Der Cyber Resilience Act (CRA) verändert grundlegend, was es bedeutet, eingebettete industrielle Konnektivität langfristig zu betreiben. Für Gerätehersteller ist Konnektivität nicht länger nur eine technische Implementierung. Sie wird zu einem regulierten Bestandteil des Produkts, der eine sichere Entwicklung, ein kontinuierliches Schwachstellenmanagement, Mechanismen für Firmware-Updates, Dokumentation und langfristigen Support über den gesamten Produktlebenszyklus hinweg erfordert.
Für Gerätehersteller, die auf intern entwickelte Chip-und-Stack-Lösungen setzen, entsteht dadurch ein erheblicher und dauerhafter Compliance-Aufwand. Fähigkeiten, Prozesse und Ressourcen, die früher für eine funktionierende Implementierung ausreichend waren, müssen nun erweitert werden, um einen regulierten Lebenszyklus abzudecken – nicht nur die Markteinführung, sondern die gesamte Betriebsdauer des Produkts.
Anybus CompactCom setzt genau hier an. Durch den Ersatz einer intern entwickelten Konnektivitätslösung durch eine einsatzbereite Kommunikationsschnittstelle, die von HMS entwickelt, getestet, dokumentiert und gewartet wird, können Gerätehersteller einen wesentlichen Teil des Cybersecurity-Aufwands für die Konnektivitätsebene an HMS übertragen. Gleichzeitig behalten sie die klare Verantwortung für das Gesamtgerät und dessen CRA-Konformität.
Dieses Dokument erläutert, welche Leistungen HMS bereitstellt, wie dadurch der Compliance-Aufwand in der Praxis reduziert wird und welche Verantwortlichkeiten weiterhin beim Gerätehersteller liegen.
Der Einsatz von Anybus CompactCom entbindet den Gerätehersteller nicht von seiner Verantwortung für die CRA-Konformität des Gesamtprodukts. Er reduziert jedoch den Umfang, den Aufwand und die Risiken im Zusammenhang mit der Kommunikationsschnittstelle.
Die folgende Tabelle stellt die wichtigsten CRA-bezogenen Verantwortlichkeiten den Leistungen gegenüber, die HMS über Anybus CompactCom bereitstellt, und zeigt, welche Verantwortlichkeiten weiterhin beim Gerätehersteller liegen.
CRA-Bereich | Das bietet HMS | Was Sie tun |
1. Anmelden Entwicklungsprozesse & Evidenz | Die Anybus-Entwicklung erfolgt nach zertifizierten, sicheren Entwicklungsprozessen: IEC 62443-4-1 ML3 ISO 9001 SO 27001 In die Kommunikationsschicht sind Sicherheitsfunktionen integriert, darunter Authentifizierung, Verschlüsselung und sicheres Booten. | Sichere Entwicklungsprozesse für die Host-Applikation und das komplette Gerät. |
2. Überwachung und Offenlegung von Schwachstellen | HMS betreibt eine spezielle Produktsicherheitsfunktion, die Folgendes umfasst: Veröffentlichte Informationen zu Sicherheitslücken Abonnementdienst für Produktsicherheitsupdates Ein verantwortungsvolles Offenlegungsprogramm für die Meldung von Schwachstellen Laufende Code-Reviews, statische Analysen, Penetrationstests, Fuzz- und Robustheitstests sowie Schwachstellen-Scans | Überwachen und Reagieren auf Schwachstellen in der Hostanwendung und anderen Gerätekomponenten. Melden von Schwachstellen in Anybus CompactCom an HMS. |
3. Umfang und Eigentum der Konnektivität | Anybus CompactCom bietet eine vorgefertigte industrielle Netzwerkschnittstelle, die die interne Entwicklung und pflegt Protokollstacks überflüssig macht. HMS übernimmt die Verantwortung für die Sicherheit der Kommunikationsschnittstelle und deren laufende Wartung. | Volle Verantwortung für das gesamte Gerät, einschließlich Hostanwendung, Konfiguration, Risikobewertung und CRA-Konformität. |
4. Update- und Patch-Management | Anybus CompactCom 40 akzeptiert ausschließlich Firmware, die von HMS digital signiert wurde, um die Integrität von Updates zu gewährleisten. Die IIoT-Secure-Variante überprüft zusätzlich die Firmware-Integrität bei jedem Boot . | Firmware-Update-Mechanismen für die Hostanwendung. Koordinieren von Host- und ABCC-Firmware-Updates, um die Versionskonsistenz zu pflegen. Dokumentation des Aktualisierungsprozesses für Maschinenbauer. |
