اعتبارًا من 20 يناير 2027، تحل اللائحة (EU) 2023/1230 محل توجيه الآلات – دون مرحلة انتقالية، ومع متطلبات أمن سيبراني ملزمة للآلات لأول مرة. نرافق الشركات المصنِّعة والمُدمِجين والمشغّلين من تقييم المخاطر حتى تقييم المطابقة.
تحل اللائحة (EU) 2023/1230 – المعروفة اختصارًا بلائحة الآلات (MVO) – محل توجيه الآلات 2006/42/EG اعتبارًا من 20 يناير 2027. وبصفتها لائحة أوروبية، تسري مباشرة في جميع الدول الأعضاء؛ ولم يعد التحويل الوطني مطلوبًا. وفي ألمانيا يُلغى العمل باللائحة 9. ProdSV في الموعد المحدد؛ ويُنظّم قانون MaschinenDG بالتوازي مراقبة السوق ومتطلبات اللغة والعقوبات بغرامات تصل إلى 100,000 يورو. الموعد حاسم: لا توجد مرحلة مختلطة ولا مرحلة اختيارية مبكرة عند الطرح في السوق.
من حيث المضمون، تستجيب اللائحة لرقمنة صناعة الآلات: فلأول مرة تصبح متطلبات الأمن السيبراني للآلات ملزمة، وتخضع وظائف السلامة القائمة على الذكاء الاصطناعي لفحص إلزامي من طرف ثالث، ويمكن أن تكون البرمجيات نفسها مكوّن سلامة. ويُضاف إلى ذلك تعريف موحّد على مستوى الاتحاد الأوروبي للتعديل الجوهري، وتعليمات التشغيل الرقمية، والتزامات توثيق موسّعة. ونظرًا لعدم توفر معايير منسّقة للمتطلبات الجديدة بعد، ومحدودية قدرات الجهات المُخطَرة، ينبغي للشركات المصنِّعة استغلال الوقت المتبقي لتحليل الفجوات والتنفيذ.
من دخول حيز النفاذ حتى الموعد الحاسم – مواعيد ينبغي أن تعرفوها.
تُنشر اللائحة (EU) 2023/1230 وتدخل حيز النفاذ في 19 يوليو 2023. وهي تحل محل توجيه الآلات 2006/42/EG، وتسري بصفتها لائحة مباشرة في كل دولة عضو.
تسري الأحكام المتعلقة بإخطار جهات تقييم المطابقة (المواد 26–42) بشكل مبكر. وينبغي للشركات المصنِّعة التي تحتاج إلى فحص من طرف ثالث تأمين قدرات الفحص مبكرًا.
يُنظّم قانون تنفيذ لائحة الآلات (BGBl. 2025 I Nr. 302) مراقبة السوق وأحكام اللغة والعقوبات؛ وتسري أجزاؤه الموضوعية اعتبارًا من 20 يناير 2027. ويُلغى العمل باللائحة 9. ProdSV بانتهاء يوم 19 يناير 2027.
تُبلغ الدول الأعضاء المفوضية بأنظمة العقوبات الخاصة بها. وفي ألمانيا ينص قانون MaschinenDG على غرامات تصل إلى 100,000 يورو، وعلى السجن لمدة تصل إلى سنة واحدة في حالات المخالفات الجسيمة.
اعتبارًا من هذا اليوم، لا يجوز طرح الآلات في السوق إلا وفق اللائحة الجديدة؛ وحتى 19 يناير 2027 ضمنًا يسري توجيه الآلات حصرًا. ويجوز الاستمرار في توفير البضائع التي طُرحت في السوق قبل الموعد المحدد.
ثمانية مستجدات تؤثر مباشرة في التصميم والتوثيق والوصول إلى السوق.
تسري اللائحة (EU) 2023/1230 مباشرة في كل دولة عضو – وتسقط عمليات التحويل الوطنية المختلفة. ويُلغى العمل بلائحة الآلات الألمانية السابقة (9. ProdSV) بانتهاء يوم 19 يناير 2027؛ ويُنظّم قانون MaschinenDG بالتوازي مراقبة السوق والعقوبات.
مع المتطلبين 1.1.9 (الحماية من الإفساد) و1.2.1 (سلامة أنظمة التحكم وموثوقيتها)، يتضمن الملحق III لأول مرة اشتراطات أمنية ملزمة. وبذلك تصبح حماية الأجهزة والبرمجيات ذات الصلة بالسلامة من التدخلات غير المقصودة والمتعمدة جزءًا من مطابقة CE.
يشمل مصطلح مكوّن السلامة صراحةً المكوّنات المادية والرقمية بما في ذلك البرمجيات (المادة 3 البند 3). ومن يطرح برمجيات ذات وظيفة سلامة في السوق بشكل منفصل، يتحمل التزامات خاصة بالشركة المصنِّعة بما في ذلك وضع علامة CE.
تُدرج مكوّنات السلامة والأنظمة المدمجة ذات السلوك المتطور ذاتيًا كليًا أو جزئيًا القائم على التعلم الآلي في الملحق I الجزء A. ويجب دائمًا إشراك جهة مُخطَرة بشأنها – حتى عند التطبيق الكامل للمعايير المنسّقة.
تحدد المادة 3 البند 16 بشكل موحّد على مستوى الاتحاد الأوروبي متى يجعل التعديل المادي أو الرقمي الآلةَ منتجًا جديدًا من الناحية القانونية. ومن يُجري تعديلًا جوهريًا – كما في التحديث التحديثي (Retrofit) –، يُعدّ شركة مصنِّعة ويجب عليه اجتياز إجراء المطابقة (المادة 18).
يجوز توفير تعليمات التشغيل وإعلان المطابقة الأوروبي رقميًا – قابلة للطباعة والتنزيل ومتاحة عبر الإنترنت لمدة عشر سنوات على الأقل. وعند الطلب أثناء الشراء، يجب تسليم نسخة ورقية مجانية خلال شهر واحد؛ وبالنسبة للمستخدمين غير المهنيين تبقى معلومات السلامة الأساسية واجبة التقديم ورقيًا.
تُعدّ آلةً مستقبلًا أيضًا المجموعة التي ينقصها فقط تثبيت البرمجيات التي حددتها الشركة المصنِّعة (المادة 3 البند 1 الحرف f). وبذلك لا يمكن التحايل على التزامات CE عبر تثبيت البرمجيات في مرحلة لاحقة.
تشمل الوثائق الفنية وفق الملحق IV، في الآلات المعتمدة على المستشعرات أو المُتحكَّم بها عن بُعد أو المستقلة، وصفًا لعمليات البيانات والاختبار والتحقق أيضًا. ويجب تقديم الشيفرة المصدرية أو منطق البرمجة للبرمجيات ذات الصلة بالسلامة إلى السلطات بناءً على طلب مُسبَّب؛ ويجب الاحتفاظ بالوثائق لمدة عشر سنوات على الأقل.
لأول مرة يشترط قانون الآلات الأوروبي بشكل ملزم الحماية من التلاعب الرقمي – كشرط مسبق لوضع علامة CE.
يجب ألا يؤدي توصيل أجهزة أخرى – بما في ذلك عبر الوصول عن بُعد – إلى مواقف خطرة. ويجب تحديد الأجهزة والبرمجيات والبيانات ذات الصلة بالسلامة وحمايتها بشكل مناسب من الإفساد غير المقصود والمتعمد. والهدف من الحماية هو سلامة الآلة (Safety)، وليس السرية أو حماية البيانات.
يجب أن تجمع الآلة أدلة على التدخلات المشروعة وغير المشروعة في الأجهزة والبرمجيات ذات الصلة بالسلامة – وهو فعليًا تسجيل أمني على مستوى المنتج. وإضافة إلى ذلك، يجب أن تكون البرمجيات المثبتة للتشغيل الآمن قابلة للتعريف في أي وقت بصيغة يسهل الوصول إليها.
يجب أن تصمد أنظمة التحكم أمام المؤثرات الخارجية المقصودة وغير المقصودة – بما في ذلك المحاولات الخبيثة المتوقعة بشكل معقول من أطراف ثالثة التي تؤدي إلى حالة خطر. والمعيار قائم على المخاطر: يتحدد نطاق الإجراءات وعمقها وفق الظروف والمخاطر. كما يجب ألا تؤدي أعطال الأجهزة وأخطاء منطق التحكم وأخطاء التشغيل المتوقعة إلى مخاطر.
