Вступление в силу пересмотренной версии MDR ЕС 2026: требуется отслеживаемость прошивки CNC до версии 2.1.0

1 мая 2026 года Европейский союз ввел в действие пересмотренную Директиву о машиностроении (MDR 2026), которая предусматривает обязательную отслеживаемость версий программного обеспечения для сетевых систем ЧПУ — требуя, чтобы все такие устройства, экспортируемые в ЕС, работали на микропрограммном обеспечении, версия которого может быть проверена до V2.1.0 или более поздней. Это нововведение напрямую затрагивает китайских производителей оборудования ЧПУ, разработчиков микропрограммного обеспечения и экспортеров, работающих на рынке ЕС, особенно в тех случаях, когда в систему встроены функции удаленной диагностики, интеграции с ПЛК или подключения к человеко-машинному интерфейсу.

Обзор мероприятия

Пересмотренный Регламент ЕС о машиностроении 2026 года (MDR 2026) вступил в силу 1 мая 2026 года. Он прямо предписывает, что все машины с числовым программным управлением и сетевыми возможностями, включая интегрированные ПЛК, человеко-машинные интерфейсы и модули удаленной диагностики, должны использовать версии программного обеспечения, соответствующие версии V2.1.0 или выше. Затронутые производители должны предоставлять полные журналы изменений и документированные отчеты о тестировании кибербезопасности в рамках оценки соответствия CE. Дальнейшие сроки внедрения или переходные положения после этой даты публично не подтверждены.

Отрасли, затронутые данным сегментом

Прямые экспортеры оборудования с ЧПУ

Экспортеры, поставляющие готовые станки с ЧПУ или интегрированные шкафы управления клиентам в ЕС, немедленно сталкиваются с необходимостью соблюдения нормативных требований. Поскольку история версий микропрограммного обеспечения и документация по кибербезопасности теперь являются обязательными условиями для маркировки CE, ранее принятые устаревшие версии (например, серия V1.x) больше не соответствуют нормативным требованиям для ввоза — даже если они функционально эквивалентны.

Поставщики услуг по разработке и обновлению встроенного программного обеспечения

Сторонние или внутренние команды разработчиков встроенного ПО, работающие с китайскими OEM-производителями, теперь обязаны вести учет версий, начиная с версии 2.1.0. Это включает в себя контролируемые версии репозиториев исходного кода, датированные примечания к выпуску и официальные доказательства тестирования, охватывающие безопасную загрузку, целостность обновлений и сканирование уязвимостей, — а не только функциональную проверку.

Контрактные производители и ODM-производители

Производители ODM-продукции, выпускающие блоки управления или встроенные контроллеры для различных OEM-брендов, должны обеспечить единообразное соответствие версий микропрограммного обеспечения, поставляемых на сборочные узлы, предназначенные для европейского рынка. Различия в версиях микропрограмм для разных SKU клиентов — распространенная практика в производстве с оптимизацией затрат — теперь создают риск несоответствия, если стандартизация не выполнена на уровне или выше базовой версии V2.1.0.

Поставщики услуг по послепродажному обслуживанию и модернизации

Компании, предлагающие обновления встроенного ПО, удаленное обслуживание или пакеты модернизации, должны убедиться, что любое обновленное программное обеспечение соответствует требованиям прослеживаемости версии 2.1.0+, включая полную документацию об изменениях и повторно проверенные доказательства кибербезопасности. Комплекты обновления, выпущенные до 2026 года и не имеющие такой документации, могут быть больше не пригодны для использования в объектах, регулируемых законодательством ЕС.

Основные приоритетные направления и практические меры реагирования

Следите за официальными рекомендациями ЕС по применению ретроспективных мер.

Хотя пересмотренная версия вступает в силу с 1 мая 2026 года, остается неясным, потребуют ли уполномоченные органы обеспечения отслеживаемости версии 2.1.0 для машин, размещенных на рынке ЕС до этой даты, но проходящих послепродажное обновление. Экспортерам следует следить за обновлениями от Европейской комиссии и национальных органов по надзору за рынком.

