Nye krav til maskiners cybersikkerhed
Fra 2027 skal leverandører af maskiner leve op til en række nye krav, blandt andet når det gælder cybersikkerhed. Og fjernvarmeselskaber, som anskaffer nye maskiner, skal sikre sig, at kravene er overholdt.
Fra 20. januar 2027 skal EU’s nye Maskinforordning være fuldt implementeret i alle medlemslande og hos alle maskinproducenter og -leverandører. Alle maskiner bragt i omsætning fra denne dato skal således leve op til de nye krav i forordningen – der erstatter kravene i det nuværende Maskindirektiv.
For fjernvarmeselskaber og varmeværker betyder det, at maskiner og maskinudstyr, der er omfattet af Maskinforordningen, skal opfylde en række nye krav, som det er vigtigt at kende – ikke mindst når det gælder cybersikkerhed – og som man skal sikre sig, at leverandører af nye maskiner har kendskab til og opfylder.
– Hvis man køber maskiner eller delmaskiner, der kan gå online, skal man fra 2027 sikre sig, at fabrikanten i sin overensstemmelsesvurdering tager højde for de nye krav i både Maskinforordningen og Cyber Resilience Act, forklarer Mette Peetz-Schou, Leading Senior Advisor hos DI.
Cyber Resilience Act afløser således kravene til cybersikkerhed i Radioudstyrsdirektivet (RED) fra 11. december 2027.
– De nye krav er rettet mod fabrikanter af maskiner og udstyr, men som køber og bruger kan det dog være nødvendigt med en ny risikovurdering og CE-mærkning, hvis man ændrer væsentligt på en maskine efter ibrugtagning. De nye regler kræver nemlig, at man sikrer dem, der betjener maskinerne, så de ikke kommer til skade, hvis maskinen hackes, siger Mette Peetz-Schou.
Dansk Fjernvarme: Cybersikkerheden flytter ind i udbudsmaterialet
Maskinforordningen og Cyber Resilience Act er først og fremmest krav til producenterne, og de fleste fjernvarmeselskaber vil ikke mærke dem i den daglige drift.
– Men de rammer os ét sted, som er værd at være opmærksom på: i udbuddet og i kontrakten, siger Steen Kramer Jensen, chefkonsulent i Dansk Fjernvarme.
Fra januar 2027 er det ikke længere nok, at et anlæg er CE-mærket. Køber man udstyr, der kan gå online, bør det fremgå af udbudsmaterialet, at leverandøren har taget højde for de nye cybersikkerhedskrav i sin overensstemmelsesvurdering (compliance vurdering) — og at man kan få dokumentation for softwareversioner, logning og sikkerhedsopdateringer i hele anlæggets levetid.
– Vær samtidig opmærksom på, at fabrikantansvaret kan flytte over på værkerne, hvis I selv foretager væsentlige ændringer, siger Steen Kramer Jensen.
Dansk Fjernvarme kan ikke vejlede om, hvordan det enkelte selskab overholder Maskinforordningen. Sammen med CRA, NIS2 og AI-forordningen er der tale om et regelkompleks, hvor konkrete sager kræver teknisk og juridisk specialistbistand.
– Til gengæld er vi enige i, at branchen bør finde fælles løsninger. Standardformuleringer til udbud og kontrakt vil spare hvert enkelt værk for at opfinde det samme. Vi følger op med flere artikler og planlægger en temadag om emnet i 2027, siger Steen Kramer Jensen.
Som fabrikant er man forpligtet til blandt andet at tjekke maskinens mekaniske og elektriske sikkerhed. Med de nye regler skal fabrikanten også sikre maskinen mod cybertrusler, der kan påvirke dens sikre brug og funktion.
– To meget vigtige formål med Maskinforordningen er “beskyttelse mod forvanskning” – altså datasikkerhed – og “kontrolsystemers sikkerhed og pålidelighed”, som jo er kritisk for både industrien og fjernvarmebranchen. Selvom både Maskinforordningen og Cyber Resilience Act er produktregulering rettet mod fabrikanten, skal man som køber sikre sig, at kravene er overholdt, siger Mette Peetz-Schou videre.
