Etusivu / Ajankohtaista / Koneasetus ja kyberkestävyyssäädös: miten konevalmistaja voi sovittaa vaatimuksia yhteen

20.07.2026

Koneasetus ja kyberkestävyyssäädös: miten konevalmistaja voi sovittaa vaatimuksia yhteen

Tämä juttu on osa ”Lähtölaskenta koneasetuksen soveltamiseen” -juttusarjaa, jossa julkaisemme kuukausittain uuden koneasetuksen ja siihen liittyvän standardoinnin ajankohtaisia aiheita.

Vuosi 2027 tuo koneiden valmistajille kaksi merkittävää sääntelymuutosta. EU:n uutta koneasetusta sovelletaan 20.1.2027 lähtien, ja kyberkestävyyssäädöksen vaatimuksia sovelletaan 11.12.2027 alkaen.

Molemmat vaikuttavat valmistajiin, joiden tuotteissa turvallisuus, ohjelmistot, data ja verkot kytkeytyvät yhä tiiviimmin yhteen.

Oleellista ei ole vain se, mitä uusia vaatimuksia tulee. Vähintään yhtä tärkeää on ymmärtää, miten turvallisuutta ja kyberturvallisuutta arvioidaan, dokumentoidaan ja osoitetaan vaatimustenmukaiseksi.

Ketä muutos koskee?

Koneasetuksen ja kyberkestävyyssäädöksen rinnakkainen tarkastelu on erityisen tärkeää kahdelle ryhmälle.

Valmistajan näkökulmasta olennaista on ymmärtää, missä kohdin säädökset kohtaavat ja missä ne pysyvät erillisinä.

Turvallisuusriskien arviointi ja kyberturvallisuuden riskinarviointi eivät ole sama asia.

Koneiden sääntelyssä turvallisuusriskien arviointi ei ole uusi asia. Konedirektiivi on jo pitkään edellyttänyt standardiin EN ISO 12100 perustuvaa riskin arviointia. Uusi koneasetus jatkaa samalla linjalla.

Uutta on, että koneasetuksessa kyberturvallisuuteen liittyvät vaatimukset tulevat mukaan erityisesti liitteen III kohdissa:

Kyberkestävyyssäädös puolestaan kohdistuu digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuusvaatimuksiin. Vaatimukset koskevat tuotteen suunnittelua, kehitystä, tuotantoa, haavoittuvuuksien hallintaa, teknistä dokumentaatiota ja käyttäjälle annettavaa tietoa.

Turvallisuusriskien arviointia ja kyberturvallisuuden riskinarviointia ei kannata yhdistää. Ne liittyvät toisiinsa, mutta niiden logiikka on erilainen.

Turvallisuusriskien arvioinnissa tarkastellaan esimerkiksi käyttäjän virheitä, suunnitteluvirheitä, vikaantumisia ja materiaalien kulumista. Kyberturvallisuuden riskinarvioinnissa tarkastellaan myös tahallisia hyökkäyksiä, haavoittuvuuksia, suojaustavoitteita ja järjestelmän altistumista digitaalisille uhille.

Sarah Fluchsin artikkelin esimerkki havainnollistaa eroa hyvin: materiaalin väsymisen tyypit ja todennäköisyydet eivät muutu yhtä nopeasti kuin tietoturvahaavoittuvuudet. Siksi myös arviointien päivitysrytmi on erilainen.

Käytännöllinen lähestymistapa on pitää arvioinnit erillisinä mutta kytkettyinä. Turvallisuusriskien arviointi tehdään ensin. Sen tuloksia, kuten vaaratilanteita, turvatoimintoja ja turvallisuusvaatimuksia, voidaan käyttää kyberturvallisuuden riskinarvioinnin lähtötietoina.

Missä koneasetus ja kyberkestävyyssäädös kohtaavat?

Koneasetusta ja kyberkestävyyssäädöstä yhdistää erityisesti kyberturvallisuuden riskinarviointi. Molemmat edellyttävät, että valmistaja tunnistaa olennaiset riskit ja pystyy perustelemaan, miten ne on otettu huomioon.

Käytännössä työ voidaan jakaa kuuteen vaiheeseen:

1. Tunnista sääntely, standardit ja vahinkoskenaariot

Valmistajan on selvitettävä, mitä säädöksiä ja standardeja tuotteeseen sovelletaan. Samalla on tunnistettava, millaisia vahinkoja tuotteen käyttäjälle tai käyttöympäristölle halutaan estää.

Koneasetuksen näkökulmasta osa vahinkoskenaarioista on usein jo tunnistettu turvallisuusriskien arvioinnissa. Näitä voidaan kutsua vaaratilanteiksi.

Kyberkestävyyssäädöksen näkökulmasta mukaan voi tulla myös vahinkoskenaarioita, joita perinteinen turvallisuusriskien arviointi ei kata. Esimerkki on tuotteen käyttökatko tai palvelun häiriö, joka aiheuttaa käyttäjälle taloudellisia menetyksiä.

2. Mallinna kyberjärjestelmä

Tuotteen toiminnot, käyttöympäristöt, digitaaliset komponentit ja tietoturvakonteksti on kuvattava riittävän selkeästi.

Koneasetuksen näkökulmasta puhutaan usein tietoturvakontekstista. Kyberkestävyyssäädöksessä keskeinen käsite on käyttötarkoitus. Käytännössä nämä kannattaa määritellä niin, että sama kuvaus palvelee molempia säädöksiä.

Hyvä kuvaus sisältää ainakin:

Esimerkiksi turvaohjaimen kohdalla on kuvattava sekä sen rooli turvallisuustoiminnossa että se, miten siihen voidaan vaikuttaa digitaalisesti.

