Cybersecurity-Compliance Cybersecurity-Compliance: So halten Sie die Standards des Cyber Resilience Acts ein

Anbieter zum Thema

Heidrive GmbH

CADFEM Germany GmbH

CAD+T Solutions GmbH

Hersteller oder Verkäufer, die in eigenem Namen zukünftig Geräte und Anlagen mit digitalen Komponenten auf den Markt bringen, sind zukünftig von einer EU-Gesetzgebung betroffen: dem Cyber Resilience Act (CRA). Ein automatisiertes Self-Assessment kann die Product Cybersecurity-Compliance, die Einhaltung der entsprechenden Standards überwachen und eine Zertifizierung unterstützen.

Der Cyber Resilience Act betrifft auch digital gesteuerte Produktionsanlagen, Montageroboter, CNC-Fräsen ebenso wie alle weiteren weniger sichtbaren Geräte in einer Infrastruktur: Router, Access Points, Handscanner, autonome Flurförderzeuge, Drucker und vieles mehr. Neben den Herstellern selbst stehen auch CEOs, Vorstände, CIOs und CISOs mit persönlicher Haftung zukünftig im Fokus. Für Hersteller und Verkäufer solcher Geräte sind regelmäßige Eigenkontrollen und ein stets aktueller Überblick über die Anforderungen unerlässlich, um hohe Bußgelder zu vermeiden und den Nutzern zudem ein höchstmögliches Maß an Sicherheit zu gewährleisten. Zertifizierungen schaffen Vertrauen im Wettbewerb. Mit einem automatisierten Self-Assessment kann die Einhaltung gängiger Standards wie dem CRA konsequent überwacht und eine Zertifizierung unterstützt werden.

Cyber Resilience Act

Die Zeit läuft bereits, das Europäische Parlament hat die geplante „Verordnung über horizontale Anforderungen an die Cybersicherheit von Produkten mit digitalen Komponenten“ angenommen. Die endgültige Verabschiedung des Cyber Resilience Act (CRA) wird als Formsache betrachtet. Der CRA wird künftig die Cybersicherheitsanforderungen für Produkte mit digitalen Komponenten regeln und die Verantwortung dafür in die Hände der Hersteller und Inverkehrbringer legen. Die Erfüllung der Cybersicherheitsanforderungen wird künftig eine zentrale Voraussetzung für eine Wirtschaftstätigkeit im EU-Binnenmarkt sein. Als EU-Verordnung wird der CRA zudem unmittelbar in allen europäischen Mitgliedsstaaten gültig, sobald er final verabschiedet ist. Der Anwendungsbereich umfasst alle Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem anderen Gerät oder Netzwerk beinhaltet.

Komplett digital braucht Product Cybersecurity-Compliance

In der Fertigung gelten digitalisierte Produktionsanlagen bereits seit langem als Standard. Unter dem Begriff „Industrie 4.0“ sind praktisch alle Anlagen vernetzt und verfügen über digitale Steuerungssysteme. Hacker nutzen jedoch Sicherheitslücken in den Betriebssystemen der Anlagen, um Zugriff auf ein komplettes Netzwerk zu erlangen. Hinzu kommt die gesamte Infrastruktur, die ein modernes Industrieunternehmen am Leben hält: Router, Access Points, Drucker, Scanner, automatische Flurförderfahrzeuge und vieles mehr. Auch Software- und Hardwareprodukte sowie damit verbundene Cloud-Lösungen fallen unter die Regelungen des CRA, der erstmals das Prinzip „Security by Design“ im europäischen Technikrecht einführt und nicht nur auf den Zeitpunkt des Inverkehrbringens beschränkt. Die CRA-Konformität eines Produkts mit digitalen Elementen muss künftig während des gesamten Produktlebenszyklus gewährleistet sein und umfasst damit auch Firmware-Updates und Patches. Denn jede Änderung in den Tiefen der Software birgt das Risiko, eine bisher unerkannte Schwachstelle einzuschleusen.

Derzeit werden die Vorgaben des CRA weiter konkretisiert, um für die verschiedenen Produkt-Kritikalitätsklassen die zu erfüllenden Anforderungen an die Cybersicherheit sowie die den Nutzern bereitzustellenden Informationen und Anleitungen festzulegen. Zudem wird künftig eine erweiterte Produktdokumentation verpflichtend vorgeschrieben, um Geräte mit digitalen Komponenten herzustellen und zu vertreiben.

