Zukunftssichere Maschinen beginnen mit cybersicheren Komponenten

Der Cyber Resilience Act (CRA EU 2024/2847) führt verbindliche Cybersecurity Anforderungen für Produkte mit digitalen Elementen ein. Ziel ist es, sicherzustellen, dass Produkte über ihren gesamten Lebenszyklus hinweg sicher entwickelt, betrieben, gewartet und unterstützt werden.

Für Maschinenbauer wird Cybersecurity damit zu einem festen Bestandteil von Produktentwicklung, Risikobewertung und Lieferantenmanagement. 

Die meisten modernen Maschinen enthalten heute digitale Komponenten wie:

• Sensoren und Aktoren

• IO-Link Devices und IO-Link Master

• Feldbus- und Ethernet-Komponenten

• Kamerasysteme

• Embedded Software und Firmware

• Industrie-PCs

• Fernwartungs- und Cloud-Lösungen

Dadurch fallen viele Maschinen in den Anwendungsbereich des CRA. Zudem muss jeder Maschinenbauer die Cybersicherheitsrisiken seiner integrierten Komponenten im Rahmen seiner Sorgfaltspflicht berücksichtigen. 

Eine Maschine fällt typischerweise unter den CRA, wenn:

• sie digitale Elemente enthält und,

• sie auf dem EU-Markt bereitgestellt wird und,

• sie direkt oder indirekt Daten mit anderen Geräten oder Netzwerken austauscht.

Dabei reicht bereits eine indirekte Verbindung aus, beispielsweise über: Ethernet, PROFINET, PROFIBUS, USB, WLAN, Bluetooth, NFC, Fernwartungssysteme, Industrie-PCs oder Gateways. Ein direkter Internetzugang ist dafür nicht erforderlich.

Wenn eine Maschine Daten verarbeitet, speichert oder überträgt, ist der CRA voraussichtlich auf sie anwendbar.

Nein. Zum Zeitpunkt der letzten Überarbeitung dieses Dokuments besteht für bereits installierte Maschinen grundsätzlich keine allgemeine Austauschpflicht.

Der CRA betrifft vor allem Produkte mit digitalen Elementen, die nach dem Stichtag des CRA neu auf dem Markt bereitgestellt werden oder die nach dem Stichtag wesentliche Änderungen erfahren.

Da die vollständige Anwendbarkeit des CRA erst ab dem 11. Dezember 2027 beginnt, kann derzeit noch niemand eine formale CRA-Konformität für Produkte erklären.

Mit „CRA-Ready“ bezeichnen wir deshalb Produkte, bei denen beispielsweise:

• eine Cybersecurity Risikoanalyse durchgeführt wurde,

• Sicherheitsanforderungen – orientiert an IEC 62443 umgesetzt wurden,

• Security Updates vorgesehen sind,

• Strukturiere Dokumentation zur sicheren Integration vorhanden ist

• zukünftige CRA-Anforderungen bereits berücksichtigt wurden.

• Ansprechpartner für Schwachstellenmeldungen (PSIRT)

CRA-Ready Produkte, die wir bereitstellen, bieten bereits heute die notwendigen Grundlagen für eine langfristige und sichere Integration. Dadurch reduziert sich der Aufwand bei Risikobewertungen, Lieferantenaudits und späteren Compliance-Nachweisen.

Nein, das ist nicht der Fall. Der Maschinenbauer bleibt Hersteller des Gesamtsystems und muss die Cybersicherheitsrisiken der gesamten Maschine in ihrer Gesamtheit bewerten, auch mit Produkten die CRA-Ready sind. Diese Verantwortung bleibt auch mit CRA-konformen Produkten bestehen.

CRA-Ready Produkte und Anwendungsbeginn CRA-konforme Produkte, tragen dazu bei, dass Hersteller wie Balluff:

• Sicherheitsanforderungen für ihre Produkte umsetzen,

• Schwachstellen überwachen,

• Security Updates bereitstellen,

• Sicherheitsinformationen dokumentieren.

Diese Informationen können im Rahmen der Risikoanalyse und technischen Dokumentation der Maschine genutzt werden.  

Der CRA verfolgt einen risikobasierten Ansatz. Nicht jedes Produkt benötigt dieselben Sicherheitsfunktionen.

Die erforderlichen Maßnahmen hängen unter anderem ab von:

• Produktfunktion

• Vernetzungsgrad

• Einsatzumgebung

• erwarteter Nutzungsdauer

• möglichen Auswirkungen eines Cyberangriffs

Ein IO-Link Sensor benötigt daher andere Schutzmaßnahmen als ein IO-Link Master, eine Smart Camera oder eine Software. Die Sicherheitsmaßnahmen werden auf Basis einer Cybersecurity-Risikoanalyse festgelegt. 

CRA und Maschinenverordnung (ersetzt die Maschinenrichtlinie (2006/42/EG) zum 20.1.2027) verfolgen unterschiedliche Ziele, ergänzen sich jedoch.

Viele Cybersicherheitsmaßnahmen unterstützen gleichzeitig Anforderungen der Maschinenverordnung.

Beispiele:

• Schutz von Steuerungssystemen

• Integrität von Software

• Schutz vor Manipulation

• Sichere Kommunikation

Durch den CRA sind auch die Anforderungen der Maschinenverordnung erfüllt.

Wird eine Schwachstelle in einem Produkt bekannt, informiert der Hersteller über entsprechende Kanäle über verfügbare Abhilfemaßnahmen und Updates.

Sie als Maschinen- und Anlagenbauer oder Systemintegrator müssen anschließend bewerten, ob die Schwachstelle innerhalb der konkreten Anwendung des Produkts tatsächlich ausnutzbar ist und welche Maßnahmen zur Absicherung erforderlich sind.

Für das Gesamtprodukt bleibt stets der Maschinenbauer verantwortlich. Balluff unterstützt dabei durch:

• Schwachstelleninformationen (Security Advisories im CSAF Format über Cert@VDE)

• Security Updates über die Balluff Update Plattform

• PSIRT-Kontaktmöglichkeiten

• Eine koordinierte Schwachstellenbehandlung

Wenn Sie im Rahmen von Tests, eines Security Audits oder auf anderem Wege eine Schwachstelle in einem unserer Produkte oder Softwareprodukte feststellen, die Auswirkungen auf Ihre Maschine oder Ihr System hat, bitten wir Sie, diese Schwachstelle direkt an unser Product Security Incident Response Team (PSIRT) zu melden.

Durch eine Meldung an unser PSIRT ermöglichen Sie eine vertrauliche Bewertung der Schwachstelle, die Koordination möglicher Abhilfemaßnahmen sowie die Bereitstellung von Sicherheitsinformationen und Updates.

Die beiden Regelwerke tragen dazu bei, die Cybersicherheit von Produkten, Maschinen und Infrastruktur zu stärken. CRA und NIS2 ergänzen sich, adressieren jedoch unterschiedliche Bereiche der Cybersecurity: