Nieuwe Europese Machineverordening legt duidelijkere verantwoordelijkheden bij fabrikant, leverancier én gebruiker
Over enkele maanden wordt de Machineverordening (EU) 2023/1230 in de hele Europese Unie algemeen van toepassing. De verordening vervangt de oude Machinerichtlijn uit 2006 en legt in de keten van fabrikant, leverancier en gebruiker – en bij substantiële wijzigingen ook bij de partij die deze uitvoert – duidelijker vast wie waarvoor verantwoordelijk is. Dat heeft gevolgen waar men niet altijd direct bij stilstaat.
20 januari 2027 is D-day voor de Europese Machineverordening. Vanaf die dag moet iedereen de nieuwe regels toepassen. De verordening is al op 19 juli 2023 van kracht geworden in alle 27 EU-lidstaten en in IJsland, Liechtenstein en Noorwegen. Zoals eerder in Metallerie is geschreven, geldt zij in al deze landen gelijktijdig en op dezelfde manier.
Digitaal tijdperk
Een belangrijke reden voor de EU om de nieuwe Machineverordening op te stellen, is de snelle technologische ontwikkeling van de afgelopen jaren. De oude Machinerichtlijn 2006/42/EG stamt uit een tijd waarin digitalisering en kunstmatige intelligentie (AI) nog in de kinderschoenen stonden. De nieuwe verordening biedt een juridisch kader dat beter aansluit op moderne uitdagingen zoals cybersecurity, autonome mobiele robots en zelflerende systemen.
Software als veiligheidscomponent
Een cruciaal punt is dat software als veiligheidscomponent kan worden aangemerkt. Software die veiligheidsfuncties vervult, wordt in de nieuwe regelgeving expliciet gezien als een product dat aan strenge veiligheidseisen moet voldoen. Fabrikanten moeten dus niet alleen kijken naar fysieke afscherming of mechanische stops, maar ook de integriteit van de broncode en de weerbaarheid van software tegen externe manipulatie waarborgen.
Cybersecurity wordt daarmee een expliciete eis. Als een software-update de veiligheid of conformiteit beïnvloedt, nieuwe risico's introduceert of substantiële wijzigingen doorvoert, moet een nieuwe conformiteitsverklaring worden afgegeven. De fabrikant moet de procedure dan opnieuw doorlopen.
Gescheiden systemen
Een van de oplossingen die in de machinebouw wordt doorgevoerd, is het scheiden van veiligheids- en standaardautomatisering. Pilz laat bijvoorbeeld veiligheidsfuncties draaien op aparte hardware, zodat deze volledig afgeschermd zijn van updates, fouten en aanvallen in het standaardbereik. Om de bescherming nog sterker te maken, pleit het concern zelfs voor het onderbrengen van apparaten die veiligheidsfuncties uitvoeren in een apart netwerksegment.
Nieuwe functies
De verplichting om de conformiteitsprocedure opnieuw te doorlopen geldt ook wanneer een machine nieuwe functies krijgt. Op dit punt legt de Machineverordening duidelijk meer verantwoordelijkheid bij de importeur of leverancier. De rollen van fabrikant, distributeur en leverancier, en de bijbehorende verantwoordelijkheden, worden nauwkeurig omschreven. Als een machine straks niet veilig is of de software niet aan de veiligheidseisen voldoet, kan geen van deze partijen zich nog verschuilen.
Substantiële wijziging
Daarnaast brengt de verordening belangrijke wijzigingen met zich mee rond het begrip ‘substantiële wijziging'. In de praktijk passen gebruikers bestaande machines vaak aan of breiden zij die uit om de productiecapaciteit te verhogen. Onder de nieuwe regels wordt sneller geoordeeld dat sprake is van een ingrijpende verandering die de machine technisch gezien ‘nieuw' maakt.
In dat geval verschuift de volledige verantwoordelijkheid van de oorspronkelijke fabrikant naar de partij die de wijziging uitvoert. Die partij wordt juridisch gezien fabrikant en moet een volledig nieuwe conformiteitsbeoordeling uitvoeren, inclusief technische documentatie en CE-markering. Dat vraagt om een nauwkeurige administratie en een goed begrip van de risicoanalyse, omdat de aansprakelijkheid bij incidenten direct bij de aanpassende partij kan komen te liggen.
