Im Mittelpunkt des CRA stehen die Prinzipien ‚Security by Design‘ und ‚Security by Default‘. Maschinenbauer müssen während der Produktentwicklung potenzielle Cyberrisiken identifizieren, mögliche Angriffsvektoren bewerten und die betrieblichen und wirtschaftlichen Folgen abschätzen können, sollten diese Risiken ausgenutzt werden. Dies macht es erforderlich, Cybersicherheit als Teil des Konstruktionsprozesses zu betrachten, anstatt sie erst nach der Fertigstellung einer Maschine zu berücksichtigen. Risikobewertungen müssen in Konstruktionsentscheidungen einfließen, Sicherheitsmaßnahmen sind ebenso zu beachten wie Leistung, Safety und Zuverlässigkeit. Hersteller haben zudem nachzuweisen, wie Cyberrisiken über den gesamten Produktlebenszyklus hinweg bewertet, reduziert und verwaltet werden.
Ebenso wichtig ist der Einblick in jede digitale Komponente einer Maschine. Software- und Hardware-Stücklisten bilden die Grundlage, um zu verstehen, welche Produkte betroffen sind, wenn neue Schwachstellen entdeckt werden, und um künftige Meldepflichten zu erfüllen.
Compliance endet nicht mit der Auslieferung
Eine der größten CRA-Änderungen ist die fortbestehende Verantwortung für Anlagen nach deren Auslieferung. Hersteller benötigen künftig entsprechende Prozesse, um neu entdeckte Schwachstellen zu identifizieren und zu bewerten. Im Anschluss müssen sie entscheiden, welche Produkte davon betroffen sind und entsprechende Sicherheitsupdates und / oder Patches bereitstellen. Produkte mit bekannten ausnutzbaren Schwachstellen dürfen künftig nicht ohne entsprechende Maßnahmen weiter betrieben werden, zudem muss eine proaktive Meldung dazu erfolgen. Git, CI/CD-Pipelines, automatisierte Builds, Code-Reviews im Team: in der Softwareentwicklung seit Jahren Standard, in der SPS-Programmierung bisher kaum umsetzbar. ‣ weiterlesen
SPS-Entwicklung trifft DevOps: Wie CODESYS 4 IT-Methoden in die Automatisierung bringt
Für Industrieanlagen mit jahrzehntelangen Betriebslebenszyklen schafft dies neue Herausforderungen. Betriebssysteme veralten, Hardware erreicht das Ende ihres Supportfensters und während der gesamten Lebensdauer einer Maschine entstehen neue Angriffsmethoden. Ein effektives Lifecycle-Management wird daher ebenso wichtig wie die ursprüngliche Konstruktion.
Allerdings stellen nicht alle Sicherheitslücken ein Betriebsrisiko von identischem Ausmaß dar. Eine Schwachstelle eines streng geschützten Assets innerhalb eines segmentierten Netzwerks erfordert eine andere Reaktion als eine Sicherheitslücke, die eine unternehmenskritische, übergeordnet vernetzte Anlage betrifft. Das Verständnis des Kontextes ermöglicht es Herstellern und Betreibern, Gegenmaßnahmen auf der Grundlage des tatsächlichen Betriebsrisikos zu priorisieren.
Informationen in Maßnahmen umsetzen
Um diese Verpflichtungen erfüllen zu können, bedarf es einer Transparenz über alle industriellen Anlagen hinweg. Hersteller benötigen ein detailliertes Verständnis der in jeder Maschine installierten Steuerungen, HMIs, Industrie-PCs, Server, Switches und Software sowie der Firmware-Versionen, Betriebssysteme, Sicherheitskonfigurationen und des Lebenszyklusstatus. Ohne diese Informationen können Unternehmen weder exakt bestimmen, ob neu veröffentlichte Schwachstellen ihre Anlagen betreffen, noch die Einhaltung von Meldepflichten nachweisen. Maschinen kommunizieren, reagieren und steuern Prozesse. Nur ihr Licht wird oft noch als passive Komponente behandelt. Dabei zeigen SPS-Anbindung, IO-Link und Signalfunktionen: Intelligentes Licht kann längst mehr als leuchten. ‣ weiterlesen
Wie intelligent ist Licht?
Moderne Cybersicherheitsplattformen gehen über reine Bestandsaufnahmen von Anlagen hinaus: Sie identifizieren Schwachstellen, überwachen Konfigurationsänderungen, bewerten die Systemabsicherung und stellen den Kontext bereit, der zur Priorisierung echter betrieblicher Risiken erforderlich ist.
Sobald Unternehmen Probleme identifiziert haben, benötigen sie zunehmend Tools zur Behebung dieser Schwachstellen. Diese validieren sichere Konfigurationen, tracken den Lebenszyklus von Assets und stellen gegebenenfalls Sicherheitspatches für Betriebssysteme bereit. Der Kontext ist entscheidend für die Bestimmung der Kritikalität und des Risikos.
Compliance in den täglichen Betrieb integrieren
Hersteller sollten rechtzeitig damit beginnen, ihr Produktportfolio zu überprüfen und einheitliche Risikobewertungsprozesse zu etablieren. Auch sind die Verantwortlichkeiten in den Bereichen Sales, Entwicklung, Service, Beschaffung und der Rechtsabteilung festzulegen. Ebenso sind Lieferketten detaillierter zu überprüfen. Das Verständnis der von Drittanbietern gelieferten Software und Hardware, das Monitoring neu auftretender Schwachstellen und die Pflege präziser SBOMs (Software Bills of Materials) werden zu grundlegenden Bestandteilen des laufenden Produktsupports.
