Uw machine draait al jaren probleemloos. De PLC doet zijn werk, het HMI start gewoon op en de frequentieregelaars geven geen problemen.
Dan komt de Cyber Resilience Act (CRA).
Moet u nu ineens uw bestaande automatisering gaan vervangen?
Nee.
Maar de CRA verandert wel de eisen die worden gesteld aan nieuwe digitale producten. En daarmee ook de manier waarop fabrikanten moeten kijken naar cybersecurity, ondersteuning en de levenscyclus van automatiseringsproducten.
Dat kan uiteindelijk gevolgen hebben voor componenten die vandaag al jaren probleemloos in uw machines zitten.
Wat verandert er door de CRA?
De Europese Cyber Resilience Act stelt cybersecurity-eisen aan producten met digitale elementen. De wet is sinds december 2024 van kracht en de belangrijkste verplichtingen gaan vanaf 11 december 2027 gelden. Een deel begint eerder: vanaf 11 september 2026 gelden al rapportageverplichtingen rond actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten.
Een belangrijk onderdeel van de CRA is dat fabrikanten gedurende de supportperiode kwetsbaarheden in hun producten moeten kunnen aanpakken.
Wordt bijvoorbeeld een beveiligingslek ontdekt waardoor iemand via een netwerkverbinding toegang tot een PLC, HMI of ander automatiseringsproduct zou kunnen krijgen, dan moet de fabrikant zo’n kwetsbaarheid kunnen onderzoeken en waar nodig een beveiligingsupdate beschikbaar kunnen stellen.
Bij moderne automatiseringsproducten kan daar vanaf het ontwerp rekening mee worden gehouden.
Bij oudere productseries ligt dat anders.
Een PLC van twintig jaar geleden is voor een andere wereld ontworpen
Veel PLC’s, HMI’s en andere industriële componenten zijn ontwikkeld in een tijd waarin cybersecurity, firmware-updates en verbindingen met externe netwerken een veel kleinere rol speelden.
Dat betekent niet dat deze producten technisch ineens niet meer goed zijn. Integendeel: in de industrie draaien nog enorm veel oudere besturingen iedere dag probleemloos.
Voor de fabrikant ontstaat echter een andere uitdaging.
Een oudere productserie geschikt maken voor nieuwe cybersecurity-eisen kan technisch ingewikkeld of economisch niet meer interessant zijn. Een fabrikant kan dan besluiten om zo’n product uit te faseren en verder te gaan met een nieuwere generatie die vanaf het ontwerp rekening houdt met deze eisen.
En precies daar kan de CRA ook gevolgen krijgen voor een machine die zelf nauwelijks een cybersecurityrisico heeft.
De broodsnijmachine op de hoek
Neem een eenvoudige broodsnijmachine met een PLC die al vijftien jaar probleemloos zijn werk doet.
De PLC heeft geen verbinding met internet. Er is geen koppeling met het bedrijfsnetwerk, geen cloudverbinding en niemand logt op afstand in.
Het risico op een aanval van buitenaf is in zo’n situatie zeer beperkt.
De Cyber Resilience Act betekent dan ook niet dat deze PLC ineens vervangen moet worden.
Toch kan de eigenaar van die broodsnijmachine indirect met de gevolgen van de CRA te maken krijgen.
Als de fabrikant besluit dat het technisch of economisch niet zinvol is om een oudere PLC-serie geschikt te maken voor de nieuwe eisen, kan zo’n serie uit het Europese leverprogramma verdwijnen.
En dan verandert een cybersecuritywet voor deze machine ineens in een continuïteitsvraagstuk.
De PLC die er al vijftien jaar in zit blijft gewoon werken.
Maar wat gebeurt er als hij morgen defect raakt?
Dit is geen Mitsubishi-verhaal
Binnen MOL Industriële Automatisering en Engineeringshop werken we veel met Mitsubishi Electric. Daardoor zien we inmiddels concreet dat veranderende Europese eisen gevolgen kunnen hebben voor de levenscyclus van oudere automatiseringsproducten.
Maar dit is uiteraard geen Mitsubishi-specifiek vraagstuk.