In de handel brengen
Zoals gezegd wordt de Machineverordening vanaf 20 januari 2027 volledig van kracht in de 27 EU-landen en de drie EER-landen. Een belangrijk juridisch detail is dat de verordening geldt voor alle machines die vanaf die datum voor het eerst in de EU in de handel worden gebracht. Dat is iets anders dan de bestel- of productiedatum. Men mag aannemen dat gevestigde merken hun machines inmiddels al volgens de nieuwe regels bouwen, zodat zij in 2027 compliant zijn.
Bij de aankoop van bijvoorbeeld een machine van een minder bekende Chinese fabrikant verdient dit extra aandacht. Europese machinebouwers klagen al langer dat er veel Chinese machines op de Europese markt komen die niet aan de CE-eisen voldoen. Nu de verantwoordelijkheden nog explicieter worden vastgelegd, is waakzaamheid geboden.
Voorraadmachines
En wat als men een voorraadmachine koopt die al enkele maanden bij een handelaar op stock staat? Als de fabrikant deze machine al eerder aan de handelaar heeft geleverd, geldt nog de oude Machinerichtlijn. De machine is dan immers vóór 20 januari 2027 in de handel gebracht. Anders ligt het wanneer de machine nog in het Europese magazijn van de fabrikant staat. Dan is zij nog steeds eigendom van de fabrikant.
Levert deze de machine na 20 januari 2027, dan moet zij aan de nieuwe eisen voldoen, ongeacht de productiedatum. Verkoopt de fabrikant de machine vóór 20 januari 2027 aan een handelaar of distributeur, dan is zij "in de handel gebracht" in de EU en blijven de oude normen gelden. Vraag in dat geval wel om bewijsstukken.
Gebruikte machines
Ook de aankoop van een gebruikte machine kan door de nieuwe Machineverordening anders uitpakken. Opnieuw draait het om de vraag wanneer de machine voor het eerst binnen de EU in de handel wordt gebracht. Occasiemachines uit EU-landen kunnen zonder meer worden gekocht; zij blijven onder de oude regels vallen. Dat geldt ook voor machines uit Liechtenstein, Noorwegen en IJsland. Deze drie landen hebben via het EER-verdrag verklaard volgens de Machinerichtlijn te werken, en volgend jaar wordt ook daar de Machineverordening van kracht.
Voor Zwitserland geldt dit niet. Dat land heeft toetreding tot de EER destijds verworpen. Wel hebben de EU en Zwitserland een Mutual Recognition Agreement gesloten, onder andere voor machines. Daarmee erkennen zij elkaars conformiteitsbeoordelingsprocedures, maar dat betekent geen vrije handel. Wie na 20 januari 2027 in Zwitserland – of in een ander land buiten de EU/EER-zone – een gebruikte machine koopt, brengt deze voor het eerst in de EU in de handel. De machine moet dan voldoen aan de eisen van de nieuwe Machineverordening.
Hetzelfde geldt voor het Verenigd Koninkrijk, dat sinds de Brexit geen lid meer is van de EU. De Britten hebben na hun vertrek de Machinerichtlijn 2006/42/EG als standaard overgenomen en omgedoopt tot de Supply of Machinery (Safety) Regulations 2008 (UKCA). In 2024 voerden zij voor een aantal productcategorieën, waaronder machines, onbeperkte erkenning van de CE-markering in. De EU erkent de Britse UKCA-wetgeving echter niet. Voor export naar de EU geldt dus dat machines vanaf 20 januari 2027 aan de nieuwe eisen moeten voldoen.
Software
Voor oudere, vooral mechanische machines zal voldoen aan de nieuwe Machineverordening doorgaans nog haalbaar zijn. Meer inspanning is nodig bij jongere machines met een internetkoppeling. De verordening stelt namelijk strengere eisen aan alles wat met digitalisering en cybersecurity te maken heeft. Alleen geautoriseerde personen mogen toegang hebben tot de software, de communicatie tussen machine en netwerk moet worden versleuteld en de fabrikant moet een risicoanalyse voor cybersecurity uitvoeren.
