＊この記事は、2026年07月23日に更新されました。
欧州CEマーキング法令の機械規則（Regulation (EU) 2023/1230）は、2027年1月20日から全EU加盟国で強制適用されます。
EU機械規則では、サイバーセキュリティ要求が盛り込まれております。
従来の機械指令（2006/42/EC）にはなかったサイバーセキュリティ要求が必須安全要求として明文化され、EU向けに機械を設計/製造、出荷する製造業者は、対応を開始する必要があります。
サイバーセキュリティの要求は、機械規則において新たに追加されたものであり、産業機械メーカーやシステムインテグレーターにとって、重要な対応課題となります。
本記事では、機械規則(2023/1230/EU)のサイバーセキュリティ要求事項の詳細と、国際規格IEC 62443シリーズや欧州規格 EN50742を活用した対応について、ご紹介致します。
＜コンテンツ一覧＞
- 1. 産業機械、産業システムに対するサイバー攻撃
- 2. 機械規則 2023/1230/EU のサイバーセキュリティ要求とは
- 3. サイバーセキュリティ規格の適用について
- 4. よくある質問（FAQ）
- 5. イーエムテクノロジーのサービス
1. 産業機械、産業システムに対するサイバー攻撃
サイバー攻撃の脅威は、産業機械にとっても現実的なリスクとなっています。
2010年9月、イランの核燃料施設のウラン濃縮遠心分離機の制御システムを標的にしたサイバー攻撃がありました。
これは、Stuxnet(スタックスネット)事件と呼ばれ、世界的に注目されました。
Stuxnetは、産業機械の制御システムであるPLC(プログラマブル・ロジック・コントローラー)を標的とするマルウェアにより、遠心分離機の回転速度を異常な速度に変化させ、設備を物理的に破壊するようにプログラムされていました。
インターネットから隔離されたシステムにUSBメモリ経由で感染し、Windowsの脆弱性を悪用、感染を拡大し、SCADA（監視制御システム）に侵入、遠心分離機の回転速度を異常な速度に変化させ、設備を物理的に破壊するように仕組まれていました。
このStuxnet事件をきっかけに、産業機械においてもサイバーセキュリティに対する保護が求められるようになっていきました。
この他にも、石油パイプラインに対する攻撃によりパイプライン動作が停止に陥ったり、自動車工場が操業停止になるという事例もあります。
2. 機械規則 2023/1230/EU のサイバーセキュリティ要求とは
機械規則では、サイバーセキュリティに関する要求が盛り込まれました。
機械のデジタル化、ネットワーク化が進み、ソフトウェアの不具合や不正アクセス、通信経由の改ざんなどによって、人身安全だけではなく、設備/生産ラインの停止や復旧遅延、納期遅延などの操業被害にも直結するようになったためです。
EUは、従来の機械安全要求だけでは不十分と考え、接続機器や遠隔アクセスを含めて、機械が改変や介入によって危険状態にならないこと、さらにその証拠を把握できることを機械規則に盛り込んでおります。
機械規則では、具体的には、付属書Ⅲの必須安全衛生要求の「1.1.9 不正行為からの保護」と「1.2.1 制御系の安全性と信頼性」2つのセクションに規定されました。
Annex Ⅲ §1.1.9「不正行為からの保護」
付属書Ⅲ §1.1.9「不正行為からの保護」では、通信機能のある機器を介した接続に対して、偶発的または意図的な不正から保護しなければなりません。
自社の機械製品に他の機器やリモート機器が接続されても、危険状態にならないよう設計し、適合に重要なソフトウェア、データ、信号伝送部は偶発的、意図的な不正から保護する必要があります。
さらに、正当・不正介入の証拠を収集できるようにすることも求められています。
Annex Ⅲ §1.2.1「制御系の安全性と信頼性」
付属書Ⅲ §1.2.1「制御系の安全性と信頼性」では、制御システムが安全機能を確実に実行できるように、設計・製造することを要求しています。
故障、外乱、配線ミス、論理エラー、人為的操作などで危険が生じないこと、安全関連ソフトウェアやデータの誤り・改変で危険状態にならないこと、必要な場合は異常を検出して安全側へ移行することが要点です。
