Blog
Nuevo Reglamento de Máquinas (UE) 2023/1230: qué cambia en 2027 y cómo prepararse
· GILVI Automation
El 20 de enero de 2027 deja de aplicarse la Directiva de Máquinas 2006/42/CE, que ha regido el marcado CE de la maquinaria durante casi veinte años. La sustituye el Reglamento (UE) 2023/1230. No es un simple cambio de nombre: trae obligaciones nuevas sobre ciberseguridad, software, inteligencia artificial, instrucciones digitales y, sobre todo, sobre quién responde cuando se modifica una máquina que ya está funcionando.
En esta guía explicamos qué cambia respecto a la normativa anterior (y qué no: el RD 1215/1997 sigue igual), a quién afecta (fabricantes de maquinaria, integradores y plantas) y qué conviene ir haciendo ya, con referencias al texto oficial.
El Reglamento en un minuto
- Es un reglamento, no una directiva: se aplica tal cual en toda la UE, sin transposición nacional.
- Fecha: obligatorio desde el 20 de enero de 2027. Ese día queda derogada la Directiva 2006/42/CE.
- No obliga a recertificar el parque existente: lo que se comercializó conforme a la Directiva antes de esa fecha sigue siendo válido.
- Quien modifica sustancialmente una máquina pasa a ser su fabricante, con todas sus obligaciones, incluido el marcado CE.
- La ciberseguridad pasa a ser un requisito de seguridad: una manipulación del software o de las comunicaciones no puede provocar situaciones peligrosas.
- Las instrucciones pueden ser digitales, con condiciones.
- Nuevas categorías de alto riesgo, entre ellas los componentes y sistemas de seguridad que utilizan aprendizaje automático.
Qué cambia exactamente respecto a lo de antes
En España, la seguridad de las máquinas se rige por dos normas que se suelen confundir. El Reglamento sustituye a una de ellas y deja la otra igual:
| Norma | A quién obliga | De qué trata | ¿Qué le pasa en 2027? |
|---|---|---|---|
| RD 1644/2008 (Directiva de Máquinas 2006/42/CE) | Al fabricante | Cómo debe diseñarse y fabricarse una máquina para llevar el marcado CE | Desaparece. La sustituye el Reglamento (UE) 2023/1230 desde el 20 de enero de 2027 |
| RD 1215/1997 (equipos de trabajo) | A la empresa que usa la máquina | Uso seguro de las máquinas en el trabajo: adecuarlas, mantenerlas, formar a los trabajadores | No cambia. Sigue vigente igual que hasta ahora |
Es decir: el Reglamento no sustituye al RD 1215. Sustituye a las reglas del marcado CE. Lo que cambia, punto por punto:
| Tema | Hasta ahora (RD 1644/2008) | Desde el 20/01/2027 (Reglamento) | Qué significa en la práctica |
|---|---|---|---|
| Tipo de norma | Directiva trasladada a la ley española por un real decreto | Reglamento europeo: el mismo texto se aplica directamente en toda la UE | Mismas reglas en todos los países, sin diferencias nacionales |
| Modificar una máquina que ya funciona | No había una definición legal de «modificación sustancial»; se usaban criterios de guías técnicas | La ley define qué es una modificación sustancial, también por software, y quien la hace pasa a ser el fabricante | Un retrofit o una adecuación al RD 1215 que obligue a cambiar el sistema de control de seguridad puede exigir marcado CE a quien la hace |
| Ciberseguridad | No se exigía | Requisito esencial: una manipulación del software o de las conexiones no puede provocar peligros | Protección de acceso a PLC y HMI, usuarios y control de versiones del software de seguridad |
| Registro de cambios de software | No se exigía | Registro de intervenciones y de versiones del software de seguridad durante 5 años | Hay que poder demostrar qué programa de seguridad tenía la máquina y quién lo cambió |
| Inteligencia artificial | No se trataba | Requisitos propios; si garantiza funciones de seguridad, organismo notificado obligatorio | Afecta a pocas máquinas hoy, pero cada vez a más |
| Instrucciones | En papel (las digitales, solo como complemento) | Pueden ser digitales, accesibles al menos 10 años; en papel gratis si se piden al comprar | Menos papel, pero hay que mantenerlas en línea |
| Máquinas de alto riesgo | Anexo IV | Anexo I, en dos partes (A: siempre con organismo notificado; B: como el antiguo anexo IV) | Pocas máquinas cambian de procedimiento |
| Máquinas ya vendidas con CE | — | Siguen siendo válidas (art. 52) | No hay que recertificar nada de lo que ya funciona |
En una frase: el RD 1215 te sigue diciendo qué debe cumplir la máquina en tu planta; el Reglamento te dice cómo debe fabricarse y cuándo, al modificarla, pasas a responder como si la hubieras fabricado tú.
