De beoordeling van een ingrijpende wijziging begint vaak met de verkeerde vraag. Wat is er precies bijgebouwd? Hoe groot was de ombouw? Vanuit machineveiligheid is dat meestal niet beslissend. De echte vraag is: wat heeft de verandering gedaan met het risico? In de Nederlandse praktijk zie je dit vooral bij machines en lijnen die al in gebruik zijn gesteld of al in de handel zijn gebracht. Een extra toegang, een aangepaste afscherming, andere aandrijfparameters of een wijziging in de besturingslogica kan de veiligheidsstructuur wezenlijk veranderen. Dan gaat het niet alleen meer over techniek, maar ook over verantwoordelijkheid, CE en aantoonbare zorgvuldigheid.
Daarom beoordeel je een mogelijke ingrijpende wijziging niet op de hoeveelheid staal, kabels of software die is toegevoegd. Je beoordeelt het effect op de relatie mens-machine, op de functie van de machine, op de gebruiksgrenzen en op het verloop van een mogelijk gevaarlijk voorval. Juist kleine aanpassingen kunnen daarin groot uitpakken. Dat geldt net zo goed voor digitale wijzigingen als voor fysieke ombouw.
Een ingrijpende wijziging beoordeel je op risico, niet op omvang
Voor de Nederlandse markt wordt de dagelijkse CE-praktijk nog vaak benaderd vanuit Richtlijn 2006/42/EG. Tegelijk geeft Verordening (EU) 2023/1230 een scherper kader voor wijzigingen die plaatsvinden nadat een machine in de handel is gebracht of in gebruik is gesteld. De lijn is in beide gevallen hetzelfde: het gaat niet om de omvang van de verbouwing, maar om de invloed op veiligheid.
Van een ingrijpende wijziging kan sprake zijn als een wijziging die de oorspronkelijke fabrikant niet heeft voorzien de veiligheid beïnvloedt, een nieuwe gevaarlijke situatie veroorzaakt of een bestaand risico vergroot, en daardoor extra beschermingsmaatregelen nodig maakt. Dat kan een aanpassing aan het veiligheidsgerelateerd besturingssysteem zijn, maar ook een maatregel om mechanische sterkte of stabiliteit te borgen. Het beslissende punt is dus niet hoeveel er is veranderd, maar of veiligheid opnieuw moest worden ontworpen.
Dat onderscheid is belangrijk. Veel bedrijven kijken eerst naar de zichtbare ingreep: een platform, een sensor, een nieuwe afscherming, een extra noodstop. Vanuit veiligheid is dat vaak het eindpunt van de analyse, niet het begin. De kernvraag blijft: welke wijziging in gebruik, toegang, beweging of besturing maakte die maatregel nodig?
Waarom een afscherming of noodstop vaak niet het echte vertrekpunt is
Een beschermingsmaatregel is meestal een reactie op een eerdere verandering. Als je een nieuwe afscherming moet plaatsen, een lichtscherm moet toevoegen of een noodstop moet bijplaatsen, dan zegt dat vaak iets over een gewijzigde gevarenzone, een nieuwe bedieningshandeling of een andere interactie tussen mens en machine. De maatregel is zichtbaar. De oorzaak zit dieper.
Dat zie je vaak bij lijnen waar een operator opeens binnen het proces moet werken. Op papier lijkt de wijziging beperkt: er komt alleen een extra noodstop in het midden van de lijn. Maar als je doorvraagt, blijkt vaak dat de operator nu een gevarenzone betreedt die eerder niet toegankelijk was. Dan is de noodstop niet de wijziging. De wijziging is dat de relatie mens-machine is veranderd.
Praktijkvoorbeeld: alleen een noodstop toevoegen
Een noodstop vervult een reactieve veiligheidsfunctie. Daarmee kun je een actuele of direct dreigende gevaarlijke situatie stoppen. Dat is belangrijk, maar een noodstop vervangt geen preventieve beschermingsmaatregel. Als de risicobeoordeling uitwijst dat iemand de gevarenzone kan bereiken tijdens gevaarlijke beweging, dan is vaak meer nodig dan alleen een noodstop. Denk aan een afscherming met vergrendeling, een lichtscherm, een veilige snelheidsbegrenzing in een speciale bedrijfswijze of een andere functie in het veiligheidsgerelateerd besturingssysteem.
Dat sluit aan op de systematiek van ISO 12100. Eerst kijk je naar inherent veilig ontwerp. Daarna naar technische beschermingsmaatregelen. Pas daarna naar informatie over restrisico. Een noodstop hoort ondersteunend te zijn. Als hij het enige antwoord is op een nieuw ontstane gevaarlijke situatie, is dat vaak een signaal dat de wijziging dieper ingrijpt dan aanvankelijk gedacht.
