2027, makine imalatçıları için değişikliklerle dolu bir yıl olacak. Bu değişime erken adapte olan imalatçılar hem ihracatta hem genel makine satışında bunu ciddi bir rekabet avantajına ve fırsata çevirebilecekken; değişimi takip edip harekete geç geçenler, yalnızca Avrupa pazarında değil, Türkiye de dahil global rakiplerinin gerisinde kalma riskiyle karşı karşıya.

Bizi bekleyen iki büyük düzenleme var. Birincisi; 20 Ocak 2027’de yürürlüğe girerek 2006/42/AT Makine Emniyeti Yönetmeliği’nin yerini alacak olan 2023/1230/AB Makine Tüzüğü. Üstelik bu geçişte herhangi bir tolerans süresi yok. 20 Ocak 2027’den itibaren AB pazarına arz edilen her makine yeni tüzüğe uygun olmak zorunda. İkincisi ise 2024/2847/AB Siber Dayanıklılık Yasası (CRA – Cyber Resilience Act). CRA’nın zafiyet ve olay bildirim yükümlülükleri 11 Eylül 2026’da tam uyum zorunluluğu ise 11 Aralık 2027’de başlıyor. Yani 2027’nin sonunda piyasaya arz edilen bir makinenin AT Uygunluk Beyanı’nda artık her iki düzenlemenin de karşılandığının beyan edilmesi gerekecek.

2023/1230/AB Makine Tüzüğü’nün en önemli yeniliklerinden biri, Temel Sağlık ve Güvenlik Gerekliliklerine eklenen siber güvenlik maddeleri; Ek III, madde 1.1.9 “Bozulmaya (corruption) karşı koruma” ve madde 1.2.1 “Kumanda sistemlerinin emniyeti ve güvenilirliği”. Özetle; makineye başka bir cihazın bağlanması tehlikeli bir duruma yol açmamalı, emniyetle ilgili yazılım, veri ve donanım bileşenleri hem kazara hem de kasıtlı manipülasyona karşı korunmalı ve bu bileşenlere yapılan müdahaleler izlenebilir olmalı.

Bu gereklilikleri karşılamanın yolu ise yeni bir uyumlaştırılmış standarttan geçecek. Bu da Ekim ayında yayımlanması beklenen EN 50742 (Makinelerde Emniyet – Bozulmaya Karşı Koruma). Bugün makine imalatçıları teknik dosyalarında, 2006/42/AT’nin Temel Sağlık ve Güvenlik Gerekliliklerini karşıladıklarını kanıtlamak için EN ISO 12100’e göre hazırladıkları risk değerlendirmelerini nasıl muhafaza ediyorlarsa; yarın aynı şekilde, EN 50742 çerçevesinde yapılmış bir tehdit değerlendirmesi ile makinelerinin yalnızca “emniyetli” değil, aynı zamanda “güvenli” olduğunu da kanıtlamak zorunda kalacaklar.

Siber Dayanıklılık Yasası ilk bakışta “Biz makine imalatçısıyız, bu bizi neden etkilesin?” dedirtebilir. Ancak CRA, kapsamını “dijital unsurlu ürünler” (products with digital elements) olarak tanımlıyor ve içinde kontrolcü, yazılım, gömülü sistem veya haberleşme arabirimi bulunan ürettiğimiz birçok makine bu tanıma doğrudan giriyor. Bu da tasarımdan hurdaya kadar tüm yaşam döngüsünü kapsayan siber güvenlik risk değerlendirmesi, zafiyet yönetimi süreçleri, güvenlik güncellemesi desteği ve ENISA’ya bildirim yükümlülükleri anlamına geliyor.

Bu değişikliklerden bahsederken karşılaştığımız en büyük yanılgı dürüst olmak gerekirse, TÜV Rheinland’dan Cyber Security Specialist eğitimimi ve sertifikamı almadan önce ben de aynı şeyi düşünüyordum; makinemiz uzak bağlantıya tamamen kapalıysa “güvenlik” anlamında bir risk barındırmadığı inancı. Ancak unutmayalım ki; kaleler her zaman dışarıdan değil, içeriden de fethedilir. Ünlü yazar ve gazeteci Christopher Hitchens’ın dediği gibi; “Barbarlar, biri kapıları onlara açık tutmadıkça şehri asla alamaz” Makineniz uzaktan erişime tamamen kapalı olabilir ancak devre dışı bırakılmamış USB ve Ethernet portları olan bir kontrolcü, varsayılan fabrika şifresiyle bırakılmış bir HMI, servis teknisyeninin zararlı yazılım bulaşmış USB belleği, imzasız yüklenebilen bir firmware güncellemesi ya da işten ayrılan bir çalışanın iptal edilmeyen erişim yetkileri, makinenizin emniyet fonksiyonlarını devre dışı bırakabilecek zafiyetlere kapı aralar. Üstelik bu senaryoların hiçbiri internet bağlantısı gerektirmez.

Makine imalatçıları vakit kaybetmeden, önce 2023/1230/AB, ardından CRA için mevcut durumlarının bir açıklık değerlendirmesini (gap assessment) kendi bünyelerinde veya bu konuda uzman danışman kuruluşlarla yaparak yeni düzenlemelerle aralarındaki açıklık mesafesinin ne kadar uzak ya da yakın olduğunu doğru tespit etmeli ve aksiyon planlarını buna göre oluşturmalı. Makinelerdeki tüm dijital arabirim ve bağlantıların envanterinin çıkarılması, teknik dosya şablonlarının yeni tüzüğe göre güncellenmesi, EN 50742 ve IEC 62443 standartlarının takibi ve ekiplerin bu alanda yetkinlik kazanması, bu planın ilk adımları olmalıdır.

Değişim kapıda. Onu tehdit olarak görüp erteleyenler için bir maliyet kalemi; erken hazırlananlar içinse Avrupa pazarında ve bu pazarın eşdeğeri kalitede gereklilik sorgulayan Türkiye’deki pazarda rakiplerinden ayrışacakları bir fırsat olacak.

Erhan Eskicumalı
TSE MTC 207 – Makine Güvenliği
Ayna Komite Başkanı