Cyber Resilience Act – Cybersicherheit für Produktionsunternehmen

Schützen Sie Ihre Produktionsprozesse vor Cyberbedrohungen!

Erfahren Sie, wie Sie mit unserer Unterstützung die Anforderungen des Cyber Resilience Acts erfüllen und Ihre Produktionsprozesse sicher gestalten können.

Der Cyber Resilience Act (CRA) ist ein von der Europäischen Kommission vorgeschlagener Rechtsrahmen, der horizontale Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen festlegt, die auf dem EU-Markt vertrieben werden. Der CRA zielt darauf ab, die Sicherheit von Hardware- und Softwareprodukten zu verbessern, indem er Hersteller verpflichtet, Schwachstellen während des gesamten Produktlebenszyklus zu minimieren und Sicherheitsupdates bereitzustellen. Dies soll die zunehmenden Cyberbedrohungen eindämmen, die Kosten für Unternehmen und Gesellschaft durch Cyberangriffe senken und das Vertrauen der Verbraucher in digitale Produkte stärken.

Warum sind Produktionsunternehmen vom Cyber Resilience Act (CRA) betroffen?

Moderne Produktionsunternehmen setzen zunehmend auf digitale Technologien und vernetzte Systeme, um ihre Effizienz und Wettbewerbsfähigkeit zu steigern. Der Cyber Resilience Act (CRA) der Europäischen Union betrifft alle Unternehmen, die Produkte mit digitalen Elementen entwickeln oder einsetzen – und Produktionsunternehmen stehen dabei besonders im Fokus.

Diese Produkte fallen unter den CRA

Alle Produkte, die in der EU verkauft werden und „digitale Elemente“ enthalten, müssen den Anforderungen des CRA entsprechen. Das umfasst neben preisgünstigen Verbraucherprodukten auch B2B-Software sowie komplexe High-End-Industriesysteme. „Produkte mit digitalen Elementen“ werden im CRA als Produkte definiert, die mit einem Gerät oder einem Netzwerk verbunden werden können, und umfassen sowohl Hardwareprodukte mit vernetzten Funktionen (z.B. Smartphones, Laptops, Smarthomeprodukte, Smartwatches, vernetztes Spielzeug, aber auch Mikroprozessoren, Firewalls und intelligente Zähler) als auch reine Softwareprodukte (z.B. Buchhaltungssoftware, Computerspiele, mobile Apps). Nicht-kommerzielle Open-Source-Softwareprodukte sind vom CRA ausgenommen und müssen daher die Anforderungen des CRA nicht erfüllen.

Quelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/ cyber_resilience_act_node.html Datum: 24.10.24

Beispiele:

Verbraucherelektronik: Vernetzte Fernseher, Lautsprecher (z. B. Smart Speaker mit Sprachassistenten), Wearables wie Smartwatches oder Fitness-Tracker.

Industrie 4.0-Geräte: Maschinen und Roboter, die in vernetzten Produktionsumgebungen (z. B. in der Automatisierung) eingesetzt werden und Daten an zentrale Systeme übermitteln.

Produktionssteuerungssysteme: Software, die Produktionsanlagen und -prozesse überwacht und steuert.
Betriebssysteme: Software, die auf Computern, Smartphones oder anderen digitalen Geräten läuft.
Anwendungen: Software für den Einsatz in Unternehmen oder bei Verbrauchern, einschließlich Cloud-Software und SaaS (Software-as-a-Service)-Plattformen.
Cloud-Computing-Plattformen: Dienste, die Speicherplatz und Rechenleistung über das Internet bereitstellen.
Datenzentren: Physische Geräte, die in Rechenzentren eingesetzt werden, um Daten zu speichern und zu verarbeiten.

Warum es wichtig ist, jetzt zu handeln:

1. Vernetzte Produktionssysteme
   In der Industrie 4.0 sind Produktionsprozesse und Maschinen oft miteinander vernetzt. Diese Systeme bieten enorme Effizienzgewinne, sind jedoch auch Ziel von Cyberangriffen. Der CRA verlangt, dass Unternehmen Maßnahmen ergreifen, um Schwachstellen in ihren digitalen Produkten und Systemen zu minimieren.
2. Sicherheitsanforderungen für Produkte
   Als Hersteller oder Nutzer von Maschinen und Anlagen mit digitalen Elementen sind Sie verpflichtet, sicherzustellen, dass diese Produkte den Cybersicherheitsanforderungen entsprechen. Der CRA fordert, dass alle Produkte während ihres gesamten Lebenszyklus sicher gestaltet, entwickelt und regelmäßig aktualisiert werden.
3. Schutz der Lieferkette
   Cyberbedrohungen in der Lieferkette können schnell den gesamten Betrieb beeinträchtigen. Ein einziger Angriff kann sich auf das gesamte Produktionsnetzwerk auswirken. Durch den CRA werden klare Anforderungen definiert, um die Sicherheit Ihrer gesamten digitalen Lieferkette zu gewährleisten.
4. Gesetzliche Vorgaben und Compliance
   Der CRA schafft verbindliche Regeln für Cybersicherheit in der EU. Produktionsunternehmen müssen sicherstellen, dass ihre Produkte den neuen Vorschriften entsprechen, um Strafen und Betriebsausfälle zu vermeiden. Wir unterstützen Sie dabei, die komplexen Anforderungen des CRA zu verstehen und umzusetzen.

Ihr Vorteil: Mit unserer spezialisierten Beratung helfen wir Produktionsunternehmen, die Anforderungen des Cyber Resilience Acts effizient zu erfüllen und gleichzeitig ihre Produktionsprozesse sicher zu gestalten.

Reicht es die ISO 27001 im Unternehmen einzuführen?

Die ISO 27001 bietet einen systematischen Ansatz zur Erkennung und Behandlung von Sicherheitsrisiken, der umfassender ist als nur punktuelle Maßnahmen. Ohne diesen strukturierten Rahmen könnten bestimmte Schwachstellen übersehen werden, wie zum Beispiel:

• Verbindungen zwischen Produktionsanlagen und externen Netzwerken, die anfällig für Cyberangriffe sind.
• Nicht dokumentierte oder ungesicherte Schnittstellen zwischen Maschinen und IT-Systemen.
• Sicherheitslücken in älteren Systemen oder Geräten, die nicht regelmäßig aktualisiert werden.

Insbesondere in offenen Produktionsumgebungen, in denen verschiedene Systeme und Netzwerke zusammenarbeiten, hilft die ISO 27001 dabei, Risiken ganzheitlich zu betrachten und systematisch zu verwalten. Ohne diese umfassende Sicherheitsstrategie könnte es schwieriger sein, alle Schwachstellen zu erkennen und effektiv zu beheben.

Zusätzlich zur Implementierung der ISO 27001:2024 – oder falls Sie sich entscheiden, diese nicht einzuführen – gibt es dennoch einige zentrale Maßnahmen, die Sie erfüllen müssen, um die Anforderungen des Cyber Resilience Act (CRA) zu erreichen:

1. Identifikation der betroffenen Produkte

Zunächst müssen Unternehmen ermitteln, welche ihrer Produkte mit digitalen Elementen in den Anwendungsbereich des CRA fallen. Das betrifft alle Hardware- und Softwareprodukte, die mit Netzwerken oder anderen digitalen Produkten verbunden sind oder Daten verarbeiten.

2. Sicherheitsanforderungen in den gesamten Produktlebenszyklus integrieren

Im CRA wird gefordert, dass die Cybersicherheit in den gesamten Lebenszyklus des Produkts integriert wird:

• Entwicklung: Bereits in der Designphase müssen Sicherheitsmaßnahmen berücksichtigt werden (Security by Design).
• Produktion: Die Produktion muss sicherstellen, dass keine Schwachstellen eingeführt werden.
• Instandhaltung: Sicherheitsupdates und regelmäßige Überprüfungen müssen gewährleistet sein.

3. Vulnerability Management und Schwachstellen-Handling

Der CRA verlangt, dass Hersteller und Anbieter von digitalen Produkten ein Vulnerability Management einrichten, das die folgenden Punkte umfasst:

• Identifizierung von Schwachstellen, sobald diese bekannt werden.
• Schnelle Behebung der Schwachstellen durch Sicherheitsupdates.
• Meldung von aktiv ausgenutzten Schwachstellen an die entsprechenden Stellen, wie z. B. die EU-Behörde ENISA.
• Information der Kunden über Schwachstellen und bereitgestellte Patches.

4. Konformitätsbewertung

Für kritische Produkte mit digitalen Elementen verlangt der CRA eine formale Konformitätsbewertung:

• Eigenbewertung: Für weniger kritische Produkte reicht es aus, dass der Hersteller eine Selbsteinschätzung vornimmt und dokumentiert, dass die Cybersicherheitsanforderungen erfüllt sind.
• Drittanbieterbewertung: Für kritische Produkte ist eine Überprüfung durch eine zertifizierte dritte Stelle erforderlich, um die Einhaltung der CRA-Anforderungen sicherzustellen.

5. Sicherheitsupdates und Produktunterstützung

Unternehmen müssen sicherstellen, dass sie ihre Produkte über einen angemessenen Zeitraum unterstützen und Sicherheitsupdates bereitstellen. Es muss auch klar kommuniziert werden, wie lange diese Unterstützung verfügbar ist und wie Sicherheitslücken behandelt werden.

6. Dokumentation und Transparenz

Der CRA erfordert, dass alle Informationen zur Cybersicherheit eines Produkts transparent und dokumentiert werden. Dies umfasst:

• Technische Dokumentation der Sicherheitsmaßnahmen.
• Bereitstellung von Informationen zur sicheren Nutzung des Produkts.
• Erklärung der Sicherheitsunterstützung: Wie lange und unter welchen Bedingungen Sicherheitsupdates bereitgestellt werden.

7. Produktklassifizierung und zusätzliche Maßnahmen für kritische Produkte

Der CRA teilt digitale Produkte in zwei Klassen ein:

• Klasse I (niedrigeres Risiko): Hier sind Standardmaßnahmen zur Cybersicherheit ausreichend.
• Klasse II (höheres Risiko): Diese Produkte, die z. B. in sicherheitskritischen Umgebungen eingesetzt werden, erfordern strengere Cybersicherheitskontrollen und zusätzliche Konformitätsbewertungsverfahren.

8. CE-Kennzeichnung

Produkte, die den Anforderungen des CRA entsprechen, müssen mit der CE-Kennzeichnung versehen werden. Diese zeigt, dass das Produkt sicher ist und die relevanten EU-Richtlinien erfüllt.

Wie prüfe ich die Prozesse?

Es müssen nicht immer teure Tools zum Einsatz kommen, um die Anforderungen des Cyber Resilience Act (CRA) zu erfüllen. Oftmals reicht eine gründliche Asset-Inventarisierung aus, um Schwachstellen und Risiken zu identifizieren. In vielen Fällen können bestehende Sicherheitslösungen optimiert und vorhandene Ressourcen besser genutzt werden. Nur in besonders kritischen Bereichen oder bei spezifischen Anforderungen ist es notwendig, auf spezielle Tools zurückzugreifen. Unser Ansatz fokussiert sich darauf, mit minimalen zusätzlichen Investitionen maximale Sicherheit zu gewährleisten und nur dort auf externe Tools zu setzen, wo es wirklich notwendig ist.