Andreas Fuchs, Drivelock, im Gespräch Was die Cybersicherheit in Fertigungsunternehmen wirksamer macht

Anbieter zum Thema

DriveLock SE

SPI GmbH

ITWH Inst.f.technisch- wissensch. Hydrologie GmbH

CAD+T Solutions GmbH

Die EU verschärft ihre Regulierungen für die Cybersicherheit. Fertigungsunternehmen stehen damit vor tiefgreifenden Veränderungen. Im Interview erläutert Andreas Fuchs, Director Product Management bei Drivelock, was das bedeutet, wo Handlungsbedarf besteht und wie digitale Souveränität gelingen kann.

Die EU erweitert mit NIS2, CRA und CSA die Anforderungen an Cybersicherheit in der Industrie. Andreas Fuchs von Drivelock erklärt im Gespräch mit dem Autocad Magazin, wie Fertigungsunternehmen neue EU-Vorgaben umsetzen, Sicherheitsstrukturen vereinfachen und digitale Souveränität stärken. Er erläutert, wie integrierte Plattformen dabei helfen können, die Komplexität zu reduzieren und die erforderlichen Maßnahmen zu systematisieren.

AUTOCAD Magazin (ACM) NIS 2, CRA und CSA – die EU hat in den letzten Jahren verschiedene Sicherheitsrichtlinien entwickelt. Können Sie uns bitte erklären, wie sich Fertigungsunternehmen in diesem regulatorischen Umfeld zurechtfinden können?

Andreas Fuchs: Fertigungsunternehmen stehen vor der Herausforderung, drei zum Teil miteinander verknüpfte EU-Regelwerke zu verstehen und umzusetzen. Jede hat einen anderen Fokus, aber sie hängen eng zusammen.

Erstens: NIS 2 betrifft die Cybersicherheit kritischer Infrastrukturen und verpflichtet Unternehmen aus diesem Bereich zu strengen Sicherheitsmaßnahmen sowie Meldepflichten. Das ist für Fertigungsunternehmen relevant, wenn sie als „wesentliche“ oder „wichtige Einrichtungen“ eingestuft werden.

CRA fokussiert auf die Sicherheit vernetzter Produkte (zum Beispiel IoT-Geräte, Software) und verlangt von Herstellern, Cybersicherheit über den gesamten Produktlebenszyklus zu berücksichtigen. Dies betrifft direkt die Produktentwicklung und -vermarktung in der Fertigung.

Und schließlich bietet CSA einen Rahmen für EU-weite Zertifizierungen von IKT-Produkten, -Diensten und -Prozessen. Diese Zertifizierungen können sowohl für NIS 2 als auch CRA verpflichtend oder empfohlen sein.

ACM: Was sollte bei den Sicherheitsverantwortlichen jetzt ganz oben auf der Agenda stehen, was die Umsetzung angeht?

Andreas Fuchs: Für die Sicherheitsverantwortlichen sollten folgende Punkte Priorität haben und ihnen damit bei der Umsetzung helfen:

• Absicht der Regelwerke verstehen und deren Anwendbarkeit prüfen: Welche Richtlinien gelten für das eigene Unternehmen?
• Compliance-Strategie entwickeln: Um Synergien zu nutzen und Doppelaufwände zu vermeiden, braucht es eine koordinierte Umsetzung der entsprechend relevanten Richtlinien und möglichen Zertifizierungen.
• Produktentwicklung anpassen: Sicherheitsanforderungen von CSA, CRA und ähnlichen Regularien bereits in der Designphase berücksichtigen.

ACM: Wo sehen Sie derzeit den größten Handlungsbedarf, was die Cybersicherheit in diesen Unternehmen betrifft?

Andreas Fuchs: Der größte Handlungsbedarf liegt aktuell in der Vereinfachung und Systematisierung der Cybersicherheit. Unternehmen sehen sich einer Vielzahl von Bedrohungen gegenüber – von gezielten Ransomware-Angriffen über Supply-Chain-Attacken bis hin zu Schwachstellen in vernetzten Produkten. Gleichzeitig existieren unzählige Sicherheitslösungen, Tools und Frameworks, die oft isoliert sind und komplex implementiert werden müssen.

Fragmentierung macht Cybersicherheit unnötig kompliziert, obwohl sie einfach und effektiv sein sollte. Gerade im Kontext von NIS 2 können Sicherheitsverantwortliche den Überblick bewahren, wenn sie auf integrierte Lösungen setzen.

Cybersicherheit vereinfachen und systematisieren

Diese Fragmentierung macht Cybersicherheit unnötig kompliziert, obwohl sie einfach und effektiv sein sollte. Gerade im Kontext von NIS 2 können Sicherheitsverantwortliche den Überblick bewahren, wenn sie auf integrierte Lösungen setzen.

ACM: Können Sie uns bitte ein Beispiel dafür nennen?

