8-2024
Fachzeitschrift für Industrielle Automation, Mess-, Steuer- und Regeltechnik
Fachzeitschrift für Industrielle Automation, Mess-, Steuer- und Regeltechnik
- TAGS
- cyberecurity
- kuenstliche intelligenz
- elektromechanik
- digitalisierung
- stromversorgung
- hmi
- industrielle kommunikation
- robotik
- qualitaetssicherung
- bildverarbeitung
- automatisierung
- sensorik
- messtechnik
- bedienen und visualisieren
- messen steuern regeln
- bauelemente
- iiot
- embedded systeme
- sbc boards module
- software
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
Cybersecurity<br />
Darüber hinaus wird künftig eine<br />
erweiterte Produktdokumentation<br />
verpflichtend vorgeschrieben, um<br />
Geräte mit digitalen Komponenten<br />
herzustellen und zu vertreiben.<br />
Software-Lieferschein<br />
wird verpflichtend<br />
Die CRA-Pflichten betreffen primär<br />
Hersteller, aber auch Importeure<br />
und Händler. Der CRA soll<br />
dazu dienen, die digitale Lieferkette<br />
im EU-Binnenmarkt zu schützen.<br />
Zu diesem Zweck müssen die<br />
Unternehmen künftig auch eine<br />
Materialliste aufstellen, in der alle<br />
Software bestandteile eines Gerätes<br />
oder einer Anlage aufgeführt sind.<br />
Diese Stückliste muss über den definierten<br />
Produktlebenszyklus jederzeit<br />
gepflegt und aktualisiert werden<br />
– einer der ersten Ansätze, bei<br />
denen eine Automatisierung sinnvoll<br />
ist, um Arbeitsaufwand und Fehleranfälligkeit<br />
zu minimieren.<br />
Automatisierung<br />
Moderne Software-as-a-Service-<br />
Werkzeuge können eine SBOM<br />
automatisch erstellen und gleichzeitig<br />
eine direkte Risiko analyse der<br />
enthaltenen Softwarekomponenten<br />
durchführen. Dabei werden häufig<br />
gefährliche Zero-Day-Schwachstellen<br />
entdeckt, die bereits seit<br />
Jahren unerkannt in Softwarebausteinen<br />
schlummern. Hier arbeiten<br />
Sicherheitsspezialisten und Hacker<br />
an einem gemeinsamen Ziel: diese<br />
Schwachstellen zu finden. Meist<br />
reicht ein verwundbares Gerät<br />
in einem Netzwerk aus, um das<br />
gesamte Netzwerk zu infiltrieren<br />
und Daten zu stehlen, Systeme zu<br />
manipulieren oder anderweitig zu<br />
schädigen.<br />
Lebensdauer<br />
Die Anforderungen der CRA betreffen<br />
Risikobewertungen für Design,<br />
Entwicklung, Herstellung, Lieferung<br />
und Wartung von Produkten mit digitalen<br />
Elementen, Meldepflichten<br />
für Cybersicherheitsrisiken sowie<br />
Schwachstellen management und<br />
Patches. Hersteller, aber auch Branchenverbände,<br />
sind künftig verpflichtet,<br />
die typische und branchenübliche<br />
Lebensdauer ihrer Produkte zu<br />
ermitteln – in der Regel liegt diese<br />
nach dem CRA bei mindestens fünf<br />
Jahren. Allerdings ist die Nutzungsdauer<br />
von Anlagen, die in der Industrie<br />
eingesetzt werden, häufig<br />
Prozess des Product Compliance Lifecycle unter Anwendung des Compliance Wizards von ONEKEY. © ONEKEY<br />
länger: Industrie unternehmen sind<br />
daher gefordert, die IT-Sicherheit<br />
und -Integrität dieser Geräte im<br />
Blick zu behalten und Compliance-<br />
Richtlinien zu entwickeln, die das<br />
Ziel einer kontinuierlichen Sicherheitsplanung<br />
beinhalten.<br />
Bußgelder<br />
und persönliche Haftung<br />
Die Strafen für Verstöße – entdeckte<br />
Schwachstellen, Zero-<br />
Day-Lücken und Ähnliches – sind<br />
drastisch und können bis zu 15 Millionen<br />