Fysieke veranderingen die toch een ingrijpende wijziging kunnen zijn
Veel ingrijpende wijzigingen beginnen met iets dat logisch en praktisch lijkt. Betere ergonomie. Kortere omsteltijd. Snellere toegang voor reiniging of onderhoud. De bedoeling kan goed zijn, maar de veiligheidsgevolgen moeten apart worden beoordeeld.
Extra toegang tot de gevarenzone
Een bordes, trap of serviceluik lijkt vaak een gebruiksverbetering. In werkelijkheid kan zo'n toevoeging de situatie volledig veranderen. De operator kan dichter bij bewegende delen komen, een handeling op een andere plek uitvoeren of tijdens bedrijf zicht en afstand verliezen. Daardoor verandert de blootstelling aan gevaar.
Als die nieuwe toegang leidt tot aanvullende beschermingsmaatregelen, zoals een bewaakte afscherming, een vergrendelde deur of een veilige bewegingsbeperking in een instelstand, kom je al snel in het gebied van een ingrijpende wijziging. Niet omdat er een bordes is gemonteerd, maar omdat de toegang tot de gevarenzone wezenlijk is veranderd.
Een afscherming die zelf de situatie verandert
Ook een afscherming kan nieuwe risico's introduceren. Denk aan slechter zicht op het proces, vaker openen voor kleine ingrepen, ongunstige werkhoudingen of extra belasting van de constructie. Als een nieuwe afscherming alleen goed functioneert in combinatie met vergrendeling, positiemonitoring of aangepaste resetvoorwaarden, dan moet je verder kijken dan het plaatwerk alleen.
De praktische toets is eenvoudig: blijft de machine na deze wijziging binnen de oorspronkelijke veiligheidsaannames van de fabrikant, of moest je nieuwe veiligheidsfuncties toevoegen om het ontwerp werkbaar en veilig te houden? In dat laatste geval groeit de kans dat sprake is van een ingrijpende wijziging.
Nieuwe aandrijving of andere aandrijfparameters
Een wijziging aan de aandrijving wordt nog te vaak behandeld als een gewone technische vervanging. Toch kan een andere motor, frequentieregelaar of instelling het gedrag van de machine ingrijpend veranderen. Meer koppel, kortere acceleratietijd, andere remkarakteristiek of ruimere overbelastingsgrenzen beïnvloeden direct de dynamiek van beweging en stopgedrag.
De machine lijkt dan misschien hetzelfde te doen, maar een gevaarlijk voorval kan heel anders verlopen. Waar een mechanisme eerder afsloeg bij overbelasting, kan het nu kracht blijven leveren. Dat kan leiden tot vervorming, bezwijken van dragende delen of een ander contactmoment met personen. In zo'n situatie zijn vaak nieuwe beschermingsmaatregelen nodig, bijvoorbeeld begrenzing van kracht of snelheid, herziening van de stoplogica of verificatie van mechanische sterkte. Dat zijn geen cosmetische aanpassingen meer.
Digitale ingrijpende wijziging: software telt net zo zwaar
Een hardnekkig misverstand is dat een ingrijpende wijziging vooral mechanisch van aard zou zijn. In de praktijk kunnen softwarematige wijzigingen minstens zo zwaar wegen. De constructie blijft dan gelijk, maar de machine gaat zich anders gedragen. Vanuit veiligheid is dat minstens zo relevant.
Logica voor herstart en heropstart
Een kleine wijziging in de besturing kan grote gevolgen hebben. Automatisch hervatten na spanningsherstel, direct doorgaan na het sluiten van een afscherming of een andere volgorde van vrijgaven kan ertoe leiden dat een operator de controle verliest over het moment van starten. Onverwachte herstart is een klassiek veiligheidsprobleem. Als de machine na een wijziging sneller of op andere voorwaarden weer in beweging komt, verandert de gevaarlijke situatie, ook al is er geen bout verplaatst.
Wijziging van snelheden en andere aandrijfparameters
Ook softwarematig aangepaste aandrijfparameters kunnen kritisch zijn. Hogere snelheid, ander acceleratieprofiel, grotere slag of kortere reactietijd verandert de tijd die een operator heeft om te reageren. Bestaande afstanden, afschermingen en stopfuncties kunnen dan onvoldoende blijken. Wat op papier een procesoptimalisatie is, is vanuit machineveiligheid vaak een wijziging van de gebruikscondities. Die moet je dus als zodanig beoordelen.
Koppeling met ERP of andere systemen
Een koppeling met ERP of een ander bovenliggend systeem lijkt vaak administratief. Toch verandert daarmee de werkomgeving van de machine. Er komen nieuwe gegevensstromen, extra toegangspunten en mogelijk nieuwe bronnen die parameters of opdrachten beïnvloeden. Als de oorspronkelijke fabrikant deze architectuur niet heeft voorzien, moet je nagaan wat dat betekent voor validatie van gegevens, toegangsbeheer, software-integriteit en beïnvloeding van de besturing.