Ook fabrikanten als Siemens, Rockwell Automation / Allen-Bradley, Omron en Schneider Electric krijgen met de Europese cybersecurity-eisen te maken.
Welke keuzes fabrikanten voor bestaande productseries maken, zal verschillen. Een serie kan worden aangepast, een product kan een nieuwe opvolger krijgen of een oudere generatie kan worden uitgefaseerd.
Cybersecurity wordt daarmee steeds meer onderdeel van lifecyclemanagement.
Oud betekent niet automatisch vervangen
Dat onderscheid vinden wij belangrijk.
Een installatie die betrouwbaar draait, goed gedocumenteerd is en waarvoor kritische reservedelen beschikbaar zijn?
Lekker laten draaien.
Misschien is het enige verstandige advies om een actuele backup te maken of één kritisch reserveonderdeel op de plank te leggen.
Bij een andere machine kan dezelfde inventarisatie juist aantonen dat één oude PLC of HMI een serieus continuïteitsrisico vormt. Bijvoorbeeld omdat het onderdeel niet meer leverbaar is en een vervanger niet één-op-één kan worden toegepast.
Ook dan hoeft niet direct de complete installatie gemoderniseerd te worden. U kunt alvast een migratie voorbereiden, zodat u niet onder tijdsdruk hoeft te improviseren wanneer het component uiteindelijk uitvalt.
Niets doen kan dus een prima technische beslissing zijn. Zolang het maar een bewuste beslissing is.
Weet wat er in uw machines zit
Daar zit volgens ons voor bestaande machines de belangrijkste boodschap.
Niet: alles vervangen.
Wel: weten wat u heeft.
Want bij een storing wilt u liever niet op dat moment ontdekken dat:
- de PLC al jaren End of Life is;
- er geen actuele PLC- of HMI-backup beschikbaar is;
- de gebruikte programmeersoftware nergens meer beschikbaar is;
- parameters van frequentieregelaars of servo’s niet zijn opgeslagen;
- een vervangend component niet één-op-één toepasbaar is;
- of de engineer die de installatie goed kende inmiddels niet meer beschikbaar is.
Een eenvoudige inventarisatie kan dan al veel duidelijkheid geven.
Welke PLC, HMI, frequentieregelaars, servo’s en netwerkcomponenten zijn toegepast? Zijn software en backups beschikbaar? Welke componenten zijn nog leverbaar? Welke zijn End of Life? En wat is het alternatief wanneer een kritisch onderdeel morgen defect raakt?
Zelf controleren
Voor Mitsubishi Electric-componenten hebben we binnen Engineeringshop verschillende praktische hulpmiddelen ontwikkeld waarmee engineers zelf componenten, opvolgers en migratiemogelijkheden kunnen onderzoeken.
Via de Engineeringshop Tools & Keuzehulpen vindt u onder andere selectie-, lifecycle- en migratiehulpen voor Mitsubishi PLC’s, HMI’s en andere automatiseringsproducten.
Daarnaast houden we een Mitsubishi End-of-Life overzicht bij met informatie over uitlopende productseries en waar mogelijk geschikte opvolgers.
Van cybersecurity naar continuïteit
De Cyber Resilience Act is in de eerste plaats bedoeld om digitale producten veiliger te maken.
Voor een moderne, verbonden productieomgeving is het belang daarvan duidelijk.
Maar bij bestaande industriële installaties kan een ander gevolg minstens zo belangrijk zijn: oudere automatiseringsproducten kunnen uit het leverprogramma verdwijnen terwijl de machines waarin ze zitten nog jarenlang mee kunnen.
Heeft u een bestaande machine of productielijn waarvan niet duidelijk is waar de technische risico’s zitten? MOL Industriële Automatisering kan helpen bij het inventariseren van de installatie en, wanneer dat nodig blijkt, bij het voorbereiden of uitvoeren van een migratie.
De CRA betekent dus niet dat een goed werkende machine ineens vervangen moet worden.
Maar het is wel een extra reden om te weten wat er in uw machine zit voordat u het op maandagochtend tijdens een storing moet uitzoeken.