Nghĩa vụ báo cáo theo CRA đã có hiệu lực từ ngày 11 tháng 9 năm 2026. Quy định Máy móc chỉ bắt đầu từ ngày 20 tháng 1 năm 2027, và dấu CE đầy đủ theo CRA từ ngày 11 tháng 12 năm 2027. Đây là những gì một cầu trục điều khiển bằng PLC phải lập hồ sơ, những bộ điều khiển từ xa vô tuyến nào mất giả định phù hợp, và toàn bộ công việc này tốn bao nhiêu trên mỗi máy.
Kể từ ngày 11 tháng 9 năm 2026, bất kỳ ai sản xuất một cầu trục có bộ điều khiển được nối mạng cho thị trường EU đều có nghĩa vụ pháp lý phải báo cáo các lỗ hổng đang bị khai thác trong cầu trục đó trong vòng 24 giờ kể từ khi biết về chúng. Đồng hồ đó đã chạy được sáu tuần. Các quy định về an toàn máy móc mà phần lớn nhà máy vẫn đang chuẩn bị thì chưa bắt đầu cho đến ngày 20 tháng 1 năm 2027. Các quy định an ninh mạng nằm ngang, thứ biến toàn bộ việc này thành một hồ sơ dán dấu CE, chưa áp dụng đầy đủ cho đến ngày 11 tháng 12 năm 2027. Ba mốc thời gian, hai quy định, một cái máy.
Phần lớn người mua mà chúng tôi báo giá ở châu Âu mới chỉ nghe nói đến đúng một trong số đó. Thường là Quy định Máy móc, vì đó là thứ tổ chức được chỉ định của họ hỏi. Gần như chưa ai hỏi chúng tôi về nghĩa vụ báo cáo theo CRA, mà đó lại chính là thứ đang chạy.
Quy định (EU) 2023/1230, tức Quy định Máy móc, thay thế Chỉ thị Máy móc 2006/42/EC cũ và áp dụng cho máy móc được đưa ra thị trường từ ngày 20 tháng 1 năm 2027. Đây là một luật về an toàn, nay có chứa một yêu cầu về an ninh mạng. Mục 1.1.9 của Phụ lục III có tiêu đề "Bảo vệ chống hư hỏng": các kết nối với thiết bị khác không được tạo ra tình huống nguy hiểm, phần cứng, phần mềm và dữ liệu quan trọng cho an toàn phải được bảo vệ chống hư hỏng vô ý hoặc cố ý và phải được nhận diện, và các can thiệp hợp pháp hay bất hợp pháp đều phải được ghi nhận. Mục 1.2.1 đề cập đến độ an toàn và độ tin cậy của hệ thống điều khiển.
Quy định (EU) 2024/2847, tức Đạo luật Khả năng phục hồi không gian mạng, là một luật về an ninh mạng sản phẩm. Quy định có hiệu lực từ ngày 10 tháng 12 năm 2024. Chương IV về các tổ chức được chỉ định đã áp dụng từ ngày 11 tháng 6 năm 2026. Các nghĩa vụ báo cáo bắt đầu từ ngày 11 tháng 9 năm 2026. Các nghĩa vụ chính áp dụng từ ngày 11 tháng 12 năm 2027.
Một cầu trục trên cao điều khiển bằng PLC là máy theo quy định thứ nhất và là sản phẩm có yếu tố số theo quy định thứ hai. Phần FAQ chính thức của Ủy ban về CRA nói rất thẳng về ý nghĩa của điều này. Câu hỏi 2.4.1 nêu rằng nhà sản xuất các sản phẩm thuộc cả hai phạm vi "phải tuân thủ cả các yêu cầu an ninh mạng thiết yếu của Quy định này và các yêu cầu an toàn và sức khỏe thiết yếu của Quy định (EU) 2023/1230", và rằng mọi sự cộng hưởng "phải được nhà sản xuất chứng minh". Câu hỏi 2.4.3 đi xa hơn: việc đánh giá sự phù hợp theo một văn bản "không thể được coi một cách tự động là đủ để cũng thỏa mãn thủ tục mà văn bản kia yêu cầu phải tuân theo".
Hai hồ sơ, hai bản tuyên bố, một cầu trục. Vấn đề có hình dạng như vậy.
| Hạng mục | Quy định Máy móc 2023/1230 | Đạo luật Khả năng phục hồi không gian mạng 2024/2847 |
|---|---|---|
| Nội dung liên quan đến | An toàn vật lý của máy, cộng với bảo vệ chống hư hỏng các chức năng an toàn | An ninh mạng của sản phẩm số trong toàn bộ vòng đời, bao gồm cập nhật |
| Áp dụng cho cầu trục từ | 20 tháng 1 năm 2027 | 11 tháng 12 năm 2027 cho các nghĩa vụ chính, 11 tháng 9 năm 2026 cho báo cáo sự cố |
| Ai đánh giá | Tự đánh giá với phần lớn cầu trục, tổ chức được chỉ định với máy móc nêu trong Phụ lục I | Tự đánh giá theo mặc định, bên thứ ba với "sản phẩm quan trọng" trong Phụ lục III |
| Sản phẩm bàn giao | Hồ sơ kỹ thuật, tuyên bố hợp quy EU, dấu CE, hướng dẫn sử dụng kèm rủi ro còn lại | Tài liệu kỹ thuật, tuyên bố hợp quy EU, dấu CE, SBOM, thời hạn hỗ trợ, quy trình xử lý lỗ hổng |
| Nghĩa vụ thường xuyên | Lưu hồ sơ 10 năm, xử lý các sự cố cho thấy sự không phù hợp | Xử lý lỗ hổng trong toàn bộ thời hạn hỗ trợ, báo cáo các lỗ hổng đang bị khai thác trong 24 giờ |
Đây là phần thường bị mất đi trong các bản tóm tắt. CRA không phải một hạn chót duy nhất. Nó là một bậc thang, và phần gây tổn thương nhất cho nhà máy lại là phần đã có hiệu lực.