Brug for fælles løsninger
I Maskindirektivet har der været fokus på mekanisk og elektrisk sikkerhed for at undgå personskade. Hos Teknologisk Institut gør seniorspecialist Morten Kühnrich opmærksom på, at der med Maskinforordningen er tilføjet en række krav, som skal øge cybersikkerheden i maskiner, så eventuelle hackerangreb ikke får konsekvenser for brugerne:
– Det skal naturligvis ses i sammenhæng med, at flere og flere maskiner er online og dermed forbundet med omverdenen, og at truslen om cyberangreb samtidig er stigende, siger han.
Vejledninger og standarder
For at understøtte den praktiske implementering af Maskinforordningen og Cyber Resilience Act skal der udarbejdes henholdsvis vejledninger og harmoniserende standarder. Vejledningerne udgives af EU-Kommissionen og kan findes på Kommissionens hjemmeside.
Standarderne udgives i Danmark af Dansk Standard.
Det er endnu uvist, om alle vejledninger og standarder når at blive klar, inden kravene i henholdsvis Maskinforordningen og CRA finder anvendelse, men vejledningen til CRA ligger klar.
Til at understøtte Maskinforordningen kan bruges standarden 50742:2025 Maskinsikkerhed – Beskyttelse mod forvanskning af data, som er planlagt til offentliggørelse i november 2026.
Flere danske forsyningsselskaber har allerede været udsat for cyberangreb eller forsøg på angreb – blandt andet har et vandværk i 2024 oplevet, at en fremmed aktør overtog styringen af værkets pumper og ødelagde nogle vandrør. I 2017 var Næstved Fjernvarme ligeledes udsat for et cyberangreb.
– Vi kan ikke undgå cyberangreb, men de nye krav i Maskinforordningen skal være med til at forhindre alvorlige konsekvenser af cyberangreb i både industrien og energi og forsyningsbranchen. De nye krav til cybersikkerhed vil berøre alle fjernvarmeselskaber, som anskaffer sig nyt udstyr, så det er oplagt, at branchen prøver at finde nogle fælles løsninger og værktøjer, siger Morten Kühnrich videre.
Erhvervsstyrelsen er myndighed, når det gælder implementering af Maskinforordningen i Danmark.
Herfra lyder opfordringen til virksomheder, at de skal være opmærksomme på, at de som kunde hos en maskinleverandør kan overtage fabrikantansvaret, hvis de foretager en væsentlig ændring på maskinen eller det relaterede produkt.
– Når det gælder indrapportering af cyberangreb, ligger ansvaret hos fabrikanten i henhold til Cyber Resilience Act. Som bruger af maskinen er man også ansvarlig for for eksempel at indberette alvorlige hændelser til myndighederne, men det skal ske i henhold til NIS2, siger Mette Peetz-Schou og fortsætter:
– Tilsammen udgør radioudstyrsdirektivet, Maskinforordningen, Cyber Resilience Act, AI-forordningen, NIS2 og persondatareglerne i GDRP et meget komplekst sæt af regler, der alle stiller krav om, at maskinerne og den produktion, de indgår i, skal sikres mod cyberangreb. Det kan være svært at overskue for den enkelte virksomhed, og det vil derfor ofte være nødvendigt at rådføre sig med eksperter på området.
Denne artikel har været bragt i Magasinet Fjernvarmen fra oktober 2026.
Cyber Resilience Act
Cyber Resilience Act (CRA) er en EU-forordning, der indfører obligatoriske krav til cybersikkerhed for alle hardware- og softwareprodukter med digitale elementer, som sælges på det europæiske marked. CRA omfatter følgende krav:
Sikkerhed i designfasen:
Fabrikanter skal indbygge cybersikkerhed fra starten af udviklingen og i hele produktets levetid (typisk fem år eller produktets forventede levetid).
