Cyber Resilience Act
Nařízení o strojních zařízeních 2027: co se mění oproti strojní směrnici?
Nařízení (EU) 2023/1230 o strojních zařízeních, kterému se říká i nová strojní směrnice, platí od 20. ledna 2027 a týž den ruší směrnici 2006/42/ES. Splnit ho musí každý stroj uvedený na trh od tohoto dne. Novinkami jsou mimo jiné povinný oznámený subjekt pro šest kategorií, digitální návod k použití a ochrana softwaru a ovládacích systémů před manipulací.
Autor: Kryštof Olík, zakladatel OllsoftPublikováno 8 min čtení
Od kdy platí nařízení o strojních zařízeních?
Nařízení (EU) 2023/1230 o strojních zařízeních platí od 20. ledna 2027 (čl. 54 ve znění opravy v Úř. věst. L 169 ze 4. 7. 2023). Týž den se ruší směrnice 2006/42/ES o strojních zařízeních (čl. 51). Do té doby musí každý nový stroj splňovat směrnici. Přechodné období, ve kterém byste si vybírali mezi starým a novým předpisem, neexistuje.
Evropská komise ale dovoluje už před tímto dnem uvést v prohlášení o shodě i soulad s novým nařízením, pokud ho stroj již splňuje. U připojených strojů souběžně běží lhůty aktu o kybernetické odolnosti (Cyber Resilience Act, CRA, nařízení (EU) 2024/2847) a požadavky na AI ve strojích přijdou později.
| Datum | Co platí | Právní základ |
|---|---|---|
| 11. 9. 2026 | povinnost hlásit aktivně zneužívané zranitelnosti podle CRA, i u připojených strojů, které už jste prodali | čl. 14, čl. 69 odst. 3 a čl. 71 odst. 2 CRA |
| 20. 1. 2027 | platí nařízení o strojních zařízeních, směrnice je zrušena | čl. 51 a 54 nařízení o strojních zařízeních ve znění opravy |
| 11. 12. 2027 | všechny ostatní povinnosti podle CRA pro připojené stroje uvedené na trh od tohoto dne | čl. 69 odst. 2 a čl. 71 odst. 2 CRA |
| nejpozději 2. 8. 2028 | požadavky na AI v příloze III nařízení o strojních zařízeních | čl. 3 nařízení (EU) 2026/1744 |
Jaký je rozdíl mezi směrnicí a nařízením o strojních zařízeních?
Právně je největší rozdíl ve formě: nařízení je přímo použitelné ve všech členských státech, kdežto směrnici musel každý stát převést do svého práva. Obsahově nařízení zachovává stejnou kostru: základní požadavky na ochranu zdraví a bezpečnost, posouzení shody a označení CE. Mění hlavně to, jak předpis zachází se softwarem, připojením a dokumenty.
| Směrnice 2006/42/ES | Nařízení (EU) 2023/1230 | |
|---|---|---|
| Oznámený subjekt | 23 kategorií v příloze IV; kdo plně použije harmonizované normy, smí shodu posoudit sám (čl. 12) | 6 kategorií v příloze I části A vždy s oznámeným subjektem, 19 kategorií v části B jako dosud (čl. 25) |
| Software | bezpečnostní součást je „součást“, software se nezmiňuje (čl. 2) | bezpečnostní součást je „fyzická nebo digitální součást“ výrobku „včetně softwaru“ (čl. 3 bod 3); příloha II bod 18 uvádí „Software zajišťující bezpečnostní funkce“ |
| Ochrana softwaru a dat před poškozením | žádný požadavek na ochranu softwaru, dat ani rozhraní; jen ochranné kryty a ochranná zařízení nesmějí jít snadno obejít nebo vyřadit z činnosti (příloha I bod 1.4.1) | příloha III bod 1.1.9 „Ochrana před poškozením“, mj. identifikovat nainstalovaný software nezbytný pro bezpečný provoz |
| Ovládací systémy | musí snést zátěž běžného používání a odolávat vnějším vlivům (příloha I bod 1.2.1) | musí odolat i vnějším vlivům „včetně důvodně předvídatelných zlovolných pokusů třetích stran“; zásahy a verze bezpečnostního softwaru dohledatelné 5 let (bod 1.2.1) |
| Návod k použití | musí být přiložen ke stroji, digitální formát směrnice nezná (příloha I bod 1.7.4) | smí být digitální, tištěný na žádost při nákupu zdarma (čl. 10 odst. 7) |
| Prohlášení o shodě | psané na stroji nebo ručně hůlkovým písmem (příloha II) | přiložené, nebo jako internetová adresa či strojově čitelný kód v návodu (čl. 10 odst. 8) |
| Podstatná změna | není definována | definována, i pro digitální zásahy; kdo ji provede, je výrobcem (čl. 3 bod 16, čl. 18) |
| Zdrojový kód | neupraveno | poskytne se na odůvodněnou žádost úřadu, pokud ho úřad potřebuje ke kontrole (čl. 10 odst. 3) |
Pro kybernetickou bezpečnost jsou v příloze III rozhodující jen dva body: nový bod 1.1.9 a rozšířený bod 1.2.1. Jaká opatření z nich plynou pro konstrukci, software a dokumentaci, popisujeme na stránce Nařízení o strojních zařízeních a CRA. Jsme inženýři, ne oznámený subjekt ani advokátní kancelář: technické řešení a dokumentaci připravíme my, právní posouzení zůstává na vašem právníkovi.
Které stroje budou od roku 2027 potřebovat oznámený subjekt?
U šesti kategorií z přílohy I části A je oznámený subjekt povinný vždy. Pro ně zbývají tři postupy, všechny s oznámeným subjektem: EU přezkoušení typu (modul B) s následnou shodou s typem založenou na interním řízení výroby (modul C), úplné zabezpečování kvality (modul H) nebo ověřování každého jednotlivého výrobku (modul G). Čtyři z těchto kategorií jsou už v příloze IV směrnice. Tam je výrobce zatím smí posoudit sám, pokud plně použije harmonizované normy. Tato možnost 20. ledna 2027 končí.
- odnímatelná mechanická převodová zařízení včetně jejich ochranných krytů
- ochranné kryty pro odnímatelná mechanická převodová zařízení
- servisní zvedáky pro vozidla
- přenosná upevňovací zařízení s náboji a jiné rázové stroje
- nově: bezpečnostní součásti s plně nebo částečně samorozvíjejícím se chováním, které pomocí strojového učení zajišťují bezpečnostní funkce
- nově: stroje se zabudovanými systémy tohoto typu, které nebyly samostatně uvedeny na trh, a to jen ve vztahu k těmto systémům
Část B převzala zbylých 19 kategorií z přílohy IV, například kotoučové pily, lisy pro zpracování kovů za studena s ručním vkládáním nebo logické jednotky zajišťující bezpečnostní funkce. U nich můžete shodu dál posuzovat sami (modul A), pokud stroj navrhnete a vyrobíte podle harmonizovaných norem nebo společných specifikací pro danou kategorii, které pokrývají všechny příslušné požadavky. Jinak je i zde nutný oznámený subjekt. Stroje mimo přílohu I posuzujete jako dosud interním řízením výroby.
Pro stroje s umělou inteligencí přibude další krok. Nařízení (EU) 2026/1744, takzvaný digitální omnibus k AI, doplnilo čl. 8 nařízení o strojních zařízeních: Komise aktem v přenesené pravomoci doplní do přílohy III požadavky na vysoce rizikové systémy AI, které jsou bezpečnostní součástí stroje nebo samy strojem. Tyto požadavky se použijí nejpozději od 2. srpna 2028.
Které povinnosti podle CRA platí v roce 2027 pro nový připojený stroj?
Do 10. prosince 2027 jen povinnost hlásit, pro stroje uvedené na trh od 11. prosince 2027 všechny povinnosti CRA. Vztahuje se na každý stroj, který může vyměňovat data se zařízením nebo sítí (čl. 2 odst. 1 CRA).
Pro plánování to znamená: připojený stroj uvedený na trh mezi 20. lednem a 10. prosincem 2027 musí plně splnit nařízení o strojních zařízeních, z CRA ale jen povinnost hlásit. Aktivně zneužívanou zranitelnost hlásíte do 24 hodin jako včasné varování (čl. 14 odst. 2). Zda se CRA na váš produkt vztahuje a do jaké třídy patří, zjistíte zdarma v kontrole produktu podle CRA. Co CRA požaduje celkově, shrnuje stránka Cyber Resilience Act.
Kdy je přestavba stroje podstatnou změnou?
Stroje uvedené na trh podle směrnice před 20. lednem 2027 se smějí dál dodávat na trh, i když nové požadavky nesplňují (čl. 52 odst. 1).
Jinak je tomu u podstatné změny, kterou nařízení poprvé definuje (čl. 3 bod 16). Jde o fyzický nebo digitální zásah po uvedení na trh, který výrobce nepředvídal ani neplánoval a který vytváří nové nebezpečí nebo zvyšuje existující riziko. Kvůli němu je pak nutné doplnit ochranné kryty či ochranná zařízení se změnou bezpečnostního řídicího systému, nebo přijmout další opatření pro stabilitu či mechanickou pevnost. Spadat sem může i nepředvídaná aktualizace softwaru, pokud má tyto následky.
Kdo podstatnou změnu provede, považuje se za výrobce. Posoudí shodu podle čl. 25 a na vlastní odpovědnost ji prohlásí (čl. 18). Může to být integrátor i provozovatel, který svou linku přestaví. Výjimku mají jen neprofesionální uživatelé, kteří svůj stroj mění pro vlastní potřebu.
I CRA navazuje na změny: připojený produkt uvedený na trh před 11. prosincem 2027 spadá pod CRA v plném rozsahu, až když od tohoto dne projde podstatnou změnou (čl. 69 odst. 2 CRA).
Časté otázky
- Proč se někde uvádí 14. leden 2027?
- Protože toto datum obsahovalo první znění zveřejněné v Úředním věstníku L 165 z 29. června 2023. Oprava v Úředním věstníku L 169 ze 4. července 2023 ho v čl. 51, 52 a 54 změnila na 20. ledna 2027. Rozhodující je 20. leden.
- Zůstávají naše certifikáty ES přezkoušení typu v platnosti?
- Ano. Certifikáty ES přezkoušení typu a rozhodnutí o schválení vydaná podle čl. 12 směrnice platí do skončení své platnosti (čl. 52 odst. 2 nařízení).
- Stačí návod jako PDF ke stažení?
- Ano, pokud splníte tři podmínky. Na stroji je uvedeno, jak se k digitálnímu návodu dostat; jen pokud to na stroji není možné, smí být tento údaj na obalu nebo v průvodním dokladu. Návod lze vytisknout, stáhnout a uložit, i když je součástí softwaru stroje. A zůstane online po dobu předpokládané životnosti stroje a nejméně 10 let. Požádá-li zákazník při nákupu o tištěný návod, dodáte ho do jednoho měsíce zdarma. Je-li stroj určen neprofesionálním uživatelům nebo jimi může být za rozumně předvídatelných podmínek používán, dodáte bezpečnostní informace zásadní pro uvedení do provozu a bezpečné používání vždy v tištěné podobě (čl. 10 odst. 7).
- Spadá pod nařízení i samotný software?
- Ano, pokud plní bezpečnostní funkci a uvádí se na trh samostatně. Pak je bezpečnostní součástí, a tedy souvisejícím výrobkem (čl. 2, čl. 3 bod 3, příloha II bod 18). Potřebuje vlastní posouzení shody, EU prohlášení o shodě a označení CE. Software, který dodáváte se strojem, posuzujete spolu se strojem.
- Jaké hrozí sankce?
- Výši stanoví každý členský stát sám. Sankce musí být účinné, přiměřené a odrazující a u závažných porušení mohou být i trestní. Svá pravidla měly členské státy oznámit Komisi do 20. října 2026 (čl. 50).
Zdroje
- Nařízení (EU) 2023/1230 o strojních zařízeních, čl. 2, 3, 10, 18, 25, 50–54, přílohy I–III, EUR-Lex
- Oprava nařízení (EU) 2023/1230, Úř. věst. L 169 ze 4. 7. 2023 (použitelnost od 20. 1. 2027)
- Směrnice 2006/42/ES o strojních zařízeních, čl. 2, 12, 26, přílohy I, II a IV, EUR-Lex
- Nařízení (EU) 2024/2847 (akt o kybernetické odolnosti), čl. 2, 14, 69 a 71, EUR-Lex
- Nařízení (EU) 2026/1744 (digitální omnibus k AI), čl. 3, EUR-Lex
- Evropská komise: strojní zařízení (právní rámec, pokyny, oznámené subjekty)