《机械法规》+ CRA：机械行业网络安全合规迎来新挑战

《机械法规》网络安全：聚焦两项EHSR

《机械法规》（欧盟2023/1230号）将于2027年1月20日正式生效，并废止现行《机械指令》（2006/42/EC）。此前机械领域立法修订并未带来根本性变革，但本次修订截然不同，法规新增条款用以应对产品联网等特定技术带来的各类风险。

行业方面存在担忧：部分基本健康与安全要求（EHSR）需要与其他新法规（例如《横向网络安全要求法规》2024/2847，简称CRA《网络韧性法案》）保持一致，由此可能出现对条款的不同解读与执行方式。《机械法规》中以下两点尤为受关注：

• 基本健康与安全要求1.1.9 防范篡改破坏
• 基本健康与安全要求1.2.1(f) 控制系统的安全性与可靠性

标准与指南尚未明确，企业面临合规落地难题

就网络安全要求而言，尽管已有国际标准，但企业对标准的掌握程度因规模不同存在差异，行业的前沿技术仍处在发展阶段。此外，预计配套协调标准要到2026年末才会发布，留给制造商适配1.1.9和1.2.1(f)新要求的时间严重不足。

针对基本健康与安全要求1.2.1(f)中日志激活的规定，未来出台的协调标准内容也将偏于笼统。该条款需要满足市场监管机构的预期，但目前制造商完全没有参考依据，无法厘清监管机构的具体期望。

新要求释义模糊，会导致市场经营者、市场监管机构以及公告认证机构产生不同理解与执行预期，企业很难选取合适的技术方案。这将造成欧盟内部市场严重扭曲，各成员国安全保障水平参差不齐。因此，编制《机械法规》应用指南这项工作至关重要。但该指南启动较晚，欧洲层面迟迟没有形成可靠、统一的官方解读，实际上会干扰企业正常的产品开发周期。

机械法规与CRA协同：避免重复合规

欧盟官员均确认，依据《机械法规》需要落实的网络安全风险管控义务，同样必须满足《网络韧性法案》（CRA）的规定。而《网络韧性法案》生效时间，距离《机械法规》生效不足11个月。

若摒弃分两步合规的模式，制造商可以集中资源满足《网络韧性法案》要求，同时也完成《机械法规》的合规义务，减轻企业负担。将《机械法规》1.1.9条、1.2.1(f)条网络安全要求提前实施与《网络韧性法案》保持同步，能够消除重复工作，便于法规落地：企业可以降低合规复杂度、压缩成本，认证流程也将得到简化。

机械设备中集成的每一项数字化组件（PDE，单套设备配置中往往超过100项），均需要编制软件物料清单（SBOM）、开展漏洞管理、完成安全更新有效性验证。如果制造商被迫执行双重合规流程——先满足《机械法规》，再满足《网络韧性法案》，相关工作量会呈指数级增长。

部分制造商面临的处境更为严峻：安全safety与网络安全要求重复管控带来的额外成本，涵盖项目管理、文档编制、软件设计、双重验证，以及最多30个机器产品系列的工业化落地。其中70%的成本属于通用性的必要支出，无法规避。

以上数据也体现出时间错配带来的财务与运营难题：行业网络安全专业人才紧缺、标准体系碎片化、供应链波动，双重合规流程令企业难以承受。

提前对齐法规，推动合规落地

将《机械法规》网络安全条款与《网络韧性法案》对齐，能够消除重复工作、降低成本，促进企业招募或培训专业人员，中小企业尤其受益。因此，机械行业需要先走一步了，保障法规落地协调统一、高效且兼顾产业竞争力。

DQS服务基于下面标准的解读落地辅导服务，可以帮助企业快速满足双规要求（欧盟机械法案2023/1230中的网络安全 和 《横向网络安全要求法规》2024/2847）

• prEN 40000-1-1 - vocabulary
• prEN 40000-1-2 - principles for cyber resilience
• prEN 40000-1-3 - vulnerability handling
• prEN 40000-1-4 - generic security requirements
• IEC 62443-4-1:2018 Security for industrial automation and control systems - Part 4-1: Secure product development lifecycle requirements
• IEC 62443-4-2:2019 Security for industrial automation and control systems - Part 4-2: Technical security requirements for IACS components
• EN 50742:2026 Safety of machinery - Protection against corruption