Der Cyber Resilience Act (CRA) verändert weit mehr als nur Sicherheitsprozesse. Sie verändert die Art und Weise, wie Industrieunternehmen ihre Arbeit organisieren, Entscheidungen treffen und langfristige Verantwortlichkeiten für vernetzte Produkte verwalten. Konnektivität ist nicht mehr nur ein technisches Detail oder eine technische Entscheidung. Es handelt sich heute um eine regulierte Produktkomponente mit Sicherheits- und Wartungsverpflichtungen, die sich über den gesamten Lebenszyklus eines Gerätes oder einer Maschine erstrecken1.
Für Hersteller von Industriegeräten und Maschinenbauer ergibt sich daraus ein strategischer Entscheidungspunkt:
Sollte die Konnektivität intern weiterentwickelt und gepflegt werden, oder ist es an der Zeit, diesen Ansatz insgesamt zu überdenken?
In diesem Artikel wird erläutert, warum CRA traditionelle Arbeitsweisen stört, wo es innerhalb von Unternehmen häufig zu Reibungsverlusten kommt, welche zukunftsorientierten Teams sich zu ändern beginnen und warum es an der Zeit sein könnte, den Umgang mit Konnektivität zu überdenken.
Beginnen wir mit einer grundlegenden Frage: Warum stört CRA langjährige Arbeitsabläufe für Gerätehersteller und Maschinenbauer?
Vor CRA war es üblich, dass sich Hersteller zuerst auf die Funktionalität konzentrierten und sich an anderer Stelle im Unternehmen um die Sicherheit kümmerten. Das war verständlich. Die Sicherheitsanforderungen waren geringer, und die Konnektivität hatte nur selten regulatorisches Gewicht. CRA verändert diese Dynamik und bringt mehrere Realitäten an die Oberfläche, wie zum Beispiel:
In der Vergangenheit lagen die Sicherheitsaufgaben oft in einem separaten Teil des Unternehmens, getrennt von den Produktteams. Dies funktionierte, als die Sicherheitserwartungen geringer waren und die Konnektivität als technisches Merkmal und nicht als regulierte Komponente behandelt wurde.
CRA hebt diese Trennung auf. Da die Kommunikationsschnittstellen und Update-Mechanismen, die in vernetzten Produkten verwendet werden, heute Teil der Risikooberfläche des Geräts sind, überschneiden sich Sicherheitsentscheidungen zunehmend mit Design, Konnektivität, Lebenszyklusplanung und Dokumentation.
Das bedeutet, dass Sicherheit nicht mehr isoliert werden kann. Mehrere Teams müssen CRA-bezogene Entscheidungen verstehen und dazu beitragen.
Konnektivität wird häufig über Produktfamilien, Plattformen und Versionen hinweg wiederverwendet. Das bedeutet:
Teams können die Konnektivität nicht mehr isoliert optimieren. Bei Entscheidungen muss das breitere Produktportfolio berücksichtigt werden.
Wie in unserem Artikel CRA zur Neudefinition der industriellen Konnektivität beschrieben, haben sich viele Hersteller in der Vergangenheit auf informelle Sicherheitspraktiken oder "Best-Effort"-Ansätze verlassen. CRA legt die Messlatte höher, indem sie Folgendes verlangt:
"Best Effort"-Sicherheits- oder Ad-hoc-Updates entsprechen nicht mehr den Erwartungen der Ratingagenturen.
CRA führt neue Arbeiten ein, die sich über Teams mit unterschiedlichen Prioritäten erstrecken. Dies kann zu natürlichen Reibungsverlusten führen, wenn die Verantwortlichkeiten nicht klar definiert sind. Zum Beispiel:
Abbildung 1: Herausforderungen bei der organisatorischen Ausrichtung und nicht optionale Berührungspunkte, die durch den Cyber Resilience Act (CRA) an die Oberfläche gedrängt werden.
F&E-Teams priorisieren in der Regel die Architektur, die technische Machbarkeit und die Sicherstellung, dass Konnektivitäts- und Sicherheitsmechanismen korrekt implementiert werden.
Auf der anderen Seite konzentriert sich das Produktmanagement in der Regel auf das Markt-Timing, die Kundenerwartungen und die Liefertermine.
Im Rahmen der CRA müssen diese Perspektiven zusammengeführt werden. Entscheidungen über Neugestaltungen, Aktualisierungsmechanismen und Nachweisanforderungen wirken sich direkt sowohl auf die Lieferfristen als auch auf die langfristige Compliance aus. Diese Kompromisse können nicht mehr informell gelöst werden, CRA macht eine Abstimmung unerlässlich.