| Ngày | Áp dụng những gì | Ý nghĩa với nhà sản xuất cầu trục |
|---|---|---|
| 10 tháng 12 năm 2024 | CRA có hiệu lực | Chưa có gì vận hành, nhưng đồng hồ thiết kế bắt đầu chạy |
| 1 tháng 8 năm 2025 | Yêu cầu an ninh mạng của Chỉ thị Thiết bị Vô tuyến (Quy định ủy quyền 2022/30) | Đã tác động tới mọi bộ điều khiển từ xa vô tuyến xuất sang EU |
| 11 tháng 6 năm 2026 | Chương IV của CRA, các tổ chức được chỉ định | Đánh giá bởi bên thứ ba đã có thể đặt lịch |
| 11 tháng 9 năm 2026 | Nghĩa vụ báo cáo theo CRA và Nền tảng Báo cáo Đơn nhất của ENISA | Đã có hiệu lực. Áp dụng cho cả sản phẩm đã có trên thị trường EU, không chỉ sản phẩm mới |
| 20 tháng 1 năm 2027 | Quy định Máy móc 2023/1230 | Mục 1.1.9 và 1.2.1 của Phụ lục III trở thành một phần của hồ sơ CE |
| 11 tháng 12 năm 2027 | Các nghĩa vụ chính của CRA | Dán dấu CE đầy đủ theo CRA, SBOM, thời hạn hỗ trợ được công bố trong hướng dẫn sử dụng |
| 11 tháng 12 năm 2027 | Báo cáo cho các đơn vị quản lý phần mềm mã nguồn mở | Chỉ liên quan nếu bạn duy trì một dự án mà bạn cũng bán thương mại |
Thông báo của chính Ủy ban ngày 11 tháng 9 năm 2026 đã nêu rõ chi tiết khiến nhiều người bị bất ngờ: nghĩa vụ báo cáo áp dụng cho tất cả các sản phẩm có yếu tố số được cung cấp trên thị trường EU, "bao gồm cả những sản phẩm đã có trên thị trường". Một cầu trục năm 2019 có gateway chẩn đoán 4G đã nằm trong một nhà máy ở Hà Lan bảy năm nay cũng nằm trong câu đó. Nghĩa vụ gắn với nhà sản xuất, không gắn với năm bán.
Hai loại, bốn đồng hồ. Một lỗ hổng đang bị khai thác trong sản phẩm của bạn và một sự cố nghiêm trọng ảnh hưởng đến tính bảo mật của sản phẩm là hai yếu tố kích hoạt khác nhau, và chúng kết thúc ở những hạn chót khác nhau.
| Giai đoạn | Hạn chót | Nội dung bao gồm |
|---|---|---|
| Cảnh báo sớm | 24 giờ kể từ khi biết | Rằng có một lỗ hổng bị nghi ngờ có thể khai thác hoặc một sự cố nghiêm trọng, kèm các thông tin cơ bản |
| Thông báo đầy đủ | 72 giờ | Thông tin chung về sản phẩm, bản chất của việc khai thác hoặc sự cố, và biện pháp giảm thiểu ban đầu |
| Báo cáo cuối cùng, lỗ hổng bị khai thác | 14 ngày sau khi có biện pháp khắc phục | Nguyên nhân gốc, bản sửa đã áp dụng, các phiên bản bị ảnh hưởng, hành động của người dùng |
| Báo cáo cuối cùng, sự cố nghiêm trọng | 1 tháng kể từ thông báo 72 giờ | Cùng dạng, cộng thêm những gì đã làm để ngăn tái diễn |
Đường nộp hồ sơ là một cổng duy nhất. ENISA đã xây dựng và vận hành Nền tảng Báo cáo Đơn nhất của CRA, hoạt động từ ngày 11 tháng 9 năm 2026. Nhà sản xuất chỉ báo cáo một lần. Nền tảng chuyển thông báo đến CSIRT của quốc gia thành viên nơi nhà sản xuất có trụ sở chính và, trừ khi có tình huống ngoại lệ, đồng thời cung cấp thông tin cho ENISA. CSIRT tiếp nhận sau đó chia sẻ với các CSIRT quốc gia khác nơi sản phẩm được bán.
Có một khe hẹp cho việc trì hoãn. Ngày 11 tháng 12 năm 2025, Ủy ban đã thông qua một văn bản ủy quyền quy định các điều kiện để một CSIRT có thể giữ lại việc phổ biến cho các CSIRT khác vì lý do an ninh mạng chính đáng. Hãy cho rằng bạn sẽ không đáp ứng được. Hãy lập kế hoạch như thể cơ quan quốc gia của khách hàng biết tin cùng ngày bạn nộp hồ sơ.
Với một nhà máy ở Chiết Giang không có cơ sở tại EU, câu hỏi thực tế là ai nộp. Quy định gắn nghĩa vụ với nhà sản xuất, và nhà phân phối hay nhà nhập khẩu không thể hấp thụ nghĩa vụ đó. Đây là điểm duy nhất mà một đối tác bán hàng châu Âu phải được đưa vào cuộc trò chuyện từ sớm, vì nền tảng cần một tổ chức có tên với một quy trình xử lý sự cố thực sự đứng sau, không phải một văn phòng kinh doanh.
