมกันใด ๆ "ต้องได้รับการพิสูจน์โดยผู้ผลิต" ข้อ 2.4.3 ไปไกลกว่านั้นอีก คือการประเมินความสอดคล้องภายใต้เครื่องมือหนึ่ง "ไม่อาจถือได้โดยอัตโนมัติว่าเพียงพอต่อการปฏิบัติตามกระบวนการที่กำหนดภายใต้เครื่องมืออีกฉบับหนึ่ง"
สองแฟ้ม สองคำประกาศ หนึ่งเครน นั่นคือรูปร่างของปัญหา
| หัวข้อ | Machinery Regulation 2023/1230 | Cyber Resilience Act 2024/2847 |
|---|---|---|
| เนื้อหาที่กำกับ | ความปลอดภัยทางกายภาพของเครื่องจักร บวกกับการป้องกันการถูกทำให้เสียหายของฟังก์ชันความปลอดภัย | ความมั่นคงปลอดภัยไซเบอร์ของผลิตภัณฑ์ดิจิทัลตลอดอายุการใช้งาน รวมถึงการอัปเดต |
| ใช้บังคับกับเครนตั้งแต่ | 20 มกราคม 2027 | 11 ธันวาคม 2027 สำหรับภาระหลัก และ 11 กันยายน 2026 สำหรับการรายงานเหตุการณ์ |
| ใครเป็นผู้ประเมิน | ประเมินเองสำหรับเครนส่วนใหญ่ องค์กรแจ้งสำหรับเครื่องจักรที่ระบุในภาคผนวก I | ประเมินเองเป็นค่าเริ่มต้น บุคคลที่สามสำหรับ "ผลิตภัณฑ์สำคัญ" ในภาคผนวก III |
| สิ่งที่ต้องส่งมอบ | แฟ้มเทคนิค คำประกาศความสอดคล้องของ EU เครื่องหมาย CE คู่มือพร้อมความเสี่ยงตกค้าง | เอกสารทางเทคนิค คำประกาศความสอดคล้องของ EU เครื่องหมาย CE SBOM ระยะเวลาสนับสนุน กระบวนการจัดการช่องโหว่ |
| หน้าที่ต่อเนื่อง | เก็บแฟ้มไว้ 10 ปี และดำเนินการกับเหตุการณ์ที่เผยให้เห็นความไม่สอดคล้อง | จัดการช่องโหว่ตลอดระยะเวลาสนับสนุน และรายงานช่องโหว่ที่ถูกใช้ประโยชน์จริงภายใน 24 ชั่วโมง |
นี่คือส่วนที่มักหายไปในบทสรุปต่าง ๆ CRA ไม่ใช่เส้นตายเส้นเดียว แต่เป็นบันไดขั้น และขั้นที่ทำร้ายโรงงานมากที่สุดคือขั้นที่บังคับใช้แล้ว
| วันที่ | สิ่งที่ใช้บังคับ | ความหมายสำหรับผู้ผลิตเครน |
|---|---|---|
| 10 ธันวาคม 2024 | CRA มีผลใช้บังคับ | ยังไม่มีผลในทางปฏิบัติ แต่นาฬิกาของการออกแบบเริ่มเดิน |
| 1 สิงหาคม 2025 | ข้อกำหนดทางไซเบอร์ของ Radio Equipment Directive (Delegated Regulation 2022/30) | กระทบรีโมทควบคุมด้วยวิทยุทุกรุ่นที่ส่งเข้า EU แล้ว |
| 11 มิถุนายน 2026 | CRA บทที่ IV ว่าด้วยองค์กรแจ้ง | เริ่มจองการประเมินโดยบุคคลที่สามได้ |
| 11 กันยายน 2026 | ภาระการรายงานภายใต้ CRA และแพลตฟอร์มรายงานเดี่ยวของ ENISA | มีผลแล้ว ใช้กับผลิตภัณฑ์ที่อยู่ในตลาด EU แล้วด้วย ไม่ใช่เฉพาะของใหม่ |
| 20 มกราคม 2027 | Machinery Regulation 2023/1230 | ข้อ 1.1.9 และ 1.2.1 ของภาคผนวก III กลายเป็นส่วนหนึ่งของแฟ้ม CE |
| 11 ธันวาคม 2027 | ภาระหลักภายใต้ CRA | การติดเครื่องหมาย CE เต็มรูปแบบภายใต้ CRA, SBOM, ระยะเวลาสนับสนุนที่ระบุในคู่มือ |
| 11 ธันวาคม 2027 | การรายงานสำหรับผู้ดูแลซอฟต์แวร์โอเพนซอร์ส | เกี่ยวข้องเฉพาะกรณีที่คุณดูแลโครงการที่คุณขายในเชิงพาณิชย์ด้วย |
ประกาศของคณะกรรมาธิการเองเมื่อ 11 กันยายน 2026 ระบุรายละเอียดที่ทำให้คนตกหลุม คือภาระการรายงานใช้กับผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลทั้งหมดที่จัดจำหน่ายใน EU "รวมถึงผลิตภัณฑ์ที่อยู่ในตลาดแล้ว" เครนปี 2019 ที่มีเกตเวย์วินิจฉัย 4G ตั้งอยู่ในโรงงานที่เนเธอร์แลนด์มาเจ็ดปีก็อยู่ในประโยคนั้น ภาระนี้ผูกกับผู้ผลิต ไม่ใช่ปีที่ขาย
สองประเภท สี่นาฬิกา ช่องโหว่ที่ถูกใช้ประโยชน์จริงในผลิตภัณฑ์ของคุณ กับเหตุการณ์ร้ายแรงที่กระทบความปลอดภัยของผลิตภัณฑ์ เป็นตัวกระตุ้นที่ต่างกัน และสิ้นสุดที่เส้นตายต่างกัน
| ขั้นตอน | กำหนดเวลา | สิ่งที่ต้องระบุ |
|---|---|---|
| การเตือนล่วงหน้า | 24 ชั่วโมงนับจากที่ทราบ | ว่ามีช่องโหว่ที่น่าสงสัยว่าถูกใช้ประโยชน์ได้หรือเหตุการณ์ร้ายแรงเกิดขึ้น พร้อมข้อเท็จจริงพื้นฐาน |
| การแจ้งแบบเต็มรูปแบบ | 72 ชั่วโมง | ข้อมูลทั่วไปของผลิตภัณฑ์ ลักษณะของการใช้ประโยชน์หรือเหตุการณ์ และมาตรการบรรเทาเบื้องต้น |
| รายงานฉบับสุดท้าย กรณีช่องโหว่ที่ถูกใช้ประโยชน์ | 14 วันหลังจากมีมาตรการแก้ไข | สาเหตุราก การแก้ไขที่ใช้ เวอร์ชันที่ได้รับผลกระทบ การดำเนินการของผู้ใช้ |
| รายงานฉบับสุดท้าย กรณีเหตุการณ์ร้ายแรง | 1 เดือนนับจากการแจ้งภายใน 72 ชั่วโมง | รูปแบบเดียวกัน บวกกับสิ่งที่ทำเพื่อป้องกันการเกิดซ้ำ |