5. Abhängigkeiten von Drittanbietern | HMS validiert und pflegt eingebettete Softwarekomponenten, einschließlich Open-Source-Komponenten. SBOMs (Software Bill of Materials) für relevante Anybus CompactCom-Firmware sind auf Anfrage erhältlich. | Pflege der SBOM sowie Nachverfolgung von Drittanbieterkomponenten für die Host-Anwendung und andere Gerätesoftware. |
6. Dokumentation & Rückverfolgbarkeit über den Lebenszyklus
| HMS stellt eine umfassende Sicherheitsdokumentation bereit:
Der Leitfaden behandelt unter anderem den bestimmungsgemäßen Gebrauch, die Konfiguration vertrauenswürdiger Netzwerke, sichere Standardeinstellungen, die Deaktivierung nicht verwendeter Ports und Dienste sowie verfügbare sichere Kommunikationskanäle. | Benutzerhandbücher, Installationsanleitungen, Dokumentation zum bestimmungsgemäßen Gebrauch sowie Anweisungen, die Maschinenbauern dabei helfen, bei der Integration des Geräts die CRA-Konformität zu erreichen. |
7. Bestandsprodukte & zukünftige Strategie | Der Einsatz von Anybus CompactCom reduziert den langfristigen Aufwand für die Wartung, Aktualisierung und Absicherung der eingebetteten Konnektivität über verschiedene Produktgenerationen hinweg. HMS verwaltet den Lebenszyklus der Konnektivität, sodass Gerätehersteller diese Kompetenz nicht über den gesamten Produktlebenszyklus hinweg intern aufrechterhalten müssen. |
Abhängigkeiten von DrittanbieternHMS validiert und wartet Embedded-Softwarekomponenten, einschließlich Open-Source-Elemente. SBOMs für die relevante Anybus CompactCom Firmware sind auf Anfrage erhältlich.
SBOM-Wartung und Nachverfolgung von Komponenten von Drittanbietern für die Hostanwendung und andere Gerätesoftware. 6. Dokumentation & Rückverfolgbarkeit des Lebenszyklus
HMS stellt eine umfassende Sicherheitsdokumentation zur Verfügung:
Leitfaden: Behandelt den Verwendungszweck, die Konfiguration vertrauenswürdiger Netzwerke, die Standardeinstellungen für sicher, das Deaktivieren nicht verwendeter Ports und Dienste sowie die verfügbaren sicheren Kanäle.
Benutzerhandbücher, Installationsanleitungen, Dokumentationen für den bestimmungsgemäßen Gebrauch und Anweisungen, die es Maschinenbauern ermöglichen, bei der Integration des Geräts die CRA-Konformität zu erreichen. 7. Legacy-Produkte & zukünftige Strategie Durch den Einsatz von Anybus CompactCom sinkt der langfristige Aufwand für die Wartung, Aktualisierung und Sicherung der Embedded-Konnektivität über Produktgenerationen hinweg. HMS managt den Lebenszyklus der Konnektivität, sodass Gerätehersteller diese Fähigkeit nicht über den gesamten Produktlebenszyklus intern aufrechterhalten müssen. Langfristige Compliance-Planung und Dokumentation für das komplette Gerät.
Für Gerätehersteller, die Anybus CompactCom bereits einsetzen, ist die CRA ein klares Argument für die Standardisierung und Ausweitung des Einsatzes auf weitere Produkte, Varianten und zukünftige Plattformen.
Ohne eine konsistente Konnektivitätsstrategie kann jede Produktvariante oder Plattformgeneration separate Sicherheitsprozesse, Dokumentationen und Update-Mechanismen erfordern, was den Compliance-Aufwand im Laufe der Zeit vervielfacht. Durch die Standardisierung auf Anybus CompactCom können Gerätehersteller Konnektivitätssicherheit, Updates und Dokumentation über einen einzigen, bewährten HMS-Lebenszyklus verwalten, anstatt diesen Aufwand Produkt für Produkt zu pflegen.
CRA macht die konsequente Nutzung einer bewährten, gepflegten Kommunikationsschnittstelle wertvoller denn je.
Eine der komplexeren CRA-Verpflichtungen für Gerätehersteller ist das Schwachstellenmanagement, nicht nur für ihr eigenes Produkt, sondern als Teil einer breiteren Lieferkette.
Im Rahmen der CRA haben der Maschinenbauer, der Gerätehersteller und der Konnektivitätsanbieter jeweils die Rolle des Herstellers eines Produkts mit digitalen Elementen inne. Jeder ist verpflichtet, bekannte ausnutzbare Schwachstellen in seinem Produkt zu beheben. In der Praxis entsteht so eine Verantwortungskette:
Abbildung 1. Die CRA Schwachstellen-Management-Kette, vom Eigentümer einer Industrieanlage bis zum Konnektivitätsanbieter, mit Sicherheitshinweisen und Updates, die über die gesamte Lieferkette zurückfließen.