يجب أن يكون سجل التتبع الخاص بالتدخلات وبالإصدارات المثبتة لاحقًا من برمجيات السلامة متاحًا للسلطات لمدة تصل إلى خمس سنوات بعد التحميل. ويجب على أنظمة التحكم ذات السلوك المتطور ذاتيًا تسجيل بيانات القرارات ذات الصلة بالسلامة لمدة سنة واحدة، وألا تتجاوز نطاق المهام والحركة المحدد، وأن تبقى قابلة للتصحيح في أي وقت.
لا تقف متطلبات الأمن السيبراني في لائحة الآلات وحدها: فالآلات ذات العناصر الرقمية تخضع اعتبارًا من 11 ديسمبر 2027 أيضًا لقانون المرونة السيبرانية (Cyber Resilience Act)، الذي تسري التزامات الإبلاغ فيه بشأن الثغرات الأمنية المستغلة بنشاط اعتبارًا من 11 سبتمبر 2026. ولا توجد قرينة مطابقة تلقائية من CRA إلى MVO – ويجب إثبات أوجه التآزر في كل حالة على حدة. ولا تنشأ قرينة المطابقة للمتطلبين 1.1.9 و1.2.1 إلا عبر المعايير المنسّقة أو عبر شهادات وفق مخطط من مخططات Cybersecurity Act (المادة 20 الفقرة 9 من MVO). والمعيار المخصص لذلك EN 50742 متاح حاليًا كمسودة فقط (prEN 50742)؛ ولا يزال غير محسوم ما إذا كان سيُدرج في الجريدة الرسمية للاتحاد الأوروبي قبل الموعد المحدد. وبالنسبة لوظائف السلامة القائمة على التعلم الآلي، تُضاف اعتبارًا من 2 أغسطس 2027 التزامات المخاطر العالية في AI Act، والتي تُدمج في تقييم المطابقة وفق MVO.
تقع الالتزامات على سلسلة التوريد بأكملها – من الشركة المصنِّعة حتى المشغّل الذي يُجري تحديثات تحديثية.
تتحملون الالتزامات الأساسية: تقييم المخاطر، والتصميم وفق الملحق III، والوثائق الفنية، وتقييم المطابقة، وإعلان المطابقة الأوروبي، ووضع علامة CE. ويجب الاحتفاظ بالوثائق والإعلان لمدة عشر سنوات على الأقل؛ وبالنسبة للآلات غير المكتملة تسري التزامات موازية مع إعلان الدمج وتعليمات التركيب.
يتحقق المستوردون قبل الطرح في السوق من توفر إجراءات المطابقة والوثائق والعلامات، ويذكرون بيانات الاتصال الخاصة بهم؛ ويتحقق الموزّعون من علامة CE وإعلان المطابقة والنسخة اللغوية لتعليمات التشغيل. ومن يوزّع منتجات تحت علامته التجارية الخاصة أو يعدّلها بما يؤثر في المطابقة، يتحمل التزامات الشركة المصنِّعة كاملة (المادة 17).
من يعدّل الآلات تعديلًا جوهريًا – ماديًا أو رقميًا، مثل الربط الشبكي اللاحق أو وظائف سلامة جديدة –، يُعدّ الشركة المصنِّعة للآلة المعدّلة. وفي مجموعات الآلات قد تقتصر الالتزامات على الجزء المتأثر؛ ويتطلب ذلك تقييم مخاطر متينًا.
يمكن أن تكون البرمجيات التي تضمن وظائف السلامة مكوّن سلامة مستقلًا يخضع لالتزام CE. وتخضع مكوّنات السلامة القائمة على التعلم الآلي للفحص الإلزامي من طرف ثالث وفق الملحق I الجزء A، وتُعدّ في الوقت نفسه ذكاءً اصطناعيًا عالي المخاطر بمفهوم AI Act، الذي تسري التزاماته ذات الصلة اعتبارًا من 2 أغسطس 2027.