ช่องทางยื่นเรื่องมีพอร์ทัลเดียว ENISA สร้างและดูแลแพลตฟอร์มรายงานเดี่ยวของ CRA ซึ่งเปิดใช้งานตั้งแต่ 11 กันยายน 2026 ผู้ผลิตแจ้งครั้งเดียว แพลตฟอร์มจะส่งต่อการแจ้งไปยัง CSIRT ของประเทศสมาชิกที่ผู้ผลิตมีสถานประกอบการหลัก และเว้นแต่มีเหตุสุดวิสัยจะทำให้ ENISA เข้าถึงข้อมูลได้ในเวลาเดียวกัน จากนั้น CSIRT ที่ได้รับจะแบ่งปันให้ CSIRT ประเทศอื่นที่มีการขายผลิตภัณฑ์นั้น
มีช่องแคบสำหรับการชะลอเวลา เมื่อ 11 ธันวาคม 2025 คณะกรรมาธิการได้ออกกฎหมายลำดับรองที่กำหนดเงื่อนไขซึ่ง CSIRT อาจระงับการเผยแพร่ไปยัง CSIRT อื่นได้ด้วยเหตุผลด้านความมั่นคงปลอดภัยไซเบอร์ที่สมเหตุสมผล ให้สันนิษฐานว่าคุณจะไม่เข้าเงื่อนไขนั้น วางแผนราวกับว่าหน่วยงานของประเทศลูกค้าจะรู้เรื่องในวันเดียวกับที่คุณยื่น
สำหรับโรงงานในมณฑลเจ้อเจียงที่ไม่มีสถานประกอบการใน EU คำถามในทางปฏิบัติคือใครเป็นคนยื่น กฎระเบียบผูกหน้าที่นี้กับผู้ผลิต และผู้จัดจำหน่ายหรือผู้นำเข้าไม่สามารถรับไปแทนได้ นี่คือจุดเดียวที่ต้องดึงพันธมิตรการขายในยุโรปเข้ามาในบทสนทนาแต่เนิ่น ๆ เพราะแพลตฟอร์มต้องการองค์กรที่มีชื่อระบุได้ซึ่งมีกระบวนการจัดการเหตุการณ์ที่ใช้งานได้จริงรองรับ ไม่ใช่แค่สำนักงานขาย
มากกว่าที่ใบเสนอราคาส่วนใหญ่ยอมรับ เกณฑ์ทดสอบไม่ใช่ "มีชิปหรือไม่" แต่คือรายการนั้นเป็นผลิตภัณฑ์ซอฟต์แวร์หรือฮาร์ดแวร์ที่เชื่อมต่อโดยตรงหรือโดยอ้อมกับอุปกรณ์หรือเครือข่ายอื่นหรือไม่
| ชิ้นส่วนบนเครน EOT มาตรฐาน | เป็นผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลหรือไม่ | ทำไมจึงเข้าแฟ้ม |
|---|---|---|
| PLC / ตัวควบคุมเครนที่มีอีเทอร์เน็ตหรือฟิลด์บัส | ใช่ | ประมวลผลลอจิกความปลอดภัย และเชื่อมต่อกับเครือข่ายโรงงาน |
| อินเวอร์เตอร์ปรับความถี่พร้อมซอฟต์แวร์ตั้งค่า | ใช่ | มีเฟิร์มแวร์และพารามิเตอร์ที่เปลี่ยนการเบรกและขีดจำกัดความเร็ว |
| แผง HMI หรือจอสัมผัส | ใช่ | รันระบบปฏิบัติการ และมักมีเว็บเซิร์ฟเวอร์ |
| เกตเวย์วินิจฉัยระยะไกล เราเตอร์ 4G กล่อง VPN | ใช่ และมักเป็น "ผลิตภัณฑ์สำคัญ" | เกตเวย์ VPN และเราเตอร์ถูกระบุชื่อในภาคผนวก III ชั้น I |
| ตัวส่งและตัวรับรีโมทวิทยุ | ใช่ และเป็นอุปกรณ์วิทยุด้วย | สองกฎระเบียบพร้อมกัน: ข้อกำหนดไซเบอร์ของ RED บวก CRA |
| ตัวควบคุมกันแกว่งหรือกำหนดตำแหน่ง | ใช่ | เฟิร์มแวร์ที่สั่งการเคลื่อนที่โดยตรง |
| โหลดเซลล์ จอแสดงตัวจำกัดน้ำหนัก ระบบป้องกันน้ำหนักเกิน | ใช่ เมื่อมีการประมวลผลและส่งข้อมูล | สัญญาณน้ำหนักที่ถูกปลอมแปลงทำให้ระบบป้องกันของเครื่องเองล้มเหลว |
| คานสะพาน ฐานล้อ ถังม้วน บล็อกรอก เชือกลวด | ไม่ใช่ | ไม่มีซอฟต์แวร์ ไม่มีการเชื่อมต่อ เหล็กก็ยังเป็นเหล็ก |
รายการนี้สำคัญเพราะ CRA ไม่ได้ขอให้คุณรับรองสกรูทุกตัว แต่ขอให้คุณรู้ว่ารายการใดเป็นดิจิทัล ใครผลิต เวอร์ชันไหน และช่องโหว่ในรายการใดจะถูกแก้อย่างไรในช่วงระยะเวลาสนับสนุน นั่นเป็นปัญหาการทำบัญชีรายการก่อนจะเป็นปัญหาทางวิศวกรรม
เครนคานเดี่ยวมาตรฐานที่ใช้รอกโซ่และควบคุมด้วยเพนแดนท์มักมีรายการเหล่านี้สามถึงสี่รายการ เพิ่มเกตเวย์วินิจฉัยระยะไกลเข้าไป จำนวนก็เป็นสองเท่า ชุดรอกและอุปกรณ์เสริมที่ขายแยกมีคำประกาศของตัวเอง เพราะรอกเป็นผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลในตัวเองเมื่อส่งมอบพร้อมอินเวอร์เตอร์และบอร์ดควบคุม
ไม่ใช่ คณะกรรมาธิการกำหนดลักษณะทางเทคนิคของผลิตภัณฑ์สำคัญที่มีองค์ประกอบดิจิทัลไว้ใน Implementing Regulation (EU) 2025/2392 และเครนไม่ได้อยู่ในนั้น นั่นเป็นข่าวดี เพราะผลิตภัณฑ์ชั้น I และชั้น II มีเส้นทางการประเมินความสอดคล้องที่หนักกว่า
แต่ชิ้นส่วนเป็นอีกเรื่องหนึ่ง รายการชั้น I รวมถึงสิ่งต่าง ๆ ที่ปรากฏใน BOM ของเครนทุกสัปดาห์:
| หมวดหมู่ชั้น I ในภาคผนวก III | ปรากฏที่ไหนบนเครน |
|---|---|
| ผลิตภัณฑ์ที่มีฟังก์ชันเครือข่ายส่วนตัวเสมือน (VPN) | อุโมงค์บริการระยะไกลที่คุณติดตั้งเพื่อให้วิศวกรล็อกอินเข้ามาจากเจ้อเจียงได้ |
