2027 年 1 月 20 日起，欧盟全新机械法规 Regulation (EU) 2023/1230 将正式取代实施近二十年的机械指令 2006/42/EC。
新法规的核心变革在于首次将“网络安全”纳入机械安全基本要求。未来判定机械安全性，除传统的防护罩、急停按钮及电路合规性外，还需评估其抗黑客攻击、防恶意软件篡改及防远程入侵失控的能力。
对于机械制造企业而言，网络安全已不再是单纯的 IT 部门职责，而是出口欧盟产品的法定安全义务，并正式进入 CE 符合性评估范畴。
01 新法规核心变化
在旧机械指令（MD）时代，机械安全主要聚焦于物理层面，如防护装置、电气系统及风险评估，其逻辑前提是机器处于“封闭”状态。
随着工业数字化发展，设备远程监控、数据上云、产线互联及 AGV 调度日益普及，每一个便利功能都引入了新的网络攻击面。欧盟 MR 2023/1230 对此做出关键调整：将“防止机器因恶意篡改而失控”写入基本健康安全要求（EHSR）。
安全定义已从单一的“物理安全”升级为“物理安全 + 网络安全”的双重维度。
02 新法规网络安全核心条款
新法规的网络安全要求主要集中在附件三（Annex III）的两个关键条款：
1.1.9 防止篡改（Protection against corruption）：受外部连接影响的控制系统，必须具备抵抗意外或故意篡改的能力；关键硬件组件及软件需充分保护，并能记录非法干预证据。
1.2.1 控制系统的安全与可靠性：必须防止通信破坏导致的危险状况；与其他设备（含远程）的连接不得引发安全风险。
受影响产品：自动化产线、工业机器人、AGV、数控机床、工程机械及任何带远程控制或安全相关软件的设备。若网络攻击可能导致机器“该停不停、该动乱动”，将无法通过 CE 评估。
当机械运行关联人身安全时，网络攻击不仅造成经济损失，更构成人身伤害风险。这正是欧盟将网络安全纳入机械安全法的底层逻辑。
03 软件成了安全部件，也需要 CE 认证
MR 2023/1230 扩大了“安全部件”的定义。法规第 3 条第 3 款明确：执行安全功能的软件，即使单独投放市场，也被视为安全部件。
这意味着软件本身可能需要加贴 CE 标志、编制配套技术文件，并在必要时接受公告机构评估。这一变化明确了安全软件在法律框架中的地位，控制系统开发商、安全模块供应商及整机厂均需重新梳理合规责任。
04 如何判断设备是否涉及网络安全
出口企业可依据以下时间节点与自查步骤进行合规判断：
2023 年 7 月 19 日：新法规生效，过渡期开始；
2024 年 1 月 14 日：公告机构条款先行适用；
2027 年 1 月 20 日：法规全面强制适用，旧指令废止（此前合法投放产品不受追溯）；
2027 年 12 月 11 日：欧盟《网络弹性法案》（CRA）全面适用，与机械法规形成协同。
第一步：确认机器是否联网、可编程或可远程连接。若是，需对照条款 1.1.9 与 1.2.1 进行风险识别与缓解设计。
第二步：确认是否有单独上市的安全相关软件。若有，须按安全部件管理（CE 认证、技术文件、公告机构评估）。
第三步：确认产品是否在附件一高风险清单中。若在且未完整应用协调标准，需走 Module B（EU 型式检验）+ Module C/H 的第三方评估路径。
05 网络安全以外，新法规其他关注点
除网络安全外，新法规还有以下重要变化：
1. 指令变法规，无缓冲期：法规直接适用于全部 27 个成员国，无需国内立法转化。2027 年 1 月 20 日起，新投放市场的机械必须满足新要求。
2. AI 机械纳入监管：具备机器学习或自进化行为的机器，其上市后行为变化必须保持在符合性评估边界内，否则需重新评估。
3. 高风险清单扩容：新增附件一 Part B 清单，嵌入安全相关软件或 AI 组件的机械，可能被要求由公告机构介入进行第三方评估。
4. 文档数字化：允许以数字形式提供说明书和符合性声明，但基本安全信息必须保留纸版，且应要求免费提供纸质说明书。
5. 技术文件保存期延长：自最后一批产品投放市场起，技术文件须至少保存 10 年，供市场监管机构调阅。
建议企业即使产品暂不在高风险清单内，也应按新要求补齐技术文件与网络安全设计。这不仅是合规需求，更是提升竞争力的关键，能有效降低被退货、召回或整改的风险。