Die CRA legt enge Fristen für die Bearbeitung von Schwachstellen fest und verlangt von den Herstellern, ein Product Security Incident Response Team (PSIRT) einzurichten, das in der Lage ist, umgehend auf eingehende Meldungen zu reagieren. Jeder Hersteller muss auch Schwachstellen in den von ihm verwendeten Komponenten überwachen, nicht nur die von Kunden gemeldeten.
Dies stellt eine erhebliche betriebliche Belastung für Gerätehersteller dar, insbesondere für Gerätehersteller ohne vorhandene Sicherheitsprozesse oder dedizierte Sicherheitsressourcen.
Aus Sicht von HMS ist die Infrastruktur für das Schwachstellenmanagement für Anybus CompactCom bereits vorhanden:
Gerätehersteller nutzen Anybus CompactCom, profitieren direkt von dieser Infrastruktur. Anstatt eigene Funktionen zur Überwachung und Offenlegung von Schwachstellen für die Konnektivitätsschicht aufzubauen und zu pflegen, können sie sich darauf verlassen, dass HMS diese verwaltet und strukturierte, zeitnahe Informationen erhält, wenn Schwachstellen identifiziert werden.
Das Schwachstellenmanagement ist eine der operativ anspruchsvollsten Verpflichtungen von Ratingagenturen. Die Konnektivitätsschicht wird von HMS übernommen.
Das Firmware-Update-Management ist ein weiterer Bereich, in dem die CRA für Gerätehersteller eine praktische Komplexität mit sich bringt, insbesondere wenn ein Gerät in eine Maschine integriert ist.
Ein Gerät, das Anybus CompactCom verwendet, verfügt in der Regel über mindestens zwei Firmware-Komponenten, die aktualisiert werden müssen:
In den meisten Fällen verlangt der Gerätehersteller, dass die ABCC-Firmware mit der Host-Firmware übereinstimmt, da beide zusammen getestet werden und nicht unabhängig voneinander austauschbar sind. Das bedeutet, dass Firmware-Updates in der Regel koordiniert werden müssen, wobei beide Komponenten als kompatibles Paar aktualisiert werden.
HMS unterstützt alle drei praktischen Update-Szenarien:
Abbildung 2. Ein Gerät mit Anybus CompactCom enthält zwei Firmware-Komponenten, das Anybus CompactCom und die Host-CPU. Die Firmware jeder Komponente kann über den Konsolenport, die Ethernet-Schnittstelle oder eine Kombination aus beidem aktualisiert werden.
Auf Maschinenebene ist die Herausforderung größer. So wie der Gerätehersteller die Host- und ABCC-Firmware-Kompatibilität vor der Veröffentlichung testet, muss der Maschinenbauer die Firmware-Kompatibilität auf allen Geräten in der Maschine überprüfen, bevor er ein Update bereitstellt. Das bedeutet, dass Maschinenupdates in der Regel als einzelnes Update verpackt werden, das alle Komponenten abdeckt, und nicht Gerät für Gerät aktualisiert werden.
Unter Usability-Gesichtspunkten erfordert dies eine einzige Update-Schnittstelle für die gesamte Maschine. In der Praxis ist der Konsolenport eines einzelnen Geräts für den Endbenutzer in einem bereitgestellten Computer oft nicht zugänglich. Der einzig gangbare Weg für ein komplettes Maschinen-Update besteht daher darin, sowohl die Host- als auch die ABCC-Firmware über die Ethernet-Schnittstelle zu aktualisieren.
HMS unterstützt dieses Szenario. Die ABCC-Firmware kann über die Ethernet-Schnittstelle aktualisiert werden, so dass sie neben der Host-Firmware in ein koordiniertes Update auf Maschinenebene einbezogen werden kann. Dadurch wird die Versionskonsistenz über alle Komponenten hinweg gewahrt, ohne dass physischer Zugriff auf einzelne Geräte erforderlich ist.
Abbildung 3. Ein Firmware-Update auf Maschinenebene wird über eine einzige Upgrade-Schnittstelle koordiniert, sodass die SPS, die angeschlossenen Geräte und ihre eingebetteten Kommunikationsschnittstellen gemeinsam aktualisiert werden können, wobei die Versionskonsistenz über alle Komponenten hinweg gewahrt bleibt.
Die Unterstützung von Firmware-Updates auf Maschinenebene über die Ethernet-Schnittstelle ist für die praktische Einhaltung von CRA in bereitgestellten Maschinen unerlässlich. HMS unterstützt dies von Anfang an.
