Açıklama

• Makine Tüzüğü, (AB) 2023/1230, insanları korur. 20 Ocak 2027'den itibaren bir makine, biri ona müdahale etmeye çalışsa bile güvenli kalmalıdır. Bunu iki gereklilik taşır: bozulmaya karşı koruma (Ek III, 1.1.9) ve kötü niyetli girişimler dahil güvenli, güvenilir kumanda sistemleri (Ek III, 1.2.1).
• Siber Dayanıklılık Yasası (CRA), (AB) 2024/2847, ürünü, verisini ve bağlandığı ağları korur. Dijital unsurlu ürünleri kapsar: bir yere bağlanan yazılımlı her şey. Aktif olarak istismar edilen açıkların ve ciddi olayların bildirimi 11 Eylül 2026'dan, geri kalan her şey 11 Aralık 2027'den itibaren uygulanır.
• ISO 24882 bir standarttır, yasa değildir. Bir yöntem tarif eder: riski sekiz adımda değerlendirin, ardından güvenli güncelleme veya korumalı ayarlar gibi 25 teknik konuyu ele alın. Tarım makineleri, traktörler ve iş makineleri için yazılmıştır.

Örnek: bağlantılı bir tarla pülverizatörü sahte bir komutla bomunu açmamalıdır. Bu Makine Tüzüğü'dir. Uygulaması ve bulut hizmeti güvenlik güncellemesi almalı, üreticisi istismar edilen zafiyetleri bildirmelidir. Bu da CRA'dır. ISO 24882 her ikisini adım adım yapmanın bir yolunu gösterir.

Örnek: bir traktör üreticisi ile bir pülverizatör üreticisi aynı masada. Traktör üreticisi traktör kurallarını, pülverizatör üreticisi Makine Tüzüğü'ni izler. Aradaki ISOBUS kablosu ikisinin de düşünmesi gereken bir giriş yoludur, ama her biri yalnızca kendi ürününden sorumludur.

Neyi kapsar. Makinenin kendisi, kumanda üniteleri, traktöre bağlantısı (örneğin ISOBUS), telsiz bağlantıları, uygulamaları ve bulut hizmetleri. İki şey ister. Birincisi sekiz adımlı bir risk değerlendirmesi: sistemi tanımlayın, korunacakları listeleyin, tehditleri bulun, zararı derecelendirin, olasılığı derecelendirin, riske karar verin, ne yapacağınıza karar verin ve bunu gerekliliklere dönüştürün. İkincisi, güvenli yazılım güncellemesi ve korumalı ayarlardan kayıt tutmaya ve makinenin ömrünün sonuna kadar 25 teknik konu. Her konu için uygulanıp uygulanmadığına karar verir ve nasıl ele aldığınızı gösterirsiniz.

Neyin yerini almaz. Fonksiyonel güvenlik (ISO 25119) ve ISOBUS (ISO 11783) olduğu gibi kalır. Fonksiyonel güvenlik “bozulursa ne olur?” diye sorar. Siber güvenlik “biri bilerek bozarsa ne olur?” diye sorar.

Adım adım nasıl ele alınır

1. Kopyanızı satın alın: ISO'dan veya ulusal standart kuruluşunuzdan. Okumadığınız bir standardı uygulayamazsınız.
2. Rolünüzü belirleyin: traktör üreticisi, makine veya ekipman üreticisi ya da parça tedarikçisi. Her biri standardı kendi ürününe ve her bağlantının kendi tarafına uygular.
3. Kararı yazın: teknik dosyaya hangi baskıyı kullandığınızı, teknik yöntem olarak kullandığınızı ve nedenini yazın.
4. Makine Tüzüğü risk değerlendirmenizi yeniden kullanın. 1.1.9 ve 1.2.1 için kötü niyetli girişimleri değerlendirdiyseniz sekiz adımın çoğu zaten hazırdır. Eksik olanı ekleyin; genellikle uygulama ve bulut üzerinden gelen tehditler.
5. 25 konunun üzerinden geçin. Her biri için: uygulanıyor mu ve neden; hangi koruma; hangi test kanıtlıyor. Testi olmayan konu bitmiş sayılmaz.
6. Açık noktaları görünür tutun. Her eksiğin bir sorumlusu ve tarihi olsun. Eksiklerini gösteren dosya, saklayandan daha inandırıcıdır.
7. Yayımlanınca yeniden kontrol edin. Nihai baskı çıkıp listelendiğinde karşılaştırın, farkları kapatın ve dosyayı güncelleyin.