Nhiều hơn so với những gì phần lớn báo giá thừa nhận. Tiêu chí không phải là "nó có chip không", mà là liệu hạng mục đó có phải sản phẩm phần mềm hoặc phần cứng kết nối trực tiếp hay gián tiếp với một thiết bị hoặc mạng khác hay không.
| Linh kiện trên một cầu trục EOT tiêu chuẩn | Sản phẩm có yếu tố số? | Vì sao nó nằm trong hồ sơ |
|---|---|---|
| PLC / bộ điều khiển cầu trục có Ethernet hoặc fieldbus | Có | Thực thi logic an toàn, kết nối với mạng nhà máy |
| Biến tần có phần mềm cấu hình | Có | Firmware, các tham số thay đổi phanh và giới hạn tốc độ |
| Bảng HMI hoặc màn hình cảm ứng | Có | Chạy một hệ điều hành, thường kèm máy chủ web |
| Gateway chẩn đoán từ xa, router 4G, hộp VPN | Có, và thường là "sản phẩm quan trọng" | Gateway VPN và router được nêu tên trong Phụ lục III Loại I |
| Bộ phát và bộ thu điều khiển từ xa vô tuyến | Có, và cũng là thiết bị vô tuyến | Hai bộ quy định cùng lúc: yêu cầu an ninh mạng của RED cộng với CRA |
| Bộ điều khiển chống lắc hoặc định vị | Có | Firmware trực tiếp ra lệnh chuyển động |
| Load cell, màn hình giới hạn tải, bảo vệ quá tải | Có khi nó xử lý và truyền dữ liệu | Một tín hiệu tải bị giả mạo đánh bại chính cơ cấu bảo vệ của máy |
| Dầm cầu, cụm bánh xe đầu dầm, tang cuốn, puly móc, cáp thép | Không | Không phần mềm, không kết nối. Thép vẫn là thép. |
Danh sách này quan trọng vì CRA không yêu cầu bạn chứng nhận từng con ốc. Nó yêu cầu bạn biết hạng mục nào là kỹ thuật số, ai sản xuất, đang ở phiên bản nào, và một lỗ hổng trong bất kỳ hạng mục nào sẽ được sửa thế nào trong thời hạn hỗ trợ. Đó là một bài toán kiểm kê trước khi là một bài toán kỹ thuật.
Một cầu trục dầm đơn tiêu chuẩn với pa lăng xích và điều khiển cầm tay thường mang ba hoặc bốn hạng mục trong số này. Thêm một gateway chẩn đoán từ xa thì con số nhân đôi. Một gói pa lăng và phụ kiện bán riêng mang theo bản tuyên bố của chính nó, vì pa lăng là sản phẩm riêng có yếu tố số khi được giao kèm biến tần và bo mạch điều khiển.
Không. Ủy ban đã quy định các mô tả kỹ thuật của sản phẩm quan trọng có yếu tố số trong Quy định thực thi (EU) 2025/2392, và cầu trục không nằm trong đó. Đó là tin tốt, vì sản phẩm Loại I và Loại II phải qua các thủ tục đánh giá sự phù hợp nặng hơn.
Nhưng các linh kiện lại là câu chuyện khác. Danh sách Loại I bao gồm những thứ xuất hiện trên BOM cầu trục hàng tuần:
| Nhóm Loại I trong Phụ lục III | Xuất hiện ở đâu trên cầu trục |
|---|---|
| Sản phẩm có chức năng mạng riêng ảo | Đường hầm dịch vụ từ xa bạn lắp để kỹ sư của bạn có thể đăng nhập từ Chiết Giang |
| Router, modem dùng để kết nối internet và switch | Router 4G trong tủ điện, thứ cung cấp SIM cho cầu trục |
| Giao diện mạng vật lý và ảo | Card và bộ chuyển đổi giao diện Ethernet, Wi-Fi và fieldbus |
| Hệ điều hành | Hệ điều hành thời gian thực hoặc bản Windows bên trong bảng HMI |
| Quản lý định danh và quản lý truy cập đặc quyền | Hệ thống tài khoản truy cập từ xa mà đội dịch vụ của bạn sử dụng |
| Hệ thống quản lý thông tin và sự kiện bảo mật | Chỉ khi bạn bán kèm giải pháp giám sát cấp nhà máy với cầu trục |
Điều 7(1) của CRA bảo vệ bạn khỏi hiệu ứng thác đổ: việc tích hợp một sản phẩm có chức năng cốt lõi thuộc nhóm Loại I hoặc Loại II không tự nó kéo sản phẩm chính vào các thủ tục đó. Nhưng bạn vẫn phải đảm bảo nhà cung cấp đã làm đúng phần của họ, và nếu không có tuyên bố hợp quy và không có dấu CE cho linh kiện đó, trách nhiệm thuộc về bạn. Hãy đưa điều đó vào đơn đặt hàng, không phải vào một cuộc gọi điện thoại.
Năm năm là mức sàn, và với thiết bị công nghiệp, phần lời nói dẫn bạn đi xa hơn. Lời nói đầu số 60 của CRA nêu rằng thời hạn hỗ trợ không được ngắn hơn năm năm trừ khi vòng đời sản phẩm ngắn hơn, và bổ sung rằng các sản phẩm "dùng cho môi trường công nghiệp, như hệ thống điều khiển công nghiệp, thường được sử dụng trong những khoảng thời gian dài hơn đáng kể".
Đặt điều đó bên cạnh tuổi thọ phục vụ thực tế của một cầu trục là 20 đến 30 năm thì khoảng cách là hiển nhiên. Không ai mong một PLC năm 2027 nhận được bản vá vào năm 2052. Điều quy định mong đợi là bạn nói rõ, bằng văn bản, khi nào các bản vá dừng lại.
Phụ lục II yêu cầu ngày kết thúc của thời hạn hỗ trợ phải được cung cấp cho người dùng cùng với sản phẩm. Dòng duy nhất đó trong sách hướng dẫn là thứ mà một quản lý bảo trì sẽ dùng để lập kế hoạch nâng cấp, và cũng là thứ mà một thanh tra giám sát thị trường sẽ đọc trước tiên.
| Loại cầu trục và cấp làm việc | Tuổi thọ phục vụ điển hình | Thời hạn hỗ trợ công bố có thể bảo vệ được |
|---|---|---|
| Cầu trục xưởng nhẹ, A3-A4, 1-10 t | 15-20 năm | 5 năm cho các linh kiện số, ghi rõ như vậy |
| Cầu trục sản xuất, A5-A6, 10-50 t | 20-25 năm | 8-10 năm, kèm lộ trình nâng cấp bộ điều khiển được lập hồ sơ |
| Cầu trục nặng hoặc cầu trục quy trình, A7-A8, 50-100 t | 25-30 năm | 10 năm, cộng một cửa sổ chuyển đổi theo hợp đồng |
| Cầu trục chỉ có điều khiển từ xa vô tuyến, không có mạng | 15-20 năm | Thời hạn hỗ trợ do thiết bị vô tuyến quyết định, thường 5-7 năm |
Các khoảng thời hạn trên là giả định lập kế hoạch của riêng chúng tôi, dựa trên hồ sơ phục vụ ở Trung Quốc và châu Âu, không phải một thống kê đã công bố. Mức sàn năm năm là luật; mọi thứ cao hơn là một quyết định thương mại nên được đưa ra với người mua trước khi đặt hàng, vì cam kết mười năm kèm lộ trình bộ điều khiển rẻ hơn nhiều so với việc tranh cãi về nó vào năm thứ sáu.
