Stroje připravené na budoucnost začínají u komponentů s kybernetickým zabezpečením

Zákon o kybernetické odolnosti (CRA EU 2024/2847) zavádí povinné požadavky na kybernetickou bezpečnost pro výrobky s digitálními prvky. Jeho cílem je zajistit, aby byly výrobky bezpečně vyvíjeny, provozovány, udržovány a podporovány po celou dobu jejich životního cyklu. 

Pro výrobce strojů se proto kybernetická bezpečnost stává nedílnou součástí vývoje produktů, posuzování rizik a řízení dodavatelů. 

Většina moderních strojů dnes obsahuje digitální komponenty, jako jsou: 

• Senzory a akční členy 

• Zařízení IO-Link a řadiče IO-Link 

• Komponenty sběrnic Fieldbus a Ethernet 

• Kamerové systémy 

• Vestavěný software a firmware 

• Průmyslové počítače 

V důsledku toho spadá do působnosti CRA mnoho strojů. Kromě toho musí každý výrobce strojů v rámci své povinnosti péče zohlednit kyberbezpečnostní rizika integrovaných komponent. 

Stroj obvykle spadá do působnosti CRA, pokud jsou splněny všechny následující podmínky: 

• obsahuje digitální prvky; 

• Je uveden na trh EU. 

• Vyměňuje data přímo nebo nepřímo s jinými zařízeními nebo sítěmi. 

Stačí i nepřímé připojení, například přes Ethernet, PROFINET, PROFIBUS, USB, Wi-Fi, Bluetooth, NFC, systémy vzdálené údržby, průmyslové počítače nebo brány. Přímé připojení k internetu není nutné. 

Pokud stroj zpracovává, ukládá nebo přenáší data, pravděpodobně se na něj vztahuje směrnice CRA.

Ne. V době poslední aktualizace tohoto dokumentu obecně neexistuje požadavek na výměnu již nainstalovaných strojů.

Nařízení CRA se vztahuje především na výrobky s digitálními prvky, které jsou nově uvedeny na trh po zavedení nařízení CRA nebo které po tomto datu procházejí podstatnými změnami.

Vzhledem k tomu, že nařízení CRA vstoupí v plnou platnost až 11. prosince 2027, nemůže v současné době žádný výrobce prohlásit formální shodu svých výrobků s nařízením CRA. 

Proto používáme termín „CRA-Ready“ pro výrobky, u nichž například:

• bylo provedeno posouzení kyberbezpečnostních rizik 

• Byly implementovány bezpečnostní požadavky v souladu s normou IEC 62443 

• Jsou plánovány a podporovány bezpečnostní aktualizace 

• Je k dispozici strukturovaná dokumentace pro bezpečnou integraci 

• Byly již zohledněny budoucí požadavky CRA 

• K dispozici je tým pro reakci na bezpečnostní incidenty produktu (PSIRT) jako kontaktní místo pro hlášení zranitelností 

Produkty s označením CRA-Ready, které nabízíme, již vytvářejí základ pro dlouhodobou bezpečnou integraci. Tím se snižuje náročnost posuzování rizik, auditů dodavatelů a budoucí dokumentace týkající se souladu s předpisy. 

Ne, nenahrazuje. Výrobce strojů zůstává výrobcem celého systému a je odpovědný za posouzení kyberbezpečnostních rizik celého stroje jako celku, a to i při integraci produktů s certifikací CRA-Ready. Tato odpovědnost zůstává i při použití produktů, které formálně splňují požadavky CRA.

Produkty CRA-Ready a později i produkty v souladu s CRA podporují výrobce strojů díky dodavatelům, jako je společnost Balluff: 

• Zavádějí bezpečnostní požadavky pro své produkty 

• Sledují zranitelnosti 

• Poskytují bezpečnostní aktualizace 

• Dokumentují relevantní bezpečnostní informace 

Tyto informace lze využít jako součást posouzení kyberbezpečnostních rizik stroje a technické dokumentace. 

CRA se řídí přístup založený na riziku. Ne každý výrobek vyžaduje stejné bezpečnostní prvky. 

Požadovaná opatření závisí na několika faktorech, mezi něž patří:

• Funkčnost produktu 

• Stupně připojení 

• Provozního prostředí 

• Očekávané životnosti 

• Potenciální dopad kybernetického útoku 

Senzor IO-Link proto vyžaduje jiná bezpečnostní opatření než řídicí jednotka IO-Link, inteligentní kamera nebo software. 

Bezpečnostní opatření se stanovují na základě posouzení rizik v oblasti kybernetické bezpečnosti. 

Nařízení CRA a nařízení o strojních zařízeních (které k 20. lednu 2027 nahradí směrnici o strojních zařízeních 2006/42/ES) sledují odlišné cíle, ale vzájemně se doplňují. 

Mnohá opatření v oblasti kyberbezpečnosti rovněž podporují dodržování požadavků nařízení o strojních zařízeních. 

Mezi příklady patří: 

• Ochrana řídicích systémů 

• Integrita softwaru 

• Ochrana proti neoprávněné manipulaci 

• Bezpečná komunikace 

Dodržování CRA však automaticky nezaručuje soulad s nařízením o strojních zařízeních. 

Jakmile se o zranitelnosti dozvíme, společnost Balluff sdělí dostupná nápravná opatření a aktualizace prostřednictvím CERT@VDE 

Jako výrobce strojů, zařízení nebo systémový integrátor musíte posoudit, zda lze danou zranitelnost v konkrétní aplikaci zneužít, a určit, zda jsou nutná další ochranná opatření. 

Odpovědnost za stroj jako celek zůstává vždy na výrobci stroje.

Společnost Balluff podporuje zákazníky prostřednictvím: 

• Informace o zranitelnostech (bezpečnostní upozornění ve formátu CSAF prostřednictvím CERT@VDE) 

• Bezpečnostních aktualizací poskytovaných prostřednictvím aktualizační platformy společnosti Balluff 

• Možnosti kontaktu s týmem PSIRT 

• Koordinovaný proces zveřejňování zranitelností 

Pokud během testování, bezpečnostního auditu nebo jakýmkoli jiným způsobem zjistíte zranitelnost v některém z našich produktů nebo softwarových produktů a tato zranitelnost má dopad na váš stroj nebo systém, nahlaste ji prosím přímo našemu týmu pro reakci na bezpečnostní incidenty (PSIRT).

Nahlášením této zranitelnosti našemu týmu PSIRT umožníte: 

• Důvěrné posouzení problému 

• Koordinaci potenciálních nápravných opatření 

• Poskytování bezpečnostních informací a aktualizací 

• Odpovědné a koordinované řešení zranitelnosti 

Obě nařízení přispívají k posílení kyberbezpečnosti výrobků, strojů a infrastruktury. Zabývají se však různými oblastmi kyberbezpečnosti.