Sicherheitsanforderungen im Maschinenbau Wie der Cyber Resilience Act den Maschinenbau verändert

Anbieter zum Thema

Cumulocity GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Mit dem Cyber Resilience Act (CRA) verpflichtet die EU Maschinenbauer, Sicherheitslücken in ihren Produkten zeitnah zu melden und zu beheben. Doch viele Unternehmen sind noch nicht auf die neuen Anforderungen vorbereitet. Welche Auswirkungen hat das Gesetz und wie können Unternehmen es als Chance nutzen, um ihre Wettbewerbsfähigkeit zu steigern?

Jetzt steht es fest: Der Cyber Resilience Act der Europäischen Union kommt und bringt weitreichende Änderungen für den Maschinenbau mit sich. Während der Maschinenbau als einer der wichtigsten Industriezweige Deutschlands traditionell auf robuste und langlebige Produkte setzt, nimmt die Bedeutung von Cybersicherheit durch die zunehmende Digitalisierung und Vernetzung stetig zu. Damit werden auch die Maschinendaten immer komplexer, und die Anzahl der vernetzten Geräte wächst rasant. In Kraft treten soll der Cyber Resilience Act noch 2025. Wer bis zum Ende der Übergangsphase 2027 nicht alle Anforderungen umgesetzt hat, dem drohen empfindliche Strafen. Diese neue Regulierung zwingt Maschinenbauunternehmen dazu, ihre Sicherheitsstrategien zu überdenken und neue Prozesse zu etablieren, um konform mit der neuen Regulierung zu sein.

Cybersicherheit für Produkte und Anwendungen

EU verabschiedet Cyber Resilience Act – Was Sie jetzt wissen müssen

Cyber Resilience Act fördert Auseinandersetzung mit Cybersicherheit

Der Cyber Resilience Act betrifft in erster Linie Smart Equipment Maker. Das sind Maschinenbauer, die auf Maschinen mit vernetzten Technologien setzen und für diese ebenfalls die Software bereitstellen. Da diese ans Internet angebunden sind, bieten sie ein potenzielles Einfallstor für Cyberangriffe. Der Act stellt klar, dass Software als Teil des Produkts behandelt wird, wodurch die Hersteller die Cybersicherheit über den gesamten Lebenszyklus der Maschine gewährleisten müssen.

Die Endkund:innen, auf deren Shopfloor die Maschine schlussendlich steht und betrieben wird, werden durch das neue Gesetz nicht tangiert. Für kleine und mittelständische Unternehmen bringt das einen erheblichen Mehraufwand. Noch warten viele Unternehmen ab, sondieren den Markt und versuchen zu verstehen, welche Auswirkungen der Cyber Resilience Act für sie hat. Insbesondere kleinere Unternehmen beobachten, welche Schritte die Marktführer machen, um konform mit der neuen Gesetzgebung zu sein. Der Druck, sich intensiv mit Cybersicherheit auseinanderzusetzen, nimmt jedoch zu, da das Gesetz keine Ausnahmen für Unternehmen nach Größe vorsieht.

EU-Gesetz zur Cyber-Resilienz

Was Unternehmen zum CRA wissen müssen

Maschinenbauer werden in die Pflicht genommen

Für den Maschinenbau gehen mit der Einführung des Cyber Resilience Act einige Herausforderungen einher. Eine der größten Hürden ist die komplexe und oft zeitaufwendige Umsetzung der geforderten Sicherheitsmaßnahmen. Eine der wichtigsten Neuerungen des Acts ist, dass Maschinenbauer Sicherheitslücken innerhalb von 24 Stunden melden müssen. Auch deren Behebung fällt in ihren Aufgabenbereich. Um das zu gewährleisten, braucht es eine aktive Überwachung der eingesetzten Software. Maschinenbauer müssen regelmäßig prüfen, ob Sicherheitslücken in den genutzten Komponenten bestehen.

Neben der Erkennung von Sicherheitsproblemen besteht die Herausforderung darin, Updates effizient zur Verfügung zu stellen. Hersteller sind verpflichtet, bis zu fünf Jahre nach der Markteinführung auf dem neuesten Stand zu halten.

Eine weitere Schwierigkeit ist die Abhängigkeit von Open-Source-Software. Diese wird in vielen Maschinen eingesetzt, um die Entwicklungskosten zu senken. Doch jede einzelne Komponente muss auf Sicherheitsrisiken überwacht werden, was einen enormen Aufwand bedeutet. Auch die Verteilung der Sicherheitsupdates an große Maschinenflotten ist eine Herausforderung. Eine cloud-basierte Device-Management-Lösung ermöglicht einen globalen Überblick der verwendeten Firmware- und Softwarepakete in ihren jeweiligen Versionen und erlaubt die konfigurationsgetriebene, automatisierte Durchführung von Softwareupdates. Eine aufwändigere Alternative wären Techniker:innen vor Ort einzusetzen, welche die Updates manuell über USB-Sticks installieren.

