Förklaring

• Maskinförordningen, (EU) 2023/1230, skyddar människor. Från den 20 januari 2027 ska en maskin förbli säker även när någon försöker manipulera den. Två krav bär detta: skydd mot korruption (bilaga III, 1.1.9) och säkra, tillförlitliga styrsystem, även mot illasinnade försök (bilaga III, 1.2.1).
• Cyberresiliensakten, (EU) 2024/2847, skyddar produkten, dess data och de nät den ansluter till. Den gäller produkter med digitala element: allt med programvara som ansluter till något. Rapportering av aktivt utnyttjade sårbarheter och allvarliga incidenter gäller från den 11 september 2026, allt annat från den 11 december 2027.
• ISO 24882 är en standard, inte en lag. Den beskriver en metod: bedöm risken i åtta steg och gå sedan igenom 25 tekniska ämnen, som säkra uppdateringar och skyddade inställningar. Den är skriven för lantbruksmaskiner, traktorer och anläggningsmaskiner.

Exempel: en uppkopplad fältspruta får inte fälla ut bommen efter ett falskt kommando. Det är maskinförordningen. Dess app och molntjänst behöver säkerhetsuppdateringar, och tillverkaren ska rapportera utnyttjade sårbarheter. Det är cyberresiliensakten. ISO 24882 visar ett sätt att göra båda, steg för steg.

Exempel: en traktortillverkare och en spruttillverkare sitter vid samma bord. Traktortillverkaren följer traktorreglerna, spruttillverkaren maskinförordningen. ISOBUS-kabeln mellan dem är en väg in som båda måste tänka på, men var och en svarar bara för sin egen produkt.

Vad den omfattar. Själva maskinen, dess styrenheter, anslutningen till traktorn (till exempel ISOBUS), radio, appar och molntjänster. Den kräver två saker. Först en riskbedömning i åtta steg: avgränsa systemet, lista det som ska skyddas, hitta hoten, bedöm skadan, bedöm sannolikheten, fastställ risken, besluta åtgärd och gör om det till krav. Sedan 25 tekniska ämnen, från säkra programuppdateringar och skyddade inställningar till loggning och maskinens slut. För varje ämne avgör du om det gäller och visar hur du hanterar det.

Vad den inte ersätter. Funktionell säkerhet (ISO 25119) och ISOBUS (ISO 11783) står kvar. Funktionell säkerhet frågar ”vad händer om den går sönder?”. Cybersäkerhet frågar ”vad händer om någon får den att gå sönder med flit?”.

Så hanterar du den, steg för steg

1. Köp ditt exemplar från ISO eller ditt nationella standardiseringsorgan. Ingen kan tillämpa en standard den inte har läst.
2. Bestäm din roll: traktortillverkare, tillverkare av maskin eller redskap, eller leverantör av en del. Var och en tillämpar standarden på sin egen produkt och sin egen sida av varje anslutning.
3. Skriv ned beslutet i den tekniska dokumentationen: vilken utgåva du använde, att du använde den som teknisk metod och varför.
4. Återanvänd riskbedömningen för maskinförordningen. Har du bedömt illasinnade försök för 1.1.9 och 1.2.1 finns de flesta av de åtta stegen redan. Lägg till det som saknas, oftast hot via appar och molntjänster.
5. Gå igenom de 25 ämnena. För varje: gäller det och varför, vilket skydd, vilket test bevisar det. Ett ämne utan test är inte klart.
6. Håll öppna punkter synliga. Varje brist får en ansvarig och ett datum. En dokumentation som visar sina brister övertygar mer än en som döljer dem.
7. Kontrollera igen vid publicering. När den slutliga utgåvan finns och är listad: jämför, stäng skillnaderna och uppdatera dokumentationen.

Exempel: Brannvik tillverkar en traktormonterad spruta. Företaget tillämpar ISO 24882 på sprutan, dess gateway, app och molntjänst, inte på traktorn. Dokumentationen för maskinförordningen täckte redan de flesta ämnena; resten är listade med ansvariga och datum.

En delvis fullbordad maskin kan inte utföra sin uppgift på egen hand och är avsedd att byggas in i en maskin, till exempel en bom med egen styrenhet eller en hydraulmodul med programvara. Företaget som färdigställer maskinen är tillverkare av hela maskinen, men du har egna skyldigheter (art. 11):

1. Uppfyll de krav i bilaga III som gäller din del. Med programvara eller en anslutning gäller oftast 1.1.9 och 1.2.1.
2. Ta fram den tekniska dokumentationen enligt bilaga IV, del B.
3. Underteckna en EU-försäkran om införlivande (art. 22) som anger vilka krav du uppfyllt.
4. Leverera monteringsanvisningar (bilaga XI). För cybersäkerheten är det de viktigaste sidorna du skriver.

Skriv i monteringsanvisningarna: vilka vägar in din del har (kontakter, bussar, radio, serviceportar), vilka skydd du byggt in (signerad programvara, låsta inställningar, loggar) och vad du förväntar dig av maskinbyggaren, till exempel ”anslut den här porten endast till maskinens interna nät”. Förväntningarna är antaganden, och maskinbyggaren tar in dem i sin egen riskbedömning. ISO 24882 hjälper här: gör riskbedömningen bara för din del, och där du inte ser hela maskinen skriver du ett antagande i stället för en gissning.

Observera: en delvis fullbordad maskin CE-märks inte enligt maskinförordningen. Med digitala element kan den ändå behöva CE-märkning enligt cyberresiliensakten.

Exempel: du säljer en styrenhet för bommen till en spruttillverkare. Du signerar programvaran och låser inställningarna. I monteringsanvisningarna står: ”enheten litar på kommandon från maskinens interna nät; placera telematikgatewayen framför den.”

• Var den står: i november 2026 är ISO 24882 i slutligt utkaststadium, och den europeiska versionen tas fram under maskinförordningen. Den slutliga texten kan fortfarande ändras.
• Vad ”harmoniserad” betyder: när den europeiska versionen är publicerad och hänvisningen listad i Europeiska unionens officiella tidning ger den presumtion om överensstämmelse för de krav den täcker (art. 20). Fram till dess ger den ingen. I dag kommer den enda presumtionen för 1.1.9 och 1.2.1 från ett certifikat eller en försäkran enligt en ordning för cybersäkerhetscertifiering under förordning (EU) 2019/881, i den mån den täcker dem (art. 20.9).
• Vad du gör nu: använd den som erkänd teknisk metod, skriv det i den tekniska dokumentationen och visa krav för krav hur dina bevis uppfyller 1.1.9 och 1.2.1. Ange utgåvan.
• Vad du gör sedan: när den slutliga utgåvan är listad jämför du, stänger skillnaderna och uppdaterar dokumentationen. Planera det som en uppgift med ansvarig och datum.

Exempel: i Brannviks dokumentation står: ”Vi tillämpade ISO 24882 (slutligt utkast) som teknisk specifikation och mappar om till den publicerade utgåvan inom sex månader efter publicering.”

Har du redan en riskbedömning, en lista över gränssnitt, skyddskrav och testresultat för maskinförordningen är det mesta av ISO 24882 redan täckt. I det genomarbetade exemplet är 14 av 25 tekniska ämnen fullt verifierade med befintliga bevis; resten har namngivna ansvariga och datum. Bridge Pack visar detta ämne för ämne och håller planerade tester åtskilda från godkända.