Die Digitalisierung und Vernetzung birgt ebenso große Vorteile wie auch Gefahren. Doch wie steht es um die Cyber Security in industriellen Umgebungen und um nationale und internationale Gesetzgebungen und Normen, die die Sicherheit künftig erhöhen sollen? Worauf Unternehmen achten sollten, lesen Sie in diesem Artikel.

Die digitale Transformation in der Automatisierungstechnik bietet enorme Potenziale für Innovationen und die Optimierung von Produktionsprozessen und eröffnet umfangreiche Möglichkeiten, um von neuen Geschäftsmodellen zu profitieren. Dabei verschmelzen Informationstechnologien (IT) und operative Technologien (OT) zunehmend zu einem komplexen Netzwerk mit durchgehender Konnektivität, das heutzutage von der Produktionsebene bis zur Cloud reicht und sukzessive auch digitale Services einschließt.

Das rasante Tempo dieses technologischen Fortschritts und die Vernetzung von OT-Systemen, die aus Sicherheitsgründen streng von der IT getrennt waren, führen jedoch gleichzeitig zur Entstehung multipler neuer Angriffsvektoren. Böswillige Cyberakteure wie staatlich motivierte Hacker versuchen permanent, Produktionsprozesse zu kompromittieren, nachhaltig zu stören oder komplett zum Erliegen zu bringen. Beispiele dafür finden sich mittler­weile regelmäßig in der deutschen Tagespresse. Vor allem im Umfeld der industriellen Produktion stellen Cyberangriffe eine besondere Gefahr dar, da hier nicht nur schadhaft auf Anlagen eingewirkt wird, sondern durch gezielte Angriffe auf die funktionale Sicherheit auch Menschenleben gefährdet werden. Die Dringlichkeit einer verstärken Cybersicherheit wird an den durchschnittlich 70 neuen Schwachstellen pro Tag deutlich, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) laut seinem „Bericht zur Lage der IT-Sicherheit in Deutschland 2023“ in Software-Produkten registriert.

Gesetzgebungen und Normen

Um die Cybersicherheit in Europa strategisch zu stärken und strukturell zu verankern, schlug die Europäische Kommission 2022 mit dem Cyber Resilience Act (CRA) eine Verordnung zur Verbesserung der Cybersicherheit und Cyber-Resilienz in der EU vor. Inhalt der Verordnung sind gemeinsame Cybersicherheitsstandards für Produkte mit digitalen Elementen, die sowohl Hard- als auch Software umfassen. Die endgültige Veröffentlichung im Amtsblatt der Europäischen Union und damit das europaweite Inkrafttreten des CRA ist für Ende 2024 geplant. Damit beginnen auch die bis zu dreijährigen Umsetzungsfristen, die für viele Unternehmen zu einer großen Herausforderung werden können. Unternehmen müssen sich mit ihnen auseinandersetzen, wenn sie ihre Produkte weiterhin in der EU vermarkten wollen, denn: Nach einer dreijährigen Übergangsfrist müssen alle Produkte mit CE-Kennzeichnung zwingend den CRA erfüllen.

Von Relevanz für die Erfüllung des CRA ist die Normenreihe IEC 62443, „Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme“. Diese deckt bereits einen Großteil der CRA-Anforderungen ab. Die vier Teilbereiche der Norm beschreiben grundsätzliche Begriffe, Konzepte und Modelle, legen ein System zum Management industrieller IT-Sicherheit dar, definieren Vorgaben für Sicherheitsfunktionen von Steuerungs- und Automatisierungssystemen und stellen Anforderungen an Prozesse der Produktentwicklung von Komponenten einer Automatisierungslösung. Die Zertifizierung nach IEC 62443 erfolgt durch zugelassene Prüfdienstleister wie dem TÜV Rheinland und wird entsprechend individueller Anforderungen nach definierten Reifegraden (Maturity Levels) und Security Levels durchgeführt.

Eine weitere relevante Norm stellt die international gültige ISO 27001 dar, die sich mit den Themen Informationssicherheit, Cybersicherheit und Datenschutz befasst und im Rahmen dessen Anforderungen an Informationssicherheits-Managementsysteme (ISMS) definiert. Ziel der Norm ist es, dass sich Unternehmen ganzheitlich und strukturell mit dem Thema Informationssicherheit befassen und nicht nur punktuelle Maßnahmen ergreifen.
Die ISO 27001 ist in Teilen sowohl für den CRA relevant sowie in großem Maße für die Erfüllung der NIS-2 Direktive, die die Cyber- und Informationssicherheit von Unternehmen und Institutionen regelt. Die von der EU formulierte Richtlinie muss im Gegensatz zum CRA jedoch erst bis Oktober 2024 von den verschiedenen Mitgliedsstaaten in nationales Recht überführt werden. An diese Stelle tritt in Deutschland das vom BSI erarbeitete NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS-2UmsuCG), welches in einem Referentenentwurf seit Juli 2023 existiert.

Je nach Anwendungsfall werden Zertifizierungen nach IEC 62443 und ISO 27001 ebenfalls zu einer Voraussetzung für die Einhaltung der neuen EU-Maschinenverordnung, welche nach ihrer letzten Überarbeitung im Jahr 2023 ab dem 20. Januar 2027 anzuwenden ist. Sie betrifft alle Unternehmen, die an der Bereitstellung von Maschinen im europäischen Markt beteiligt sind oder bestimmte Maschinenprodukte herstellen, in Verkehr bringen oder in Betrieb nehmen.

Ihre Produkte und Lösungen sind vom CRA betroffen?

Die Anwendung neuer Normen auf bestehende Produkte sowie Prozesse kann für Unternehmen sehr komplex sein. Erschwert ein besonders sensibles Thema wie Cybersicherheit den Sachverhalt noch zusätzlich, wird es schnell kritisch. Als Hersteller von Hard- und Software-Lösungen im Bereich der industriellen Kommunikation nimmt die Hilscher Gesellschaft für Systemautomation eine entscheidende Position in der Industrieautomation ein. Robuste Cyber Security und die Einhaltung der regulatorischen Vorgaben spielen daher für den Spezialisten der Industriekommunikation aus Hattersheim bei Frankfurt am Main eine tragende Rolle. Gemeinsam mit dem TÜV Rheinland als Zertifizierer und dem Consultant TÜV iSec Rheinland befindet sich Hilscher mitten in der Umsetzung des CRA und verfügt über umfassendes Know-how bezüglich der zeitlichen Herausforderungen und praktischen Auswirkungen von relevanten Zertifizierungsprozessen. 

Autor
Frank Behnke, Head of Product and Information, Security / Product & Cyber Security