Yêu cầu về tài liệu kỹ thuật là phần biến hồ sơ CE hiện có của nhà máy thành một tài liệu sống. Một hồ sơ cầu trục viết cho Chỉ thị Máy móc cũ thường chứa bản vẽ, tính toán, đánh giá rủi ro, báo cáo thử nghiệm và một bản tuyên bố. Nó gần như không bao giờ chứa một bản kiểm kê linh kiện kèm phiên bản.
| Hạng mục | Trông như thế nào trên một cầu trục | Khoảng trống phổ biến hiện nay |
|---|---|---|
| Mô tả chung và mục đích sử dụng | Tải trọng, khẩu độ, cấp làm việc, môi trường, giao diện | Thường có, hiếm khi đề cập đến giao diện mạng |
| Đánh giá rủi ro bao gồm rủi ro mạng | Điều gì xảy ra với chuyển động nếu một tín hiệu bị giả mạo hoặc phát lại | Thiếu. Đánh giá rủi ro an toàn chỉ dừng ở các mối nguy cơ học |
| Danh mục phần mềm (SBOM) | Mọi thư viện bên thứ ba và phiên bản firmware trong bộ điều khiển, HMI và gateway | Không tồn tại. Lời nói đầu số 77 mong có một bản, và không yêu cầu phải công khai |
| Quy trình xử lý lỗ hổng | Ai tiếp nhận báo cáo, ai phân loại, bản sửa đến được một cầu trục ở Tây Ban Nha bằng cách nào | Thiếu, và đây là điều khoản mà bộ phận IT của người mua sẽ kiểm tra |
| Cơ chế cập nhật an toàn | Firmware được ký số, khả năng quay lui, và một đường thực hiện được khi không có internet | Thường là một USB và một email, không có tài liệu |
| Chính sách công bố phối hợp và đầu mối liên hệ | Một đầu mối an ninh công khai, không phải hộp thư kinh doanh | Thiếu, và đây là hạng mục rẻ nhất trong danh sách để sửa |
Có hai điều đáng nói thẳng về SBOM. Thứ nhất, quy định không buộc bạn phải công bố nó. Lời nói đầu số 77 nêu rằng nhà sản xuất "không nên bị buộc phải công khai SBOM". Thứ hai, nó vô dụng nếu chỉ được lập một lần. Giá trị nằm ở khả năng trả lời, trong vòng một ngày, liệu một thư viện được công bố tuần trước có nằm trong firmware bộ điều khiển của bạn hay không. Đó là một cơ sở dữ liệu, không phải một file PDF.
Cả ba, theo những cách khác nhau, và nhà nhập khẩu gánh nhiều hơn phần lớn nhà cung cấp Trung Quốc vẫn tưởng. Theo CRA, nhà nhập khẩu là pháp nhân EU đưa ra thị trường một sản phẩm mang tên nhà sản xuất ngoài EU. Họ phải xác minh rằng nhà sản xuất đã đáp ứng các yêu cầu an ninh mạng thiết yếu và có quy trình xử lý lỗ hổng, rằng việc đánh giá sự phù hợp đã được thực hiện, rằng tài liệu kỹ thuật tồn tại, và rằng dấu CE đã được dán. Một nhà nhập khẩu không làm điều này không phải là một kênh thụ động; họ là một bên có trách nhiệm.
Nhà sản xuất có thể chỉ định một đại diện được ủy quyền trong Liên minh bằng văn bản ủy quyền để thực hiện các nhiệm vụ cụ thể. Việc này là tùy chọn và không thay thế các nghĩa vụ của chính nhà sản xuất, nhưng đây là cơ chế giúp nghĩa vụ báo cáo trong 24 giờ trở nên khả thi với một công ty mà các kỹ sư đang ngủ khi châu Âu thức.
| Vai trò | Nghĩa vụ cốt lõi theo CRA | Chỗ thường đổ vỡ |
|---|---|---|
| Nhà sản xuất | Thiết kế, đánh giá sự phù hợp, CE, tài liệu, thời hạn hỗ trợ, xử lý lỗ hổng, báo cáo trong 24 giờ | Không có quy trình nào trụ được qua một ngày cuối tuần |
| Đại diện được ủy quyền | Các nhiệm vụ nêu trong văn bản ủy quyền, thường là liên lạc với cơ quan và lưu giữ tài liệu | Đã ký ủy quyền nhưng không có năng lực kỹ thuật phía sau |
| Nhà nhập khẩu | Xác minh sự tuân thủ, dấu CE, tài liệu và quy trình xử lý lỗ hổng của nhà sản xuất trước khi đưa ra thị trường | Coi cầu trục như mọi máy khác và chỉ hỏi một chứng nhận CE |
| Nhà phân phối | Kiểm tra dấu CE và bản tuyên bố trước khi cung cấp sản phẩm, hành động nếu sản phẩm không phù hợp | Lưu một file PDF, không bao giờ kiểm tra phiên bản |
Các hình phạt giải thích vì sao nhà nhập khẩu bắt đầu hỏi. Điều 64 quy định mức phạt hành chính lên đến 15.000.000 EUR hoặc 2,5 % tổng doanh thu thường niên toàn cầu, lấy mức cao hơn, đối với việc vi phạm các yêu cầu an ninh mạng thiết yếu và nghĩa vụ của nhà sản xuất. Các thất bại về tài liệu và thủ tục nằm ở mức 10.000.000 EUR hoặc 2 %. Việc cung cấp thông tin sai, không đầy đủ hoặc gây nhầm lẫn cho một tổ chức được chỉ định hoặc một cơ quan giám sát thị trường nằm ở mức 5.000.000 EUR hoặc 1 %.
