Security Neue EU-Maschinenverordnung: Das müssen Hersteller und Anwender ab sofort beachten

Anbieter zum Thema

Klinkhammer Intralogistics GmbH

isel Germany GmbH

trivid GmbH

Die neue EU-Maschinenverordnung ist da. Unternehmen müssen sie in spätestens 42 Monaten verbindlich umsetzen. Hierzu müssen sie eine Reihe von Vorgaben berücksichtigen und Maßnahmen ergreifen, die Cyberangriffe wirksam verhindern. Welche sind das?

Sie war längst überfällig – die Überarbeitung der alten Maschinenrichtlinie 2006/42/EG, die vor allem die Anforderungen an die Betriebssicherheit von Maschinen zum Schutz vor physischem Schaden geregelt hat. Doch spätestens seit im Zuge der Industrie 4.0 Maschinen immer enger miteinander vernetzt und KI-Elemente keine Besonderheit mehr sind, müssen sich Unternehmen mit dem Thema Cyberkriminalität auseinandersetzen.

Ransomware-Angriffe, der Raub sensibler Daten und als Konsequenz Erpressung sowie ein hoher finanzieller Schaden waren und sind keine Seltenheit. Trotzdem wurde die Informationssicherheit, insbesondere der Schutz von Daten, im Maschinenbau lange vernachlässigt. Höchste Zeit also, dass sich das ändert. Die neue EU-Maschinenverordnung, die, im Unterschied zur Richtlinie, einheitlich für alle EU-Länder gilt und nicht in nationales Gesetz überführt werden muss, nimmt nun erstmals die Cybersecurity mit in ihr Regelwerk auf.

Hersteller im Fokus

Die neue Verordnung richtet sich vor allem an Hersteller von Maschinen. Sie müssen ab sofort Maßnahmen ergreifen, damit ihre Maschinen nicht erfolgreich angegriffen werden können. Aber auch andere Wirtschaftsakteure, wie Händler, Einführer und Bevollmächtigte tragen Verantwortung. Nicht zuletzt verpflichtet sich nach der Inbetriebnahme auch der Anwender zu einer gewissenhaften Nutzung.

Neu: Schutz gegen Verfälschung und mehr Sicherheit bei Steuerungen

Die Neuerungen im Bereich Cybersecurity sind vornehmlich in Anhang lll der Verordnung zu finden. Folgende Punkte sind dabei besonders relevant:

• Schutz gegen Verfälschung (Artikel 1.1.9)
  Die Maschine muss so gebaut sein, dass sie im Nachhinein nicht verfälscht werden kann. Hersteller, so schreibt die Verordnung vor, müssen daher dokumentieren, welche Software und Daten für den sicheren Betrieb relevant sind und welche Maßnahmen zu deren Absicherung getroffen wurden. Die Maschine muss zudem Änderungen an der Software und den Daten protokollieren. Das gilt unabhängig davon, ob diese berechtigt oder unberechtigt vorgenommen wurden.

• Sicherheit und Zuverlässigkeit von Steuerungen (Artikel 1.2.1)
  Der Hersteller muss die Software und ihre Steuerung zudem resilient implementieren, so dass die Sicherheitsfunktionen der Maschine immer in den vorher festgelegten Parametern arbeiten. Das betrifft nicht nur Angriffe, sondern auch absichtliche oder unabsichtliche Änderungen durch Anwender oder Administratoren – und gilt auch bei selbstlernenden Systemen durch künstliche Intelligenz. Ein Rückverfolgungsprotokoll muss fünf Jahre lang gespeichert werden und zugänglich sein.

OPC UA

Wissen Sie eigentlich, was die IT in Ihrer Produktion so treibt?

Beachtenswert: After-Sales-Pflichten und KI

Erstmals finden darüber hinaus auch After-Sales-Pflichten für die Hersteller explizite Erwähnung. Wenn eine Maschine, egal aus welchem Grund, nicht mehr konform ist, muss der Hersteller die Ursache beseitigen, eventuell Rückrufaktionen durchführen oder Behörden benachrichtigen.

Handelt es sich bei der Maschine um eine Hochrisikomaschine beziehungsweise um eine „gefährliche“ Maschine, so musste eine notifizierte Stelle schon immer eine Baumusterprüfung als Teil der Konformitätsbewertung durchführen. Alternativ musste eine notifizierte Stelle die unternehmenseigene Qualitätssicherung überwachen.
Neu ist in diesem Zusammenhang jedoch, dass ab sofort mit hoher Wahrscheinlichkeit Maschinenprodukte mit sicherheitsrelevanten KI-Systemen automatisch als hochriskant eingestuft werden, was das Konformitätsverfahren deutlich aufwendiger gestaltet.