| เราเตอร์ โมเด็มสำหรับเชื่อมต่ออินเทอร์เน็ต และสวิตช์ | เราเตอร์ 4G ในตู้ที่ให้ซิมการ์ดแก่เครน |
| อินเทอร์เฟซเครือข่ายทั้งทางกายภาพและเสมือน | การ์ดและอะแดปเตอร์อีเทอร์เน็ต Wi-Fi และฟิลด์บัส |
| ระบบปฏิบัติการ | ระบบปฏิบัติการเรียลไทม์หรือ Windows ที่อยู่ในแผง HMI |
| การจัดการตัวตนและการจัดการสิทธิ์เข้าถึงแบบพิเศษ | ระบบบัญชีสำหรับการเข้าถึงระยะไกลที่ทีมบริการของคุณใช้ |
| ระบบจัดการข้อมูลความปลอดภัยและเหตุการณ์ | เฉพาะกรณีที่คุณขายระบบเฝ้าระวังระดับโรงงานพ่วงไปกับเครน |
มาตรา 7(1) ของ CRA ปกป้องคุณจากการลุกลาม คือการนำผลิตภัณฑ์ที่มีฟังก์ชันหลักตามหมวดหมู่ชั้น I หรือชั้น II มาประกอบเข้าด้วยกันไม่ได้ลากผลิตภัณฑ์หลักเข้าไปในกระบวนการเหล่านั้นโดยตัวมันเอง แต่คุณยังต้องมั่นใจว่าผู้จัดหาได้ทำหน้าที่ของตน และหากไม่มีคำประกาศความสอดคล้องและไม่มีเครื่องหมาย CE สำหรับชิ้นส่วนนั้น ความรับผิดชอบก็เป็นของคุณ ใส่เรื่องนี้ไว้ในใบสั่งซื้อ ไม่ใช่ในบทสนทนาทางโทรศัพท์
ห้าปีคือขั้นต่ำ และสำหรับอุปกรณ์อุตสาหกรรม บทนำของกฎหมายบอกให้คุณไปไกลกว่านั้น บทนำข้อ 60 ของ CRA ระบุว่าระยะเวลาสนับสนุนไม่ควรน้อยกว่าห้าปี เว้นแต่อายุการใช้งานของผลิตภัณฑ์สั้นกว่านั้น และเสริมว่าผลิตภัณฑ์ที่ "มีไว้ใช้ในสภาพแวดล้อมอุตสาหกรรม เช่น ระบบควบคุมอุตสาหกรรม มักถูกใช้งานเป็นระยะเวลานานกว่าอย่างมีนัยสำคัญ"
อ่านข้อความนั้นเทียบกับอายุใช้งานจริงของเครนที่ 20 ถึง 30 ปี แล้วช่องว่างก็ชัดเจน ไม่มีใครคาดว่า PLC ปี 2027 จะได้รับแพตช์ในปี 2052 สิ่งที่กฎระเบียบคาดหวังคือคุณต้องบอกเป็นลายลักษณ์อักษรว่าแพตช์จะหยุดเมื่อไร
ภาคผนวก II กำหนดให้ระบุวันสิ้นสุดของระยะเวลาสนับสนุนให้ผู้ใช้ทราบพร้อมกับผลิตภัณฑ์ บรรทัดเดียวนั้นในคู่มือคือสิ่งที่ผู้จัดการฝ่ายบำรุงรักษาจะใช้วางแผนการปรับปรุงเครื่อง และเป็นสิ่งแรกที่เจ้าหน้าที่เฝ้าระวังตลาดจะอ่าน
| ระดับและอัตราการใช้งานของเครน | อายุใช้งานโดยทั่วไป | ระยะเวลาสนับสนุนที่ประกาศได้อย่างมีเหตุผล |
|---|---|---|
| เครนโรงงานเบา A3-A4, 1-10 t | 15-20 ปี | 5 ปีสำหรับชิ้นส่วนดิจิทัล โดยระบุไว้เช่นนั้น |
| เครนการผลิต A5-A6, 10-50 t | 20-25 ปี | 8-10 ปี พร้อมเส้นทางการอัปเกรดตัวควบคุมที่จัดทำเอกสารไว้ |
| เครนหนักหรือเครนกระบวนการ A7-A8, 50-100 t | 25-30 ปี | 10 ปี บวกช่วงเวลาโยกย้ายตามสัญญา |
| เครนที่มีเพียงรีโมทวิทยุ ไม่มีเครือข่าย | 15-20 ปี | ระยะเวลาสนับสนุนกำหนดโดยอุปกรณ์วิทยุ มัก 5-7 ปี |
ช่วงเวลาเหล่านั้นเป็นสมมติฐานการวางแผนของเราเองจากบันทึกการให้บริการในจีนและยุโรป ไม่ใช่สถิติที่เผยแพร่ ขั้นต่ำห้าปีคือกฎหมาย ทุกอย่างที่เกินกว่านั้นคือการตัดสินใจเชิงพาณิชย์ที่ควรทำร่วมกับผู้ซื้อก่อนสั่งซื้อ เพราะการสัญญาสิบปีพร้อมแผนอัปเกรดตัวควบคุมถูกกว่าการมาเถียงกันในปีที่หกมาก
ข้อกำหนดด้านเอกสารทางเทคนิคเป็นส่วนที่เปลี่ยนแฟ้ม CE เดิมของโรงงานให้เป็นเอกสารที่ใช้งานได้ แฟ้มเครนที่เขียนขึ้นสำหรับ Machinery Directive ฉบับเก่ามักมีแบบเขียน การคำนวณ การประเมินความเสี่ยง รายงานการทดสอบ และคำประกาศ แทบไม่เคยมีบัญชีรายการชิ้นส่วนพร้อมเวอร์ชัน
| รายการ | หน้าตาเป็นอย่างไรบนเครน | ช่องว่างที่พบบ่อยวันนี้ |
|---|---|---|
| คำอธิบายทั่วไปและวัตถุประสงค์การใช้งาน | ความสามารถในการยก ช่วงคาน ชั้นการใช้งาน สภาพแวดล้อม อินเทอร์เฟซ | มักมีอยู่ แต่นาน ๆ ครั้งจึงจะกล่าวถึงอินเทอร์เฟซเครือข่าย |
| การประเมินความเสี่ยงรวมถึงความเสี่ยงทางไซเบอร์ | เกิดอะไรกับการเคลื่อนที่หากสัญญาณถูกปลอมแปลงหรือเล่นซ้ำ | ขาดหาย การประเมินความเสี่ยงด้านความปลอดภัยหยุดอยู่ที่อันตรายเชิงกล |
| บัญชีรายการซอฟต์แวร์ (SBOM) | ไลบรารีของบุคคลที่สามและเวอร์ชันเฟิร์มแวร์ทุกตัวในตัวควบคุม HMI และเกตเวย์ | ไม่มีอยู่ บทนำข้อ 77 คาดหวังให้มี แต่ไม่ได้บังคับให้เปิดเผยต่อสาธารณะ |
| กระบวนการจัดการช่องโหว่ | ใครรับรายงาน ใครคัดกรอง การแก้ไขไปถึงเครนในสเปนได้อย่างไร | ขาดหาย และนี่คือข้อที่แผนกไอทีของผู้ซื้อจะทดสอบ |