| Hành vi vi phạm | Mức phạt hành chính tối đa |
|---|---|
| Các yêu cầu an ninh mạng thiết yếu, nghĩa vụ của nhà sản xuất | 15.000.000 EUR hoặc 2,5 % doanh thu thường niên toàn cầu, lấy mức cao hơn |
| Nghĩa vụ của nhà nhập khẩu, nhà phân phối và các nghĩa vụ thủ tục khác | 10.000.000 EUR hoặc 2 % doanh thu thường niên toàn cầu, lấy mức cao hơn |
| Thông tin sai, không đầy đủ hoặc gây nhầm lẫn cho cơ quan chức năng | 5.000.000 EUR hoặc 1 % doanh thu thường niên toàn cầu, lấy mức cao hơn |
Với một nhà chế tạo cầu trục cỡ trung, nhánh phần trăm hiếm khi có tác động. Nhánh 15 triệu EUR thì không quan tâm đến số nhân sự của bạn, và việc bị yêu cầu rút một mẫu máy khỏi thị trường EU tốn kém hơn bất kỳ khoản phạt nào.
Hệ thống điều khiển công nghiệp không phải mục tiêu lý thuyết. Riêng dòng công bố lỗ hổng đã kể một câu chuyện: số lượng khuyến cáo công nghiệp được công bố tiếp tục tăng, và mức độ nghiêm trọng cũng tăng theo.
| Chỉ số | Giá trị | Nguồn |
|---|---|---|
| Khuyến cáo ICS được công bố năm 2025 | 508, bao trùm 2.155 CVE (năm đầu tiên vượt 500) | Forescout Research, tháng 2 năm 2026, trên dữ liệu CISA |
| CVSS trung bình của các khuyến cáo đó | 8,07, tăng 25 % so với 6,44 năm 2010; 82 % ở mức cao hoặc nghiêm trọng | Forescout Research, tháng 2 năm 2026 |
| Tổng số khuyến cáo tích lũy từ năm 2010 | 3.637 khuyến cáo, 12.174 lỗ hổng, 2.783 sản phẩm, 689 nhà cung cấp | Forescout Research, tháng 2 năm 2026 |
| Thiết bị OT chứa lỗ hổng đã biết bị khai thác | 12 % trong hơn 940.000 thiết bị tại 270 tổ chức | Claroty Team82, State of CPS Security 2025 |
| Tổ chức có các thiết bị như vậy phơi ra internet | 40 %, tăng lên 31 % với nhóm mà lỗ hổng gắn với ransomware | Claroty Team82, State of CPS Security 2025 |
| Mức tăng ransomware trong sản xuất, 2024 đến 2025 | 61 %, mức tăng lớn nhất trong mọi lĩnh vực trọng yếu | Claroty, 31 tháng 10 năm 2025 |
Hãy đọc dòng thứ tư và thứ năm cùng nhau. Khoảng bốn trong mười nhà máy được khảo sát có truy cập từ xa không an toàn nằm trên các tài sản vốn đã mang một lỗ hổng đã biết bị khai thác. Đó chính xác là cách bố trí được tạo ra bởi một gateway chẩn đoán gắn thêm vào cầu trục để nhà máy có thể hỗ trợ khách hàng mà không phải cử kỹ sư đi. Gateway không phải vấn đề. Gateway với một mật khẩu dùng chung và không có đường cập nhật mới là vấn đề.
Điều khiển từ xa vô tuyến là nhóm đến bữa tiệc này trước. Quy định ủy quyền của Ủy ban (EU) 2022/30 đã biến các yêu cầu thiết yếu về an ninh mạng tại Điều 3(3)(d), (e) và (f) của Chỉ thị Thiết bị Vô tuyến thành bắt buộc đối với các nhóm thiết bị vô tuyến được liệt kê, từ ngày 1 tháng 8 năm 2025. Một cặp bộ phát và bộ thu cầu trục là thiết bị vô tuyến, nên mọi thiết bị cầm tay xuất sang EU từ ngày đó đều nằm trong phạm vi.
Các tiêu chuẩn hài hòa là EN 18031-1:2024 cho thiết bị vô tuyến kết nối internet và EN 18031-2:2024 cho thiết bị xử lý dữ liệu cá nhân. Chúng được viện dẫn trên Công báo chính thức kèm các hạn chế, và một hạn chế cụ thể một cách bất thường. Việc viện dẫn trong Quyết định thực thi (EU) 2025/138 mang một ghi chú rằng EN 18031-1 không mang lại giả định phù hợp nếu, khi áp dụng các điều 6.2.5.1 và 6.2.5.2 của nó, "người dùng được phép không đặt và không sử dụng bất kỳ mật khẩu nào".