Fechas clave
| Fecha | Qué pasa |
|---|---|
| 29/06/2023 | Publicación en el Diario Oficial de la UE (L 165) |
| 04/07/2023 | Corrección de errores (DOUE L 169): las fechas de aplicación pasan del día 14 al día 20 |
| 19/07/2023 | Entrada en vigor (veinte días después de su publicación) |
| 20/01/2024 | Empiezan a aplicarse los artículos sobre organismos notificados |
| 20/01/2027 | Aplicación general del Reglamento y derogación de la Directiva 2006/42/CE |
Algunos textos citan el 14 de enero de 2027: es la fecha de la versión original, corregida pocos días después de publicarse. La fecha válida es el 20 de enero de 2027.
Los productos introducidos en el mercado conforme a la Directiva antes del 20 de enero de 2027 pueden seguir comercializándose, y los certificados de examen CE de tipo ya emitidos siguen siendo válidos hasta que caduquen (art. 52).
Modificación sustancial: el cambio que más afecta a las plantas
Es probablemente la novedad con más consecuencias prácticas para quien hace retrofit, integra líneas o modifica máquinas en su propia planta. El Reglamento define la modificación sustancial (art. 3.16) como una modificación, por medios físicos o digitales, hecha después de la comercialización o puesta en servicio, que el fabricante no había previsto ni planificado y que afecta a la seguridad al crear un peligro nuevo o aumentar un riesgo existente, de forma que exige:
- añadir resguardos o dispositivos de protección cuyo procesamiento obliga a modificar el sistema de control de seguridad existente, o
- adoptar nuevas medidas de protección para garantizar la estabilidad o la resistencia mecánica de la máquina.
La consecuencia (art. 18): quien hace la modificación sustancial, sea el usuario, un integrador o una ingeniería, tiene la consideración de fabricante. Debe asegurarse de que la máquina (o la parte afectada, según la evaluación de riesgos) cumple el Reglamento, aplicar el procedimiento de evaluación de la conformidad, declararlo bajo su responsabilidad y colocar el marcado CE. Solo se libra el usuario no profesional que modifica su propia máquina para uso propio.
Dos detalles importantes:
- «Por medios digitales» incluye el software. Cambiar la lógica del PLC de seguridad, desactivar o reconfigurar funciones de seguridad o añadir modos de funcionamiento puede ser una modificación sustancial, aunque no se toque ni un tornillo.
- No todo cambio lo es. Sustituir componentes por otros equivalentes, hacer mantenimiento o aplicar cambios que el fabricante ya había previsto no lo son. Lo que decide es la evaluación de riesgos, y conviene dejarla documentada aunque la conclusión sea que no es sustancial.
Ciberseguridad y software
Por primera vez, los requisitos esenciales de seguridad incluyen la protección frente a manipulaciones. Los más relevantes para un automatista están en el anexo III:
- Protección contra la corrupción (1.1.9): conectar la máquina a otro dispositivo, también remoto, no debe provocar situaciones peligrosas. El hardware y el software esenciales para la seguridad deben protegerse contra la corrupción accidental o intencionada.
- Registro de intervenciones: la máquina debe recoger pruebas de las intervenciones, legítimas o no, en esos componentes cuando sea pertinente.
- Software identificable: la máquina debe indicar qué software necesario para funcionar con seguridad tiene instalado, y poder mostrarlo en todo momento de forma fácilmente accesible.
