Substantiële wijziging: wanneer gebeurt die echt?
Een substantiële wijziging begint niet wanneer u veel aan een machine verandert. Ze begint wanneer de wijziging iets doet met risico. Dat is het punt dat in de praktijk steeds misgaat. Er wordt gekeken naar staal, naar extra componenten, naar de omvang van de ombouw. Maar Verordening (EU) 2023/1230 kijkt anders. Niet: wat hebben we fysiek toegevoegd? Wel: wat heeft deze wijziging gedaan met de veiligheid, de mens-machine-relatie en de grenzen van de machine?
Dat verschil is niet academisch. Het bepaalt of u nog gewoon gebruiker bent, of feitelijk in de rol van fabrikant stapt voor de gewijzigde machine of het gewijzigde deel van een samenstel van machines. En dan gaat het niet alleen over techniek. Dan gaat het ook over verantwoordelijkheid, aantoonbare zorgvuldigheid en uiteindelijk CE.
Wanneer is er sprake van een substantiële wijziging?
De kern is simpel, ook al hopen veel bedrijven op een simpeler antwoord dan dit. Van een substantiële wijziging spreekt u niet omdat een wijziging groot oogt, maar omdat zij veiligheidsgevolgen heeft die buiten het oorspronkelijke ontwerp vallen.
In de logica van Verordening (EU) 2023/1230 gaat het om wijzigingen die na het in de handel brengen of na ingebruikname worden aangebracht, fysiek of digitaal. Doorslaggevend zijn drie vragen:
- Was de wijziging niet voorzien door de fabrikant?
- Heeft de wijziging een nieuwe gevaarlijke situatie veroorzaakt of een bestaand risico verhoogd?
- Zijn extra beschermingsmaatregelen nodig, bijvoorbeeld een aanpassing van het veiligheidsgerelateerd besturingssysteem of maatregelen voor mechanische sterkte en stabiliteit?
Pas als die logica samenkomt, zit u in het domein van de substantiële wijziging. Niet eerder. Maar ook: zeker niet later.
Daarom is de eerste stap nooit het tellen van componenten. U beoordeelt de functie van de machine, de grenzen van de machine, de mens-machine-relatie en het verloop van gebeurtenissen dat kan leiden tot een gevaarlijke situatie. Dat is de taal van een serieuze risicobeoordeling. Niet van onderbuik, niet van routine, en al helemaal niet van een snelle vrijwarende e-mail.
Waarom een noodstopvoorziening zelf geen substantiële wijziging is
Een klassieke misser uit de praktijk: iemand zegt dat er alleen een noodstopvoorziening is bijgeplaatst. Alsof daarmee de analyse klaar is. Dat is de zaak omdraaien.
Een noodstopvoorziening is meestal niet de oorzaak van de wijziging, maar het gevolg ervan. Als u opeens een extra noodstopfunctie nodig hebt, dan is de echte vraag: wat is er veranderd waardoor die noodstopfunctie noodzakelijk werd?
Misschien is een operator dichter bij bewegende delen gaan werken. Misschien is een extra toegang gecreëerd. Misschien is een nieuwe handmatige handeling in de cyclus gekomen. Dan is niet de knop het verhaal. Dan is de gewijzigde mens-machine-relatie het verhaal.
Dat onderscheid is essentieel. Verordening (EU) 2023/1230 behandelt noodstopvoorzieningen als ondersteuning van andere beschermingsmaatregelen, niet als vervanging daarvan. Een noodstopfunctie is reactief. Ze helpt een actuele of direct dreigende gevaarlijke situatie te stoppen. Maar reactief is niet hetzelfde als afdoende.
Volgens de risicoreductielogica van ISO 12100 begint veiligheid niet met ingrijpen als het al misgaat. Ze begint met het voorkomen dat de gevaarlijke situatie ontstaat. Daarna komen beschermingsmaatregelen. Pas daarna volgt informatie over restrisico.
