Cyber Resilience Act und IEC 62443: Was Betreiber von Zustandsüberwachung wissen sollten

Ein System zur Zustandsüberwachung an Werkzeugmaschinen ist ein vernetztes Produkt: eine Box im Werksnetz, eine Verbindung zur Steuerung, eine Verbindung nach außen und eine Plattform, auf der ausgewertet wird. Für solche Produkte gilt in der EU der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847). Die Normenreihe IEC 62443 beschreibt, wie sichere Komponenten für die Industrieautomation entwickelt werden. Dieser Artikel erklärt aus Sicht des Betreibers, was Cyber Resilience Act und IEC 62443 für Zustandsüberwachung bedeuten, welche Fragen Sie jedem Anbieter stellen sollten und wie wir sie für unser System beantworten.

Der Cyber Resilience Act in Kürze

Der CRA verpflichtet Hersteller von Produkten mit digitalen Elementen. Darunter fällt auch Software, die über ein Netz mit anderen Geräten verbunden ist. Ein Abonnement als Geschäftsmodell ändert daran nichts. Für Betreiber entstehen aus dem CRA keine eigenen Pflichten, aber ein klarer Maßstab: Sie können von Ihrem Anbieter erwarten, dass er die Anforderungen erfüllt, und sollten danach fragen.

Für Zustandsüberwachung ist ein Punkt besonders wichtig. Nach unserer Einschätzung zählen Plattform und Dashboard als Datenfernverarbeitung zum Produkt, weil die Box ohne sie ihre Aufgabe nicht erfüllen kann. Box, Plattform und Dashboard sind dann zusammen ein Produkt im Sinne des CRA. Ein Anbieter kann sich also nicht darauf zurückziehen, dass nur die Box beim Kunden steht.

Das bedeutet: Die Meldepflicht gilt bereits heute. Sobald eine einzige Box bei einem Kunden läuft, muss der Hersteller eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden als Frühwarnung melden können.

IEC 62443: Prozess und Komponente

Die Normenreihe IEC 62443 ist umfangreich. Für Anbieter von Überwachungssystemen sind zwei Teile maßgeblich:

• IEC 62443-4-1 beschreibt den sicheren Entwicklungsprozess: Sicherheitsanforderungen und Bedrohungsmodell, sicheres Design, Prüfungen, Umgang mit Schwachstellen, Update-Management und Sicherheitshinweise für den Kunden.
• IEC 62443-4-2 beschreibt technische Anforderungen an einzelne Komponenten, gestuft nach Sicherheitsstufen. Stufe 2 bedeutet Schutz gegen gezielte Angriffe mit geringen Mitteln und allgemeinen Kenntnissen.

Beide Teile passen gut zum CRA: Was IEC 62443 als Prozess und Komponenteneigenschaft verlangt, deckt einen großen Teil der Anforderungen aus Anhang I ab. Für unsere Box haben wir die Sicherheitsstufe SL-C 2 als Ziel festgelegt.

Fragen, die Sie jedem Anbieter von Zustandsüberwachung stellen sollten

Die folgenden Fragen leiten sich aus den Anforderungen des CRA ab. Sie eignen sich für jedes vernetzte System an Ihren Maschinen, nicht nur für Zustandsüberwachung. Ein seriöser Anbieter beantwortet sie schriftlich und ohne Ausweichen.

Zwei weitere Fragen betreffen nicht den CRA direkt, aber die Sicherheit Ihrer Maschinen: Kann das System auf die Steuerung schreiben? Und braucht es eingehende Verbindungen in Ihr Netz? Beides sollte ein Überwachungssystem nicht brauchen.

Der Meldeweg nach Artikel 14

Die Meldepflicht des CRA greift bei zwei Auslösern: bei einer aktiv ausgenutzten Schwachstelle im Produkt und bei einem schweren Sicherheitsvorfall, der die Sicherheit des Produkts betrifft. Eine Lücke, die der Hersteller selbst findet und behebt, ohne dass sie ausgenutzt wurde, ist nicht meldepflichtig. Sie muss aber trotzdem behandelt werden.

Gemeldet wird über die zentrale Meldeplattform der ENISA, die Single Reporting Platform. Empfänger ist das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Zusätzlich müssen die Nutzer über den Vorfall und mögliche Gegenmaßnahmen informiert werden. Für Sie als Betreiber heißt das: Fragen Sie, wie und wie schnell Sie im Ernstfall erfahren, was Sie selbst tun sollten.