أربع خطوات من التصنيف حتى ضمان المطابقة المستمر.
يجب أولًا توضيح ما إذا كان منتجكم يندرج ضمن الملحق I. فالجزء A (ومنه مكوّنات السلامة القائمة على التعلم الآلي) يتطلب دائمًا جهة مُخطَرة – فحص النموذج الأوروبي مع مطابقة النموذج، أو ضمان الجودة الشامل، أو الفحص الفردي؛ وفي الجزء B لا تُسمح الرقابة الداخلية على الإنتاج إلا إذا غطت المعايير المنسّقة جميع المتطلبات ذات الصلة. وتخضع جميع الآلات الأخرى للرقابة الداخلية على الإنتاج (الوحدة A).
تقييم المخاطر هو نقطة انطلاق المطابقة: حدود المنتج، وتحديد المخاطر، وتقدير المخاطر، وتخفيف المخاطر وفق الترتيب: تصميم آمن بطبيعته، ثم إجراءات الحماية، ثم معلومات المستخدم. والجديد هو الالتزام بإدراج التهديدات السيبرانية ذات الصلة بالسلامة والتطور المقرر لوظائف التعلم الذاتي.
يشمل التوثيق من بين أمور أخرى تقييم المخاطر، والمعايير المطبقة، وتقارير الفحص والتحقق؛ وفي الآلات المعتمدة على المستشعرات أو المستقلة يشمل إضافة إلى ذلك وصف القدرات والحدود وعمليات البيانات. كما يلزم وجود عملية لتمكين تقديم الشيفرة المصدرية أو منطق البرمجة للبرمجيات ذات الصلة بالسلامة بناءً على طلب مُسبَّب من السلطات.
بإعلان المطابقة الأوروبي تتحمل الشركة المصنِّعة المسؤولية عن المطابقة؛ وإذا خضع المنتج لعدة تشريعات، يُصدر إعلان واحد. وبعد وضع علامة CE – مع الرقم التعريفي للجهة المُخطَرة في حالة الفحص من طرف ثالث – يجب مراقبة مطابقة الإنتاج المتسلسل وتغييرات المعايير والإجراءات التصحيحية بشكل مستمر.
إجابات موجزة عن الأسئلة المعتادة من الممارسة الاستشارية.
تسري اللائحة اعتبارًا من 20 يناير 2027؛ وحتى 19 يناير 2027 ضمنًا يجب طرح الآلات في السوق وفق توجيه الآلات 2006/42/EG – ولا توجد مرحلة مختلطة أو اختيارية. ويجوز الاستمرار في توفير المنتجات التي طُرحت في السوق قبل الموعد المحدد بما يتوافق مع التوجيه؛ وتبقى شهادات فحص النموذج الأوروبية صالحة حتى انتهائها. أما تأجيل متطلبات الأمن السيبراني إلى موعد CRA الذي طالبت به الاتحادات الصناعية، فلم يُقرّ حتى الآن – ويبقى 20 يناير 2027 ملزمًا.
لا. تبقى القاعدة العامة الرقابة الداخلية على الإنتاج (الوحدة A) دون جهة خارجية. وتكون الجهة المُخطَرة إلزامية للفئات الست في الملحق I الجزء A – ومنها مكوّنات السلامة القائمة على التعلم الآلي – وكذلك لآلات الجزء B إذا لم تُطبَّق معايير منسّقة تغطي جميع المتطلبات ذات الصلة.
يشترط الملحق III 1.1.9 ألا تؤدي التوصيلات وعمليات الوصول عن بُعد إلى مواقف خطرة، وأن تُحدَّد الأجهزة والبرمجيات والبيانات ذات الصلة بالسلامة وتُحمى من التدخلات غير المقصودة والمتعمدة، وأن تجمع الآلة أدلة على التدخلات. كما يجب أن تكون البرمجيات المثبتة ذات الصلة بالسلامة قابلة للتعريف في أي وقت. وعمليًا يعني ذلك: يصبح تحليل التهديدات والتحصين واكتشاف التلاعب والتسجيل جزءًا من تصميم الآلة.