Abbildung 2: Die laufende Wartung wird zum dominierenden Kostenfaktor - insbesondere bei Produkten mit geringerem Volumen
Produktteams konzentrieren sich in der Regel auf Innovationen, Funktionen und die Aufrechterhaltung der Entwicklung. Rechts- und Compliance-Teams konzentrieren sich auf die Konformitätsdokumentation, akzeptable Risikoniveaus und die Sicherstellung, dass die Verpflichtungen der Ratingagenturen erfüllt werden.
Vor CRA konnten diese Perspektiven oft mit begrenzten Reibungsverlusten koexistieren. Die Konnektivitätskosten waren weitgehend vorhersehbar und wurden vorgezogen:
CRA verändert dieses Gleichgewicht grundlegend.
Nach CRA:
Mit anderen Worten: Konnektivität sind nicht mehr in erster Linie Hardwarekosten pro Produkt. Es wird zu einer langfristigen Software- und Organisationsverpflichtung2.
Insbesondere bei Produkten mit geringerem Volumen können die Kosten für die Aufrechterhaltung einer sicheren Konnektivität im Laufe der Zeit schnell die ursprünglichen Hardware- und Entwicklungsinvestitionen übersteigen. Was einst Grenzkosten waren, wird zu einem dominierenden Kostenfaktor.
Diese Verschiebung bringt Produktteams und Rechts-/Compliance-Teams in eine unvermeidliche Koppelung. Entscheidungen über Neugestaltungen, Aktualisierungsmechanismen, akzeptable Risikoniveaus und erforderliche Nachweise haben jetzt langfristige Auswirkungen auf die Kosten und können nicht mehr aufgeschoben oder informell gehandhabt werden.
Ein zentrales Sicherheitsteam kann Richtlinien für eine sichere Entwicklung und ein sicheres Lebenszyklusmanagement definieren. Einzelne Produktteams haben jedoch möglicherweise das Gefühl, dass diese Erwartungen mit ihren aktuellen Zeitplänen oder Architekturen nur schwer umzusetzen sind.
Zusammenfassend lässt sich sagen, dass CRA alle Lücken zwischen Politik und Realität aufdeckt. Um Reibungsverluste zu vermeiden, benötigen Unternehmen klare Übergaben, gemeinsame Erwartungen und abgestimmte Verantwortlichkeiten für Updates, Sicherheitsnachweise und langfristigen Support.
Einige Gerätehersteller und Maschinenbauer sind bereits dabei, ihre Arbeitsmodelle anzupassen. Ihre Ansätze weisen mehrere Gemeinsamkeiten auf:
Definieren Sie genau:
Dies reduziert Verwirrung, Verzögerungen und Kompromisse in letzter Minute.
Formalisieren Sie, wie Informationen zwischen Teams ausgetauscht werden, z. B.:
Jedes Team sollte wissen, welche Informationen es bereitstellen muss und was es von anderen erwarten kann.
Anstatt die Sicherheit erst spät im Prozess hinzuzufügen, ist es besser :
Wenn Sie diese Überlegungen frühzeitig berücksichtigen, reduzieren Sie Nacharbeiten und Verzögerungen.
Diese Verbesserungen beseitigen keine Arbeit, aber sie verringern Reibungsverluste und Unsicherheiten darüber, wer für was verantwortlich ist.
Abbildung 3: Konnektivität im Rahmen von CRA: Fünf wichtige Verpflichtungen über den gesamten Produktlebenszyklus hinweg
Die Konnektivität ist einer der ersten Bereiche, in denen der Druck auf CRA für Gerätehersteller und Maschinenbauer unvermeidlich wird. Dafür gibt es mehrere Gründe.
Im Rahmen von CRA verlagert sich die Konnektivität von einem einmaligen Entwicklungsaufwand zu einer langfristigen Softwarewartung und organisatorischen Verantwortung, wodurch sich das Kostenprofil grundlegend verändert.
Insbesondere bei Produkten mit geringerem Volumen können die Kosten für die laufende Sicherheitswartung schnell die ursprünglichen Hardware- und Entwicklungsinvestitionen übersteigen. Dies zwingt Hersteller oft dazu, neu zu bewerten, ob es noch praktikabel ist, die Konnektivität intern zu besitzen.