Anforderungen – Auswirkungen – Eckdaten

NIS2-Richtlinie – Was bedeutet die neue Vorschrift für Ihre Cybersecurity?

Die Herausforderung: den „Anforderungen genügen“

Konkrete Maßnahmen, wie die Anforderungen umzusetzen sind, enthält die Verordnung nicht. Die Maschine muss aber „den Anforderungen genügen“.

Empfehlenswert ist es daher, sich an der internationalen Normenreihe IEC 62443 zu orientieren. Diese beschäftigt sich mit der IT-Sicherheit von Industrial Automation and Control Systems. Besonders die Dokumente IEC 62443 4-1 (Secure product development lifecycle requirements) und 62443 4-2 (Technical security requirements for IACS components) beschreiben, welche Anforderungen an einen sicheren Software-Entwicklungsprozess existieren und welche technischen Maßnahmen in der sicheren Software umgesetzt werden sollen.

Dabei sollten Hersteller in einem ersten Schritt eine Bedrohungsmodellierung durchführen. Bei dieser ermittelt man, welche Akteure die Maschine auf welchem Weg attackieren können. Das kann zum Beispiel über Eingaben am Bedienterminal, über das Einstecken eines USB-Sticks oder über das Netzwerk geschehen. Auf dieser Basis werden die Risiken für die Maschine bewertet und die möglichen Schritte zur Absicherung geplant. Auf diese Weise stellen Unternehmen sicher, dass die Maßnahmen zielgerichtet und angemessen sind.

Diese konkreten Maßnahmen sollten Sie realisieren:

• Einführung eines Identity- und Accessmanagements, das gewährleistet, dass sich nur berechtigte Benutzer an der Maschine anmelden können. Außerdem gibt es vor, welche Aktionen ein Benutzer ausführen darf. Die Regelungen sollten sowohl für den Anwender gelten als auch für Verbindungen zwischen Maschinen beziehungsweise anderen Systemen, wie Leitrechnern, und Maschinen. Wichtig dabei: ein Least-Privilege-Prinzip. Es stellt sicher, dass ein Benutzer nur die Aktionen ausführen kann, die er benötigt und keine weiteren Zugriffe auf das System hat.

• Eine starke Verschlüsselung aller Netzwerkverbindungen zur Maschine. Dafür sollten Hersteller auf aktuelle Algorithmen und Parameter zurückgreifen.

• Ein Vulnerability Management für die auf den Maschinen installierte Software, das den Code, die Konfiguration und eingebundene Bibliotheken auf Schwachstellen prüft. Diese müssen nach entsprechender Bewertung und bei Bedarf zeitnah behoben werden.

• Protokollierung aller Anmelde- und Abmeldevorgänge durch die Software auf der Maschine. Protokolliert werden müssen zudem Änderungen der Software und der Konfiguration – etwa durch Updates oder aber auch durch Cyberangriffe. Der Hersteller muss die Dokumentation verfügbar machen. Entweder indem sie direkt auf der Maschine gespeichert, oder direkt an einen zentralen Server übermittelt wird.

Cybersecurity

Wenn virtuelle Risiken real werden

Umsetzung in Angriff nehmen

Die Vorgaben zur Cybersecurity in der neuen EU-Maschinenverordnung sind als sinnvoll einzuordnen. Cyberkriminalität wird alle Branchen immer stärker beschäftigen, sodass vor allem Hersteller – aber auch Anwender – hier gut vorsorgen und sich absichern müssen.

Eine umfassende Dokumentation, eine starke Verschlüsselung, ein kontinuierliches Vulnerability Management und nicht zuletzt ein auch für den Anwender essenzielles Identity- und Accessmanagement können wertvolle Daten im Bereich der Maschinenproduktion und -nutzung schützen und so einen sicheren Einsatz gewährleisten. Obwohl die Verordnung erst Anfang 2027 verbindlich anzuwenden sein wird, sollten sich alle Betroffenen möglichst schnell mit der Umsetzung auseinandersetzen. Denn die Etablierung der erforderlichen Maßnahmen, die spätestens dann für die Konformitätsbewertung vorliegen müssen, nehmen viel Zeit in Anspruch.

* Stefan Fleckenstein gründete den Bereich Cybersecurity bei Maiborn Wolff.

(ID:49618049)