Rækkevidde:
Reglerne gælder for stort set alt forbundet udstyr – fra babyalarmer og smart-legetøj til industrikomponenter og kritisk infrastruktur.
Opdateringer og fejlretning:
Fabrikanter forpligter sig til at levere sikkerhedsopdateringer og håndtere sårbarheder rettidigt.
Hændelsesrapportering:
Virksomheder skal anmelde alvorlige sikkerhedshændelser og aktive sårbarheder.
Tidsfrist og implementering:
Forordningen blev vedtaget i 2024 og finder anvendelse den 11. december 2027, mens enkelte forpligtelser (såsom indberetning af hændelser) gælder allerede fra september 2026.
Tjekliste for ny Maskinforordning
Er der sporbarhed fem år tilbage?
Hvis noget går galt, er sporbarhed afgørende. Maskinforordningen kræver, at styresystemet kan logge relevante indgreb og ændringer, og at disse sporingslogge gemmes i mindst fem år.
Formålet er at kunne dokumentere, hvilke ændringer der eventuelt er foretaget, hvornår de fandt sted og ideelt af hvem.
Logning skal bruges til at finde årsager, drage læring og dokumentere overfor myndigheder og kunder, at maskinen har været i sikker drift.
Sikkerhedskontekst: I hvilken verden står maskinen?
Begrebet “sikkerhedskontekst” handler om at forstå maskinens virkelighed. Står den bag adgangskontrol eller i et åbent produktionsområde? Er der fjernadgang, og i så fald hvordan?
Uden en beskrevet sikkerhedskontekst bliver trusselsvurderingen rent gætværk. En maskine, der på papiret ser "lukket" ud, kan i praksis være højt eksponeret på grund af midlertidige løsninger, serviceadgange eller utydelige procedurer.
At få sikkerhedskonteksten beskrevet er et første, konkret skridt mod bedre cybersikkerhed.
Er der overblik over software og konfiguration?
Maskinforordningen stiller krav om, at sikkerhedskritisk software og konfigurationer kan identificeres, og at der er adgang til information om versioner og ændringer.
I praksis betyder det, at man skal kunne svare hurtigt og præcist på spørgsmål som: Hvilken version kører maskinens styring på i dag? Hvilke ændringer er foretaget de seneste måneder? Hvad var den tidligere konfiguration af en given sikkerhedsfunktion?
Hvis man ikke umiddelbart kan finde svaret, er man næppe på højde med kravene.
Er kritiske signaler og data beskyttet?
Kritiske signaler og datakommunikation, der påvirker sikkerhedsfunktioner, må ikke være lette at opsnappe eller manipulere. De nye krav til maskiner skal beskytte mod åbne forbindelser, ubeskyttede serviceporte og netværk, hvor produktionsudstyr og forbruger-IoT ligger side om side.
Hvem må ændre hvad, og efter hvilke politikker?
Cybersikkerhed handler ikke kun om teknologi, men også om mennesker, roller og ansvar.
Dokumentationen skal gøre det klart, hvilke ændringer der er tilladt, hvilke der er forbudt, og hvem der i givet fald må udføre dem.
Desuden skal der være gennemsigtighed om, hvordan adgangstilladelser og rettigheder tildeles.
Beredskab: Hvad, hvis noget går galt?
Selv robuste systemer kan blive ramt. Trusselsbilledet ændrer sig løbende, og ingen tekniske foranstaltninger er perfekte. Derfor er en konkret, gennemprøvet beredskabsplan et afgørende element i virksomhedens modstandsdygtighed.
Planen bør beskrive, hvordan produktionen bringes i en sikker tilstand ved mistanke om kompromittering, hvem der tager beslutningerne, hvordan systemer genskabes til en kendt sikker konfiguration, og hvem der skal informeres internt og eksternt.
Kilde: Teknologisk Institut.