Meldepflicht von Sicherheitslücken

Drei Sofortmaßnahmen zum Cyber Resilience Act

Vernetzte Geräte erschließen neue Einnahmequellen

Trotz der Herausforderungen blickt die Industrie der Gesetzesänderung wohlwollend entgegen. Das liegt zum einen daran, dass es ein Bewusstsein dafür gibt, dass eine stärkere Auseinandersetzung mit Cybersicherheit notwendig ist, andererseits sieht man auch die Wettbewerbsvorteile, die sich durch die Entwicklung ergeben. Ein solches Modell ist das „Equipment-as-a-Service“, bei dem Unternehmen Maschinen nicht mehr verkaufen, sondern vermieten und so auch die Wartung und den Betrieb der Geräte übernehmen. Durch die zunehmende Vernetzung von Maschinen und entsprechenden Softwarelösungen funktioniert das immer besser aus der Ferne. Maschinenbauer können nicht nur zusätzliche Einnahmequellen durch Wartungs- und Sicherheitsservices, sondern auch Datenservices, bei denen sie ihren Geschäftspartnern veredelte Mehrwertdaten anbieten, erschließen. Außerdem wird eine kontinuierliche Verbesserung der Maschinenperformance durch regelmäßige Software-Updates und auf Datenanalysen basierenden Remote-Konfigurationen ermöglicht.

Praktische Umsetzung: Was Maschinenbauer jetzt tun sollten

Auf Maschinenbauer kommen drei arbeitsreiche Jahre zu, in denen sie ihre Produkte auf den Cyber Resilience Act vorbereiten müssen. Dafür ist es wichtig, frühzeitig mit der Planung ihrer Cybersicherheitsstrategie zu beginnen. Eine solide Infrastruktur zur Überwachung der eingesetzten Software ist unverzichtbar. Cloud-basierte Lösungen bieten hier große Vorteile, da sie Sicherheitsupdates effizient und global verteilen können, ohne hohen Serviceaufwand.

Zusätzlich ist es wichtig, interne Teams in sicherer Softwareentwicklung zu schulen und kontinuierlich Bedrohungen zu überwachen. Kleinere Unternehmen sollten externe Dienstleister in Betracht ziehen, um die Umsetzung der gesetzlichen Anforderungen zu unterstützen und die eigene Cybersicherheit zu stärken.

Cyber Resilience Act

BSI veröffentlicht Leitfaden zum CRA

Cyber Resilience Act macht den Maschinenbau zukunftssicher

Der Cyber Resilience Act stellt Maschinenbauer vor neue Herausforderungen, bietet jedoch auch Chancen, die Wettbewerbsfähigkeit zu steigern und innovative, softwarebasierte Geschäftsmodelle zu entwickeln. Unternehmen, die frühzeitig auf die neuen Sicherheitsanforderungen reagieren, können die vorgeschriebenen Maßnahmen nutzen, um ihre Maschinen und Lösungen sicherer und effizienter zu machen.

Die Überwachung und Aktualisierung von Maschinen wird eine der zentralen Aufgaben von Maschinenbauern, um die Einhaltung des Gesetzes zu gewährleisten. Gleichzeitig ermöglicht die Digitalisierung der Maschinenwelt es Unternehmen, ihren Kund:innen neue Services anzubieten und zusätzliche Einnahmequellen zu erschließen.

Insgesamt sollte der Cyber Resilience Act als Chance betrachtet werden, die eigene OT- und IT-Infrastruktur zu modernisieren und zukunftssicher zu gestalten.

Über den Autor: Dr. Jürgen Krämer ist Chief Product Officer bei Cumulocity und verantwortet damit das gesamte Produkt- und Service-Portfolio der Marke. Er leitet die Teams für Produktmanagement und -marketing, Professional Services und das Partner-Ökosystem. Mit über 20 Jahren Erfahrung in der Softwareentwicklung und einem Doktor in Informatik war Jürgen Krämer unter anderem CEO und Mitgründer eines preisgekrönten Spin-offs der Universität Marburg, das 2010 von der Software AG übernommen wurde. Bereits zweimal wurde er vom Magazin Capital zu einem der "Top 40 unter 40" in Deutschland gewählt und ist Mitglied des BITKOM Management Clubs.

Europäischer Cyber Resilience Act

EU hat die digitale Produktsicherheit im Fokus

(ID:50305332)