特に、(f)では、安全に関係するソフトウェアの変更や介入履歴を追跡できるようにしておくように要求が記載されており、安全関連ソフトウェアのソフトの設定変更や介入記録を後で確認できるよう、記録を残せる設計にしておくことが必要になります。
3. サイバーセキュリティ規格の適用について
機械製品に組み込まれているPLCのイーサネット、USBポートなどの外部通信機能を持つ機器は、サイバーセキュリティ要求の対象となります。
欧州では、機械規則への整合規格の策定を進めており、サイバーセキュリティに関する整合規格は、おそらく「EN 50742（Safety of machinery – Protection against corruption）」が採用されると思われます。
EN 50742は、現在はドラフト段階であり、発行までにまだ少し時間がかかりそうです。
しかしながら、正式にEN 50742が発行されてから、機械規則に切替えまでそれほど猶予がないことを考えると、今から取り組んでおかなければなりません。
EN 50742が規定しているのは、機械が偶発的、及び意図的(悪意を含む)な不正行為により、危険状況につながることを防止するための方法論です。
EN 50742のドラフト内容を読むと、サイバーセキュリティへの対応方法として、EN50742の方法(アプローチA)または、IEC 62443シリーズ規格を参照する(アプローチB)の2つの対応方法が記載されています。
IEC 62443シリーズは、産業用制御システム（ICS）のセキュリティを確保するための規格群であり、サイバー攻撃による脅威の評価や、セキュリティ対策を講じることが可能になります。
EN50742が正式発効される前に、IEC62443シリーズを参考にしながらEN50742への対応を行っておくと良いかと思います。
イーエムテクノロジーでは、機械指令から機械規則への移行対応についても承っております。
4. よくある質問（FAQ）
Q1. IEC 62443シリーズへの適合で機械規則に適合しているものと扱って問題ありませんか？
IEC 62443シリーズは、現時点では、整合規格（Harmonised Standard）として指定されておりません。
おそらく、EN 50742が整合規格として採用されるものと思われます。
整合規格化がされていなくても、IEC 62443を参考にして、EN50742に対応できる技術文書で示すことで、要求を満たすための根拠として有効な手段と考えます。
Q2. インターネットにつながらない機械でも対象になりますか。
機械規則の付属書Ⅲ §1.1.9では、常時インターネット接続がなくても、USB、保守PC、現場LAN、サービスインターフェース、更新用端末などの通信機能を通じて安全に影響する場合は、対象になり得ます。
Q3. 例えば、サイバーセキュリティ規格に適合した製品を使用していれば、適合していると言えますか。
サイバーセキュリティ規格に適合した機器を機械製品に組み込んでいるだけでは、本要求に適合しているとは言い切れません。
自社製品に、組み込まれている部品や機器がサイバーセキュリティ規格の適合品でも、接続方法、権限の設定、更新方法、他機器との連携、故障時や不正介入時の安全側動作まで含めて、最終製品である機械全体で評価する必要があります。
5. イーエムテクノロジーのサービス
イーエムテクノロジーでは、欧州CEマーキングの機械規則(2023/1230/EU)に対応するためにサイバーセキュリティに対するリスクアセスメント支援サービスを行っております。
また、機械指令(2006/42/EC)から、機械規則(2023/1230/EU)への格上げ評価も行っておりますので、すでに機械指令を行っていて、これから機械規則に対応しなければならない方、これから初めて機械規則に対応していこうとしている方は、お気軽にご相談頂ければと思います。
イーエムテクノロジー株式会社
技術部
関連ページ「機械指令(2006/42/EC)から機械規則(2023/1230/EU)へ」
関連ページ「欧州向け産業機械のサイバーセキュリティ(EN50742、IEC62443シリーズ)」
関連ページ「欧州サイバーレジリエンス法(CRA) (2024/2847/EU)」