Dus als een wijziging ertoe leidt dat alleen een extra noodstopvoorziening wordt geplaatst, is dat vaak nog maar het zichtbare topje. De echte vraag is of ook een preventieve veiligheidsfunctie nodig is, bijvoorbeeld:
- stop bij opening van een bewaakte afscherming,
- stop bij onderbreking van een lichtscherm,
- beperking van beweging in een specifieke bedrijfsmodus,
- voorwaarden voor vrijgave van beweging via het veiligheidsgerelateerd besturingssysteem.
En precies daar wordt duidelijk of u te maken hebt met een substantiële wijziging. Niet omdat er een extra knop bijkwam, maar omdat de veiligheidsstructuur opnieuw ontworpen moest worden.
Praktijkvoorbeeld: 'we zetten alleen een extra noodstopvoorziening in de lijn'
Dit klinkt onschuldig. Tot u doorvraagt. Waarom is die extra noodstopvoorziening nodig? Wat is veranderd?
In veel gevallen blijkt dan dat een operator in een zone werkt waar dat eerder niet nodig was. Of dat de lijn anders wordt gereinigd, anders wordt vrijgegeven of anders wordt omgesteld. De machine doet misschien nog ongeveer hetzelfde, maar het gebruik is veranderd. En dus verandert de mens-machine-relatie. Daarmee kan ook de gevaarlijke situatie veranderen.
Dan hebt u geen klein detail aangepast. Dan hebt u een wijziging doorgevoerd die nieuwe beschermingsmaatregelen kan afdwingen. En dat is precies het soort situatie dat juridisch en technisch serieus moet worden genomen.
Substantiële wijziging door fysieke ingrepen die 'logisch' lijken
Veel fysieke wijzigingen voelen redelijk. Extra toegang. Betere ergonomie. Sneller onderhoud. Hogere output. Op papier klinkt dat verstandig. In de praktijk kunnen juist dit soort ingrepen de veiligheidsaannames van het oorspronkelijke ontwerp onderuit halen.
Een bordes of extra toegang tot de gevarenzone
Een bordes lijkt vaak puur praktisch. Het maakt werk makkelijker. Maar veiligheid volgt niet de logica van gemak. Als een bordes een persoon toegang geeft tot een plek die eerder niet bereikbaar was, verandert de situatie fundamenteel.
Zo'n wijziging kan:
- toegang tot een gevaarlijke zone mogelijk maken,
- de afstand tot bewegende delen verkleinen,
- andere onderhoudshandelingen uitlokken,
- zichtlijnen en toezicht op het proces veranderen.
Gevolg: nieuwe beschermingsmaatregelen worden nodig. Denk aan bewaakte afscherming, een lichtscherm of een aanvullende veiligheidsfunctie in het veiligheidsgerelateerd besturingssysteem. Dan beoordeelt u niet langer een handig bordes. Dan beoordeelt u een wijziging die veiligheid beïnvloedt.
Een nieuwe afscherming kan ook nieuw risico maken
Afscherming is een basismaatregel. Maar een afscherming die achteraf wordt toegevoegd zonder volledige risicobeoordeling kan zelf problemen veroorzaken. Dat gebeurt vaker dan men wil toegeven.
Een nieuwe afscherming kan:
- de toegang tot de gevarenzone verleggen in plaats van beperken,
- extra handelingen nodig maken, zoals frequenter openen,
- de ergonomie verslechteren en blootstelling juist verlengen,
- het zicht op het proces beperken,
- extra belasting op de constructie zetten.
Dat laatste punt wordt onderschat. Een afscherming is niet alleen een plaat of frame. Ze heeft gewicht, bevestigingen, scharnieren, krachten en interactie met de machineconstructie. Als daardoor mechanische sterkte of stabiliteit relevant veranderen, bent u niet meer met een simpel accessoire bezig.
Een afscherming mag geen extra gevaar veroorzaken. Als ze dat wel doet, of als ze bewaking, vergrendeling of aanvullende logica vereist, dan moet u die wijziging als veiligheidsvraagstuk behandelen. Niet als een snelle mechanische toevoeging.
Andere aandrijving, andere parameters, ander risico
Nog verraderlijker zijn wijzigingen aan aandrijvingen of hun parameters. Op het scherm lijkt er weinig te veranderen. In de machine kan alles veranderen.