HMS bietet zwei Hauptvarianten von Anybus CompactCom 40 an. Die richtige Wahl hängt vom Verwendungszweck und der Betriebsumgebung des Gerätes ab.
Die Standardvarianten von Anybus CompactCom 40 eignen sich für Geräte, die in vertrauenswürdigen, segmentierten industriellen Netzwerken mit eingeschränktem Zugriff und definierten Betriebsbedingungen betrieben werden. Anybus CompactCom 40 bietet bei einer Integration gemäß den Hinweisen zur bestimmungsgemäßen Verwendung im Security Device Integration Guide eine ausreichende CRA-relevante Konnektivitätssicherheit für OT-Umgebungen.
Abbildung 4. Anybus CompactCom 40 bietet ausreichende CRA-Konnektivität in vertrauenswürdigen OT-Umgebungen.
Für Geräte, die IT- oder IIoT-Konnektivität, Webzugriff oder sichere Kommunikation außerhalb vertrauenswürdiger Netzwerke benötigen, wird Anybus CompactCom 40 IIoT Secure empfohlen. Es bietet zusätzliche Schutzmechanismen, darunter:
Abbildung 5. Anybus CompactCom IIoT Secure bietet die erforderliche CRA-Konnektivität für IT/IIoT-angebundene Anwendungen.
IIoT Secure reduziert den Bedarf an zusätzlichen externen Sicherheitsmaßnahmen. wie Firewalls und ermöglicht die sichere Kommunikation in IT-angebundenen und IIoT-Anwendungen. Die Zertifizierung nach IEC 62443-4-2 durch den TÜV ist für 2026 geplant.
Unabhängig davon, ob Ihr Gerät in einem vertrauenswürdigen OT-Netzwerk oder in einer mit IT/IIoT verbundenen Umgebung betrieben wird, gibt es eine Anybus CompactCom-Variante, die speziell auf Ihre CRA-Konnektivitätsanforderungen zugeschnitten ist.
Durch den Einsatz von Anybus CompactCom wird der Umfang der verbindungsbezogenen CRA erheblich reduziert. Sie entbindet den Gerätehersteller nicht von der Verantwortung für das gesamte Produkt. Die folgenden Verantwortlichkeiten verbleiben unabhängig vom verwendeten Konnektivitätsansatz immer beim Gerätehersteller:
Vollständige Konformitätsbewertung und Konformitätserklärung des Produkts
Der von HMS bereitgestellte Leitfaden zur Integration von Sicherheitsgeräten enthält praktische Empfehlungen zur bestimmungsgemäßen Verwendung, zur standardmäßigen Sicherung und zur Integration und unterstützt Gerätehersteller dabei, diese Aufgaben effizient zu erfüllen.
Ziel ist es nicht, die Verantwortung zu entlasten, sondern den Umfang, den Aufwand und das langfristige Risiko für die Aufrechterhaltung einer CRA-konformen Konnektivität zu reduzieren.
Die CRA schafft einen klaren Entscheidungspunkt für Gerätehersteller mit interner Chip- + Stack-Konnektivität: Ist die interne Wartung dieser Lösung die beste Nutzung knapper Engineering- und Sicherheitsressourcen über den gesamten Produktlebenszyklus?
Für viele Gerätehersteller wird die Antwort nein lauten. Der fortlaufende Aufwand – sichere Entwicklungsprozesse, Schwachstellenüberwachung, Firmware-Update-Mechanismen, SBOM-Wartung, Dokumentation und langfristiger Lifecycle-Support – stellt eine wachsende interne Belastung dar, die mit Anybus CompactCom reduziert werden soll.
Für diejenigen, die Anybus CompactCom bereits verwenden, unterstreicht die CRA den Wert der standardisierten Nutzung über Produkte und Plattformen hinweg, wodurch der Compliance-Aufwand pro Produkt im Laufe der Zeit reduziert wird.
Dr. Jens Jakobsen
Produktsicherheitsmanager, HMS Networks
Dr. Jens Jakobsen ist Product Security Manager bei HMS Networks und leitet dort die Arbeit des Unternehmens, die Cybersicherheit von industriellen Kommunikationsprodukten zu stärken und vernetzte Geräte vor neuen Bedrohungen zu schützen. Er verfügt über umfangreiche Erfahrung aus technischen und Führungspositionen bei HMS Networks, Schneider Electric und Motorola Solutions und arbeitet seit vielen Jahren in den Bereichen industrielle Kommunikation und Cybersicherheit. Dr. Jakobsen hält sieben erteilte Patente in den Bereichen Telekommunikation und industrielle Kommunikationstechnologien.