Ook moet duidelijk zijn hoe deze risico's worden afgedekt. Op dit vlak kan de Machineverordening niet los worden gezien van twee andere Europese regels: NIS2 en de Cyber Resilience Act (zie kaders). Machines die op de Europese markt worden verkocht, moeten aan safety- én security-eisen voldoen. Dat is niet langer een optie, maar een voorwaarde om verhandeld te mogen worden.
Hoogrisicosystemen
De nieuwe Machineverordening is mede opgesteld om beter in te spelen op ontwikkelingen rond artificiële intelligentie. Systemen die als hoog risico worden beschouwd, moeten een strikte conformiteitsprocedure doorlopen. Inmiddels is duidelijk welke systemen daaronder vallen.
In de bijlagen van de verordening wordt gewerkt met een A- en B-lijst. Op de A-lijst staan zes categorieën, twee meer dan in de huidige Machinerichtlijn. Voor deze categorieën moet altijd een Notified Body de certificering uitvoeren. Systemen op de B-lijst zijn daarvan uitgezonderd als er geharmoniseerde normen bestaan; in dat geval mag de fabrikant zelf certificeren. Nieuw is dat de lijsten dynamisch zijn. Elke vijf jaar evalueert de Europese Commissie de lijsten en kan zij aanpassingen doorvoeren. Tot de categorieën waarvoor een Notified Body moet certificeren, behoren in bepaalde gevallen mobiele robots (AMR's).
Robots en cobots staan daarentegen op de B-lijst. De reden is dat zij volgens een gestandaardiseerde norm worden gebouwd, onder andere de ISO 20218-safetynorm, en dat hun veiligheidsfuncties zijn vastgelegd. De grenswaarden voor kracht, snelheid en afstand liggen exact vast. Een AMR kan daarentegen met een zelflerend algoritme en beeldinformatie bepalen of hij moet stoppen of van koers moet veranderen. Het botsingsvermijdingssysteem heeft dan geen vaste drempelwaarde.
De zwaardere eisen gelden ook voor intelligente camera- of visionsystemen die met behulp van machine learning mensen van objecten onderscheiden. Deze systemen zijn als zelfstandige componenten voor de machinebouw verkrijgbaar en moeten daarom altijd door een externe instantie worden gecertificeerd. Op dit punt verschilt de nieuwe regelgeving nadrukkelijk van de bestaande: als software een veiligheidsfunctie vervult en als zodanig wordt verkocht, geldt zij als zelfstandig product. Wanneer daarin een essentiële wijziging plaatsvindt die invloed kan hebben op de veiligheidsfunctie, is een nieuwe certificering nodig.
NIS2 KAN DE HELE KETEN GAAN RAKEN
Terwijl de nieuwe Machineverordening zich richt op de intrinsieke veiligheid van het product, stelt NIS2 (Network and Information Security Directive) eisen aan de organisatie en infrastructuur waarin deze machines functioneren. Ook maakbedrijven krijgen hiermee te maken. De NIS2-richtlijn geldt vanaf 50 medewerkers of 10 miljoen euro omzet en verplicht bedrijven hun volledige digitale keten onder de loep te nemen: van ontwerpstadium en software-updates tot de koppeling met het fabrieksnetwerk van de eindgebruiker.
Zorgpiloot in de keten
Daardoor kan deze regel ook kleinere bedrijven raken die op basis van omzet en aantal medewerkers in principe buiten de richtlijn vallen. Onder de zorgplicht van NIS2 moeten bedrijven namelijk eisen stellen aan hun toeleveranciers. De richtlijn verplicht maakbedrijven hun digitale en operationele processen beter te beveiligen. Zij moeten kunnen aantonen welke cybersecuritymaatregelen zij hebben genomen en incidenten sneller melden. Hoewel de richtlijn vooral gericht is op OEM's en tier suppliers in onder meer de metaalindustrie, kunnen ook andere bedrijven ermee te maken krijgen.
Hun klanten – vaak zelf tier supplier – kunnen vragen gaan stellen en eisen dat toeleveranciers compliant zijn. Niet alleen kunnen de boetes voor NIS2-plichtige bedrijven fors oplopen, tot 2 procent van de wereldomzet of 10 miljoen euro; bestuurders kunnen ook persoonlijk aansprakelijk worden voor het cybersecuritybeleid. NIS2 is een EU-richtlijn en moet daarom door nationale overheden worden omgezet in wetgeving. In België wordt de regelgeving sinds 2024 gefaseerd ingevoerd; in Nederland is zij sinds medio augustus 2026 van kracht.