| กลไกการอัปเดตที่ปลอดภัย | เฟิร์มแวร์ที่ลงนาม การย้อนกลับ และเส้นทางที่ทำงานได้โดยไม่ต้องมีอินเทอร์เน็ต | มักเป็นแฟลชไดรฟ์ USB กับอีเมล และไม่มีเอกสารรองรับ |
| นโยบายการเปิดเผยแบบประสานงานและช่องทางติดต่อ | ช่องทางติดต่อด้านความปลอดภัยที่เปิดเผย ไม่ใช่กล่องอีเมลฝ่ายขาย | ขาดหาย และเป็นรายการที่แก้ไขถูกที่สุดในลิสต์ |
มีสองเรื่องที่ควรพูดตรง ๆ เกี่ยวกับ SBOM ข้อแรก กฎระเบียบไม่ได้บังคับให้คุณเผยแพร่ บทนำข้อ 77 ระบุว่าผู้ผลิต "ไม่ควรถูกบังคับให้เปิดเผย SBOM ต่อสาธารณะ" ข้อสอง มันไร้ประโยชน์ถ้าทำครั้งเดียวแล้วจบ คุณค่าอยู่ที่ความสามารถตอบได้ภายในหนึ่งวันว่าไลบรารีที่ถูกเปิดเผยเมื่อสัปดาห์ที่แล้วอยู่ในเฟิร์มแวร์ตัวควบคุมของคุณหรือไม่ นั่นคือฐานข้อมูล ไม่ใช่ไฟล์ PDF
ทั้งสามฝ่าย ในรูปแบบที่ต่างกัน และผู้นำเข้ารับภาระมากกว่าที่ผู้จัดหาจีนส่วนใหญ่คิด ภายใต้ CRA ผู้นำเข้าคือหน่วยงานใน EU ที่วางผลิตภัณฑ์ที่ติดชื่อผู้ผลิตนอก EU ลงในตลาด ต้องตรวจสอบว่าผู้ผลิตปฏิบัติตามข้อกำหนดความมั่นคงปลอดภัยไซเบอร์ที่จำเป็นและมีกระบวนการจัดการช่องโหว่ มีการประเมินความสอดคล้องจริง มีเอกสารทางเทคนิค และมีการติดเครื่องหมาย CE ผู้นำเข้าที่ไม่ทำสิ่งนี้ไม่ใช่ช่องทางผ่านเฉย ๆ แต่เป็นฝ่ายที่ต้องรับผิด
ผู้ผลิตอาจแต่งตั้งผู้แทนที่ได้รับมอบอำนาจภายในสหภาพโดยหนังสือมอบอำนาจเป็นลายลักษณ์อักษรเพื่อทำภารกิจที่ระบุไว้ เป็นทางเลือก และไม่ใช่สิ่งทดแทนภาระผูกพันของผู้ผลิตเอง แต่เป็นกลไกที่ทำให้ภาระการรายงานภายใน 24 ชั่วโมงอยู่รอดได้สำหรับบริษัทที่วิศวกรกำลังนอนหลับตอนยุโรปตื่น
| บทบาท | หน้าที่หลักภายใต้ CRA | จุดที่มักพัง |
|---|---|---|
| ผู้ผลิต | การออกแบบ การประเมินความสอดคล้อง CE เอกสาร ระยะเวลาสนับสนุน การจัดการช่องโหว่ การรายงานภายใน 24 ชั่วโมง | ไม่มีกระบวนการที่อยู่รอดได้ถึงวันจันทร์ |
| ผู้แทนที่ได้รับมอบอำนาจ | ภารกิจที่ระบุในหนังสือมอบอำนาจ มักเป็นการประสานกับหน่วยงานและถือครองเอกสาร | เซ็นมอบอำนาจแล้ว แต่ไม่มีศักยภาพทางเทคนิครองรับ |
| ผู้นำเข้า | ตรวจสอบความสอดคล้อง CE เอกสาร และกระบวนการจัดการช่องโหว่ของผู้ผลิตก่อนวางจำหน่าย | มองเครนเหมือนเครื่องจักรทั่วไปและขอแค่ใบรับรอง CE |
| ผู้จัดจำหน่าย | ตรวจสอบ CE และคำประกาศก่อนจัดจำหน่าย และดำเนินการหากไม่สอดคล้อง | เก็บไฟล์ PDF ไว้ แต่ไม่เคยตรวจเวอร์ชัน |
บทลงโทษอธิบายว่าทำไมผู้นำเข้าจึงเริ่มถาม มาตรา 64 กำหนดค่าปรับทางปกครองสูงสุดถึง EUR 15,000,000 หรือ 2.5 % ของยอดขายรวมทั่วโลกต่อปี แล้วแต่จำนวนใดสูงกว่า สำหรับการฝ่าฝืนข้อกำหนดความมั่นคงปลอดภัยไซเบอร์ที่จำเป็นและภาระของผู้ผลิต ความล้มเหลวด้านเอกสารและกระบวนการอยู่ที่ EUR 10,000,000 หรือ 2 % ส่วนการให้ข้อมูลที่ไม่ถูกต้อง ไม่ครบถ้วน หรือทำให้เข้าใจผิดต่อองค์กรแจ้งหรือหน่วยงานเฝ้าระวังตลาดอยู่ที่ EUR 5,000,000 หรือ 1 %
| การฝ่าฝืน | ค่าปรับทางปกครองสูงสุด |
|---|---|
| ข้อกำหนดความมั่นคงปลอดภัยไซเบอร์ที่จำเป็น และภาระของผู้ผลิต | EUR 15,000,000 หรือ 2.5 % ของยอดขายรวมทั่วโลกต่อปี แล้วแต่จำนวนใดสูงกว่า |
| ภาระของผู้นำเข้า ผู้จัดจำหน่าย และกระบวนการอื่น ๆ | EUR 10,000,000 หรือ 2 % ของยอดขายรวมทั่วโลกต่อปี แล้วแต่จำนวนใดสูงกว่า |
| ข้อมูลที่ไม่ถูกต้อง ไม่ครบถ้วน หรือทำให้เข้าใจผิดต่อหน่วยงาน | EUR 5,000,000 หรือ 1 % ของยอดขายรวมทั่วโลกต่อปี แล้วแต่จำนวนใดสูงกว่า |
สำหรับผู้สร้างเครนขนาดกลาง สาขาที่คิดเป็นเปอร์เซ็นต์แทบไม่กัด แต่สาขา EUR 15 ล้านไม่สนใจจำนวนพนักงานของคุณ และการถูกสั่งให้ถอนรุ่นออกจากตลาด EU แพงกว่าค่าปรับใด ๆ
ระบบควบคุมอุตสาหกรรมไม่ใช่เป้าหมายในทางทฤษฎี แค่สายการเปิดเผยข้อมูลก็เล่าเรื่องได้ จำนวนประกาศเตือนด้านระบบควบคุมอุตสาหกรรมที่เผยแพร่เพิ่มขึ้นเรื่อย ๆ และความรุนแรงก็เพิ่มตามไปด้วย
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| ประกาศ ICS ที่เผยแพร่ในปี 2025 | 508 ฉบับ ครอบคลุม 2,155 CVE (ปีแรกที่เกิน 500) | Forescout Research กุมภาพันธ์ 2026 จากข้อมูล CISA |
