De regelgeving op het gebied van machineveiligheid en cybersecurity wordt de laatste tijd flink aangescherpt. Dat geldt ook voor de eisen rond digitale veiligheid binnen de CE-markering en de nieuwe Europese Machineverordening 2023/1230. De (EU) 2023/1230 is per 19 juli 2023 inwerking getreden, maar pas met ingang van 20 januari 2027 van toepassing op alle nieuw in de Europese markt gebrachte machines.
Voor arboprofessionals, veiligheidsdeskundigen in het bijzonder, is het zaak om bij te blijven en te investeren in kennis en communicatie. We vroegen twee specialisten, cybersecurity compliance officer Serge Koumatchev en regulatory compliance expert Marco Slotboom van Certification Company, naar hun kijk op de actuele uitdagingen op cybersecurity-gebied.
Digitale risico's machines en arbeidsveiligheid
Wat zijn de belangrijkste digitale risico’s bij moderne machines? En hoe kunnen die leiden tot fysiek gevaar voor medewerkers?
Slotboom: "Dat zit hem vooral in de mogelijkheid tot manipulatie, via toegang tot software bijvoorbeeld. Het fysieke gevaar zit natuurlijk in de machine. De digitale component, zoals een netwerkverbinding, kan je niet 'verwonden'. Maar manipulatie van het besturings- of veiligheidssysteem zorgt wel voor een probleem, met een groter risico op letsel."
Koumatchev: "Om een voorbeeld te geven: een robotarm werkt op basis van ingevoerde parameters. Op basis van die instellingen heb je een goed beeld van het eventuele gevaar. Maar wat gebeurt er als iemand die parameters kan aanpassen, zodat de bewegingen veranderen en de snelheid toeneemt? Dat vergroot de kans op letsel. Dan heb je het misschien over hackers of over anderen die met onrechtmatige toestemming toegang krijgen tot het systeem. Als die aan het besturingssysteem gaan rommelen, kan dat gevaarlijke situaties opleveren."
Effect gewijzigde machines in risicobeoordeling
Hoe ziet een risicobeoordeling eruit waarin ook digitale kwetsbaarheden worden meegenomen? Wat moeten arboprofessionals daarbij vooral niet vergeten?
Slotboom: "Het draait in beginsel vooral om kennis bij de professionals. Een machine die zojuist een software-update heeft gehad, is een andere machine dan daarvoor. Dat moet een arboprofessional kunnen plaatsen: wat is er gewijzigd en heeft dit effect op de veiligheid van de installatie? Dat betekent dat arboprofessionals ook kennis moeten hebben van de IT-systemen binnen de organisatie. En ook dat zij deze wijzigingen in een risicobeoordeling moeten meenemen."
Koumatchev: "Stel je voor dat een machine niet is aangesloten op het internet. En een medewerker dan zegt: "Laten we een 4G-modem plaatsen. Dat is handig, dan kunnen we op afstand wat dingen regelen." Op dat moment moet er bij een veiligheidskundige direct een lampje gaan branden. Want zo'n ogenschijnlijk kleine toevoeging kan grote gevolgen hebben voor de functionaliteit van een machine. Met nieuwe risico’s! Daarnaast is de werkgever voor wie de arboprofessional werkt vanaf dat moment feitelijk de 'nieuwe fabrikant' van die machine. Dan moet je echt opnieuw onderzoek gaan doen. Plus een nieuwe risicobeoordeling maken en het technisch dossier aanpassen. Voor arboprofessionals is het belangrijk om ook van deze geschiedenis op de hoogte te zijn."
Rol arboprofessional bij beleid rond cybersecurity
Wat betekent de nieuwe Machineverordening voor de rol van arboprofessional?
Slotboom: "De nieuwe EU-Machineverordening heeft zeker gevolgen. De grote vraag daarbij is: hoe kan ik voldoen aan de eisen? De IEC 62443-normreeks geeft daarvoor al een mooi raamwerk. Bij industriële automatisering kijk je naar drie niveaus: component, systeem en beleid. Bij de eerste gaat het om de machine, bij de tweede om de connectiviteit en bij de derde komt de arbodeskundige in beeld. Wat is het beleid in de organisatie rond cybersecurity? Wat gebeurt er bijvoorbeeld bij een software-update? Dat is iets nieuws voor de arboprofessional, die moet daarmee uit de voeten kunnen."
Koumatchev: "In de nieuwe Machineverordening is cybersecurity meegenomen. Wij kijken vanuit ons bedrijf vooral naar de rol van de fabrikant en beoordelen deze nieuwe eisen op niveau van component, machine of installatie. De arboprofessional is vooral bij de gebruiksfase betrokken. Dus op het moment dat die nieuwe wet- en regelgeving van toepassing is, moeten ook arboprofessionals op de hoogte zijn van de aanvullende eisen voor cybersecurity. Om daar op hun niveau, in het beleid, invulling aan te geven."
"De nieuwe Machineverordening geldt overigens niet alleen maar voor nieuwe machines. Ook bestaande machines vallen na wijziging onder de nieuwe wet- en regelgeving. Een veiligheidskundige moet daar scherp op zijn en invulling geven aan die nieuwe eisen, eventueel in samenspraak met de fabrikant."
Cybersecurity structureel mee in veiligheidsbeleid
Hoe kunnen onder anderen veiligheidsdeskundigen beter samenwerken met technische experts, IT en leveranciers, om cybersecurity structureel mee te nemen in het veiligheidsbeleid?
Slotboom: "Dat begint bij overleg over de aansprakelijkheid in de hele keten. Een veiligheidskundige heeft daarbij vanuit onze optiek een coördinerende rol. Dat begint al bij de inkoop aan de voordeur. Zit er CE-markering op de machine? Wat gebeurt er na installatie en oplevering, waar ligt de aansprakelijkheid? Alle risico’s moeten besproken en vastgelegd, waarbij alle partners in de keten moeten aanhaken."
Koumatchev: "De administratie speelt ook een belangrijke rol. Daarin is de arbodeskundige leidend. Wat gebeurt er in de praktijk? Hoe zit het met de ongevallenregistraties? Een sluitende administratie helpt om te leren van het verleden en daarmee een veilige werkomgeving te creëren. Het is aan de arbodeskundige om daar scherp op te zijn.”
Slotboom: "Leg ook de verantwoordelijkheden van tevoren vast. Het komt regelmatig voor dat de fabrikant zegt: ‘Dat is niet onze verantwoordelijkheid’ en de arboprofessional het tegenovergestelde beweert. Dit van tevoren vastleggen, met een akkoord van alle betrokkenen, scheelt tijd en discussies."