Andreas Fuchs: Ein konkretes Beispiel für die Bedrohungslage ist der Malware-Angriff auf Produktionsanlagen, bei dem Angreifer über unsichere IoT-Geräte oder veraltete Software in das Unternehmensnetzwerk eindringen und kritische Systeme lahmlegen. Solche Angriffe können nicht nur den Betrieb stoppen, sondern auch regulatorische Konsequenzen bis hin zur Führungsebene nach sich ziehen, zum Beispiel aufgrund von Verstößen gegen Meldepflichten gemäß NIS 2. Hierbei kann auch die Geschäftsleitung für die Umsetzung von Cybersicherheitsmaßnahmen persönlich zur Verantwortung gezogen werden, mit Bußgeldern bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes. Damit wird Cybersicherheit endgültig zur Chefsache und erfordert aktives Engagement sowie fundierte Entscheidungen auf Vorstandsebene.

Plattformlösung ermöglicht zentrale Verwaltung von kritischen Sicherheitsmaßnahmen

Eine Plattform-Lösung mit integrierten Security Controls, die die Anforderungen relevanter Richtlinien abdeckt, kann hier Abhilfe schaffen. Sie ermöglicht die zentrale Verwaltung von kritischen Sicherheitsmaßnahmen. Übersichtliche Dashboards und transparentes Reporting unterstützen bei Compliance-Prüfungen und Audits.

Dadurch wird Cybersicherheit nicht nur wirksam, sondern auch besser, transparent und einfacher zu managen. Das ist ein entscheidender Vorteil für Fertigungsunternehmen, die sich der zunehmenden Komplexität regulatorischer Vorgaben und einer wachsenden Cyberbedrohungslandschaft stellen müssen.

ACM: Abgesehen von der Technik: Welche Kriterien braucht es außerdem für eine leistungsfähige und resiliente Sicherheitsinfrastruktur?

Andreas Fuchs: Ein wichtiger Aspekt ist aktuell, das Bewusstsein der Mitarbeitenden für Cybersicherheitsrisiken zu schärfen. Ein hoher Anteil erfolgreicher Cyberattacken ist auf menschliches Versagen oder Fehlverhalten zurückzuführen. Angreifer nutzen gezielt den Menschen aus, um über Phishing-Emails und Social Engineering an sensible Daten zu gelangen oder diese zu verschlüsseln.

Sicherheitsbewusstsein ist wichtig

Ohne Security Awareness ist ein Security-Konzept nicht umfassend genug, und Unternehmen bleiben verwundbar. Ein typisches Beispiel ist Phishing, das oft als Einfallstor für größere Angriffe dient. Organisationen sollten daher ihre Mitarbeitenden kontinuierlich schulen und für Sicherheitsrisiken sensibilisieren.

ACM: Wie erklären Sie sich die Tatsache, dass die Unternehmen und auch die Behörden nach wie vor auf Sicherheitslösungen nicht-europäischer Anbieter vertrauen?

Andreas Fuchs: Das Vertrauen in nicht-europäische Sicherheitslösungen lässt sich vor allem durch deren technologische Reife, Marktverfügbarkeit und Integrationsfähigkeit erklären. Viele dieser Anbieter haben sich über Jahre etabliert und bieten bewährte, skalierbare Lösungen oft mit globalem Support und Ökosystem.

Wir setzen digitale Souveränität nicht automatisch mit totaler Abschottung gleich. Es geht nicht darum, sich von internationalen Technologien abzugrenzen, sondern darum, selbstbestimmt über Lösungen zu entscheiden unter Berücksichtigung von Sicherheit, Compliance und strategischer Kontrolle.

Einsatz nicht-europäischer Sicherheitslösungen: Worauf es ankommt

Dennoch bleibt es gerade im Kontext von NIS 2 essenziell, dass Unternehmen umfassende und interoperable Sicherheitslösungen gemäß europäischen Anforderungen nutzen.

ACM: Welche Probleme sehen Sie beim Einsatz dieser Lösungen?

Andreas Fuchs: Der Einsatz nicht-europäischer Sicherheitslösungen bringt mehrere Herausforderungen mit sich. Im Fokus stehen dabei insbesondere folgende Punkte:

• unklare Datenschutzstandards: Die Anbieter unterliegen gegebenenfalls nicht der EU-DSGVO, was zu Compliance-Risiken führen kann.
• geopolitische Risiken: Politische Spannungen oder Exportbeschränkungen können die Verfügbarkeit und Integrität von Sicherheitslösungen beeinträchtigen.

Aber, wie oben bereits gesagt: Es geht darum, dass Unternehmen bewusst und kontrolliert entscheiden können, welche Lösungen sie einsetzen. Natürlich idealerweise solche, die zertifizierbar sowie mit europäischen Standards und Compliance-Vorgaben kompatibel sind.

ACM: Inwiefern können Behörden und staatliche Institutionen eine Vorbildfunktion in Sachen digitale Souveränität übernehmen?

Andreas Fuchs: Vorbildlich wäre es, wenn staatliche Einrichtungen bei der Auswahl und Einführung digitaler Lösungen auf nationale oder europäische Standards hinsichtlich Sicherheit, Datenschutz und Kontrolle achten. Solch eine Vorgehensweise sendet ein starkes Signal an andere gesellschaftliche Akteure, schafft Vertrauen und gibt Orientierung. Nicht zuletzt fördert es auch Innovation und leistet einen entscheidenden Beitrag zur digitalen Resilienz Deutschlands und Europas.

ACM: Herr Fuchs, herzlichen Dank für das Gespräch.

Weitere Informationen: https://www.drivelock.com/de/

Montage-Simulation

Prozesse virtuell validieren -- auch ohne tiefere FEM-Kenntnisse