| ค่าเฉลี่ย CVSS ของประกาศเหล่านั้น | 8.07 เพิ่มขึ้น 25 % จาก 6.44 ในปี 2010; 82 % อยู่ในระดับสูงหรือวิกฤต | Forescout Research กุมภาพันธ์ 2026 |
| ประกาศสะสมตั้งแต่ปี 2010 | 3,637 ฉบับ 12,174 ช่องโหว่ 2,783 ผลิตภัณฑ์ 689 ผู้จำหน่าย | Forescout Research กุมภาพันธ์ 2026 |
| อุปกรณ์ OT ที่มีช่องโหว่ซึ่งถูกรู้จักและใช้ประโยชน์แล้ว | 12 % จากอุปกรณ์กว่า 940,000 เครื่องใน 270 องค์กร | Claroty Team82, State of CPS Security 2025 |
| องค์กรที่มีอุปกรณ์ดังกล่าวเปิดสู่อินเทอร์เน็ต | 40 % และเพิ่มเป็น 31 % ในกลุ่มย่อยที่ช่องโหว่เกี่ยวข้องกับ ransomware | Claroty Team82, State of CPS Security 2025 |
| การเติบโตของ ransomware ในภาคการผลิต ปี 2024 ถึง 2025 | 61 % ซึ่งเป็นการเพิ่มขึ้นมากที่สุดในบรรดาภาควิกฤตทั้งหมด | Claroty 31 ตุลาคม 2025 |
อ่านแถวที่สี่และห้าร่วมกัน ประมาณสี่ในสิบของโรงงานที่สำรวจมีการเข้าถึงระยะไกลที่ไม่ปลอดภัยอยู่บนสินทรัพย์ที่มีช่องโหว่ซึ่งถูกรู้จักและใช้ประโยชน์แล้ว นั่นคือสภาพที่เกิดจากการติดเกตเวย์วินิจฉัยเข้ากับเครนเพื่อให้โรงงานช่วยลูกค้าได้โดยไม่ต้องส่งวิศวกรไป เกตเวย์ไม่ใช่ปัญหา เกตเวย์ที่มีรหัสผ่านใช้ร่วมกันและไม่มีเส้นทางอัปเดตต่างหากที่เป็นปัญหา
รีโมทควบคุมด้วยวิทยุมาถึงงานเลี้ยงนี้ก่อนใคร Commission Delegated Regulation (EU) 2022/30 ทำให้ข้อกำหนดความมั่นคงปลอดภัยไซเบอร์ที่จำเป็นในมาตรา 3(3)(d), (e) และ (f) ของ Radio Equipment Directive เป็นข้อบังคับสำหรับอุปกรณ์วิทยุประเภทที่ระบุ ตั้งแต่ 1 สิงหาคม 2025 คู่ตัวส่งและตัวรับของเครนคืออุปกรณ์วิทยุ ดังนั้นเครื่องมือถือทุกระบบที่ส่งเข้า EU ตั้งแต่ วันนั้นจึงอยู่ในขอบเขต
มาตรฐานกลมกลืนคือ EN 18031-1:2024 สำหรับอุปกรณ์วิทยุที่เชื่อมต่ออินเทอร์เน็ต และ EN 18031-2:2024 สำหรับอุปกรณ์ที่ประมวลผลข้อมูลส่วนบุคคล มาตรฐานเหล่านี้ถูกอ้างอิงใน Official Journal พร้อมข้อจำกัด และข้อจำกัดหนึ่งชัดเจนเป็นรูปธรรมผิดปกติ การอ้างอิงใน Implementing Decision (EU) 2025/138 มีประกาศว่า EN 18031-1 ไม่ให้ข้อสันนิษฐานความสอดคล้อง หากเมื่อใช้ข้อ 6.2.5.1 และ 6.2.5.2 ของมาตรฐานนั้น "ผู้ใช้อนุญาตให้ไม่ตั้งและไม่ใช้รหัสผ่านใด ๆ"
ประโยคเดียวนั้นตัดฮาร์ดแวร์จำนวนมากออกจากเกณฑ์ ตัวส่งที่ส่งมอบพร้อมรหัสจับคู่แบบตายตัวและไม่มีข้อกำหนดให้ตั้งรหัสผ่านไม่อาจพึ่งมาตรฐานกลมกลืนได้ มันไม่ได้ทำให้ผลิตภัณฑ์ผิดกฎหมายโดยอัตโนมัติ แต่ตัดเส้นทางที่ง่ายที่สุดในการแสดงความสอดคล้องออกไป และแผนกกำกับดูแลการปฏิบัติตามกฎของผู้ซื้อจะเจอเรื่องนี้
| ประเภทการโจมตีรีโมทควบคุมด้วยวิทยุอุตสาหกรรม | ผู้โจมตีทำอะไร | คำถามที่ควรถามผู้จัดหา |
|---|---|---|
| การดักจับและเล่นซ้ำ (capture and replay) | บันทึกเทเลแกรมที่ถูกต้องแล้วส่งซ้ำในภายหลังเพื่อให้เครนเคลื่อนที่ | ลิงก์ถูกเข้ารหัสหรือไม่ และเทเลแกรมได้รับการป้องกันการเล่นซ้ำด้วยตัวนับหรือเวลาประทับหรือไม่ |
| การแทรกคำสั่ง (command injection) | ถอดรหัสโครงสร้างเทเลแกรมและแทนที่ด้วยคำสั่งอื่น | มีการพิสูจน์ตัวตนของข้อความบนเนื้อหาคำสั่ง ไม่ใช่แค่บนที่อยู่หรือไม่ |
| การตั้งโปรแกรมใหม่โดยไม่ชอบ (malicious re-programming) | เขียนการแมประหว่างอุปกรณ์ควบคุมกับเอาต์พุตของเครื่องใหม่ | สามารถเขียนเฟิร์มแวร์ได้โดยไม่มีอิมเมจที่ลงนามและขั้นตอนบริการทางกายภาพหรือไม่ |
| การจับคู่ใหม่โดยไม่ชอบ (malicious re-pairing) | จำลองตัวส่งตัวเดิมเพื่อให้ตัวรับยอมรับตัวใหม่ | การจับคู่ต้องเข้าถึงตัวรับทางกายภาพและใช้กุญแจที่ได้รับอนุญาตหรือไม่ |
ประเภทการโจมตีทั้งสี่ข้างต้นคืออนุกรมวิธานที่ HBC-radiomatic ใช้ในเอกสารไวท์เปเปอร์ที่เผยแพร่เกี่ยวกับความปลอดภัยในรีโมทควบคุมด้วยวิทยุอุตสาหกรรม ซึ่งยังระบุด้วยว่าบริษัทได้ให้การส่งสัญญาณวิทยุแบบเข้ารหัสเต็มรูปแบบมากว่าทศวรรษ และส่งระบบเข้ารับการทดสอบเจาะระบบจากภายนอกเมื่อทำได้ นั่นคือมาตรฐานที่ผู้จัดหารายจริงจังยึดถือในตอนนี้ และเป็นเกณฑ์เปรียบเทียบที่สมเหตุสมผลสำหรับผู้ซื้อที่กำลังเทียบรีโมทจากยุโรปกับรุ่นที่ถูกกว่า คำถามไม่ใช่ว่าเอกสารข้อมูลเขียนว่า "เข้ารหัส" หรือไม่ แต่คือประเภทใดในสี่ประเภทที่ถูกปิด และคุณจะพิสูจน์ได้อย่างไร
