Cyberrisicobeoordeling voor machines
De Machineverordening (EU 2023/1230) maakt ‘cybersecurity’ vanaf 20 januari 2027 een essentiële veiligheidseis voor machines. Met deze verandering komt er de verplichting om als machinefabrikant rekening te houden met corruptie met name corruptie waarbij de veiligheid van de machine in het gedrang kan komen.
juli 2027 – leestijd 6 minuten
In samenwerking met Mecid B.V. heeft DSC B.V. een gratis werkmap ontwikkeld die u stap voor stap door de cyberrisicobeoordeling leidt — op basis van de norm prEN 50742:2025
1.1.9 Corruptie of Cyber?
Met de intreden van de nieuwe verordening komt er een punt aan de orde voor de machinebouwer wat eerder mogelijk ondergeschikt is geweest. Hiermee wordt het gebied van ‘cybersecurity bedoeld. Door de verwijzing in de artikelen 1.2.1 en 1.1.9 (van bijlage III, Essentiele veiligheids- en gezondheidseisen) is duidelijk geworden dat bij machines ook gekeken moet worden naar: hoe een invloed van buitenaf de veiligheid van de machine kan beïnvloeden. Natuurlijk zal iedereen zeggen, niet meer dan logisch. Aan de andere kant hebben we soms een klein wet-zetje nodig dit te onderzoeken.
De beschrijving zoals gegeven in de verordening, gaat niet alleen maar in op risico’s vanuit de cybersecurity. Het gaat verder. De titel draait om bescherming tegen corruptie en corruptie kan van alles zijn. Het gaat om manipulatie in de breedste zin van het woord. Hoe kan een buitenstaander het systeem zo omzeilen dat het doet wat die persoon voor ogen heeft (bedoeld of onbedoeld). Natuurlijk raakt dit twee vlakken het operationele deel maar ook het veiligheidsdeel.
Op basis van de verordening is met name dat veiligheidsdoel relevant, de machine zelf. Geen beïnvloeding van veiligheidsfuncties, software. Echter zal in het komende jaar ook de CRA van toepassing gaan worden (12-2027) en dat doel is breder dan alleen de machine of het component zelf. Hoewel vanuit de verordening de richting is op de machine, is het daarnaast ook verstandig om al breder te onderzoeken.
Wat vraagt de Machineverordening?
Bijlage III van de Machineverordening bevat onder artikel 1.1.9 en 1.2.1f een aantal nieuwe eisen; de kern:
- De verbinding van de machine met andere apparaten — via kabel, wifi of remote access — mag niet tot een gevaarlijke situatie leiden
- Hardware die signalen stuurt naar veiligheidskritieke software moet beschermd zijn tegen opzettelijke én onopzettelijke corruptie
- Veiligheidssoftware en configuratie moeten herkenbaar zijn als zodanig en beveiligd zijn
- De machine moet te allen tijde kunnen tonen welke softwareversie erop staat — ook zonder netwerkverbinding
- Bij elke ingreep in de veiligheidssoftware moet bewijs worden verzameld. Dit traceringslogboek moet vijf jaar beschikbaar zijn (artikel 1.2.1f)
Dit zijn geen ICT-eisen. Dit zijn EVGE-eisen waaraan de machinefabrikant moet voldoen.
Invulling: prEN 50742
De Machineverordening zegt wat er moet. De norm prEN 50742:2025 (Safety of machinery – Protection against corruption) legt uit hoe. Het is nog geen geharmoniseerde norm en nog in concept, die de methode voor een cyberrisicobeoordeling stap voor stap beschrijft. De verwachting is dat omstreeks Q4 een update van de norm verschijnt. En hoewel de norm beperkingen heeft is deze norm wel bruikbaar. De werkmap die DSC heeft ontwikkeld volgt deze methode.
De norm stelt een tweetal routes voor, de aanpak vanuit de norm zelf (artikel 5, 7) of gebruik maken van bekende IT normen serie de IEC 62443. Het voordeel van een bekende serie, is dat daarover zeer veel bekend is en zeer veel experts aanwezig zijn die daarbij kunnen ondersteunen. Ook apparatuur heeft op deze normenserie reeds erkende certificering. Een nadeel van het gebruik van de serie is dat het een complexe serie normen is en mogelijk meer gericht op de ‘IT infrastructuur.’
De prEN 50742 richt zich op de machine, hoewel de norm op dit moment nog niet volledig is, is het met een beetje gezond verstand goed bruikbaar. Het vormt een ‘praktische invulling’ van de eisen.