- Sistemas de mando (1.2.1): deben resistir, según el riesgo, los intentos hostiles razonablemente previsibles de provocar una situación peligrosa. Además, debe quedar registro de las intervenciones y de las versiones del software de seguridad cargadas después de la puesta en servicio, disponible durante cinco años para demostrar la conformidad si lo pide la autoridad.
En la práctica, esto lleva a la máquina cosas que hasta ahora eran opcionales: protección de acceso al PLC y a la HMI, gestión de usuarios, control de versiones del software de seguridad, firmas de programa, segmentación de red y accesos remotos seguros. Las normas de ciberseguridad industrial de la serie IEC 62443 son la referencia habitual para hacerlo.
Inteligencia artificial y máquinas que aprenden
El Reglamento incluye requisitos para los sistemas de mando con comportamiento o lógica «total o parcialmente autoevolutivos»: no pueden hacer que la máquina actúe fuera de su tarea y su zona de desplazamiento definidas, y deben registrar los datos de sus decisiones relacionadas con la seguridad y conservarlos un año. Los límites de las funciones de seguridad los fija el fabricante en su evaluación de riesgos, y la máquina no puede modificarlos ni siquiera durante su fase de aprendizaje si eso puede crear peligros.
Además, los componentes de seguridad y los sistemas que usan aprendizaje automático para garantizar funciones de seguridad pasan a la parte A del anexo I: necesitan siempre la intervención de un organismo notificado.
Máquinas de alto riesgo (anexo I)
El antiguo anexo IV de la Directiva se sustituye por el anexo I, dividido en dos partes con reglas distintas de evaluación de la conformidad (art. 25):
| Grupo | Qué incluye | Evaluación de la conformidad |
|---|---|---|
| Anexo I, parte A | Dispositivos amovibles de transmisión mecánica y sus resguardos, plataformas elevadoras para vehículos, máquinas portátiles de fijación de carga explosiva y de impacto, y componentes de seguridad y sistemas con aprendizaje automático que garantizan funciones de seguridad | Siempre con organismo notificado: examen UE de tipo (B + C), aseguramiento de la calidad total (H) o verificación por unidad (G) |
| Anexo I, parte B | El resto de máquinas del antiguo anexo IV: sierras, prensas de carga manual, máquinas de inyección de plástico y caucho de carga manual, entre otras | Control interno de la producción (A) solo si se aplican normas armonizadas que cubran todos los requisitos; si no, con organismo notificado |
| Resto de máquinas | La gran mayoría de la maquinaria industrial | Control interno de la producción por el fabricante (A) |
Para la mayoría de los fabricantes de maquinaria industrial, el procedimiento sigue siendo el control interno: evaluación de riesgos, documentación técnica, declaración UE de conformidad y marcado CE. Lo que cambia son los requisitos que hay que cumplir.
Instrucciones en formato digital
El artículo 10.7 permite entregar las instrucciones de uso en formato digital, con condiciones:
- indicar en la máquina, o si no es posible en el embalaje o en un documento adjunto, cómo acceder a ellas;
- que se puedan imprimir y descargar, para tenerlas disponibles incluso durante una avería; esto se aplica también si van integradas en el software de la máquina;
- mantenerlas accesibles en línea durante la vida útil prevista de la máquina y, como mínimo, diez años después de su comercialización;
- si el usuario lo pide en el momento de la compra, entregarlas en papel, gratis y en un plazo máximo de un mes;
- para máquinas que pueda usar un usuario no profesional, la información de seguridad esencial debe ir siempre en papel.
La documentación técnica y la declaración UE de conformidad deben conservarse a disposición de las autoridades al menos diez años (art. 10.3).