IEC 62443 คือคำตอบของฝ่ายอุตสาหกรรมต่อคำถามที่ว่า "ฉันจะแสดงได้อย่างไรว่าทำเรื่องนี้อย่างถูกต้อง" และมันไม่ได้แทนการติดเครื่องหมาย CE เป็นการรับรองกระบวนการพัฒนาของคุณและข้อกำหนดความปลอดภัยทางเทคนิคของผลิตภัณฑ์ แฟ้ม CE ยังต้องมีอยู่
สามส่วนที่สำคัญสำหรับผู้สร้างเครน: 4-1 สำหรับวงจรชีวิตการพัฒนาที่ปลอดภัย, 4-2 สำหรับข้อกำหนดความปลอดภัยทางเทคนิคของชิ้นส่วน และ 3-3 สำหรับระบบ ค่าธรรมเนียมโครงการและช่วงการประเมินที่เผยแพร่ในปี 2026 ให้ขนาดคร่าว ๆ ที่ใช้งานได้
| สิ่งที่รับรอง | มาตรฐาน | ค่าธรรมเนียมโครงการ | การประเมิน ช่วงโดยทั่วไป |
|---|---|---|---|
| วงจรชีวิตการพัฒนาที่ปลอดภัย | 62443-4-1 | USD 1,500 ต่อปี | EUR 15,000-35,000 ที่ระดับวุฒิภาวะ 2 |
| ชิ้นส่วน | 62443-4-2 | USD 1,200 ต่อชิ้นส่วน หรือ 1,500 ต่อตระกูล ต่อปี | EUR 25,000-50,000 เพิ่มจากกระบวนการ 4-1 ที่ได้รับการรับรองแล้ว |
| ระบบ | 62443-3-3 | USD 1,200 ต่อปี | EUR 30,000-50,000 |
| การรับรองอุปกรณ์ครั้งแรก รวมทุกอย่าง | โครงการ ISASecure | รวมอยู่ในข้างต้น | USD 50,000-75,000 ตามคำถามที่พบบ่อยของโครงการเอง |
ตัวมาตรฐานเองเป็นรายการที่ถูกที่สุดและเป็นรายการที่มักถูกข้ามมากที่สุด IEC ขายแต่ละส่วนแยกกัน 62443-4-1 ราคา CHF 335 และ 62443-4-2 ราคา CHF 405 ชุดขั้นต่ำของผู้จัดหาผลิตภัณฑ์จึงเป็น CHF 740 ชุดเต็มที่จำเป็นต่อการเข้าใจว่าโรงงานจะบังคับใช้กับผู้ให้บริการของตนอย่างไรอยู่ต่ำกว่า CHF 3,000 การซื้อมาตรฐานถูกกว่าการจ่ายที่ปรึกษาให้มาสรุปให้ฟัง
มีเส้นทางที่สองที่สำคัญเฉพาะกับ Machinery Regulation การรับรองภายใต้โครงการความมั่นคงปลอดภัยไซเบอร์ที่รับรองตาม Regulation (EU) 2019/881 ให้ข้อสันนิษฐานความสอดคล้องกับภาคผนวก III ข้อ 1.1.9 และ 1.2.1 ของ MR โครงการปัจจุบันคือ EUCC ซึ่งจัดตั้งโดย Implementing Regulation (EU) 2024/482 ใช้บังคับตั้งแต่ 27 กุมภาพันธ์ 2025 มีสองระดับการรับประกัน คือ "substantial" และ "high" ภายใต้ EUCC ไม่อนุญาตให้ประเมินเอง สำหรับผู้สร้างเครนที่ต้องการใบรับรองใบเดียวใช้ได้กับทั้งสองกฎหมาย นี่คือกลไกนั้น และราคาของมันเป็นแบบโครงการจริงจัง ไม่ใช่การทบทวนเอกสาร
ไม่มีใครในอุตสาหกรรมนี้เผยแพร่ตัวเลขต่อหน่วย ดังนั้นนี่คือของเรา ตัวเลขด้านล่างเป็นประมาณการวางแผนของ SIEC สำหรับเครนที่ควบคุมด้วย PLC สามรุ่น สร้างจากใบเสนอราคาของเราเองสำหรับงานทดสอบและงานเอกสาร ไม่ใช่สถิติที่เผยแพร่ และจะเปลี่ยนไปตามขอบเขตของระบบควบคุม
| ชุดงาน | ปีแรก | ค่าใช้จ่ายประจำ |
|---|---|---|
| แบบจำลองภัยคุกคามและการประเมินความเสี่ยงทางไซเบอร์ที่เพิ่มเข้าแฟ้มความปลอดภัย | 5-8 วันวิศวกร | 1-2 วันต่อการเปลี่ยนรุ่น |
| การสร้างและปรับปรุง SBOM สำหรับตัวควบคุม HMI และเกตเวย์ | 4-6 วัน | 1-2 วันต่อไตรมาส |
| การทดสอบเจาะระบบภายนอกของเกตเวย์และลิงก์วิทยุ | EUR 8,000-15,000 | EUR 8,000-15,000 ทุก 2-3 ปี |
| เอกสาร คำประกาศความสอดคล้อง การปรับปรุงคู่มือการใช้งาน | 3-5 วัน | 1-2 วันต่อปี |
| การจัดการช่องโหว่และภาระการรายงานภายใน 24 ชั่วโมง | ตั้งกระบวนการ 3-4 วัน | 4-8 วันต่อปี บวกค่าอยู่เวรพร้อมรับสาย |
| ทางเลือก: การรับรอง EUCC หรือ IEC 62443-4-2 | EUR 40,000-90,000 | ค่าธรรมเนียมโครงการบวกการตรวจติดตาม |
| รวมโดยไม่มีการรับรองจากบุคคลที่สาม | EUR 25,000-55,000 | EUR 10,000-25,000 ต่อปี |
เมื่อเฉลี่ยตามปริมาณผลผลิต ภาพก็เปลี่ยนไปทั้งหมด ที่สี่สิบเครื่องต่อปี ต้นทุนปีแรกคือ EUR 625 ถึง 1,375 ต่อหน่วย ที่แปดเครื่องต่อปีคือ EUR 3,100 ถึง 6,900 ต่อหน่วย ซึ่งอยู่ในระดับเดียวกับค่าขนส่งของเครื่อง 20 ตันหนึ่งเครื่อง ตัวเลขประจำคือสิ่งที่ตัดสินว่าผู้สร้างรายเล็กจะอยู่ในกลุ่มนี้ได้หรือไม่: EUR 10,000 ถึง 25,000 ต่อปีไม่ลดลงตามปริมาณ ดังนั้นต้นทุนคงที่ต่อเครื่องจึงสูงขึ้นเมื่อคำสั่งซื้อลดลง