Productielijn automatiseren
Let op: dit geldt in algemene zin voor iedereen die substantiële wijzigingen doorvoert, fysiek én digitaal. In de praktijk betekent dit onder meer dat een eindgebruiker die een machine ingrijpend aanpast, juridisch gezien als fabrikant wordt aangemerkt. Wie bijvoorbeeld een verouderde productielijn automatiseert door nieuwe AI-gestuurde sensoren of een autonoom transportsysteem toe te voegen, kan te maken krijgen met een "substantiële wijziging". De verordening definieert die als een onvoorziene fysieke of digitale aanpassing van een machine na ingebruikname die de veiligheidsconformiteit kan beïnvloeden.
Regulier onderhoud en reparaties zonder gevolgen voor die conformiteit vallen hier niet onder. Bij een substantiële wijziging vervalt de oorspronkelijke CE-markering en moet de gebruiker het volledige conformiteitsbeoordelingsproces opnieuw doorlopen volgens de eisen van de nieuwe Machineverordening. Dat brengt niet alleen technische uitdagingen met zich mee, maar ook een aanzienlijke administratieve last: de technische documentatie en de risicobeoordeling moeten volledig worden geactualiseerd naar de huidige stand der techniek. Vanaf januari 2027 mag de documentatie wel digitaal worden aangeboden. In het eerste half jaar na aankoop mag de klant nog om een papieren versie vragen.
Remt de verordening AI?
Een relevante vraag rond AI is hoe de nieuwe Europese regelgeving zich verhoudt tot de opmars van zelflerende algoritmen en Digital Twins. De machinebouwer moet volgens de nieuwe verordening aangeven binnen welke bandbreedte het systeem aanpassingen mag doen zonder de veiligheidsfuncties aan te tasten. Zolang het systeem binnen gevalideerde grenzen traint, is er niets aan de hand. Anders wordt het wanneer een aanpassing niet was voorzien in de oorspronkelijke risicobeoordeling. Dan is een nieuw CE-traject nodig. Zonder deze beperking zou een AI-systeem immers nauwelijks certificeerbaar zijn.
In de toekomst kan dit discussie oproepen over de vraag hoever men kan gaan met bijvoorbeeld agentic AI, waarmee automatisch PLC's kunnen worden geprogrammeerd. Zodra zulke systemen onderdeel worden van de machine, moeten ze worden meegenomen in de risicobeoordeling. Machinefabrikanten zullen AI daarom waarschijnlijk begrenzen door vast te leggen dat alleen niet-veiligheidsgerelateerde parameters mogen worden geoptimaliseerd. Ook zullen zij een menselijke validatiestap inbouwen voordat door AI gegenereerde veiligheidslogica live gaat. Tegelijk moet worden gezegd dat de verordening vooral richting geeft. De uitvoeringspraktijk rond agentic AI, op het grensvlak van ontwerptool en operationeel onderdeel van een machine, is nog volop in ontwikkeling.
CYBER RESILIENCE ACT: CYBERSECURITY VERPLICHT
De Cyber Resilience Act (CRA) is de derde nieuwe EU-regel die relevant is voor onder meer industriële IoT-systemen, besturingssystemen, on-premises software en AI-systemen met een hoogrisicoprofiel. De CRA trad in december 2024 in werking. De invoering verloopt gefaseerd: uiterlijk 11 december 2027 moet de wetgeving in alle EU-lidstaten zijn geïmplementeerd.
Software-as-a-Service valt buiten de scope van de CRA. Dat geldt ook voor de medische sector, de automobiel-, defensie- en luchtvaartindustrie, omdat daarvoor al strengere eisen bestaan. Een belangrijke verplichting is dat software gedurende de verwachte levensduur van de machine veiligheidsupdates krijgt.
Daarnaast geldt voor incidenten en ontdekte softwarekwetsbaarheden een meldplicht. Binnen 24 uur moet een beperkte informatieset worden ingediend bij de nationale instantie. Binnen 72 uur na de eerste melding moet een uitgebreidere melding volgen, inclusief de oorzaak en de genomen maatregelen. Deze termijnen gelden ook buiten werkdagen.