Euro oder 2,5 Prozent des<br />
gesamten weltweiten Jahresumsatzes<br />
des vorangegangenen<br />
Geschäftsjahres betragen. Die<br />
Umsetzungsfrist für die betroffenen<br />
Akteure beträgt grundsätzlich<br />
36 Monate nach Inkrafttreten<br />
des CRA: Der Zeitdruck, sich auf die<br />
kommenden Bestimmungen vorzubereiten,<br />
ist groß. Zudem betreffen<br />
die Sanktionen nicht nur das Unternehmen<br />
selbst, sondern können sich<br />
auch auf das Management erstrecken.<br />
Während für viele Unternehmen<br />
die Bedingungen rund um die<br />
zukünftigen Compliance-Anforderungen<br />
auf Basis des Cyber Resilience<br />
Acts noch unklar sind, haben<br />
erste Unternehmen bereits reagiert<br />
und entsprechende Maßnahmen<br />
eingeleitet.<br />
Umsetzung<br />
Erste Unternehmen automatisieren<br />
ihre Sicherheitsprozesse: Ein<br />
mittelständischer Maschinen- und<br />
Anlagenbauer, der für seine Produkte<br />
modernste vernetzte Steuerungstechnik<br />
von anderen Unternehmen<br />
bezieht und integriert, hat<br />
sich aktiv um die Einhaltung der<br />
strengen EU-Vorgaben bemüht.<br />
Dabei analysiert er die digitalen<br />
Komponenten seiner Produkte im<br />
Detail und führt umfassende Risikobewertungen<br />
durch.<br />
Zu diesem Zweck setzt das Unternehmen<br />
eine Product Cybersecurity<br />
& Compliance Plattform ein,<br />
die es ermöglicht, alle eingesetzten<br />
Software-Komponenten automatisiert<br />
zu prüfen. So identifiziert<br />
der Maschinenbauer sowohl aktuelle<br />
als auch mögliche zukünftige<br />
Schwachstellen, sogenannte Zero-<br />
Day-Exploits. Als wichtigen Baustein<br />
seiner Cyber sicherheitsstrategie<br />
erstellt und aktualisiert das Unternehmen<br />
zudem eine SBOM (Software<br />
Bill of Materials), die einen<br />
transparenten Überblick über alle<br />
eingesetzten Softwarekomponenten<br />
bietet.<br />
Compliance Wizard<br />
Mit einem in der Plattform integrierten<br />
Compliance Wizard kann der<br />
Maschinenbauer zusätzlich seine<br />
Produkte nach zahlreichen Compliance-Standards<br />
oder -Gesetzen,<br />
wie etwa dem Cyber Resilience Act,<br />
überprüfen. Das Self Assessment<br />
automatisiert komplexe Prozesse<br />
deutlich und macht Cyber Security-Compliance<br />
auch im Mittelstand<br />
und weniger IT-affinen Branchen<br />
wie Maschinen- und Anlagenbau<br />
möglich.<br />
Reporting<br />
Ein Reporting liefert dem Unternehmen<br />
alle relevanten Daten für<br />
eine Zertifizierung durch eine unabhängige<br />
Prüfstelle nach aktuellen<br />
und zukünftigen Standards: Neben<br />
dem EU Cyber Resilience Act sind<br />
dies IEC 62443-4-2, ETSI EN 303<br />
645 und UNECE R1 55. Im Fall<br />
des mittelständischen Maschinenund<br />
Anlagenbauers hat das Verfahren<br />
nicht nur die Unsicherheit<br />
im Umgang mit den neuen Richtlinien<br />
beseitigt, sondern auch die<br />
Kosten für die Cybersicherheit seiner<br />
Produkte deutlich gesenkt. Aufgedeckte<br />
Schwachstellen konnten<br />
bereits geschlossen werden und<br />
stellen kein Risiko mehr dar: Damit<br />
bieten die Produkte einen deutlichen<br />
Mehrwert am Markt und verschaffen<br />
dem Hersteller einen Wettbewerbsvorteil<br />
durch die frühzeitige Umsetzung<br />
der kommenden Cybersicherheitsregelungen.<br />
◄<br />
Schwachstelle in der Softwarelieferkette:<br />
Einstiegspunkt für<br />
Hacker © Maksim Kabakou/<br />
AdobeStock<br />
PC & Industrie 8/<strong>2024</strong> 19