Compliant ist nicht sicher
Seinem Roundtablebeitrag stellte Helmut Deichert, Head of Product Line Controls bei Festo, gleich eine provokante These voran: „Der Cyber Resilience Act wird die Industrie ‚compliant‘ machen, aber nicht automatisch sicherer. Dazu müsse der Betreiber wissen, was er schützen will, der Schutz müsse laufend an neue Bedrohungen angepasst werden – anders als bei Safety – und er müsse im Alltag praktikabel bleiben. „Wenn wir irgendwann an jeder Maschine ein Schild mit einem Zugangscode haben, dann ist das keine Cyber Resilience.“
CRA ist für europäische Hersteller ein Wettbewerbsnachteil
Mit Kritik an der Regulierung sparte die Runde nicht. Frank schätzt, dass bei der Maschinenverordnung mindestens 80 Prozent des Aufwands bei den Komponentenanwendern liegt, und sieht zahlreiche Widersprüche zwischen Maschinenverordnung, CRA, Datenschutz-Grundverordnung und Data Act. Stand heute sei der CRA für europäische Hersteller eher ein Wettbewerbsnachteil. Unger stört vor allem der Stichtag ohne Übergangsphase: Die Komponentenlieferanten müssen Monate vor den Maschinenbauern liefern, harmonisierte Normen fehlen, und was mit vollen Lägern geschieht, ist offen. Längere Übergangsfristen würden in der gegenwärtigen Problematik schon helfen.
Automatisches Patch- und Asset-Management
Angesichts der zunehmenden notwendigen Sicherheitsupdates stellt sich für viele Betreiber die Frage, wie sie in Anlagen eingespielt werden können, die nicht stillstehen dürfen? Ein zentraler Lösungsbaustein dafür ist nach Ansicht des dritten Podianten Dr. Tobias Frank, Vice President Automation Systems bei Phoenix Contact und Geschäftsführer der Phoenix Contact Cyber Security, ein vollautomatisiertes Patch- und Asset-Management. Mit dem Device and Update Management von Phoenix Contact würden in ersten Installationen bereits mehr als 10.000 Assets verwaltet. Deichert setzt in der Prozesstechnik auf redundante Stränge, in der Fertigung auf geplante Stopps; entscheidend sei ein nahtloser Wiederanlauf statt einer neuen Inbetriebnahme. Unger erinnerte an die Halbleiterindustrie, in der nach dem Prinzip ‚Copy Exact‘ zehn Jahre lang nichts an einer Maschine geändert werden darf. Da wird jeder Patch zur Grundsatzfrage.
