Vanaf 20 januari 2027 moeten machinebouwers onder de Machineverordening aantonen dat hun machine beschermd is tegen al dan niet opzettelijke corruptie van software, gegevens en verbindingen, en dat een kwaadwillige ingreep geen gevaarlijke situatie veroorzaakt.
Concreet betekent dat: cyberrisico’s opnemen in de risicobeoordeling, de toegang tot de besturing beveiligen, ingrepen en softwareversies vijf jaar loggen, updates beveiligd uitvoeren en alles documenteren in het technisch dossier.
In het kort
- De Machineverordening (EU) 2023/1230 vervangt op 20 januari 2027 de Machinerichtlijn, zonder overgangsperiode.
- Bijlage III vraagt voor het eerst cybersecurity: bescherming tegen corruptie (1.1.9) en besturingssystemen die bestand zijn tegen kwaadwillige pogingen van derden (1.2.1).
- Wie een machine zelf ingrijpend ombouwt, kan fabrikant worden en moet dan ook aan die eisen voldoen.
- De norm voor bescherming tegen corruptie, EN 50742, was op 8 november 2026 nog een ontwerp.
- De Machineverordening geldt bijna elf maanden vóór de volledige toepassing van de Cyber Resilience Act op 11 december 2027.
Wat verandert er op 20 januari 2027?
Op 20 januari 2027 wordt de Machineverordening van toepassing en verdwijnt de Machinerichtlijn 2006/42/EG. Omdat het een verordening is, geldt ze rechtstreeks in elke lidstaat. Een periode waarin een fabrikant mag kiezen tussen oud en nieuw, is er niet: tot en met 19 januari 2027 geldt enkel de richtlijn, daarna enkel de verordening.
Wie de Nederlandse tekst op EUR-Lex opzoekt, kan nog 14 januari 2027 lezen. Een corrigendum van 4 juli 2023 zette die datum recht naar 20 januari 2027.
Volgens de FOD Economie mogen machines die vóór 20 januari 2027 volgens de oude regels op de markt gebracht zijn, verder verkocht worden. Machines die al in gebruik zijn, hoeven niet aangepast te worden. Dat verandert wel als iemand een machine substantieel wijzigt.
Wie valt eronder, ook als u machines zelf ombouwt?
De verordening richt zich op fabrikanten, importeurs en verdelers van machines. Maar ook een productiebedrijf dat een bestaande machine ombouwt, kan fabrikant worden. Artikel 3 omschrijft een substantiële wijziging als een “niet door de fabrikant voorziene of geplande wijziging van een machine” met fysieke of digitale middelen, die de veiligheid beïnvloedt door een nieuw gevaar of een groter risico, waardoor de besturing of de beschermingsmaatregelen aangepast moeten worden.
Wie zo’n wijziging uitvoert, wordt volgens artikel 18 fabrikant voor die machine en verklaart op eigen verantwoordelijkheid dat ze conform is. Een digitale ingreep telt mee: een nieuwe besturing, een software-update van de veiligheidsfuncties of een verbinding voor onderhoud op afstand kan volstaan. Een retrofit die vandaag gepland wordt en na 20 januari 2027 klaar is, valt dus onder de nieuwe regels.
Welke cybersecurity-eisen staan in de Machineverordening?
Twee punten in bijlage III gaan over cybersecurity. Het zijn veiligheidseisen: het doel is dat een aanval op de besturing niemand in gevaar brengt, niet dat bedrijfsgegevens beschermd worden.
| Eis | Wat de tekst vraagt | Hoe een fabrikant het kan aantonen |
|---|---|---|
| Bijlage III, 1.1.9 Bescherming tegen corruptie | Een verbinding met een ander toestel of op afstand mag geen gevaarlijke situatie veroorzaken. Hardware die veiligheidsrelevante signalen of gegevens doorgeeft, is beschermd tegen corruptie. Software en gegevens die bepalend zijn voor de conformiteit, moeten “afdoende beveiligd worden tegen al dan niet opzettelijke corruptie”. De machine verzamelt bewijs van rechtmatige en onrechtmatige ingrepen in de software. | Risicobeoordeling met cyberscenario’s, bescherming van firmware en parameters, vastleggen van ingrepen, beschrijving in het technisch dossier. |
| Bijlage III, 1.2.1 Veiligheid en betrouwbaarheid van besturingssystemen | Besturingssystemen zijn bestand tegen “redelijkerwijs voorzienbare kwaadwillige pogingen van derden die tot een gevaarlijke situatie leiden”. Ingrepen en softwareversies na installatie worden vijf jaar gelogd; bij zelflerende systemen worden gegevens over veiligheidsbeslissingen één jaar bewaard. | Toegangscontrole tot de besturing, logboek met bewaartermijn, testen van de besturing tegen manipulatie. |
Daarnaast koppelt artikel 20, lid 9 de verordening aan de Europese Cybersecurity Act: een machine met een cyberbeveiligingscertificaat onder die verordening wordt geacht aan 1.1.9 en 1.2.1 te voldoen, voor zover het certificaat die eisen dekt.
Voor sommige machines volstaat een eigen beoordeling niet. Bijlage I, deel A noemt zes categorieën waarvoor altijd een aangemelde instantie nodig is, waaronder veiligheidscomponenten met zelflerend gedrag op basis van machinaal leren. Welke procedure voor uw machine geldt, bespreekt u best met een aangemelde instantie of een jurist.
Welke norm helpt de eisen aantonen?
Hier zit het probleem: de norm die 1.1.9 moet ondersteunen, EN 50742 “Safety of machinery: Protection against corruption”, was op 8 november 2026 nog een ontwerp. Volgens het adviesbureau IBF Solutions was de publicatie voorzien voor november 2026. Agoria schreef op 5 november 2026 dat normen onder de oude richtlijn niet automatisch blijven gelden onder de verordening: daarvoor is een nieuwe vermelding in het Europees Publicatieblad nodig.
Zolang er geen geharmoniseerde norm is die 1.1.9 en 1.2.1 dekt, moet de fabrikant zelf onderbouwen hoe hij aan de eisen voldoet. Twee houvasten zijn er wel. De normenreeks IEC 62443 beschrijft in deel 4-1 een veilig ontwikkelproces en in deel 4-2 technische eisen voor componenten. Het ontwerp van EN 50742 sluit volgens de beschikbare beschrijving aan op IEC 62443. Hoe u beveiliging in het ontwikkelproces inbouwt, beschrijven we in ons artikel over een secure development lifecycle.
Machineverordening en Cyber Resilience Act: wat geldt wanneer?
| Datum | Wat |
|---|---|
| 11 september 2026 | Meldplicht van de Cyber Resilience Act voor fabrikanten van producten met digitale elementen |
| 20 januari 2027 | Machineverordening van toepassing, Machinerichtlijn ingetrokken |
| 11 december 2027 | Cyber Resilience Act volledig van toepassing |
Beide regels hebben een ander doel. De Machineverordening vraagt dat een cyberaanval geen gevaarlijke situatie veroorzaakt. De Cyber Resilience Act vraagt cyberbeveiliging van het product over de hele levensduur, met kwetsbaarheidsbeheer en updates. Een machine met software en een netwerkverbinding kan onder beide vallen. Een automatisch vermoeden dat wie aan de ene voldoet, ook aan de andere voldoet, staat niet vast. Wat de CRA vraagt, leest u in ons artikel wat is de Cyber Resilience Act, en welke meldtermijnen gelden in de tijdlijn van de CRA-meldplicht.
Is cybersecurity niet pas echt verplicht met de CRA?
Dat hoort u vaak, en het klinkt logisch. De Cyber Resilience Act is veel uitgebreider dan twee punten in een bijlage, en de norm voor de Machineverordening ontbreekt nog.
Toch klopt het niet. De Machineverordening geldt bijna elf maanden vroeger en is een voorwaarde voor de CE-markering. Ze vraagt concrete dingen: bewijs van ingrepen, een logboek van vijf jaar, bescherming van verbindingen. Zonder geharmoniseerde norm moet de fabrikant dat zelf onderbouwen, wat eerder meer werk is dan minder. Wie wacht op de CRA, is te laat voor zijn volgende CE-markering. Wie 1.1.9 en 1.2.1 goed aanpakt, legt wel een basis voor de CRA.
Ook “onze machines hangen niet aan het internet” volstaat niet. Punt 1.1.9 gaat over elke verbinding met een ander toestel en over onderhoud op afstand. Elke programmeerbare besturing met een service-aansluiting valt eronder.
Zeven stappen voor uw technisch dossier
- Neem cyberrisico’s op in de risicobeoordeling: welke verbindingen, aansluitingen en software kunnen de veiligheidsfuncties beïnvloeden, en wat gebeurt er bij een kwaadwillige ingreep?
- Bescherm software en gegevens die van belang zijn voor de veiligheid: geen ongecontroleerde wijzigingen aan firmware en parameters.
- Bepaal wie de besturing mag wijzigen, met welke aanmelding, ook bij onderhoud op afstand.
- Voorzie een logboek van ingrepen en softwareversies, vijf jaar bewaard; bij zelflerende systemen veiligheidsbeslissingen één jaar.
- Leg vast hoe updates verlopen zonder de veiligheid aan te tasten.
- Documenteer alles in het technisch dossier, inclusief welke normen u gebruikt en welke eisen niet door een norm gedekt zijn.
- Test de besturing: een beveiligingstest toont of de maatregelen werken.
Voor productiebedrijven geldt een achtste stap: ga bij elke ombouw na of het een substantiële wijziging is. Voor de beveiliging van de werkvloer als geheel is het verschil tussen IT- en OT-security een goed vertrekpunt, en wat NIS2 voor uw eigen organisatie vraagt, staat in ons artikel over NIS2 voor de Vlaamse maakindustrie. Ook machines in een gebouw met andere gekoppelde installaties verdienen aandacht; zie het beveiligen van een gebouwbeheersysteem.
Hoe test u of de besturing bestand is?
Cyberplan test de beveiliging van besturingen en industriële systemen met een OT-pentest en begeleidt fabrikanten bij de cybersecurity-eisen van de Cyber Resilience Act, die aansluiten op de Machineverordening. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Plan een kennismakingsgesprek.
Veelgestelde vragen
Wanneer gaat de Machineverordening in?
De Machineverordening (EU) 2023/1230 is van toepassing vanaf 20 januari 2027 en vervangt dan de Machinerichtlijn 2006/42/EG. Tot en met 19 januari 2027 geldt alleen de richtlijn; een periode waarin u mag kiezen, is er niet. De originele tekst vermeldde 14 januari 2027, maar een corrigendum van 4 juli 2023 zette dat recht.
Moeten bestaande machines aangepast worden?
Nee, machines die al in gebruik zijn of vóór 20 januari 2027 op de markt gebracht zijn, hoeven niet aangepast te worden. Dat verandert als iemand een machine substantieel wijzigt, met fysieke of digitale middelen, zodat er een nieuw gevaar of een groter risico ontstaat. Wie dat doet, wordt fabrikant en moet de nieuwe eisen toepassen.
Welke cybersecurity-eisen staan in de Machineverordening?
Bijlage III vraagt in punt 1.1.9 dat software, gegevens en verbindingen die de veiligheid beïnvloeden, beschermd zijn tegen al dan niet opzettelijke corruptie, en dat de machine bewijs verzamelt van ingrepen. Punt 1.2.1 vraagt dat kwaadwillige pogingen van derden niet tot een gevaarlijke situatie leiden en dat ingrepen vijf jaar gelogd worden.
Welke norm kan ik gebruiken om de eisen aan te tonen?
Een geharmoniseerde norm voor bescherming tegen corruptie bestond op 8 november 2026 nog niet: EN 50742 was een ontwerp, met publicatie voorzien in november 2026. Tot die norm geharmoniseerd is, onderbouwt de fabrikant zelf hoe hij voldoet, bijvoorbeeld met de risicobeoordeling en IEC 62443-4-1 en 4-2 als houvast.
Geldt de Cyber Resilience Act ook voor machines?
Ja, een machine met software en een netwerkverbinding kan ook een product met digitale elementen zijn. De Cyber Resilience Act vraagt cyberbeveiliging over de hele levensduur, met een meldplicht sinds 11 september 2026 en volledige toepassing op 11 december 2027. De Machineverordening vraagt dat een aanval geen gevaarlijke situatie veroorzaakt.