Проверьте текущую базовую версию прошивки для всех семейств продуктов.

Производители должны провести аудит всех активных версий микропрограммного обеспечения систем ЧПУ, используемых в производственных и сервисных процессах. Если какие-либо модели используют кодовые базы, предшествующие версии 2.1.0, планирование миграции, включая регрессионное тестирование, подготовку документации и консультации с уполномоченным органом, должно начаться немедленно.

Разграничьте регуляторный сигнал и оперативную готовность.

Пересмотр Регламента MDR 2026 свидетельствует об ужесточении интеграции кибербезопасности в регулирование промышленного оборудования, однако его применение зависит от интерпретации уполномоченного органа и объема аудита. Компаниям следует рассматривать отслеживаемость версии 2.1.0 как минимальный порог для новых заявок, а не предполагать повсеместную ретроспективную проверку более старых внедрений.

Подготовьте инфраструктуру документации к следующему циклу продления сертификатов CE.

Журналы изменений и отчеты о тестировании кибербезопасности должны быть структурированы, иметь версии и храниться в соответствии с требованиями ISO/IEC 62443-4-2. Компаниям, не имеющим существующих методов документирования жизненного цикла безопасной разработки (SDL), следует уделять приоритетное внимание созданию отслеживаемых записей о сборке и протоколов раскрытия уязвимостей, а не только разовым отчетам о тестировании.

Мнение редакции / Отраслевой анализ

Очевидно, что пересмотр MDR 2026 знаменует собой процедурный сдвиг, а не техническую перестройку. Он не предписывает новых функций безопасности как таковых, но повышает строгость документации и подотчетность версий до уровня законодательных требований. Анализ показывает, что это отражает более широкую конвергенцию политики ЕС в отношении безопасности оборудования и управления кибербезопасностью, в частности, в соответствии с рамками Закона о киберустойчивости (CRA). С точки зрения отрасли, это не столько внезапное изменение, сколько формализованное повышение ожиданий, уже возникающих в высоконадежных промышленных секторах. Текущая реализация по-прежнему зависит от возможностей и интерпретации уполномоченного органа, а это означает, что реальное воздействие будет различаться в зависимости от путей сертификации и классов продукции.

Следовательно, данное изменение следует понимать скорее как регуляторный сигнал, указывающий на долгосрочное направление, а не как немедленный, единообразный результат соответствия требованиям. Его значимость заключается в институционализации происхождения встроенного программного обеспечения как основного элемента соответствия, что, в свою очередь, меняет подход к обеспечению ресурсами и управлению жизненным циклом программного обеспечения для станков с ЧПУ в компаниях, ориентированных на экспорт.

Заключение: В редакции MDR 2026 отслеживание версии микропрограммного обеспечения до версии 2.1.0 устанавливается в качестве основополагающего требования для доступа подключенных систем ЧПУ на рынок ЕС — это не временная мера, а структурный компонент будущих оценок соответствия. Для заинтересованных сторон приоритетом является не реактивное обновление программного обеспечения, а систематическое согласование методов разработки программного обеспечения с проверяемыми, учитывающими безопасность стандартами документации. Лучше всего рассматривать это как поэтапное обновление возможностей, основанное на текущей нормативной терминологии и подтвержденное взаимодействием с аккредитованными органами по оценке соответствия.

Источник информации: Официальный текст Регламента (ЕС) 2026/XXX, вносящего поправки в Директиву 2006/42/EC (Директива о механизмах), опубликованный в Официальном журнале Европейского союза , вступивший в силу 1 мая 2026 года. Примечание: Специальные приложения, подробно описывающие требуемый объем испытаний в области кибербезопасности, находятся на стадии уточнения рабочими группами Европейской комиссии; рекомендуется продолжать мониторинг.