Die Konnektivität wird für mehrere Produkte wiederverwendet
Eine Konnektivitätslösung unterstützt oft mehrere Produktlinien. Ein einzelnes Problem kann sich auf Folgendes auswirken:
Da Verbindungskomponenten in mehreren Produkten wiederverwendet und direkt an die Anforderungen an "Secure by Design" gebunden sind, sind sie oft einer der ersten Bereiche, in denen der Druck der Ratingagenturen nicht mehr zu ignorieren ist.
Wenn die Konnektivität ausfällt, spüren die Kunden das sofort:
Wenn CRA dann noch Sicherheitserwartungen hinzufügt, werden die Auswirkungen noch größer.
Unter CRA ist Konnektivität nicht mehr nur eine Möglichkeit, PROFINET oder Modbus zu sprechen.
Es ist:
Sichere industrielle Netzwerke wie PROFINET Security Class 2/3 und CIP Security entwickeln sich rasant weiter. Diese Änderungen können in Zukunft Firmware-Updates, Protokollüberarbeitungen oder sogar neue Kommunikationshardware erfordern.
Konnektivitätsentscheidungen, die heute getroffen werden, müssen diese langfristigen Veränderungen berücksichtigen, nicht nur die Anforderungen der Ratingagenturen.
Zusammenfassend lässt sich sagen, dass die Konnektivität einer der ersten Bereiche ist, in denen der Druck der Ratingagenturen nicht mehr zu ignorieren ist, was sie zu einem natürlichen Ort für Hersteller macht, um ihre Gesamtstrategie zu überdenken.
Bevor wir zum Schluss kommen, lohnt es sich, eine letzte Frage zu stellen:
Wie sieht eine nachhaltige Konnektivitätsstrategie für Gerätehersteller und Maschinenbauer in einer Post-CRA-Welt aus?
CRA führt nicht nur neue Dokumentations- oder Testanforderungen ein. Sie verändert die Art und Weise, wie Hersteller über Konnektivität zwischen Teams, Produkten und über den gesamten Lebenszyklus hinweg nachdenken müssen.
Legacy-Ansätze erschweren die Einhaltung von Ratingagenturen, da sie auf informellen Prozessen, unklaren Verantwortlichkeiten und veralteten Annahmen über die Eigentumsverhältnisse beruhen. Vorausschauende Hersteller passen sich bereits an, indem sie:
Konnektivität ist längst nicht mehr nur eine funktionale Entscheidung. Es handelt sich um eine strategische Entscheidung, die das langfristige Risiko, das Vertrauen der Kunden, die Supportverpflichtungen und die organisatorische Effizienz beeinflusst.
Für Hersteller von Industriegeräten und Maschinenbauer stellt sich nun die Frage:
Ist es noch sinnvoll, die Konnektivität intern zu pflegen, oder ist es an der Zeit, eine Lösung einzuführen, die eine sichere, gewartete und CRA-fähige Konnektivität für die kommenden Jahre unterstützt?
Unabhängig davon, ob Sie bestehende Geräte aktualisieren oder neue entwickeln, ist die richtige Konnektivitätsstrategie der Schlüssel zur Bereitschaft von CRA. Erfahren Sie mehr über den Cyber Resilience Act und entdecken Sie Anybus Gateway- und Embedded-Lösungen, mit denen Sie sichere, wartbare und zukunftsfähige Geräte bauen können.
Dr. Jens Jakobsen
Produktsicherheitsmanager, HMS Networks
Dr. . Jens Jakobsen ist Product Security Manager bei HMS Networks und leitet dort die Arbeit des Unternehmens, die Cybersicherheit von industriellen Kommunikationsprodukten zu stärken und vernetzte Geräte vor neuen Bedrohungen zu schützen. Er verfügt über umfangreiche Erfahrung aus technischen und Führungspositionen bei HMS Networks, Schneider Electric und Motorola Solutions und arbeitet seit vielen Jahren in den Bereichen industrielle Kommunikation und Cybersicherheit. Dr. Jakobsen hält sieben erteilte Patente in den Bereichen Telekommunikation und industrielle Kommunikationstechnologien.
Referenzen
1. Das Cyberresilienzgesetz – Zusammenfassung des Gesetzestextes https://digital-strategy.ec.europa.eu/en/policies/cra-summary
2. Anmelden Cyberresilienzgesetz - Hersteller https://digital-strategy.ec.europa.eu/en/policies/cra-manufacturers