รายการที่คนประเมินต่ำเกินไปคือภาระการรายงาน นาฬิกา 24 ชั่วโมงหมายความว่าต้องมีคนที่ติดต่อได้ตอนตีสามตามเวลายุโรปจากเจ้อเจียง ในทางปฏิบัติหมายถึงพันธมิตรบริการในยุโรปที่มีกระบวนการจัดการเหตุการณ์ หรือไม่ก็ตารางเวร ทั้งสองอย่างมีต้นทุน และไม่มีอย่างไหนอยู่ในใบเสนอราคา
ผู้ซื้อที่เข้าใจสองกฎระเบียบเขียนใบสั่งซื้อต่างจากผู้ซื้อที่ไม่เข้าใจ นี่คือข้อสัญญาที่เราเห็นในคำถามจากยุโรปตอนนี้ และเป็นข้อที่เราจะใส่เข้าไปถ้าเราอยู่ฝั่งผู้ซื้อ
| ข้อสัญญา | ถ้อยคำที่ได้ผล |
|---|---|
| 1. บัญชีรายการ | ระบุผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลทุกชิ้นในเครน พร้อมยี่ห้อ รุ่น และเวอร์ชันเฟิร์มแวร์ |
| 2. คำประกาศ | ส่งคำประกาศความสอดคล้อง CE สำหรับสินค้าบุคคลที่สามแต่ละรายการ หรือระบุเป็นลายลักษณ์อักษรว่าไม่มี |
| 3. ระยะเวลาสนับสนุน | ระบุวันสิ้นสุดการสนับสนุนในคู่มือการใช้งาน และระบุชื่อผู้รับผิดชอบ |
| 4. การเข้าถึงระยะไกล | เชื่อมต่อแบบออกเท่านั้น ไม่มีพอร์ตขาเข้า ใช้ข้อมูลรับรองแยกตามไซต์ ไม่มีบัญชีบริการใช้ร่วมกัน |
| 5. ลิงก์วิทยุ | ส่งแบบเข้ารหัส มีตัวนับป้องกันการเล่นซ้ำ บังคับตั้งรหัสผ่านในการใช้ครั้งแรก มีขั้นตอนจับคู่ทางกายภาพ |
| 6. การอัปเดต | เฟิร์มแวร์ที่ลงนาม เส้นทางการอัปเดตออฟไลน์ที่มีเอกสาร และขั้นตอนการย้อนกลับ |
| 7. SBOM | ส่งให้เมื่อขอภายในห้าวันทำการ ภายใต้ NDA และปรับปรุงทุกครั้งที่ออกเฟิร์มแวร์ใหม่ |
| 8. การรายงาน | แจ้งผู้ซื้อภายใน 24 ชั่วโมงนับจากที่ทราบว่ามีช่องโหว่ที่ถูกใช้ประโยชน์จริงซึ่งกระทบเครน |
| 9. การยกระดับปัญหา | ช่องทางติดต่อด้านความปลอดภัยที่มีชื่อระบุและมีเวลาตอบสนอง ไม่ใช่ที่อยู่ฝ่ายขายทั่วไป |
| 10. การควบคุมการเปลี่ยนแปลง | การเปลี่ยนตัวควบคุม HMI หรือเกตเวย์ต้องได้รับการอนุมัติเป็นลายลักษณ์อักษรและอัปเดตแฟ้ม |
ข้อ 10 คือข้อที่ปกป้องผู้ซื้อจากความล้มเหลวที่พบบ่อยที่สุดในโลกจริง ตัวควบคุมถูกสลับในโรงงานเพราะการจัดส่งล่าช้า ไม่มีใครอัปเดตเอกสาร และสิบแปดเดือนต่อมาเครนที่หน้างานก็ไม่ตรงกับแฟ้มที่ประกาศไว้แล้ว ภายใต้ Machinery Regulation นั่นเป็นปัญหาความสอดคล้อง ภายใต้ CRA มันเป็นความล้มเหลวด้านเอกสารที่อยู่ในวงเงิน EUR 10 ล้าน
คำสั่งซื้อที่ทำตอนนี้จะตกในช่วงที่สองกฎระเบียบซ้อนทับกัน และลำดับขั้นสำคัญกว่าเอกสาร
| ขั้นตอน | ช่วงเวลา | สิ่งที่ต้องพร้อม |
|---|---|---|
| การสั่งซื้อและการล็อกแบบ | ไตรมาส 4 ปี 2026 ถึงไตรมาส 1 ปี 2027 | บัญชีรายการชิ้นส่วนและคำประกาศของผู้จัดหาที่ล็อกพร้อมคำสั่งซื้อ ไม่ใช่ทีหลัง |
| Machinery Regulation เริ่มใช้ | 20 มกราคม 2027 | หลักฐานตามภาคผนวก III ข้อ 1.1.9: สถาปัตยกรรมการเชื่อมต่อ การบันทึกการแทรกแซง ซอฟต์แวร์ความปลอดภัยที่ได้รับการป้องกัน |
| ภาระการรายงานภายใต้ CRA สำหรับกองเครื่องที่มีอยู่ | มีผลแล้วตั้งแต่ 11 กันยายน 2026 | ช่องทางติดต่อที่มีชื่อระบุและกระบวนการคัดกรองเป็นลายลักษณ์อักษรสำหรับเครนที่เชื่อมต่อทุกเครื่องใน EU แล้ว |
| ภาระหลักภายใต้ CRA | 11 ธันวาคม 2027 | การประเมินความสอดคล้องตาม CRA คำประกาศ CE SBOM ระยะเวลาสนับสนุนที่ประกาศไว้ |
| รอบการตรวจประเมิน CRA ครั้งแรก | 2028 | หลักฐานว่ากระบวนการจัดการช่องโหว่ทำงานจริง ไม่ใช่แค่เขียนไว้ |
ผลในทางปฏิบัติคือเครนที่ส่งมอบในช่วงครึ่งหลังของปี 2027 ต้องผ่าน Machinery Regulation ณ เวลาส่งมอบ และจะเข้าเกณฑ์ CRA ภายในไม่กี่เดือน การออกแบบแฟ้มครั้งเดียวสำหรับทั้งสองฉบับถูกกว่าการเอาแฟ้มหนึ่งไปดัดแปลงใส่อีกแฟ้ม ระบบควบคุมคือจุดที่สองฉบับซ้อนกัน: ข้อ 1.1.9 ถามว่าการแทรกแซงสามารถทำให้ฟังก์ชันความปลอดภัยเสียหายได้หรือไม่ และ CRA ถามว่าคุณรู้เรื่องและแก้ไขได้หรือไม่
ความสอดคล้องทางไซเบอร์ของเครนไม่ใช่กลอุบายของยุโรปเพื่อกันเครนจีนออกไป เป็นกฎหมายว่าด้วยเอกสารและกระบวนการ และโรงงานที่ทำแฟ้ม CE อย่างถูกต้องอยู่แล้วก็ใกล้ความสอดคล้องมากกว่าที่เส้นตายบอก สิ่งที่กฎหมายนี้ลงโทษจริง ๆ คือสภาพที่ผู้ส่งออกส่วนใหญ่พึ่งพาอยู่ในตอนนี้: PLC และเกตเวย์จากบุคคลที่สาม รหัสผ่านใช้ร่วมกัน เส้นทางอัปเดตที่ไม่มีเอกสาร และไม่มีใครเป็นเจ้าของคำถามนี้
