Das SPS-Magazin spricht mit Cybersecurity-Experte Frank Behnke von Hilscher über den Cyber Resilience Act (CRA) und seine Folgen für die besonders betroffene Automatisierungs- und Fertigungsindustrie: 

Wie bewerten Sie die Bedeutung des Cyber Resilience Act für die Automatisierungsbranche? Welche Herausforderungen sehen Sie bei der Umsetzung des CRA und welche Rolle spielt ‚Usable Security’ dabei?

Der CRA, die NIS2-Richtlinie und das NIS2UmsuCG haben eine enorme Bedeutung für die Automatisierungsbranche. Neben strikteren Sicherheitsanforderungen kommen Haftungsfragen und die Pflicht zu regelmäßigen Sicherheitsupdates hinzu. Künftig wird es kein sicheres industrielles Netzwerk ohne tief integrierte Cybersecurity mehr geben. 

Die Chancen liegen in einer einheitlichen Regulierung und mehr Vertrauen in sichere Produkte. Unternehmen, die frühzeitig auf Security-by-Design und auf Standards wie IEC 62443 setzen, können sich als verlässliche Partner im Markt positionieren. Zudem wird die Standardisierung es erleichtern, Produkte europaweit anzubieten. 

Die größte Herausforderung ist die praxisnahe Umsetzung der neuen Anforderungen. Viele Unternehmen stehen noch am Anfang dieser Entwicklung und unterschätzen die Tragweite der bevorstehenden Veränderungen. Unser Ziel ist es, hier mit Expertise zu unterstützen, ohne unnötige Panik zu verbreiten. 

Usable Security spielt dabei eine entscheidende Rolle. Sicherheitsmechanismen müssen anwenderfreundlich und effizient sein. Die beste Sicherheit hilft nichts, wenn sie schwer zu implementieren ist oder im Arbeitsalltag umgangen wird. Besonders Systeme mit zentralem Patch-Management bieten hier einen Wettbewerbsvorteil, da sie Sicherheitsupdates automatisieren und den Verwaltungsaufwand reduzieren. 

Welche spezifischen Anforderungen des CRA sind für den Maschinen- und Anlagenbau sowie die Prozessindustrie besonders relevant? Wie lassen sich die Anforderungen des CRA in Produkten und Prozessen effektiv umsetzen?

Der CRA bringt tiefgreifende Anpassungen in der Produktentwicklung und im Betrieb mit sich. Besonders kritisch ist die Meldepflicht für Sicherheitsvorfälle innerhalb von 24 Stunden, was ein effektives Incident-Management und Security-Monitoring voraussetzt. Ansonsten drohen empfindliche Strafen. 

Um die Anforderungen zu erfüllen, müssen Unternehmen ihre Entwicklungsprozesse anpassen, indem sie Security-by-Design und Security-by-Default von Anfang an implementieren

Das bedeutet:

•  Risikobewertungen und Sicherheitsaudits bereits in der Entwicklungsphase
• Nachhaltige Update- und Patch-Strategien, um Produkte über ihren gesamten Lebenszyklus sicher zu halten
• Zertifizierungskonformität, da „signifikante Änderungen“ an bestehenden Produkten eine Neuzertifizierung erfordern

In der Praxis braucht es zentralisierte Patch-Management-Systeme, robuste Zugriffs- und Authentifizierungslösungen und klar definierte Prozesse für regelmäßige Sicherheitsüberprüfungen. Gerade für komplexe Automatisierungssysteme ist es entscheidend, Cybersicherheit so zu integrieren, dass sie den Betrieb nicht beeinträchtigt und gleichzeitig die Anforderungen des CRA zuverlässig erfüllt. 

Frank Behnke
Head of Information Systems, Hilscher

Welche Kosten und welchen Aufwand erwarten Sie für die Umsetzung des CRA? Wird der CRA die Wettbewerbsfähigkeit von Maschinen- und Anlagenbauern beeinflussen? Wenn ja, wie? 

Die Kosten und der Aufwand für die Umsetzung des CRA lassen sich nicht pauschal beziffern, da sie stark davon abhängen, wie frühzeitig Unternehmen Security-by-Design in ihre Entwicklungsprozesse integriert haben. Unternehmen, die bereits sichere Architekturprinzipien anwenden, werden geringeren Anpassungsaufwand haben als jene, die erst jetzt beginnen, Cybersicherheit nachzurüsten.

Hinsichtlich der Wettbewerbsfähigkeit gibt es eine klare Trennung: Nicht cybersichere Maschinen und Geräte werden künftig massive Nachteile auf dem Markt haben. Kunden und Betreiber werden verstärkt auf zertifizierte, CRA-konforme Produkte setzen, um regulatorische Risiken zu minimieren.

Ein Beispiel ist unser netX-90-Kommunikationscontroller, der bereits umfassende Security-Mechanismen integriert. Damit lassen sich sichere Kommunikationslösungen direkt umsetzen – ein klarer Vorteil gegenüber älteren Chipgenerationen, die diese Funktionalität nicht oder nur eingeschränkt bieten.

Aber nicht nur Produkte sind betroffen – auch bestehende Netzwerktechnologien müssen überdacht werden. Besonders Feldbustechnologien, die traditionell für abgeschottete Systeme konzipiert wurden, gelten nach den neuen Vorschriften als inhärent unsicher und lassen sich kaum CRA-konform machen. Hier werden Unternehmen gezwungen sein, sichere Netzwerkarchitekturen zu etablieren, etwa durch Firewall-Lösungen, Netzwerksegmentierung und strikte Zugriffskontrollen. In vielen Fällen wird eine vollständige Umstellung auf sicherere, IP-basierte Kommunikationstechnologien notwendig sein. 

Wer frühzeitig auf sichere Architekturen, moderne Sicherheitsmechanismen und Upgradability setzt, wird sich langfristig einen klaren Marktvorteil verschaffen.

Wie planen Sie, Ihre Kunden bei der Einhaltung der CRA-Anforderungen zu unterstützen? Welche Empfehlungen haben Sie für KMU in der Branche zur Vorbereitung auf den CRA?

Unsere Empfehlung für kleine und mittelständische Unternehmen ist klar: Erstellen Sie frühzeitig einen Plan, um die CRA-Anforderungen systematisch anzugehen. Cybersecurity muss von Anfang an in die Produktentwicklung integriert werden – je früher, desto besser.

Ein zentraler Punkt ist die Wahl kompetenter Partner für Security, denn die Komplexität der Anforderungen macht Insellösungen oder teure Fehlentwicklungen unwirtschaftlich. Wir bei Hilscher setzen beispielsweise auf die Zusammenarbeit mit TÜV Rheinland und haben bereits 70 % unserer Entwicklungsprozesse nach IEC 62443-4-1 konform aufgestellt – der Rest folgt in Kürze.

Zudem stehen für 2025 Zertifizierungen nach dem BSI-IT-Grundschutz und der ISO 27001 an. Dieses Wissen teilen wir aktiv mit unseren Kunden, um Unternehmen durch unsere Expertise und Technologien dabei zu unterstützen, ihre Produkte und Anlagen sicher und CRA-konform zu machen.

Unternehmen sollten sich zudem in Brancheninitiativen und Arbeitsgruppen engagieren, um Best Practices und Erfahrungen auszutauschen. Derzeit gibt es mehrere Initiativen, in denen sich Unternehmen vernetzen und gemeinsame Lösungen für die CRA-Herausforderungen entwickeln. Der ZVEI, der VDMA oder auch Arbeitsgruppen zur IEC 62443 bieten wertvolle Plattformen für den Austausch und praxisnahe Unterstützung bei der Umsetzung der neuen Anforderungen.

Frank Behnke
Head of Information Systems, Hilscher