Một câu đó loại bỏ rất nhiều phần cứng. Một bộ phát được giao kèm mã ghép cặp cố định và không yêu cầu đặt mật khẩu thì không thể dựa vào tiêu chuẩn hài hòa. Điều đó không tự động khiến sản phẩm trở nên bất hợp pháp, nhưng nó loại bỏ con đường dễ nhất để chứng minh sự phù hợp, và bộ phận tuân thủ của người mua sẽ tìm ra.
| Nhóm tấn công vào điều khiển từ xa vô tuyến công nghiệp | Kẻ tấn công làm gì | Câu hỏi dành cho nhà cung cấp |
|---|---|---|
| Thu bắt và phát lại | Ghi lại một bức điện hợp lệ rồi phát lại sau đó để làm cầu trục chuyển động | Đường truyền có được mã hóa không, và các bức điện có được bảo vệ chống phát lại bằng bộ đếm hoặc dấu thời gian không? |
| Chèn lệnh | Giải mã cấu trúc bức điện và thay bằng một lệnh khác | Có xác thực thông điệp trên phần dữ liệu lệnh, không chỉ trên địa chỉ không? |
| Lập trình lại độc hại | Viết lại ánh xạ giữa một phần tử vận hành và một đầu ra của máy | Firmware có thể bị ghi mà không cần một image được ký và một bước dịch vụ vật lý không? |
| Ghép cặp lại độc hại | Giả lập bộ phát gốc để bộ thu chấp nhận một bộ phát mới | Việc ghép cặp có yêu cầu truy cập vật lý vào bộ thu và một khóa được ủy quyền không? |
Bốn nhóm tấn công trên là cách phân loại được HBC-radiomatic sử dụng trong sách trắng đã công bố về bảo mật trong điều khiển từ xa vô tuyến công nghiệp, trong đó cũng nêu rằng công ty đã cung cấp truyền vô tuyến được mã hóa hoàn toàn trong hơn một thập kỷ và gửi hệ thống đi kiểm thử xâm nhập bên ngoài khi khả thi. Đó là tiêu chuẩn mà một nhà cung cấp nghiêm túc hiện nay hướng tới. Đó cũng là một chuẩn so sánh hợp lý cho người mua khi đặt một bộ điều khiển từ xa châu Âu bên cạnh một bộ rẻ hơn: câu hỏi không phải là bảng dữ liệu có ghi "mã hóa" hay không, mà là nhóm nào trong bốn nhóm đã được đóng lại và bạn sẽ chứng minh điều đó thế nào.
IEC 62443 là câu trả lời công nghiệp cho câu hỏi "làm sao chứng minh tôi đã làm việc này đúng cách", và nó không thay thế dấu CE. Đây là chứng nhận quy trình phát triển của bạn và các yêu cầu an ninh kỹ thuật của sản phẩm. Hồ sơ CE vẫn phải tồn tại.
Ba phần quan trọng với một nhà chế tạo cầu trục: 4-1 cho vòng đời phát triển an toàn, 4-2 cho các yêu cầu an ninh kỹ thuật của linh kiện, và 3-3 cho hệ thống. Mức phí chương trình và khoảng đánh giá đã công bố năm 2026 cho một bậc độ lớn dùng được.
| Được chứng nhận nội dung gì | Tiêu chuẩn | Phí chương trình | Đánh giá, khoảng điển hình |
|---|---|---|---|
| Vòng đời phát triển an toàn | 62443-4-1 | 1.500 USD mỗi năm | 15.000-35.000 EUR ở mức trưởng thành 2 |
| Linh kiện | 62443-4-2 | 1.200 USD mỗi linh kiện hoặc 1.500 USD mỗi họ sản phẩm, mỗi năm | 25.000-50.000 EUR trên nền một quy trình 4-1 đã được chứng nhận |
| Hệ thống | 62443-3-3 | 1.200 USD mỗi năm | 30.000-50.000 EUR |
| Chứng nhận thiết bị đầu tiên, toàn bộ chi phí | Chương trình ISASecure | Đã bao gồm ở trên | 50.000-75.000 USD, theo chính FAQ của chương trình |
Bản thân các tiêu chuẩn là dòng rẻ nhất và là dòng bị bỏ qua nhiều nhất. IEC bán từng phần riêng: 62443-4-1 giá 335 CHF và 62443-4-2 giá 405 CHF, nên bộ tối thiểu của một nhà cung cấp sản phẩm là 740 CHF. Bộ đầy đủ cần để hiểu một nhà máy sẽ ràng buộc các nhà cung cấp dịch vụ của họ đến đâu thì dưới 3.000 CHF. Mua tiêu chuẩn rẻ hơn thuê tư vấn tóm tắt nó.
Có một con đường thứ hai đặc biệt quan trọng với Quy định Máy móc. Chứng nhận theo một chương trình an ninh mạng được thông qua theo Quy định (EU) 2019/881 mang lại giả định phù hợp với mục 1.1.9 và 1.2.1 của Phụ lục III thuộc MR. Chương trình hiện hành là EUCC, được thiết lập bởi Quy định thực thi (EU) 2024/482, áp dụng từ ngày 27 tháng 2 năm 2025, với hai mức đảm bảo là "đáng kể" và "cao". EUCC không cho phép tự đánh giá. Với một nhà chế tạo cầu trục muốn một chứng nhận phục vụ cả hai luật, đó là cơ chế, và nó được định giá như một dự án nghiêm túc chứ không phải một buổi rà soát tài liệu.
Không ai trong ngành này công bố con số trên mỗi máy, nên đây là con số của chúng tôi. Các số dưới đây là ước tính lập kế hoạch của SIEC cho một dải ba mẫu cầu trục điều khiển bằng PLC, được xây dựng từ báo giá của chính chúng tôi cho công việc thử nghiệm và tài liệu. Chúng không phải một thống kê đã công bố và sẽ thay đổi theo phạm vi của hệ thống điều khiển.