Meer koppel, andere versnelling, andere vertraging, andere overbelastingsgrenzen: dat zijn geen neutrale optimalisaties. Ze veranderen de dynamiek van de machine. En dus ook de mogelijke gevolgen van een fout, blokkade of onverwachte interactie.
Wat eerder stopte bij overbelasting, kan na wijziging doorgaan met kracht leveren. Dan kan een transporteur niet meer netjes stilvallen, maar vervormen. Dan verschuift het risico van procesverstoring naar verlies van stabiliteit of schade aan dragende delen. En precies daar komen mechanische sterkte en stabiliteit in beeld.
In zulke gevallen kunnen nieuwe beschermingsmaatregelen nodig zijn, zoals:
- begrenzing van kracht of koppel,
- aangepaste stoplogica,
- constructieve verificatie van belastbare delen,
- mechanische aanpassing van onderdelen die de nieuwe belasting moeten dragen.
De fout zit dan niet in de motor als component. De fout zit in het idee dat een andere motor geen veiligheidswijziging zou zijn.
Digitale ingrepen kunnen ook een substantiële wijziging zijn
Hier gaat het vaak echt mis. Veel organisaties nemen mechanische aanpassingen serieus, maar behandelen software, parameterwijzigingen en systeemkoppelingen alsof ze geen gewicht hebben. Dat is een gevaarlijke mythe.
Digitale wijzigingen wegen net zo zwaar als staal zodra ze het gedrag van de machine beïnvloeden. Verordening (EU) 2023/1230 kijkt niet alleen naar fysieke ombouw. Ook digitale ingrepen tellen mee als ze veiligheid raken.
Substantiële wijziging door andere herstartlogica
Een van de meest onderschatte voorbeelden is herstart. Automatisch hervatten na sluiten van een afscherming. Automatisch hernemen na terugkeer van spanning. Automatisch doorgaan na herstel van communicatie. Het klinkt efficiënt. Tot het misgaat.
Een machine mag niet onverwacht starten. Dat is een basisprincipe. Zodra een operator de controle verliest over het exacte startmoment, verandert de gevaarlijke situatie. En daarvoor hebt u geen nieuwe mechanische delen nodig. Eén wijziging in logica kan genoeg zijn.
Dit is precies waarom herstartvoorwaarden, vrijgaven en resetlogica nooit als louter programmeerwerk mogen worden gezien. Het zijn veiligheidskeuzes.
Parameterwijzigingen zijn geen 'fijnafstelling'
Snelheid omhoog. Reistijd omlaag. Reactietijd korter. Bewegingsbereik groter. In de productie noemt men dat al snel optimalisatie. Vanuit machineveiligheid is het vaak een wijziging van de bedrijfsomstandigheden.
En dat heeft direct effect op:
- de beschikbare reactietijd voor de operator,
- de werking van bestaande beschermingsmaatregelen,
- de ernst van een mogelijk incident.
Als de oorspronkelijke risicobeoordeling uitging van andere waarden, dan kunt u niet doen alsof de veiligheidsuitkomst gelijk blijft. Dat moet opnieuw beoordeeld worden.
Koppelingen met ERP, MES en middleware
Ook dit wordt structureel onderschat: een machine of lijn koppelen aan ERP, MES of middleware. Het gesprek begint vaak met een verkeerde geruststelling: 'we wisselen alleen data uit'. Maar data blijft zelden alleen data als ze gedrag, vrijgaven, recepturen, parameters of volgorde beïnvloedt.
Zodra u een machine opneemt in een andere communicatiestructuur, verandert haar omgeving. Er komen extra signalen, extra toegangspunten, extra afhankelijkheden en soms ook extra kansen op onbedoelde beïnvloeding.
Als de fabrikant die architectuur niet heeft voorzien, dan kunnen essentiële aannames uit het oorspronkelijke ontwerp vervallen. Denk aan:
- hoe data wordt gevalideerd,
- wie parameters mag wijzigen,
- hoe software-integriteit wordt bewaakt,
- welke externe systemen invloed hebben op besturingslogica.
