过去办机械 CE，技术文件里写的是安全、电气、噪声、振动这些"物理"指标。从 2027 年起，这个清单要加一项——软件相关的网络安全证据。对设备厂来说，这不是多盖一个章，而是技术文件的底层结构要变。
关键时间有两个。第一个是 2026 年 9 月 11 日，CRA 的漏洞报告义务已经生效，带数字元件的机器要开始走上报流程。第二个是 2027 年 1 月 20 日，新的欧盟机械法规（EU）2023/1230 全面适用，从那天起，技术文件里要包含"防软件篡改（protection against corruption）"的网络安全证据，对应附录 III 第 1.1.9 条。至于 CRA 的全面强制，则是 2027 年 12 月 11 日。三个节点层层递进，不是同一天。
哪些机器会被同时管到？范围比很多人想得宽：数控机床、协作机器人、包装机械、安全 PLC、工业机器人、人机界面（HMI）、带网络接口的变频驱动、AGV/AMR、注塑机、带数字控制的数控木工机械，以及任何带远程监控或遥测功能的联网设备。只要机器里有软件、有联网，基本都在圈内。具体边界，得对照 CRA 的适用规则和排除项逐产品核。
实操上，机械厂要补的"网络安全功课"可以拆成几块：把机器里跑的软件登记成软件物料清单（SBOM）和硬件物料清单（HBOM）；对嵌入式固件做漏洞扫描；用 STRIDE 方法做风险分析，把硬件资产一起纳入；发现被实际利用的漏洞时，按 24 小时、72 小时、14 天的节奏向欧盟上报；最后把这些证据和原有的 CE 技术文件、符合性声明整合导出。
一个正在成型的标准是 prEN 50742，它是机械"防篡改"的草案欧洲标准，给机械法规第 1.1.9 条提供技术细则。它给出两条路径：一条是独立做法，另一条是和工业网络安全框架 IEC 62443 打通——如果你本来就在这个体系里，可以直接对接。它一旦作为协调标准发布，符合它就能推定满足机械法规的网络安全要求。目前预计 2026 年底发布，但注意它还没进官方公报，别提前写死强制日。
关于标准的获取，有个新动向值得盯：一部拟于 10 月 6 日与欧洲产品法案一同发布的标准化法案草案，打算让协调标准强制免费获取，并在标准机构交付不及时时由委员会发布"通用规范"兜底。这会直接影响企业引用协调标准的节奏——你今天查到的某个 EN 版本，获取和引用方式未来可能变。出口企业要把"持续跟踪 OJEU 协调标准引述"做成常规动作，而不是一次性核对。
往前看，机械法规的协调标准"再引述"计划在 2026 年第四季度于官方公报刊发，网络安全、人工智能相关的标准目前仍有缺口。眼下仍可按旧机械指令下的协调标准备证，但 2027 年 1 月 20 日前必须完成切换。建议工厂现在就把软件清单、漏洞上报通道、2027 切换模板这三件事排上日程。