Software-Lieferschein

Zukünftig müssen alle Software-Bestandteile eines Geräts oder einer Anlage mit digitalen Elementen in einer Stückliste aufgeführt werden. Diese gilt es, über den Produktlebenszyklus zu pflegen. Automatisierte Prozesse sind dabei sinnvoll, um den Arbeitsaufwand zu reduzieren und Fehler zu vermeiden. Neuartige Software-as-a-Service-Lösungen können eine SBOM (Software Bill of Materials) automatisch erstellen und gleichzeitig eine direkte Risikoanalyse der enthaltenen Softwarekomponenten durchführen. Entdeckt werden so auch häufig gefährliche Zero-Day-Schwachstellen, die bereits seit Jahren unerkannt in Softwarebausteinen schlummern. Meist reicht einem Hacker ein verwundbares Gerät aus, um ein Netzwerk zu infiltrieren und Daten zu stehlen, Systeme zu manipulieren oder anderweitig zu schädigen.

Cybersecurity-Compliance: Bußgelder und Haftung

Die Anforderungen des CRA betreffen Risikobewertungen für Design, Entwicklung, Herstellung, Lieferung und Wartung von Produkten mit digitalen Elementen, Meldepflichten für Cybersicherheitsrisiken sowie Schwachstellenmanagement und Patches. Hersteller, aber auch Branchenverbände, sind künftig verpflichtet, die typische und branchenübliche Lebensdauer ihrer Produkte zu ermitteln – in der Regel liegt diese nach dem CRA bei mindestens fünf Jahren. Die Strafen für Verstöße – entdeckte Schwachstellen, gehackte Anlagen oder Zero-Day-Lücken – sind drastisch und können bis zu 15 Millionen Euro oder 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen. Die Umsetzungsfristen sind knapp bemessen. Zudem betreffen die Sanktionen nicht nur das Unternehmen selbst, sondern auch das leitende Management. Erste Unternehmen haben bereits reagiert und entsprechende Maßnahmen eingeleitet.

Maschinenbauer macht den Anfang

Ein mittelständisches Unternehmen, das für seine Produkte aktuelle vernetzte Steuerungstechnik von anderen Unternehmen bezieht und zu kompletten Lösungen zusammenfügt, erfüllt bereits jetzt die strengen neuen EU-Vorgaben. Dazu werden alle digitalen Komponenten der Produkte mit einer Product Cybersecurity & Compliance-Plattform analysiert und eine umfassende Risikobewertung durchgeführt. Die genutzte SaaS-Plattform ist in der Lage, sowohl aktuelle als auch mögliche zukünftige Schwachstellen – sogenannte Zero-Day-Exploits – zu identifizieren. 

Als wichtigen Baustein seiner Cybersicherheitsstrategie erstellt und aktualisiert das Unternehmen eine SBOM (Software Bill of Materials), die einen transparenten Überblick über alle eingesetzten Softwarekomponenten bietet und die Anforderungen der EU erfüllt. Mit einem in der Plattform integrierten Compliance Wizard kann der Maschinenbauer zusätzlich seine Produkte gezielt gemäß vieler Compliance-Standards überprüfen. Das Self Assessment automatisiert komplexe Prozesse deutlich und macht Product Cybersecurity-Compliance auch für mittelständische Hersteller möglich.

Ein Reporting liefert dem Unternehmen alle relevanten Daten für eine Zertifizierung nach aktuellen und zukünftigen Standards durch eine unabhängige Prüfstelle: Neben dem EU Cyber Resilience Act umfasst das unter anderem die IEC 62443-4-2, ETSI EN 303 645 und UNECE R1 55. Für den mittelständischen Maschinen- und Anlagenbauer konnte das neue Verfahren nicht nur die Unsicherheit im Umgang mit den Richtlinien beseitigen, sondern auch die Kosten für die Cybersicherheit deutlich reduzieren. Gefundene Schwachstellen konnten bereits geschlossen werden – insgesamt ist das Sicherheitsniveau deutlich gestiegen. Der Hersteller profitiert durch die Maßnahmen auch von einem Wettbewerbsvorteil durch die frühzeitige Umsetzung der kommenden Cybersicherheitsregelungen.