3. Arvioi liiketoimintavaikutukset ja käyttötapaukset

Kyberturvallisuuden kannalta on tärkeää ymmärtää, mitä tapahtuu, jos luottamuksellisuus, eheys tai saatavuus vaarantuu.

Vaikutukset voivat liittyä esimerkiksi:

Tässä vaiheessa rakennetaan yhteys kyberjärjestelmän ja todellisten vaikutusten välille. Kaikki digitaaliset toiminnot eivät ole yhtä kriittisiä. Siksi uhkamallinnuksen ja riskienhallinnan työ kannattaa kohdistaa niihin toimintoihin, joiden häiriöillä olisi suurimmat vaikutukset.

4. Tee kyberriskien arviointi

Tässä vaiheessa tunnistetaan uhkia, arvioidaan riskejä ja määritellään riskienhallintatoimenpiteitä.

Uhkamallinnuksessa voidaan hyödyntää esimerkiksi standardisarjan IEC 62443 lähestymistapoja. Vaihtoehtoisesti myös esimerkiksi standardin EN 50742 informatiivisissa liitteissä ehdotettu STRIDE-menetelmä voi toimia uhkamallinnuksen tukena.

Tärkeää on, että riskienhallintatoimenpiteet sidotaan vaatimuksiin. Kun valmistaja määrittelee esimerkiksi lokituksen, pääsynhallinnan, ohjelmistopäivitysten hallinnan tai rajapintojen suojauksen, jokaisen toimenpiteen yhteys säädös- tai standardivaatimukseen kannattaa dokumentoida.Tämä helpottaa myöhempää vaatimustenmukaisuuden tarkistusta.

5. Tarkista vaatimustenmukaisuus

Valmistajan on osoitettava, miten olennaiset sääntely- ja standardivaatimukset täyttyvät.

Kyberkestävyyssäädöksessä tämä liittyy laajasti tuotteen kyberturvallisuusvaatimuksiin. Koneasetuksessa kyberturvallisuuden kannalta keskeisiä ovat erityisesti liitteen III kohdat 1.1.9 ja 1.2.1.

Useimpien konevalmistajien kannalta tärkeä kysymys on, voidaanko vaatimustenmukaisuutta osoittaa sisäisen arvioinnin kautta vai edellyttääkö tuote muuta vaatimustenmukaisuuden arviointimenettelyä. Tämä riippuu tuotteen luokittelusta ja sovellettavista vaatimuksista.

6. Kokoa dokumentaatio

Molemmat säädökset edellyttävät teknistä dokumentaatiota ja EU-vaatimustenmukaisuusvakuutusta.

Kyberkestävyyssäädös edellyttää lisäksi käyttäjälle annettavia kyberturvallisuustietoja ja -ohjeita. Ohjeistuksessa on hyvä huomioida eri käyttäjäprofiilit. Esimerkiksi asentaja, kunnossapitäjä, järjestelmäintegraattori ja loppukäyttäjä tarvitsevat eri tasoista tietoa.

Dokumentaation rakentuu suunnittelun ja riskienhallinnan läpi kulkevana ketjuna: mitä riskejä tunnistettiin, mitä toimenpiteitä valittiin, mihin vaatimuksiin ne liittyvät ja miten vaatimustenmukaisuus osoitetaan.

Standardien statustilanne: mitä konevalmistajan kannattaa seurata?

Sääntely kertoo, mitä on saavutettava. Standardit auttavat jäsentämään, miten vaatimukset voidaan käytännössä täyttää ja osoittaa. Eri standardeilla on kuitenkin eri status.

Kyberkestävyyssäädöksen tueksi Euroopan komissio on antanut standardointipyynnön M/606, joka kattaa laajan joukon standardointikohteita. IEC 62443-4-1 ja IEC 62443-4-2 ovat keskeisiä standardeja. Konevalmistajan on kuitenkin huomattava, että standardit antavat CRA:n osalta vaatimustenmukaisuusolettaman vasta, kun se on julkaistu yhdenmukaistettuna standardina EU:n virallisessa lehdessä.

IEC 62443 on siis jo nyt hyödyllinen tekninen ja menetelmällinen viitekehys, mutta sen säädösoikeudellinen asema CRA:n vaatimustenmukaisuuden osoittamisessa riippuu yhdenmukaistamistyön etenemisestä.

Standardien rooli

Konevalmistajan tarkastellessa  sekä koneasetusta että kyberkestävyyssäädöstä rinnakkain, standardien yhteinen käyttö voi vähentää päällekkäistä työtä ja auttaa rakentamaan johdonmukaisen perusteluketjun.

Mitä seuraavaksi?

Konevalmistajan kannattaa aloittaa näistä:

  1. Selvitä, kuuluuko tuote sekä koneasetuksen että kyberkestävyyssäädöksen soveltamisalaan.
  2. Erota turvallisuusriskien arviointi ja kyberturvallisuuden riskinarviointi toisistaan, mutta rakenna niiden välille selkeä tiedonkulku.
  3. Tunnista olennaiset standardit ajoissa. Koneiden turvallisuuden suunnittelussa keskeinen lähtökohta on EN ISO 12100. Koneasetuksen kyberturvallisuusvaatimusten osalta valmistajan kannattaa seurata standardin EN 50742 etenemistä. Teollisten järjestelmien ja komponenttien kyberturvallisuudessa standardisarja IEC 62443 tarjoaa tärkeän viitekehyksen.

Ajoissa tehty standardeihin perustuva valmistautuminen auttaa vähentämään päällekkäistä työtä, parantamaan dokumentaation laatua ja vahvistamaan valmistajan kykyä osoittaa vaatimustenmukaisuus, kun säädösten soveltaminen alkaa.

Lähteet

RSS Feed

Lue myös