Qué tiene que hacer cada uno
| Quién | Qué le afecta sobre todo |
|---|---|
| Fabricante de maquinaria | Diseñar con los nuevos requisitos (ciberseguridad, software, IA si la hay), revisar la evaluación de riesgos y la documentación técnica, preparar las instrucciones digitales y la nueva declaración UE de conformidad para todo lo que se comercialice desde el 20/01/2027. |
| Integrador o ingeniería | Saber cuándo una ampliación, un retrofit o un cambio de software es una modificación sustancial, porque entonces asume las obligaciones del fabricante. Pactarlo por escrito con el cliente antes de empezar. |
| Planta (usuario profesional) | Controlar los cambios que se hacen en sus máquinas, también los de software. Si hace una modificación sustancial, el fabricante es ella. Exigir en sus compras máquinas conformes con el Reglamento a partir de 2027. |
A las plantas también les sigue siendo aplicable la normativa de equipos de trabajo (en España, el Real Decreto 1215/1997), que no cambia con el Reglamento.
Cómo prepararse
- Inventario: qué máquinas o modelos se van a comercializar o poner en servicio después del 20 de enero de 2027.
- Clasificación: comprobar si alguno está en el anexo I, parte A o B.
- Evaluación de riesgos revisada, incluyendo amenazas de ciberseguridad y, si aplica, comportamientos autoevolutivos.
- Arquitectura de control: protección de acceso a PLC y HMI, usuarios, firmas y versiones del software de seguridad, registro de cambios y segmentación de red.
- Procedimiento de cambios: un criterio escrito para decidir si una modificación es sustancial y quién la firma.
- Documentación: instrucciones digitales accesibles durante diez años, declaración UE de conformidad con el nuevo Reglamento y documentación técnica actualizada.
- Normas armonizadas: seguir la publicación de las normas armonizadas con el Reglamento (por ejemplo, las revisiones de EN ISO 12100, EN ISO 13849-1 o EN IEC 62061), porque dan presunción de conformidad.
Ideas equivocadas frecuentes
- «Habrá que recertificar todas las máquinas de la planta». No. El Reglamento se aplica a lo que se comercializa o se pone en servicio a partir del 20 de enero de 2027, y a las modificaciones sustanciales.
- «Si solo cambio el programa del PLC, no es una modificación». Puede serlo: la definición incluye los medios digitales.
- «La ciberseguridad es cosa de informática». Ahora es un requisito esencial de seguridad de la máquina, y se diseña en el sistema de control.
- «Las instrucciones digitales permiten olvidarse del papel». Solo con condiciones: papel gratis si se pide al comprar e información de seguridad en papel si la máquina puede usarla un no profesional.
Preguntas frecuentes
¿Una máquina con marcado CE según la Directiva sigue siendo legal después de 2027?
Sí. Si se introdujo en el mercado conforme a la Directiva antes del 20 de enero de 2027, puede seguir comercializándose y usándose (art. 52). Solo si se le hace una modificación sustancial entra en juego el Reglamento.
¿Puedo aplicar ya el Reglamento antes de 2027?
Hasta el 20 de enero de 2027 la norma aplicable para el marcado CE sigue siendo la Directiva. Lo sensato es diseñar ya las máquinas nuevas cumpliendo también los requisitos del Reglamento, para que sigan siendo conformes cuando se comercialicen después de esa fecha.
¿Una cuasi máquina también cambia?
Sí. Sigue existiendo la figura de la cuasi máquina, con su declaración UE de incorporación e instrucciones de montaje, que también pueden entregarse en formato digital.
¿Qué pasa con el Reglamento de Inteligencia Artificial y el de Ciberresiliencia?
Son normas distintas que pueden aplicarse a la vez a una misma máquina, según lo que incorpore. El Reglamento de Máquinas cubre la seguridad de la máquina; conviene revisar en cada caso si las otras también aplican.
¿Quién decide si una modificación es sustancial?
Quien hace la modificación, a partir de la evaluación de riesgos. Por eso conviene acordarlo por escrito entre la planta y el integrador antes de empezar, y documentar el razonamiento.
Documentación de referencia
- EUR-Lex · Reglamento (UE) 2023/1230 relativo a las máquinas (texto oficial en español)
- EUR-Lex · Corrección de errores del Reglamento (DOUE L 169, 4/7/2023)
- Comisión Europea · Maquinaria (información y guías)
- ISA · Serie IEC 62443 de ciberseguridad industrial
Este artículo es divulgativo y no sustituye al texto oficial ni al asesoramiento de un especialista en marcado CE.