Het gebruik van de norm is complementair op de risico-beoordeling die volgt uit de ISO 12100. En gaat er feitelijk op verder. Het proces is ook zeer vergelijkbaar en daarmee ook niet nieuw. Het begint met het vaststellen van de grenzen van het systemen (context), het bepalen van de dreigingen, het bepalen van de kritische onderdelen en aanvalspotentieel en evaluatie van die dreigingen. Ook hier is de volgorde van belang (die vergelijkbaar is met de ‘dwingende volgorde)’:
- Wegnemen van de dreiging (bron)
- Ontwerpen van een veilig systeem en tegenmaatregelen (veiligheidsmaatregelen)
- Documenteren van het rest risico
Hoe werkt de beoordeling
De cyberrisicobeoordeling bestaat uit vier stappen (zie ook de excel voor de uitleg in de bijsluiter):
Stap 1 — Beveiligingscontext bepalen
Uit welke onderdelen bestaat de machine (stel een eenvoudig schema op waarin u de componenten opgeeft)? Breng deze onderdelen in kaart (de fysieke grens). Breng vervolgens alle verbindingen (welke verbindingen kan het systeem maken, de logische verbindingen) van uw machine in kaart: fysiek (USB, RJ45, HMI-paneel, servicepaneel, veldbus) als ook wireless, cloudkoppelingen. Ken aan elke interface een blootstellingsniveau toe (EL0 tot EL4):
- EL0 — Interne zone: uitsluitend bereikbaar met gereedschap binnen een vergrendelde behuizing
- EL1 — Fysieke zone: aansluitingen aan de buitenzijde van de machine (USB, RJ45, HMI)
- EL2 — Lokale zone: gesloten industrieel netwerk zonder externe toegang
- EL3 — Aangrenzende zone: gedeeld fabrieksnetwerk, inclusief onderhoudsverbindingen
- EL4 — Publieke zone: verbinding met internet of cloudservices
Let op: een bekabeld netwerk is niet automatisch veilig. Een gedeeld fabrieksnetwerk met leveranciers of remote access valt onder EL3, ook als het bekabeld is.
Stap 2 — Dreigingen identificeren met STRIDE
Per interface doorloopt u systematisch zes dreigingscategorieën:
| Letter | Categorie | Betekenis |
|---|---|---|
| S | Spoofing | Iemand doet zich voor als een legitiem apparaat of gebruiker |
| T | Tampering | Ongeautoriseerde wijziging van data, firmware of configuratie |
| R | Repudiation | Ingreep plegen zonder herleidbaar spoor |
| I | Information Disclosure | Gevoelige data uitlezen of onderscheppen |
| D | Denial of Service | Systeem onbeschikbaar maken voor de legitieme gebruiker |
| E | Elevation of Privilege | Meer bevoegdheden verkrijgen dan toegestaan |
De werkmap bevat alle dreigingstype-codes (TTID) en randvoorwaarden (TPID) uit Bijlage D van de norm als dropdownlijst. Geef aan welk scenario mogelijk is.
Stap 3 — Aanvalspotentieel berekenen
Per dreigingsscenario bepaalt u drie factoren:
- Zone (EL): hoe makkelijk kan een aanvaller de interface bereiken?
- Gelegenheid (WoO): hoe lang en hoe vaak is de aanvalsmogelijkheid aanwezig?
- Aanvallervermogen (AC): welke kennis en middelen heeft een aanvaller nodig?
De werkmap berekent automatisch het Aanvalspotentieel (AP) en bepaalt op basis van AP en de ernstgraad van de schade het vereiste SRSL (Safety-Related Security Level):
| SRSL | Betekenis | Minimale eis |
|---|---|---|
| SRSL0 | Geen aanvullende eis | — |
| SRSL1 | Laag risico | Authenticatie, integriteitscontrole bij opstarten |
| SRSL2 | Matig risico | Cryptografische beveiliging, periodieke verificatie |
| SRSL3 | Hoog risico | Secure boot, rolgebaseerde toegang, continue monitoring |
Stap 4 — Maatregelen kiezen en vastleggen
Het SRSL bepaalt welke technische maatregelen minimaal nodig zijn. De werkmap haalt de normatieve minimumeisen automatisch op. U voegt aanvullende maatregelen toe en legt de koppeling vast naar de veiligheidsfunctie uit uw EN-ISO 12100-risicobeoordeling. Enkele aandachtspunten;
1. Niet-veiligheidscomponenten kunnen wél het aanvalspad zijn
De HMI is misschien geen veiligheidscomponent. Maar als via de HMI een parameter bereikt kan worden die de veiligheidslogica beïnvloedt, is de HMI wél een relevant aanvalspad.
2. Een maatregel telt alleen als die onafhankelijk is
Als dezelfde PLC die de veiligheidsfunctie uitvoert ook de toegangscontrole regelt, is dat geen onafhankelijke safeguard. Een aanvaller die de PLC compromitteert, omzeilt dan ook de maatregel.
3. Het SRSL van het zwaarste scenario is bepalend.
Een hoog-risico aanvalspad mag niet worden weggemiddeld door andere, minder risicovolle scenario’s op hetzelfde element. De werkmap toont automatisch het hoogste SRSL per element.
Wat zit er in de werkmap?
De werkmap bevat de volgende tabbladen:
- Bijsluiter — uitleg per kolom, stappenplan en normachtergrond
- Cyberrisicobeoordeling — het hoofdtabblad met automatische AP- en SRSL-berekening
- STRIDE_Bijlage — alle TTID- en TPID-codes uit Bijlage D van prEN 50742
Download
De werkmap is gratis beschikbaar
De werkmap is een hulpmiddel ter ondersteuning van de cyberrisicobeoordeling. Het vervangt niet de norm zelf, noch juridisch of technisch advies. Gebruik op eigen risico.
Vereist: Excel 365 of Excel 2019+ met ondersteuning voor LET() en MAXIFS(). Oudere versies worden niet ondersteund.
Licentie: CC BY-NC 4.0 — vrij te gebruiken en aan te passen met naamsvermelding (Mecid / DSC), niet voor commerciële doeleinden. De normtekst (prEN 50742) is eigendom van NEN/CENELEC en is niet inbegrepen in de werkmap.
Vragen?
Heeft u vragen over de werkmap, de norm of de toepassing binnen uw project? Neem contact op via info@d-sc.nl of gebruik het contactformulier.
Bron:
