Vier Sicherheitsstandards, die Sie als Maschinen- und Anlagenbauer 2024 kennen sollten

Ihr Kompass zu EU Data Act, Cyber Resilience Act, NIS2 und IEC 63442

Lara Rißland

8. Januar 2024

Produkte

Das Jahr 2024 wird für Hersteller von Komponenten, Geräten und Maschinen für das Internet der Dinge (IIoT) ein entscheidender Wendepunkt sein, da dann vier wichtige Sicherheitsstandards der Europäischen Union in Kraft treten bzw. in den Fokus rücken. Die Europäische Kommission hat klare Mindestsicherheitsanforderungen für IoT-Produkte festgelegt, die nicht nur die Cybersicherheit stärken, sondern auch die Verantwortung der Hersteller, Betreiber und Integratoren deutlicherhöhen. Ihnen wird empfohlen ab 2024 sicherstellen, dass Ihre Produkte diesen Standards entsprechen, um weiterhin auf dem EU-Markt präsent zu sein.

Im Detail geht es um die Standards, EU Data Act, der Cyber Resilience Act (CRA), die Richtlinie über Netz- und Informationssicherheit (NIS2) und die internationale Normenreihe über „Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme“ (IEC 62443), die weitreichende Veränderungen mit sich bringen. Der Schwerpunkt liegt auf der Sicherstellung der Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit von IoT-Geräten, um gegen Cyber-Bedrohungen gewappnet zu sein.
Die Nichteinhaltung dieser neuen Sicherheitsstandards birgt verschiedene Risiken, darunter erleichterte Hackerangriffe, Sicherheitsverletzungen, Produktivitätsverluste und Rufschädigung. Finanzielle Folgen wie hohe Geldstrafen und rechtliche Konsequenzen können die Folge sein. Darüber hinaus drohen Datenverlust, Manipulation und unbefugter Zugriff, was nicht nur zu Image- und Vertrauensverlust, sondern im schlimmsten Fall auch zu Geschäftseinbußen führen kann.

Es ist an der Zeit, die Herangehensweise an die Sicherheit von IoT-Geräten zu überdenken und anzupassen, um den aktuellen und künftigen Herausforderungen unserer schnelllebigen Zeit gerecht zu werden. Hier finden Sie alles, was Sie als Hersteller von Komponenten und Geräten jetzt wissen müssen.

Das sind die neuen Gesetzgebungen und ihre Auswirkungen

EU Data Act

Was ist der EU Data Act?

Der EU Data Act ist eine neue Verordnung, die einheitliche Regeln für den Zugang zu Daten, den Wechsel von Cloud-Anbietern und Interoperabilitätsanforderungen in der EU festlegt. Sie gilt sowohl für personenbezogene als auch für nicht-personenbezogene Daten und zielt darauf ab, Hindernisse für die Nutzung und Weiterverwendung nicht-personenbezogener Daten, insbesondere von Daten, die von vernetzten Produkten und damit verbundenen Diensten erzeugt werden, zu beseitigen.
Wann tritt der EU Data Act in Kraft?

Der EU Data Act wurde am 27. November 2023 vom Europäischen Rat angenommen¹ und ist Anfang Januar 2024 in Kraft getreten. Es gilt eine Übergangsfrist von 20 Monaten bis zum 12. September 2025, nach deren Ablauf der Data Act in der gesamten EU unmittelbar geltendes Recht wird.

Zugang zu Daten und Verbraucherrechten

Der EU Data Act regelt nicht nur den Zugang zu, sondern auch die Nutzung von Daten, die von IoT-Geräten generiert werden. Verbraucher*innen erhalten das Recht, in Echtzeit auf ihre Daten zuzugreifen und diese für Mehrwertdienste wie vorausschauende Wartung zu nutzen. Dieser Ansatz fördert nicht nur die Transparenz, sondern stärkt auch ihre Position in Bezug auf die Kontrolle über die eigenen Daten.

Förderung des Wettbewerbs im After-Sales-Markt

Ein wichtiger Schwerpunkt des EU Data Act ist die Schaffung eines einheitlichen Marktes für den freien Datenverkehr innerhalb der EU. Hersteller könnten verpflichtet werden, bestimmte Daten mit Reparatur- oder Serviceanbietern zu teilen. Dies könnte zu mehr Wettbewerb im After-Sales-Markt führen, da Verbraucher*innen mehr Auswahl und besseren Zugang zu Dienstleistungen hätten.

Datensicherheit und Standortbeschränkungen

Das Gesetz enthält auch Bestimmungen zur Datensicherheit, einschließlich des Verbots, bestimmte Daten außerhalb der EU zu speichern oder zu verarbeiten. Damit sollen sensible Informationen geschützt und gleichzeitig die Entwicklung von Interoperabilitätsstandards gefördert werden, um die Wiederverwendung von Daten in verschiedenen Wirtschaftszweigen zu erleichtern.²

Was bedeutet der EU Data Act für Maschinen- und Anlagenbau sowie Komponenten- und Gerätehersteller?

Für Hersteller von IoT-Geräten bedeutet die Einführung des EU Data Acts eine erhöhte Compliance-Verantwortung. Dazu gehört nicht nur die Sicherstellung des Datenzugangs für Nutzer*innensondern auch der umfassende Schutz ihrer Daten und die Einhaltung der Datensicherheit. Die Berücksichtigung dieser Anforderungen wird für Unternehmen entscheidend sein, um Strafen zu vermeiden und in der sich entwickelnden datengesteuerten Wirtschaft der EU wettbewerbsfähig zu bleiben.

Um in Zukunft mit dem EU-Datenschutzrecht konform zu sein, müssen die Hersteller sicherstellen, dass ihre Produkte und die damit verbundenen Dienstleistungen für den Kunden zugänglich sind und dass die von den Produkten erzeugten Daten und deren Verwendung transparent sind. Darüber hinaus müssen sie ihre Produkte so gestalten, dass die Kunden auf die Daten zugreifen und diese mit Dritten austauschen können.³

Cyber Resilience Act (CRA)

Was ist der Cyber Resilience Act?

Der European Cyber Resilience Act (CRA) ist ein Vorschlag für einen Rechtsrahmen zur Festlegung von Anforderungen an die Cybersicherheit von Hardware- und Softwareprodukten, die in der Europäischen Union in Verkehr gebracht werden. Er soll sicherstellen, dass die Hersteller die Sicherheit während des gesamten Lebenszyklus eines Produkts ernst nehmen, und Bedingungen schaffen, die es Nutzer*innen ermöglichen, bei der Auswahl und Nutzung von Produkten mit digitalen Elementen die Cybersicherheit zu berücksichtigen.⁴
Wann tritt der Cyber Resilience Act in Kraft?

Das Europäische Parlament hat vor kurzem eine politische Einigung über den Rechtsakt erzielt, der noch vom Europäischen Parlament und vom Rat formell angenommen werden muss. Es wird erwartet, dass der Rechtsakt Anfang nächsten Jahres das EU-Gesetzgebungsverfahren durchläuft und Anfang 2024 formell angenommen wird.⁵ Es ist jedoch vorgesehen, dass das neue Cyber-Resilience-Gesetz erst 36 Monate nach seiner Verabschiedung – also frühestens Ende 2026 – in Kraft tritt.⁶

Der Cyber Resilience Act stellt einen Meilenstein in der Gesetzgebung der Europäischen Union dar, da es sich um den weltweit ersten Gesetzesentwurf handelt, der sich speziell mit der Cybersicherheit von Produkten mit digitalen Elementen, insbesondere dem IoT, befasst. Die Verordnung, die sich noch im Entwurfsstadium befindet, zielt darauf ab, Mindeststandards und kontinuierliche Aktualisierungen festzulegen, um die Cybersicherheit zu erhöhen und digitale Produkte, einschließlich IoT-Geräte, zu schützen.

Fokus auf Security-by-Design

Ein zentraler Aspekt der CRA ist die Betonung des "Secure-by-Design"-Konzepts. Das bedeutet, dass Hersteller bereits bei der Entwicklung ihrer Produkte sicherheitsrelevante Aspekte berücksichtigen müssen. Von der Entwicklungsphase bis zum Ende der Lebensdauer soll Cybersicherheit ein integraler Bestandteil sein. Dahinter steht die Idee, Produkte von Anfang an so zu gestalten, dass sie von Grund auf sicher sind, anstatt Sicherheitsmaßnahmen nachträglich zu implementieren.

Herstellerverantwortung über den gesamten Lebenszyklus

Ein zentrales Anliegen des CRA ist die Verlagerung der Verantwortung für die Cybersicherheit digitaler Produkte auf die Wirtschaftsakteure, insbesondere auf die Hersteller. Dies beinhaltet die Verpflichtung, Cybersicherheit in jeden Schritt des Entwicklungs- und Software-Lebenszyklus zu integrieren. Dazu gehören die Dokumentation von Risiken, die kontinuierliche Überwachung von Schwachstellen und die schnelle Reaktion auf Sicherheitsvorfälle.

Spezielle Sicherheitsanforderungen für IoT-Geräte

Der CRA legt spezifische Sicherheitsanforderungen für IoT-Geräte fest, um den Schutz personenbezogener und finanzieller Daten sicherzustellen. Einige dieser grundlegenden Anforderungen sind das Verbot der Verwendung von Standard- und schwachen Passwörtern, die Verpflichtung zur Unterstützung von Software-Updates, die Verpflichtung zur Prüfung auf Sicherheitslücken und der Schutz gespeicherter persönlicher und finanzieller Daten. Darüber hinaus wird den Verbraucher*innen das Recht eingeräumt, ihre Daten zu verwalten und zu löschen.

Produktkategorien und Bewertungsverfahren

Der Gesetzesentwurf schlägt vor, zwei Produktkategorien zu schaffen: kritische und nicht-kritische Produkte. Kritische Produkte werden einer Bewertung durch Dritte unterzogen, während für nicht-kritische Produkte lediglich eine Selbsterklärung der Konformität erforderlich ist. Diese Unterscheidung soll sicherstellen, dass Produkte mit höherem Risiko einer intensiveren Prüfung unterzogen werden.

Was bedeutet Cyber Resilience Act für Maschinen- und Anlagenbau sowie Komponenten- und Gerätehersteller?

Für Komponenten- und Gerätehersteller bedeutet die Einführung des CRA eine tiefgreifende Veränderung in der Art und Weise, wie sie digitale Produkte entwickeln und auf den Markt bringen. Er wird Hersteller dazu verpflichten, die Sicherheit von Produkten mit digitalen Komponenten von der Entwurfs- und Entwicklungsphase an über den gesamten Lebenszyklus zu verbessern, einschließlich Hardware- oder Software-Updates und neuer Versionen auf dem Markt. Darüber hinaus wird sie einen einheitlichen Rahmen für die Cybersicherheit schaffen, die Transparenz der Sicherheitseigenschaften von Produkten erhöhen und es Unternehmen und Verbraucher*innen ermöglichen, Produkte mit digitalen Komponenten sicher zu nutzen.

Die Nichteinhaltung der Anforderungen des Gesetzes kann zu empfindlichen Strafen von bis zu 15 Millionen Euro oder 2,5 % des Jahresumsatzes führen.⁷

Richtlinie über Netz- und Informationssicherheit (NIS2)

Was ist NIS2?

Die NIS2-Richtlinie ist eine EU-weite Rechtsvorschrift, die rechtliche Maßnahmen zur Verbesserung des allgemeinen Niveaus der Cybersicherheit in der EU vorsieht, indem sie die Bereitschaft und Zusammenarbeit zwischen den Mitgliedstaaten sicherstellt und die wichtigsten Akteure in den Schlüsselindustrien verpflichtet, Sicherheitsmaßnahmen zu ergreifen und Vorfälle zu melden.⁸
Wann tritt NIS2 in Kraft?

Die NIS2-Richtlinie ist am 16. Januar 2023 in Kraft getreten. Die Mitgliedstaaten müssen bis zum 17. Oktober 2024 die erforderlichen Maßnahmen zur Erfüllung der NIS2-Richtlinie erlassen und veröffentlichen und diese Maßnahmen ab dem 18. Oktober 2024 anwenden.⁹In Deutschland liegt bereits jetzt ein Referentenentwurf des Bundesinnenministeriums zum NIS-2-Umsetzungsgesetz (NIS2UmsuCG) vor.

Die NIS2-Richtlinie definiert einen breiten Anwendungsbereich, der sich über verschiedene Sektoren erstreckt. Hersteller von Komponenten und Geräten als auch Maschinenbauer müssen sich insbesondere dann mit NIS2 auseinandersetzen, wenn sie als kritische oder wichtige Einrichtungen im Sinne der Richtlinie gelten. Dabei wird sich der Geltungsbereich im Vergleich zur bestehenden NIS deutlich ausweiten. Dies umfasst sowohl die Art der Einrichtungen als „wesentlich“ und „wichtig“, als auch die Unternehmensgröße und den -umsatz. Dies kann der Fall sein, wenn sie über wertvolle Daten verfügen, die sie zu attraktiven Zielen für Cyberangriffe machen. Die Verwendung von vernetzten IoT-Geräten stellt ein erhöhtes Angriffsrisiko dar.

Sicherheitskontrollen und Überwachung gemäß NIS2
NIS2 setzt auf eine umfassende Implementierung von Sicherheitskontrollen, um das Risiko von Cyberangriffen zu minimieren. Dies beinhaltet die Implementierung ganzheitlicher und strenger Sicherheitsmaßnahmen sowie eine verstärkte Überwachung. Die Richtlinie legt großen Wert auf die Identifizierung von Schwachstellen, die Stärkung der Sicherheit, die Aufrechterhaltung der Wachsamkeit und die Verhinderung von Cyberschäden an Systemen und Daten.

Was bedeutet NIS2 für Maschinen- und Anlagenbauer sowie Hersteller von Komponenten und Geräten in kritischen Infrastrukturen?

Priorisierung der Sicherheit in der Lieferkette: Hersteller müssen die Sicherheit ihrer Lieferkette bewerten und Risiken mindern. Dies schließt Maßnahmen zur Sicherung von Lieferanten, Partnern und Auftragnehmern ein.
Fokus auf Risikomanagement: Hersteller, die als "wichtig" eingestuft werden, müssen verpflichtend Risikomanagementprozesse einführen. Dies kann Investitionen in neue Tools und zusätzliches Fachpersonal erfordern.
Verstärkte Zusammenarbeit mit IT-Dienstleistern: Um die NIS2-Anforderungen zu erfüllen, müssen Fertigungsunternehmen enger mit IT-Dienstleistern zusammenarbeiten. Dies kann zu höheren Kosten und Änderungen der Geschäftsmodelle führen.⁹

Insbesondere Unternehmen in kritischen Infrastrukturen müssen die NIS2-Konformität ernst nehmen. Die Nichteinhaltung kann zu erheblichen Geldstrafen führen, die bis zu 10 Millionen Euro oder 2 % des Umsatzes betragen können.

Internationale Normenreihe über „Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme“ (IEC 62443)

Was ist IEC 62443?

IEC 62443 ist eine internationale Normenreihe, die sich mit der Cybersicherheit für die Betriebstechnik in Automatisierungs- und Steuerungssystemen befasst. Sie enthält Richtlinien für die Absicherung von industriellen Steuerungssystemen (Industrial Control Systems, ICS) und Netzwerken der Betriebstechnik (Operational Technology, OT) und wurde ursprünglich für die industrielle Prozessindustrie entwickelt, ist aber mittlerweile auf eine Vielzahl von Branchen anwendbar. Die Standards verfolgen einen risikobasierten Ansatz zur Cybersicherheit und bieten einen Rahmen für die systematische Bewertung, Minderung und das Management von Cybersicherheitsrisiken in industriellen Automatisierungs- und Steuerungssystemen, um die Zuverlässigkeit und Sicherheit kritischer industrieller Prozesse und Infrastrukturen sicherzustellen.¹⁰
Wann tritt IEC 62443 in Kraft?

Die Normenreihe IEC 62443 wurde im Laufe der Zeit entwickelt und die einzelnen Teile zu unterschiedlichen Zeitpunkten veröffentlicht und schrittweise eingeführt. So erfolgte beispielsweise die Veröffentlichung der Norm IEC 62443-4-1, die Prozessanforderungen für die sichere Entwicklung von Produkten für industrielle Automatisierungs- und Steuerungssysteme (IACS) festlegt, im Februar 2018.

Was bedeutet IEC 62443 für Komponenten- und Gerätehersteller?
Die IEC 62443 ist ein wichtiger Leitfaden für Hersteller im Bereich der industriellen Automatisierung, um den wachsenden Herausforderungen im Bereich der Cybersicherheit zu begegnen. Die Integration eines effektiven Risikomanagements, die Implementierung sicherer Entwicklungspraktiken von Anfang an, die Möglichkeit der Produktzertifizierung sowie der Schutz der Lieferkette sind zentrale Aspekte, die Hersteller dabei unterstützen, Produkte von höchster Qualität und Sicherheit anzubieten. Das Lebenszyklusmanagement nach IEC 62443 stellt sicher, dass Produkte nicht nur bei ihrer Einführung, sondern während ihres gesamten Lebenszyklus den höchsten Sicherheitsstandards entsprechen. Insgesamt bietet die Norm Herstellern eine klare Struktur und Anleitung, um ihre Produkte widerstandsfähig gegen Cyberangriffe aufzustellen und die Integrität industrieller Automatisierungssysteme sicherzustellen.

Die IEC 62443 ist in vier Teile gegliedert:

General: Im ersten Teil sind die grundsätzlichen Begriffe, Konzepte, Modelle und Richtlinien beschrieben, die für die gesamte Normenreihe gelten.
Policies and Procedures: Der zweite Teilt konzentriert sich auf Methoden und Prozesse im Zusammenhang mit der IEC-Sicherheit. Hier werden die Anforderungen an Sicherheitsprogramme für die verschiedenen Rollen in der Industrie wie Betreiber, Integratoren und Dienstleister definiert.
System: Der dritte Teil befasst sich speziell mit der Bewertung von Sicherheitsrisiken für den Systementwurf und das Risikomanagement und bietet einen systematischen Ansatz zur Vermeidung und Handhabung von Sicherheitsrisiken in industriellen Automatisierungs- und Steuerungssystemen.
Component and system requirements: Dieser letzte Teil beschreibt die detaillierten Anforderungen an die sichere Produktentwicklung und die sicherheitstechnischen Merkmale von IEC-Komponenten.¹²

3 Tipps für Komponenten- und Gerätehersteller, um diesen Sicherheitsstandards zu begegnen

Sichere Entwicklungsprozesse in den Mittelpunkt stellen:
Sicherheitsstandards sollten nicht nur als notwendige Hürde, sondern als integraler Bestandteil des Entwicklungsprozesses betrachtet werden. Integrieren Sie Sicherheit von Anfang an in den Design- und Entwicklungszyklus, um potenzielle Risiken frühzeitig zu erkennen und zu adressieren.
Die Norm IEC 62443 spielt eine entscheidende Rolle bei der Förderung dieser sicheren Entwicklungspraktiken. Insbesondere Teil 4-1 "Anforderungen an den Lebenszyklus der sicheren Produktentwicklung" legt die Richtlinien und Anforderungen fest, um sicherzustellen, dass die Sicherheit in den gesamten Entwicklungsprozess integriert wird. Diese Norm betrifft sowohl die Hardware- als auch die Softwareentwicklung und gilt sowohl für neue als auch für bestehende Produkte.
Regelmäßige Schulung der Mitarbeiter*innen:
Bilden Sie Ihr Team kontinuierlich in den neuesten Sicherheitspraktiken und -technologien aus. Durch Schulungen und funktionsübergreifenden Arbeitskreisen können Sie das Bewusstsein für Sicherheitsrisiken schärfen und sicherstellen, dass Ihr Team proaktiv auf Bedrohungen reagiert.
Erwägen Sie eine Edge-Device-Management-Lösung
Mit der Edge-Device-Management-Lösung K-PORT verwalten Sie alle Geräte weltweit in einer Cloud-basierten Edge-Device-Umgebung. Dabei setzen wir auf höchste Sicherheit – unsere Lösung basiert auf der Oracle Cloud Infrastructure (OCI), welche die strengen Anforderungen des Cloud-Computing-Kriterienkatalogs C5 des Bundesamtes für Sicherheit in der Informationstechnik erfüllt. Dieser Katalog, der 2016 erstmals veröffentlicht wurde, setzt Mindeststandards für sicheres Cloud-Computing und dient als Maßstab für professionelle Cloud-Anbieter, deren Prüfer*innen und Kunden.

Seit seiner Einführung hat sich der C5-Katalog erfolgreich etabliert und wird von einer wachsenden Zahl nationaler und internationaler Cloud-Anbieter genutzt. Darüber hinaus unterstützt die C5-Compliance das eigene Risikomanagement, indem sie die Erfüllung regulatorischer und Compliance-Anforderungen erleichtert und gleichzeitig ein hohes Maß an Sicherheit und Zuverlässigkeit für Cloud-basierte Dienste gibt. Dies stellt in der heutigen schnelllebigen und sicherheitssensiblen Geschäftswelt einen entscheidenden Wettbewerbsvorteil dar.

Angesichts der neuen Sicherheitsstandards, die von der Europäischen Kommission für das Internet der Dinge (Internet of Things, IoT) festgelegt wurden, ist klar: Sicherheit ist keine Option mehr, sondern ein unverzichtbarer Eckpfeiler für Hersteller, Betreiber und Integratoren von Komponenten und IoT-Geräten . Im Wettbewerbsumfeld des IoT-Marktes wird Sicherheit zu einem entscheidenden Differenzierungsfaktor. Hersteller, die sich proaktiv darauf einstellen und nicht nur Compliance anstreben, sondern höchste Sicherheitsstandards als integralen Bestandteil ihrer Produktentwicklung verstehen, erfüllen nicht nur die gesetzlichen Anforderungen, sondern gewinnen auch das Vertrauen ihrer Kunden.

Die Zukunft des IoT-Marktes liegt in den Händen derjenigen, die Sicherheit nicht als Hindernis, sondern als strategische Chance begreifen. Die neuen Rechtsvorschriften sind der Katalysator für eine sicherere, widerstandsfähigere und vertrauenswürdigere IoT-Landschaft. Hersteller, Betreiber und Integratoren, die sich dieser Herausforderung stellen und ihre Produkte sicher gestalten, sind nicht nur auf dem richtigen Weg zur Compliance, sondern auch auf dem Weg zu nachhaltigem Erfolg in einer zunehmend vernetzten und digitalisierten Ära.

Jetzt ausführliche Zusammenfassung herunterladen und immer griffbereit haben!

	EU Data Act	Cyber Resilience Act	NIS2	IEC 62443
Übersicht	Der EU Data Act ist eine neue Verordnung, die einheitliche Regeln für den Zugang zu Daten, den Wechsel von Cloud-Anbietern und Interoperabilitäts-anforderungen in der EU festlegt.	Der European Cyber Resilience Act (CRA) ist ein Vorschlag für einen Rechtsrahmen zur Festlegung von Anforderungen an die Cybersicherheit von Hardware- und Softwareprodukten, die in der EU in Verkehr gebracht werden.	Die NIS2-Richtlinie ist eine EU-weite Rechtsvorschrift, die rechtliche Maßnahmen zur Verbesserung des allgemeinen Niveaus der Cybersicherheit in der EU.	IEC 62443 ist eine internationale Normenreihe, die sich mit der Cyber-Sicherheit für die Betriebstechnik in Automatisierungs- und Steuerungssystemen befasst.
Ziel	Schaffung eines einheitlichen Datenmarktes in der EU mit Wiederwendung der Daten in allen Wirtschaftssektoren	Verbesserung der Sicherheit von digitalen Produkten	Cybersicherheit und Resilienz in EU erhöhen	Zuverlässigkeit und Sicherheit kritischer industrieller Prozesse und Infrastrukturen gewährleisten
Zeitraum	Wird voraussichtlich Mitte 2025 in Kraft treten	Verabschiedung in Januar 2024, tritt frühestens gegen Ende 2026 in Kraft	Anwendung der erforderlichen Maßnahmen ab dem 18. Oktober 2024	Bereits in Kraft
Verpflichtend oder Empfehlung?	Verpflichtend für Produkte und Services in der EU	Verpflichtend für alle Unternehmen, die Produkte mit digitalen Elementen herstellen	Verpflichtend für Betreiber kritischer Infrastrukturen	Wird empfohlen bzw. verpflichtend ab 1. Januar 2024 für Offshore-Installationen und Schiffe