Het risico zit niet in de koppeling op zichzelf, maar in het effect op het gedrag van de machine. Als instelwaarden op afstand worden gewijzigd, recepten anders worden doorgezet of koppelsoftware de volgorde van handelingen beïnvloedt, dan kunnen de aannames achter bestaande beschermingsmaatregelen niet meer kloppen. Dan moet je opnieuw beoordelen of de veiligheidsfuncties nog passen bij de feitelijke werking.
Aanpassingen in het veiligheidsgerelateerd besturingssysteem
De meest directe digitale ingreep is een wijziging in het veiligheidsgerelateerd besturingssysteem zelf. Denk aan aangepaste vergrendelingen, andere resetvoorwaarden, gewijzigde vrijgavecondities of een gewijzigde reactie op fouttoestanden. Dat zijn geen gewone besturingsaanpassingen. Je verandert dan de manier waarop veiligheidsfuncties worden gerealiseerd.
Als zo'n wijziging de effectiviteit van een veiligheidsfunctie beïnvloedt of extra veiligheidsfuncties noodzakelijk maakt, is grote zorgvuldigheid vereist. Dan is een snelle beoordeling op gevoel niet genoeg. Je moet onderbouwen dat de gewijzigde functie nog steeds passend is voor de werkelijke risico's.
Waarom je zonder risicobeoordeling geen eerlijk nee kunt geven
Bedrijven willen vaak een snelle conclusie: wel of geen ingrijpende wijziging. Dat is begrijpelijk, maar een betrouwbaar nee vraagt onderbouwing. Een afvinklijst kan signalen geven, maar niet bewijzen dat er geen relevante wijziging is. De definitie draait immers om het effect op veiligheid. Dat effect moet je analyseren.
Een zorgvuldige risicobeoordeling volgens ISO 12100 vraagt minimaal om het volgende:
- de grenzen van de machine vaststellen, inclusief gebruik, misbruik dat redelijkerwijs te verwachten is en bedrijfswijzen;
- gevaarbronnen en gevaarlijke situaties identificeren;
- mogelijke gevaarlijke voorvallen en hun gevolgen beschrijven;
- risico's inschatten en beoordelen in de gewijzigde situatie;
- vaststellen of bestaande beschermingsmaatregelen nog toereikend zijn;
- waar nodig nieuwe beschermingsmaatregelen definiëren en verifiëren.
Pas daarna kun je met enige zekerheid zeggen of de wijziging binnen de oorspronkelijke veiligheidsopzet blijft of dat een nieuwe veiligheidsverantwoordelijkheid ontstaat. Een ervaren engineer kan vaak sneller overtuigend ja zeggen dan overtuigend nee. Het vaststellen dat géén ingrijpende wijziging heeft plaatsgevonden vraagt juist extra discipline en aantoonbare zorgvuldigheid.
Wanneer een ingrijpende wijziging ook de verantwoordelijkheid verschuift
Een ingrijpende wijziging is geen detaildiscussie voor de engineeringafdeling. Het is ook een vraag van verantwoordelijkheid. Als de wijziging voldoet aan de kenmerken van een ingrijpende wijziging, kan de partij die de aanpassing doorvoert voor het gewijzigde deel in de rol van fabrikant komen. Dan horen daar verplichtingen bij, zoals een hernieuwde risicobeoordeling, passende technische documentatie, verificatie van veiligheidsfuncties, aangepaste gebruiksinformatie en waar nodig een nieuwe CE-conformiteitsbeoordeling.
Dat is ook in de Nederlandse praktijk relevant. Bij een incident zal de Nederlandse Arbeidsinspectie willen zien hoe de risico's zijn beoordeeld, welke keuzes zijn gemaakt en waarom de gekozen beschermingsmaatregelen passend waren. Voor opdrachtgevers, integratoren en onderhoudspartijen geldt dezelfde basisvraag: kun je aantonen dat de machine in de gewijzigde configuratie veilig is?
De praktische les is eenvoudig. Vraag niet eerst hoeveel er is gewijzigd. Vraag eerst wat de wijziging met het risico heeft gedaan. Als de verandering leidt tot nieuwe gevaarlijke situaties, hogere risico's of aanvullende beschermingsmaatregelen, dan moet je serieus onderzoeken of sprake is van een ingrijpende wijziging. Pas als die analyse op orde is, kun je verantwoord beslissen over vervolgstappen.
Uiteindelijk draait het om één vraag: kun je onderbouwen dat de machine na de wijziging nog steeds veilig is, niet op gevoel maar met een herleidbare risicobeoordeling? Als het antwoord daarop onzeker blijft, dan zit daar het werkelijke risico. Niet in de omvang van de verbouwing, maar in het ontbreken van aantoonbare zorgvuldigheid.