Der Cyber Resilience Act soll angesichts der zugespitzten Lage im Bereich Cybersicherheit dazu beitragen, das Sicherheitsniveau vernetzter Produkte in Europa deutlich zu erhöhen. Dafür müssen Hersteller Security systematisch in ihre Produkte integrieren – von ‚Secure by Design‘ über Update-Fähigkeit bis hin zum kontinuierlichen Schließen von Schwachstellen. Ziel ist es, auch bereits länger am Markt befindliche Systeme resilient gegen Cyberangriffe zu machen.
Normen, Zertifizierung und organisatorischer Umbau
Spätestens ab dem 11. Dezember 2027 dürfen nur noch CRA-konforme Produkte mit CE-Kennzeichnung in Verkehr gebracht werden. Damit wird Cybersecurity unmittelbar wettbewerbsrelevant. Viele Unternehmen unterschätzen jedoch noch immer die Tragweite der neuen Anforderungen. Anders als bei der NIS-2-Richtlinie geht es beim CRA nicht nur um organisatorische Maßnahmen, sondern um konkrete technische Vorgaben für Produkte, Komponenten und Entwicklungsprozesse. Wer Produkte auf den Markt bringt, haftet künftig für das Gesamtsystem – ein bloßes Weiterreichen der Verantwortung an Zulieferer reicht nicht mehr aus.
Für viele Unternehmen bedeutet das erhebliche organisatorische Veränderungen. Der CRA orientiert sich stark an bestehenden Standards wie IEC62443-4-1 und -4-2. Unternehmen, die sich bereits mit diesen Normen oder mit der EN18031 im Rahmen der Radio Equipment Directive beschäftigt haben, besitzen einen Vorteil. Trotzdem drängt die Zeit: Teile der relevanten Normen sind noch nicht final ausformuliert, gleichzeitig müssen Entwicklungs- und Zertifizierungsprozesse bereits heute angepasst werden. IO-Link hat deutlich mehr zu bieten als die bekannten Vorzüge. Dieser Fachartikel zeigt mit Beispielen aus der Praxis, wie Anwender sämtliche Vorteile der digitalen Schnittstelle nutzen. Das funktioniert ohne grossen Trainingsaufwand: Selbst Einsteiger ohne Vorkenntnisse können dank kostenfreiem Baumer How-to-Tutorial IO-Link Geräte schon nach 80 Minuten in die SPS integrieren. ‣ weiterlesen
Mehr Speed mit IO-Link: 5 Praxistipps für Ingenieure
Wie Anwender das volle Potenzial smarter Sensoren ausschöpfen
Je nach Sicherheitsklasse eines Produkts werden künftig externe Prüforganisationen wie der TÜV eingebunden. Das erhöht den Aufwand zusätzlich. Gleichzeitig dürfte sich CRA-Konformität rasch als Standard in Ausschreibungen etablieren. Unternehmen müssen deshalb lernen, Risiken systematisch zu bewerten, technische Schutzmaßnahmen daraus abzuleiten und ihre Lieferketten in das Sicherheitskonzept einzubinden.
Der Weg zur Compliance bleibt holprig
Besonders schwierig wird der Umstieg für Unternehmen, die bislang wenig Berührung mit Industrial Security hatten. Während bei bisherigen CE-Zertifizierungen häufig noch Spielräume bestanden, steigen die Anforderungen nun deutlich. Hinzu kommen offene Fragen: So verlangt die EN18031 eine Software Bill of Materials (SBOM), die auch Standardsoftware wie Windows berücksichtigen müsste. Für manche Komponenten fehlen bislang jedoch passende Konformitätserklärungen der Hersteller, was die Zertifizierung komplex macht.
Neue Anforderungen an Embedded-Systeme
Auch technisch steigen die Anforderungen erheblich. Gefordert wird u.a. eine Hardware Root of Trust bzw. Security, die sicherstellt, dass Bootloader, Firmware und Betriebssystem unverändert und authentisch sind. Software darf künftig nicht mehr beliebig nachinstalliert werden. Jede Änderung muss Teil des Sicherheitskonzepts sein. Gleichzeitig müssen Systeme Updates eigenständig validieren können, damit manipulierte Software ausgeschlossen wird. Hinzu kommt ein kontinuierliches Schwachstellen-Monitoring über den gesamten Produktlebenszyklus. Hersteller müssen Risiken in Komponenten und Gesamtsystemen überwachen und abhängig von der Sicherheitsklassifizierung regelmäßig Updates bereitstellen. Gerade bei älteren Produkten ist das oft schwierig umzusetzen.