ภาระการรายงานคือส่วนที่ต้องแก้ก่อน เพราะมีผลบังคับใช้แล้วและแทบไม่มีค่าใช้จ่ายในการตั้งให้ถูกต้อง ช่องทางติดต่อที่มีชื่อระบุ กระบวนการคัดกรองสั้น ๆ เป็นลายลักษณ์อักษร และกฎว่าคำบอกเล่าจากลูกค้าเกี่ยวกับพฤติกรรมผิดปกติของเครนต้องถึงช่องทางนั้นภายในหนึ่งชั่วโมง นั่นคืองานหนึ่งสัปดาห์ ทางเลือกอื่นคือการไปรู้ว่ามีภาระนี้กลางเหตุการณ์ โดยที่นาฬิกา 24 ชั่วโมงเดินอยู่แล้วและผู้นำเข้าถามว่าทำไมไม่บอกกัน
ใช่ หากส่วนใดส่วนหนึ่งของเครนเป็นผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลซึ่งเชื่อมต่อโดยตรงหรือโดยอ้อมกับอุปกรณ์อื่น เครนที่มี PLC และ HMI อยู่ในเครือข่ายท้องถิ่นโดยไม่มีเส้นทางออกสู่อินเทอร์เน็ตก็ยังอยู่ในขอบเขต กฎระเบียบครอบคลุมการเชื่อมต่อโดยอ้อมด้วย และแล็ปท็อปของช่างเทคนิคที่เสียบเข้ากับตู้ควบคุมก็ถือเป็นการเชื่อมต่อ สิ่งที่เปลี่ยนไปเมื่อไม่มีอินเทอร์เน็ตคือความเสี่ยงในทางปฏิบัติ ไม่ใช่ขอบเขตทางกฎหมาย
ไม่ใช่ หากเครนมีชื่อหรือเครื่องหมายการค้าของคุณ คุณคือผู้ผลิตภายใต้ CRA และหน้าที่ในการรายงานเป็นของคุณ ผู้จัดจำหน่ายของคุณมีสถานะเป็นผู้นำเข้าหากเป็นผู้วางผลิตภัณฑ์ในตลาด ซึ่งทำให้พวกเขามีหน้าที่ตรวจสอบ แต่ไม่ได้โอนภาระผูกพันของคุณไปให้ การติดแบรนด์ของคุณบนเครื่องและชื่อผู้จัดจำหน่ายบนเอกสารไม่ได้ย้ายความรับผิดไปไหน
รีโมทวิทยุเป็นอุปกรณ์วิทยุและเป็นผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลด้วย ข้อกำหนดทางไซเบอร์ของ Radio Equipment Directive มีผลบังคับตั้งแต่ 1 สิงหาคม 2025 ผ่าน Delegated Regulation 2022/30 โดยมี EN 18031-1 และ EN 18031-2 เป็นมาตรฐานกลมกลืน ส่วน CRA เพิ่มชั้นแนวนอนแยกต่างหากที่ครอบคลุมผลิตภัณฑ์ทั้งชิ้นและวงจรชีวิตของมัน อย่าสันนิษฐานว่าใบรับรองใบเดียวปิดอีกใบได้ คำแนะนำของคณะกรรมาธิการเรื่องการรวมเครื่องมือต่าง ๆ คือผู้ผลิตต้องพิสูจน์ถึงการทำงานเสริมกัน
คุณยังต้องแจ้ง กำหนด 72 ชั่วโมงเป็นเวลาสำหรับการแจ้งแบบเต็มรูปแบบ ไม่ใช่สำหรับการแก้ไข รายงานฉบับสุดท้ายเกี่ยวกับช่องโหว่ที่ถูกใช้ประโยชน์จริงต้องส่งไม่ช้ากว่า 14 วันหลังจากมีมาตรการแก้ไข ซึ่งเป็นนาฬิกาอีกเรือนหนึ่งและยอมรับว่าการแก้ไขใช้เวลานานกว่าการแจ้ง สิ่งที่คุณต้องไม่ทำคือรอให้แก้เสร็จก่อนแล้วค่อยบอกใคร
ไม่ต้อง IEC 62443 ไม่ได้ถูกอ้างอิงเป็นมาตรฐานกลมกลืนที่ให้ข้อสันนิษฐานความสอดคล้องโดยอัตโนมัติภายใต้ CRA สิ่งที่ Machinery Regulation กำหนดคือการรับรองภายใต้โครงการที่รับรองตาม Regulation (EU) 2019/881 ให้ข้อสันนิษฐานความสอดคล้องกับภาคผนวก III ข้อ 1.1.9 และ 1.2.1 IEC 62443 เป็นวิธีปฏิบัติในการสร้างกระบวนการ และผู้ซื้ออาจเรียกร้อง แต่ไม่ใช่ประตูทางกฎหมาย สำหรับรอกที่ขายเป็นผลิตภัณฑ์แยก หลักการเดียวกันใช้กับตัวควบคุมและคำประกาศของมันเอง
จริง คณะกรรมาธิการระบุเมื่อ 11 กันยายน 2026 ว่าภาระการรายงานใช้บังคับกับผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลทั้งหมดที่จัดจำหน่ายใน EU รวมถึงผลิตภัณฑ์ที่อยู่ในตลาดแล้ว หน้าที่นี้ผูกกับผู้ผลิต ไม่ใช่วันที่ขาย ในทางปฏิบัติเครนปี 2018 ส่วนใหญ่ไม่มีการเชื่อมต่อระยะไกลและไม่มีช่องทางให้คุณรู้ว่ามีช่องโหว่ถูกใช้ประโยชน์ ซึ่งเป็นเหตุผลให้บันทึกข้อเท็จจริงนั้นไว้ มากกว่าจะสันนิษฐานว่าจะไม่มีใครถาม
บทความที่เกี่ยวข้อง:
ขอบเขต CBAM กับเครน: ไตรภาคีเดือนตุลาคมหมายความว่าอะไรสำหรับผู้ซื้อตั้งแต่ปี 2028
มาตรฐานเครน EU ในปี 2026: prEN 15011, Machinery Regulation และสิ่งที่จะเปลี่ยน
ระบบอัตโนมัติและการควบคุมระยะไกลของเครนในปี 2026: ผู้ซื้อได้อะไรจริง
การปรับปรุงเครนเทียบกับการเปลี่ยนใหม่ในปี 2026: ต้นทุน เวลาหยุดเดิน และความสอดคล้อง
อะไหล่ เครือข่ายบริการ และเวลาทำงาน: อะไรกำหนดเวลาฟื้นตัวจริง
เครนพิเศษ: เครื่องยกแบบตะขอ เครื่องหล่อชิ้นสำเร็จรูป เครื่องล้างกรด และเครื่องสำหรับห้องสะอาด