| Gói công việc | Năm đầu | Định kỳ |
|---|---|---|
| Mô hình mối đe dọa và đánh giá rủi ro mạng bổ sung vào hồ sơ an toàn | 5-8 ngày công kỹ sư | 1-2 ngày mỗi lần thay đổi mẫu |
| Xây dựng và cập nhật SBOM cho bộ điều khiển, HMI và gateway | 4-6 ngày | 1-2 ngày mỗi quý |
| Kiểm thử xâm nhập bên ngoài cho gateway và đường truyền vô tuyến | 8.000-15.000 EUR | 8.000-15.000 EUR mỗi 2-3 năm |
| Tài liệu, tuyên bố hợp quy, cập nhật sách hướng dẫn | 3-5 ngày | 1-2 ngày mỗi năm |
| Xử lý lỗ hổng và nghĩa vụ báo cáo trong 24 giờ | Thiết lập quy trình, 3-4 ngày | 4-8 ngày mỗi năm cộng chế độ trực |
| Tùy chọn: chứng nhận EUCC hoặc IEC 62443-4-2 | 40.000-90.000 EUR | Phí chương trình cộng đánh giá giám sát |
| Tổng cộng không gồm chứng nhận bên thứ ba | 25.000-55.000 EUR | 10.000-25.000 EUR mỗi năm |
Phân bổ theo sản lượng thì bức tranh thay đổi hoàn toàn. Với bốn mươi cầu trục một năm, chi phí năm đầu là 625 đến 1.375 EUR mỗi máy. Với tám cầu trục một năm, con số là 3.100 đến 6.900 EUR mỗi máy, cùng bậc với cước vận chuyển của một máy 20 tấn. Con số định kỳ là thứ quyết định liệu một nhà chế tạo nhỏ có trụ được trong phân khúc này: 10.000 đến 25.000 EUR một năm không giảm theo sản lượng, nên chi phí cố định trên mỗi cầu trục tăng lên khi sổ đơn hàng thu hẹp lại.
Dòng mà mọi người đánh giá thấp là nghĩa vụ báo cáo. Một đồng hồ 24 giờ nghĩa là phải có ai đó liên lạc được lúc 3 giờ sáng giờ châu Âu từ Chiết Giang. Trên thực tế, điều đó có nghĩa là hoặc một đối tác dịch vụ châu Âu có quy trình xử lý sự cố, hoặc một lịch trực luân phiên. Cả hai đều tốn tiền, và không cái nào nằm trên bảng báo giá.
Những người mua hiểu hai bộ quy định viết đơn đặt hàng khác với những người không hiểu. Đây là những điều khoản chúng tôi hiện thấy trong các yêu cầu từ châu Âu và là những điều khoản chúng tôi sẽ đưa vào nếu ở phía mua.
| Điều khoản | Cách diễn đạt hiệu quả |
|---|---|
| 1. Kiểm kê | Liệt kê mọi sản phẩm có yếu tố số trong cầu trục, kèm hãng, model và phiên bản firmware |
| 2. Tuyên bố | Cung cấp tuyên bố hợp quy CE cho từng hạng mục bên thứ ba, hoặc nêu bằng văn bản rằng không có |
| 3. Thời hạn hỗ trợ | Nêu ngày kết thúc hỗ trợ trong sách hướng dẫn và chỉ rõ người chịu trách nhiệm về nó |
| 4. Truy cập từ xa | Kết nối chỉ đi ra, không mở cổng vào, thông tin đăng nhập riêng từng site, không dùng tài khoản dịch vụ chung |
| 5. Đường truyền vô tuyến | Truyền được mã hóa, bộ đếm chống phát lại, bắt buộc đặt mật khẩu lần đầu sử dụng, bước ghép cặp vật lý |
| 6. Cập nhật | Firmware được ký số, đường cập nhật ngoại tuyến có tài liệu, thủ tục quay lui |
| 7. SBOM | Giao theo yêu cầu trong vòng năm ngày làm việc, theo NDA, cập nhật ở mỗi bản phát hành firmware |
| 8. Báo cáo | Thông báo cho người mua trong vòng 24 giờ kể từ khi biết về một lỗ hổng đang bị khai thác ảnh hưởng đến cầu trục |
| 9. Leo thang | Đầu mối an ninh có tên kèm thời gian phản hồi, không phải một địa chỉ kinh doanh chung |
| 10. Kiểm soát thay đổi | Mọi việc thay thế bộ điều khiển, HMI hoặc gateway đều cần phê duyệt bằng văn bản và một hồ sơ được cập nhật |
Điều khoản 10 là điều khoản bảo vệ người mua khỏi thất bại thực tế phổ biến nhất. Một bộ điều khiển bị hoán đổi tại nhà máy vì chậm nguồn cung, không ai cập nhật tài liệu, và mười tám tháng sau chiếc cầu trục tại công trường không còn khớp với hồ sơ đã tuyên bố. Theo Quy định Máy móc, đó là một vấn đề về sự phù hợp. Theo CRA, đó là một thất bại về tài liệu nằm trong khung 10 triệu EUR.
Các đơn hàng đặt bây giờ rơi vào cửa sổ mà hai bộ quy định chồng lên nhau, và trình tự quan trọng hơn giấy tờ.
| Giai đoạn | Thời điểm | Những gì phải sẵn sàng |
|---|---|---|
| Đặt hàng và chốt thiết kế | Quý 4 2026 đến Quý 1 2027 | Bản kiểm kê linh kiện và tuyên bố của nhà cung cấp phải chốt cùng đơn hàng, không phải sau đó |
| Quy định Máy móc áp dụng | 20 tháng 1 năm 2027 | Bằng chứng cho mục 1.1.9 Phụ lục III: kiến trúc kết nối, các can thiệp được ghi nhận, phần mềm an toàn được bảo vệ |
| Nghĩa vụ báo cáo theo CRA với đội máy hiện hữu | Đã có hiệu lực từ 11 tháng 9 năm 2026 | Một đầu mối có tên và một quy trình phân loại bằng văn bản cho mọi cầu trục có kết nối đã ở EU |
| Các nghĩa vụ chính của CRA | 11 tháng 12 năm 2027 | Đánh giá sự phù hợp theo CRA, bản tuyên bố, dấu CE, SBOM, thời hạn hỗ trợ đã công bố |
| Chu kỳ đánh giá CRA đầu tiên | 2028 | Bằng chứng rằng quy trình xử lý lỗ hổng đã thực sự chạy, không chỉ là đã được viết ra |
Hệ quả thực tế là một cầu trục giao trong nửa cuối năm 2027 phải thỏa mãn Quy định Máy móc tại thời điểm giao hàng và sẽ nằm trong chế độ CRA chỉ trong vài tháng. Thiết kế hồ sơ một lần cho cả hai rẻ hơn là chuyển đổi cái này sang cái kia sau đó. Hệ thống điều khiển là nơi hai bên chồng lên nhau: mục 1.1.9 hỏi liệu một can thiệp có thể làm hỏng một chức năng an toàn hay không, còn CRA hỏi liệu bạn có thể biết về điều đó và sửa nó hay không.
