8-2024

Cybersecurity
Darüber hinaus wird künftig eine
erweiterte Produktdokumentation
verpflichtend vorgeschrieben, um
Geräte mit digitalen Komponenten
herzustellen und zu vertreiben.
Software-Lieferschein
wird verpflichtend
Die CRA-Pflichten betreffen primär
Hersteller, aber auch Importeure
und Händler. Der CRA soll
dazu dienen, die digitale Lieferkette
im EU-Binnenmarkt zu schützen.
Zu diesem Zweck müssen die
Unternehmen künftig auch eine
Materialliste aufstellen, in der alle
Software bestandteile eines Gerätes
oder einer Anlage aufgeführt sind.
Diese Stückliste muss über den definierten
Produktlebenszyklus jederzeit
gepflegt und aktualisiert werden
– einer der ersten Ansätze, bei
denen eine Automatisierung sinnvoll
ist, um Arbeitsaufwand und Fehleranfälligkeit
zu minimieren.
Automatisierung
Moderne Software-as-a-Service-
Werkzeuge können eine SBOM
automatisch erstellen und gleichzeitig
eine direkte Risiko analyse der
enthaltenen Softwarekomponenten
durchführen. Dabei werden häufig
gefährliche Zero-Day-Schwachstellen
entdeckt, die bereits seit
Jahren unerkannt in Softwarebausteinen
schlummern. Hier arbeiten
Sicherheitsspezialisten und Hacker
an einem gemeinsamen Ziel: diese
Schwachstellen zu finden. Meist
reicht ein verwundbares Gerät
in einem Netzwerk aus, um das
gesamte Netzwerk zu infiltrieren
und Daten zu stehlen, Systeme zu
manipulieren oder anderweitig zu
schädigen.
Lebensdauer
Die Anforderungen der CRA betreffen
Risikobewertungen für Design,
Entwicklung, Herstellung, Lieferung
und Wartung von Produkten mit digitalen
Elementen, Meldepflichten
für Cybersicherheitsrisiken sowie
Schwachstellen management und
Patches. Hersteller, aber auch Branchenverbände,
sind künftig verpflichtet,
die typische und branchenübliche
Lebensdauer ihrer Produkte zu
ermitteln – in der Regel liegt diese
nach dem CRA bei mindestens fünf
Jahren. Allerdings ist die Nutzungsdauer
von Anlagen, die in der Industrie
eingesetzt werden, häufig
Prozess des Product Compliance Lifecycle unter Anwendung des Compliance Wizards von ONEKEY. © ONEKEY
länger: Industrie unternehmen sind
daher gefordert, die IT-Sicherheit
und -Integrität dieser Geräte im
Blick zu behalten und Compliance-
Richtlinien zu entwickeln, die das
Ziel einer kontinuierlichen Sicherheitsplanung
beinhalten.
Bußgelder
und persönliche Haftung
Die Strafen für Verstöße – entdeckte
Schwachstellen, Zero-
Day-Lücken und Ähnliches – sind
drastisch und können bis zu 15 Millionen
Euro oder 2,5 Prozent des
gesamten weltweiten Jahresumsatzes
des vorangegangenen
Geschäftsjahres betragen. Die
Umsetzungsfrist für die betroffenen
Akteure beträgt grundsätzlich
36 Monate nach Inkrafttreten
des CRA: Der Zeitdruck, sich auf die
kommenden Bestimmungen vorzubereiten,
ist groß. Zudem betreffen
die Sanktionen nicht nur das Unternehmen
selbst, sondern können sich
auch auf das Management erstrecken.
Während für viele Unternehmen
die Bedingungen rund um die
zukünftigen Compliance-Anforderungen
auf Basis des Cyber Resilience
Acts noch unklar sind, haben
erste Unternehmen bereits reagiert
und entsprechende Maßnahmen
eingeleitet.
Umsetzung
Erste Unternehmen automatisieren
ihre Sicherheitsprozesse: Ein
mittelständischer Maschinen- und
Anlagenbauer, der für seine Produkte
modernste vernetzte Steuerungstechnik
von anderen Unternehmen
bezieht und integriert, hat
sich aktiv um die Einhaltung der
strengen EU-Vorgaben bemüht.
Dabei analysiert er die digitalen
Komponenten seiner Produkte im
Detail und führt umfassende Risikobewertungen
durch.
Zu diesem Zweck setzt das Unternehmen
eine Product Cybersecurity
& Compliance Plattform ein,
die es ermöglicht, alle eingesetzten
Software-Komponenten automatisiert
zu prüfen. So identifiziert
der Maschinenbauer sowohl aktuelle
als auch mögliche zukünftige
Schwachstellen, sogenannte Zero-
Day-Exploits. Als wichtigen Baustein
seiner Cyber sicherheitsstrategie
erstellt und aktualisiert das Unternehmen
zudem eine SBOM (Software
Bill of Materials), die einen
transparenten Überblick über alle
eingesetzten Softwarekomponenten
bietet.
Compliance Wizard
Mit einem in der Plattform integrierten
Compliance Wizard kann der
Maschinenbauer zusätzlich seine
Produkte nach zahlreichen Compliance-Standards
oder -Gesetzen,
wie etwa dem Cyber Resilience Act,
überprüfen. Das Self Assessment
automatisiert komplexe Prozesse
deutlich und macht Cyber Security-Compliance
auch im Mittelstand
und weniger IT-affinen Branchen
wie Maschinen- und Anlagenbau
möglich.
Reporting
Ein Reporting liefert dem Unternehmen
alle relevanten Daten für
eine Zertifizierung durch eine unabhängige
Prüfstelle nach aktuellen
und zukünftigen Standards: Neben
dem EU Cyber Resilience Act sind
dies IEC 62443-4-2, ETSI EN 303
645 und UNECE R1 55. Im Fall
des mittelständischen Maschinenund
Anlagenbauers hat das Verfahren
nicht nur die Unsicherheit
im Umgang mit den neuen Richtlinien
beseitigt, sondern auch die
Kosten für die Cybersicherheit seiner
Produkte deutlich gesenkt. Aufgedeckte
Schwachstellen konnten
bereits geschlossen werden und
stellen kein Risiko mehr dar: Damit
bieten die Produkte einen deutlichen
Mehrwert am Markt und verschaffen
dem Hersteller einen Wettbewerbsvorteil
durch die frühzeitige Umsetzung
der kommenden Cybersicherheitsregelungen.
◄
Schwachstelle in der Softwarelieferkette:
Einstiegspunkt für
Hacker © Maksim Kabakou/
AdobeStock
PC & Industrie 8/2024 19