لا، ليس تلقائيًا. لا يتضمن قانون المرونة السيبرانية (Cyber Resilience Act) قرينة مطابقة لصالح متطلبي MVO 1.1.9 و1.2.1؛ ويجب الالتزام بكلا تقييمي المطابقة. وأوجه التآزر منصوص عليها صراحةً، لكن يجب على الشركة المصنِّعة إثباتها – مثلًا عبر أدلة إثبات مشتركة، ومستقبلًا عبر معايير متوائمة فيما بينها.
عندما يُنشئ تعديل مادي أو رقمي لم تحدده الشركة المصنِّعة خطرًا جديدًا أو يزيد خطرًا قائمًا، بحيث تصبح هناك حاجة إلى تجهيزات حماية إضافية مع تكييف نظام التحكم في السلامة أو إجراءات إضافية للثبات والمتانة (المادة 3 البند 16). وعندئذ يُعدّ من أجرى التعديل شركةً مصنِّعة – مع تقييم المطابقة والإعلان ووضع علامة CE. ويمكن أيضًا للتحديثات التحديثية الخاصة بالبرمجيات والاتصال أن تبلغ هذه العتبة.
لا، ليس حتى منتصف 2026. فالمعيار المقرر EN 50742 («الحماية من الإفساد») موجود حتى الآن كمسودة فقط (prEN 50742)؛ ولا يزال غير محسوم ما إذا كان سيُدرج في الجريدة الرسمية للاتحاد الأوروبي قبل الموعد المحدد. وحتى ذلك الحين توفر سلسلة IEC 62443 والمواصفة الفنية IEC/TS 63074 توجيهًا فنيًا – لكنها لا تُنشئ قرينة مطابقة. ولذلك تزداد أهمية حجة متينة قائمة على المخاطر في التوثيق الفني.
من التصنيف الأول حتى دليل إثبات CE متين – تقنيًا وتنظيميًا من مصدر واحد.
نقيّم منتجاتكم وعملياتكم وتوثيقكم مقابل متطلبات اللائحة – بما يشمل التصنيف وفق الملحق I وفحص فجوات الأمن السيبراني المتعلقة بـ 1.1.9 و1.2.1. وتحصلون على خارطة طريق تنفيذ مرتّبة حسب الأولوية حتى الموعد المحدد.
نوسّع تقييم المخاطر القائم لديكم ليشمل التهديدات السيبرانية ذات الصلة بالسلامة: تحليل منهجي للتهديدات والمخاطر لأنظمة التحكم والواجهات وعمليات الوصول عن بُعد. وتنعكس النتائج مباشرة في إجراءات الحماية لديكم وفي التوثيق الفني.
ندعم التنفيذ التصميمي: تحصين أنظمة التحكم، ومفاهيم آمنة للوصول عن بُعد والتحديثات، وأدلة التلاعب، والتسجيل الأمني، وجرد البرمجيات. ونسترشد في ذلك بأحدث ما توصلت إليه التقنية، ولا سيما سلسلة IEC 62443.
تتحقق اختبارات الاختراق لدينا في مجال OT والمنتجات مما إذا كانت آلتكم تصمد أمام محاولات الوصول الخبيثة المتوقعة – من واجهات الشبكة والاتصال اللاسلكي حتى منافذ الصيانة عن بُعد. وتوفر النتائج أدلة إثبات متينة لتقييم المخاطر وتوثيق المطابقة.
نرافقكم عبر الإجراء المناسب – من اختيار الإجراء مرورًا بالوثائق الفنية وفق الملحق IV حتى التحضير للجهة المُخطَرة. ونوائم في ذلك بين أدلة الإثبات الخاصة بـ MVO وCRA وAI Act لتجنب ازدواجية العمل.
تدريبات عملية لفرق التصميم والتطوير وإدارة المنتجات ومسؤولي CE: المتطلبات الجديدة، وأساسيات الأمن لصناعة الآلات، والتعامل مع التعديلات الجوهرية. وعند الطلب كورشة عمل داخلية وفق خطوط منتجاتكم.
يأتي الموعد دون فترة انتقالية – ويبقى وضع المعايير في تغيّر. تحدثوا معنا قبل أن يضيق الجدول الزمني وقدرات الفحص.