Tuân thủ an ninh mạng cho cầu trục không phải một mẹo châu Âu để giữ cầu trục Trung Quốc ở ngoài. Đây là một luật về tài liệu và quy trình, và một nhà máy vốn đã lập hồ sơ CE đúng chuẩn thì gần với sự tuân thủ hơn là hạn chót gợi ý. Điều nó thực sự trừng phạt là cách bố trí mà phần lớn nhà xuất khẩu hiện dựa vào: một PLC và gateway của bên thứ ba, một mật khẩu dùng chung, một đường cập nhật không có tài liệu, và không ai chịu trách nhiệm về câu hỏi này.
Nghĩa vụ báo cáo là phần cần sửa trước, vì nó đã có hiệu lực và gần như không tốn gì để thiết lập đúng cách. Một đầu mối có tên, một quy trình phân loại ngắn bằng văn bản, và một nguyên tắc rằng mọi báo cáo của khách hàng về hành vi bất thường của cầu trục phải đến được đầu mối đó trong vòng một giờ. Đó là một tuần làm việc. Phương án thay thế là phát hiện nghĩa vụ này giữa một sự cố, với đồng hồ 24 giờ đã chạy và một nhà nhập khẩu đang hỏi tại sao họ không được thông báo.
Có, nếu bất kỳ bộ phận nào của nó là sản phẩm có yếu tố số kết nối trực tiếp hoặc gián tiếp với một thiết bị khác. Một cầu trục có PLC và HMI trên mạng cục bộ, không có đường ra internet, vẫn thuộc phạm vi áp dụng. Quy định cũng bao gồm kết nối gián tiếp, và một laptop kỹ thuật viên cắm vào tủ điện chính là một kết nối. Điều thay đổi khi không có internet là rủi ro thực tế, không phải phạm vi pháp lý.
Không. Nếu cầu trục mang tên hoặc nhãn hiệu của bạn, bạn là nhà sản xuất theo CRA, và nghĩa vụ báo cáo thuộc về bạn. Nhà phân phối của bạn là nhà nhập khẩu nếu họ đưa sản phẩm ra thị trường, điều này tạo ra nghĩa vụ xác minh cho họ nhưng không chuyển giao nghĩa vụ của bạn. Việc gắn thương hiệu của bạn lên máy và tên nhà phân phối lên giấy tờ không làm thay đổi trách nhiệm pháp lý.
Bộ điều khiển từ xa vô tuyến là thiết bị vô tuyến và đồng thời là sản phẩm có yếu tố số. Các yêu cầu về an ninh mạng của Chỉ thị Thiết bị Vô tuyến đã áp dụng từ ngày 1 tháng 8 năm 2025 thông qua Quy định ủy quyền 2022/30, với EN 18031-1 và EN 18031-2 là các tiêu chuẩn hài hòa. CRA bổ sung một tầng nằm ngang riêng biệt bao trùm toàn bộ sản phẩm và vòng đời của nó. Đừng cho rằng một chứng nhận này khép lại chứng nhận kia; hướng dẫn của Ủy ban về việc kết hợp các văn bản là nhà sản xuất phải chứng minh được sự cộng hưởng.
Bạn vẫn phải thông báo. Thời hạn 72 giờ là dành cho thông báo đầy đủ, không phải cho việc khắc phục. Báo cáo cuối cùng về một lỗ hổng đang bị khai thác phải được gửi chậm nhất 14 ngày sau khi có biện pháp khắc phục, đây là một đồng hồ khác và thừa nhận rằng việc sửa lỗi mất nhiều thời gian hơn việc thông báo. Điều bạn không được làm là chờ sửa xong rồi mới nói với ai đó.
Không. IEC 62443 không được viện dẫn như một tiêu chuẩn hài hòa mang lại giả định phù hợp tự động theo CRA. Điều mà Quy định Máy móc quy định là chứng nhận theo một chương trình được thông qua theo Quy định (EU) 2019/881 mang lại giả định phù hợp với mục 1.1.9 và 1.2.1 của Phụ lục III. IEC 62443 là cách thực tế để xây dựng quy trình, và người mua có thể yêu cầu, nhưng nó không phải là cửa pháp lý bắt buộc. Với một pa lăng được bán như một sản phẩm riêng, logic tương tự áp dụng cho bộ điều khiển và bản tuyên bố của chính nó.
Có. Ngày 11 tháng 9 năm 2026, Ủy ban đã tuyên bố rằng nghĩa vụ báo cáo áp dụng cho tất cả các sản phẩm có yếu tố số được cung cấp trên thị trường EU, bao gồm cả những sản phẩm đã có trên thị trường. Nghĩa vụ gắn với nhà sản xuất, không gắn với ngày bán. Trên thực tế, hầu hết cầu trục năm 2018 không có kết nối từ xa và không có cách nào để bạn biết về một lỗ hổng đang bị khai thác, đó là lý do để lập hồ sơ về thực tế này thay vì cho rằng câu hỏi sẽ không bị đặt ra.
Bài viết liên quan:
Phạm vi CBAM cho cầu trục: Đàm phán ba bên tháng 10 có ý nghĩa gì với người mua từ năm 2028
Tiêu chuẩn cầu trục EU năm 2026: prEN 15011, Quy định Máy móc và những gì thay đổi
Tự động hóa và vận hành từ xa cầu trục năm 2026: Người mua thực sự nhận được gì
Hiện đại hóa so với thay thế cầu trục năm 2026: Chi phí, thời gian dừng máy và tuân thủ
Phụ tùng, mạng lưới dịch vụ và thời gian hoạt động: Điều gì thực sự quyết định thời gian khôi phục
Cầu trục đặc biệt: Máy gắp, máy đúc sẵn, máy tẩy gỉ và máy cho phòng sạch