Örnek: Brannvik traktöre monte bir pülverizatör üretiyor. ISO 24882'yi traktöre değil; pülverizatöre, ağ geçidine, uygulamaya ve bulut hizmetine uyguluyor. Makine Tüzüğü dosyası konuların çoğunu zaten karşılıyordu; kalanlar sorumlu ve tarihle listelendi.

Kısmen tamamlanmış makine, işini tek başına yapamayan ve bir makineye takılmak üzere tasarlanmış bir şeydir; örneğin kendi kumanda ünitesi olan bir bom veya yazılımlı bir hidrolik modül. Makineyi tamamlayan şirket bütün makinenin üreticisidir, ama sizin de kendi yükümlülükleriniz vardır (Md. 11):

1. Parçanız için geçerli Ek III gerekliliklerini karşılayın. Yazılım veya bağlantı varsa genellikle 1.1.9 ve 1.2.1 uygulanır.
2. Ek IV, Bölüm B'deki teknik dokümantasyonu hazırlayın.
3. Hangi gereklilikleri karşıladığınızı belirten AB birleştirme beyanını imzalayın (Md. 22).
4. Montaj talimatlarını verin (Ek XI). Siber güvenlik açısından yazacağınız en önemli sayfalar bunlardır.

Montaj talimatlarına şunları yazın: parçanızın hangi giriş yolları var (konektörler, veri yolları, telsizler, servis portları); hangi korumaları yerleştirdiniz (imzalı yazılım, kilitli ayarlar, kayıtlar); makineyi kuranlardan ne bekliyorsunuz, örneğin “bu portu yalnızca makinenin iç ağına bağlayın”. Bu beklentiler varsayımdır ve makineyi kuran firma bunları kendi risk değerlendirmesine alır. ISO 24882 burada yardımcı olur: risk değerlendirmesini yalnızca kendi parçanıza uygulayın; bütün makineyi göremediğiniz yerde tahmin yerine varsayım yazın.

Dikkat: kısmen tamamlanmış makine, Makine Tüzüğü'ne göre CE işareti taşımaz. Dijital unsurları varsa CRA'ya göre yine de CE işareti gerekebilir.

Örnek: bir pülverizatör üreticisine bom kumanda ünitesi satıyorsunuz. Yazılımını imzalıyor, ayarlarını kilitliyorsunuz. Montaj talimatında şöyle yazıyor: “ünite, makinenin iç ağından gelen komutlara güvenir; telematik ağ geçidini onun önünde tutun.”

• Nerede: Kasım 2026 itibarıyla ISO 24882 nihai taslak aşamasında ve Avrupa sürümü Makine Tüzüğü kapsamında hazırlanıyor. Nihai metin hâlâ değişebilir.
• “Uyumlaştırılmış” ne demek: Avrupa sürümü yayımlanıp atfı AB Resmî Gazetesi'nde listelendiğinde, ona uymak kapsadığı gereklilikler için uygunluk varsayımı sağlar (Md. 20). O zamana kadar sağlamaz. Bugün 1.1.9 ve 1.2.1 için tek varsayım, (AB) 2019/881 kapsamındaki bir siber güvenlik sertifikasyon şemasının sertifikası veya beyanından, kapsadığı ölçüde gelir (Md. 20(9)).
• Şimdi ne yapmalı: tanınmış bir teknik yöntem olarak kullanın, bunu teknik dosyada belirtin ve kanıtınızın 1.1.9 ile 1.2.1'i nasıl karşıladığını gereklilik gereklilik gösterin. Baskıyı kaydedin.
• Sonra ne yapmalı: nihai baskı listelendiğinde karşılaştırın, farkları kapatın ve dosyayı güncelleyin. Bunu sorumlusu ve tarihi olan bir görev olarak planlayın.

Örnek: Brannvik'in dosyasında şöyle yazıyor: “ISO 24882'yi (nihai taslak) teknik şartname olarak uyguladık; yayımlanmasından sonraki altı ay içinde yayımlanan baskıya göre yeniden eşleyeceğiz.”

Makine Tüzüğü için bir risk değerlendirmeniz, arayüz listeniz, koruma gereklilikleriniz ve test sonuçlarınız varsa ISO 24882'nin çoğu zaten karşılanmıştır. Örnek çalışmada 25 teknik konunun 14'ü mevcut kanıtla tam olarak doğrulanmış; kalanların sorumlusu ve tarihi var. Bridge Pack bunu konu konu gösterir ve henüz planlanan testleri geçmiş testlerden ayrı tutar.