Gevolg: de machine kan zich anders gedragen dan waarop de beschermingsmaatregelen zijn ontworpen. Dan is 'we koppelen alleen ERP' geen onschuldige zin meer. Dan moet u beoordelen of de veiligheid nog steeds aantoonbaar geborgd is.
Wijzigingen in safety PLC of veiligheidsfuncties
Hier is de lijn nog scherper. Een wijziging in een safety PLC, in de configuratie van veiligheidsfuncties, in vergrendelingslogica, in voorwaarden voor beweging of in resetgedrag is geen gewone automatiseringsaanpassing. U verandert direct de manier waarop een veiligheidsfunctie wordt gerealiseerd.
Als die wijziging de doeltreffendheid, het gedrag of de opbouw van de veiligheidsfunctie beïnvloedt, zit u onmiddellijk in het zwaarste veiligheidsdomein. Dat vraagt niet om aannames, maar om onderbouwing.
Zonder risicobeoordeling kunt u niet eerlijk zeggen dat er géén substantiële wijziging is
Dit is het ongemakkelijke deel waar veel bedrijven een snelle ja of nee willen horen. Begrijpelijk. Maar niet altijd verantwoord.
U kunt vaak relatief snel zien wanneer een wijziging wél verdacht is. Een ervaren engineer herkent de rode vlaggen meestal direct. Een nieuwe toegang, aangepaste herstart, meer kracht, andere veiligheidslogica: dat zijn signalen. Maar het omgekeerde is lastiger. Zeggen dat iets zeker géén substantiële wijziging is, vraagt meer discipline dan veel organisaties lief is.
Waarom? Omdat de definitie niet draait om een lijstje technische ingrepen, maar om veiligheidsgevolgen. En die beoordeelt u niet op gevoel. Daarvoor is een risicobeoordeling nodig volgens de logica van ISO 12100.
Dat betekent minimaal:
- de grenzen van de machine opnieuw vaststellen,
- gevaarlijke situaties identificeren,
- mogelijke gevaarlijke gebeurtenissen analyseren,
- risico inschatten en beoordelen,
- controleren of de gekozen beschermingsmaatregelen nog passen bij de gewijzigde situatie.
Een checklist kan helpen om rode vlaggen te zien. Prima. Maar een checklist geeft geen vrijspraak. Zonder degelijke risicobeoordeling kunt u niet aantonen dat u zorgvuldig hebt gehandeld. En zonder die onderbouwing is een stellige conclusie dat er géén substantiële wijziging is simpelweg zwak.
Substantiële wijziging is geen technisch detail, maar een verschuiving van verantwoordelijkheid
Veel organisaties behandelen dit onderwerp alsof het een technisch vinkje is. Iets voor engineering. Iets voor onderhoud. Iets dat wel wordt besproken als er tijd voor is. Dat is te klein gedacht.
Een substantiële wijziging is in de kern een verschuiving van verantwoordelijkheid. Zodra de wijziging voldoet aan de criteria van Verordening (EU) 2023/1230, stapt de partij die de wijziging doorvoert in de rol van fabrikant voor die wijziging. En dan horen daar verplichtingen bij: conformiteitsbeoordeling, technische onderbouwing, documentatie en aantoonbare veiligheid van de gewijzigde configuratie.
Dat kan een losse machine zijn. Dat kan ook een deel van een samenstel van machines zijn. En juist in lijnen gaat het vaak mis, omdat een lokale aanpassing gevolgen heeft voor de interactie met de rest van het systeem.
Dus nee, de doorslag zit niet in de vraag of de ombouw groot was. Ook niet in de vraag of de wijziging technisch logisch was. En al helemaal niet in de vraag of 'iedereen het zo doet'. De echte vraag is harder en eerlijker:
kunt u na de wijziging onderbouwen dat de machine nog steeds veilig is, in de werkelijke gebruikssituatie, met de werkelijke operatoren, de werkelijke instellingen en de werkelijke koppelingen?
Als het antwoord ja is, dan hebt u grip. Als het antwoord alleen voelt als ja, dan hebt u geen conclusie maar een aanname. En precies daar begint het echte risico.