Wie wir den Cyber Resilience Act umsetzen

Wir sind ein junges Unternehmen in der Markteinführung. Deshalb haben wir den Sicherheitsprozess von Anfang an mitentwickelt, statt ihn später nachzurüsten. Der folgende Stand ist ehrlich: Manches ist umgesetzt, manches liegt als Entwurf vor.

• SBOM: Für jede ausgelieferte Komponente, also die Box und die Plattform, erzeugen wir eine Software-Stückliste im Format CycloneDX. Entwicklungswerkzeuge sind darin nicht enthalten, nur was tatsächlich ausgeliefert wird. Auf Anfrage stellen wir sie Ihnen zur Verfügung.
• Prüfung der Bibliotheken: Bei jeder Prüfung des Codes werden alle verwendeten Bibliotheken automatisch auf bekannte Sicherheitslücken geprüft. Die Versionen sind fest eingetragen und werden nur bewusst und mit vollständigem Testlauf aktualisiert. Eine gemeldete Lücke blockiert die Prüfung, bis sie behoben oder begründet als nicht zutreffend dokumentiert ist.
• Schwachstellenbehandlung: Jede Meldung bekommt eine Nummer und eine Eingangsbestätigung, wird nach CVSS 4.0 und im Kontext bewertet, mit einem Test behoben, der die Lücke nachweist, und als Sicherheitsupdate getrennt von Funktionsupdates ausgeliefert.
• Meldeweg: Der Ablauf nach Artikel 14 mit Frühwarnung, Meldung und Abschlussbericht ist beschrieben, mit festgelegter Verantwortung und einer Vorlage für die Information unserer Kunden. Empfänger ist für uns CSIRT-CY, weil die Forbach and Partners Ltd ihren Sitz in Zypern hat.
• Kontakt und security.txt: Eine Adresse für Sicherheitsmeldungen und eine security.txt nach RFC 9116 sind vorbereitet.
• Signierte Updates: Die Box prüft jedes Update auf Signatur, Version und Prüfsumme. Einzelheiten stehen im Artikel Gerätezertifikate und signierte Updates.
• Bedrohungsmodell: Für Box, Verbindungen, Plattform und Lieferkette gibt es eine Risikobewertung nach STRIDE. Zu jeder Gegenmaßnahme ist angegeben, mit welchem Test sie nachgewiesen ist, und am Ende steht eine Liste der offenen Punkte.

Mehrere Anforderungen aus Anhang I erfüllt die Architektur selbst. Die Box liest die Steuerung nur lesend und vierfach abgesichert, fragt höchstens alle 0,1 Sekunden ab und beeinträchtigt so keine anderen Geräte. Sie öffnet keine Ports und baut nur ausgehende Verbindungen auf, was die Angriffsfläche klein hält. Und sie überträgt nur Kennwerte statt Rohsignalen und keine Bedienerdaten, das entspricht dem Grundsatz der Datenminimierung. Eine Übersicht finden Sie auf der Seite Datensicherheit.

Was das für Ihre eigene Sicherheit bedeutet

Viele Maschinenbauer und größere Fertiger sind selbst von NIS2 betroffen und müssen die Sicherheit ihrer Lieferkette steuern. Das heißt konkret: Sicherheitsfragebögen an Lieferanten, Sicherheitsklauseln in Verträgen und Nachweise zum Umgang mit Schwachstellen. Ein Anbieter, der SBOM, Schwachstellenprozess und Meldeweg bereits dokumentiert hat, macht Ihnen diese Arbeit deutlich leichter.

Prüfen Sie auch, was der Anbieter offen benennt. Ein Bedrohungsmodell ohne offene Punkte ist eher ein Warnsignal als ein Qualitätsmerkmal. Wir nennen unsere offenen Punkte im Gespräch, etwa dass Installationsprogramm und Update-Server noch mit der Box-Hardware festgelegt werden. Wie ein Pilotprojekt bei Ihnen abläuft, lesen Sie auf der Seite Ablauf. Für die Abstimmung mit Ihrer IT stellen wir ein Sicherheitsblatt bereit, sprechen Sie uns über die Kontaktseite an.

Häufige Fragen