Cybersicherheit Nicht auf die lange Bank schieben

Anbieter zum Thema

Flow Europe GmbH

AGTOS Gesellschaft für technische Oberflächensysteme mbH GmbH

LRQA Deutschland GmbH

Die Maschinenverordnung und der Cyber Resilience Act gelten ab 2027 und sollen die Cybersicherheit in der EU stärken. Die neuen Regelungen stellen Unternehmen vor große Herausforderungen – auf die sie sich schon heute einstellen sollten.

Die Zahlen sind alarmierend: Laut dem Branchenverband Bitkom entsteht der deutschen Wirtschaft durch Cyberattacken wie Ransomware, Phishing und andere digitale Angriffe jährlich ein Schaden von gut 179 Milliarden Euro, der Gesamtschaden durch Cyberkriminalität betrug im Jahr 2024 266,6 Mrd Euro. Zwei Drittel der deutschen Unternehmen (65 Prozent) sehen ihre Existenz durch einen erfolgreichen Cyberangriff bedroht, so die Bitkom.

Für ganz Europa gibt es keine einheitliche offizielle Gesamtsumme für den Schaden durch Cyberkriminalität im Jahr 2024. Die verfügbaren Zahlen aus Deutschland – als größte Volkswirtschaft Europas – verdeutlichen jedoch die Größenordnung. Da ähnliche Bedrohungen und Angriffsmuster auch in anderen europäischen Ländern auftreten, ist davon auszugehen, dass der gesamteuropäische Schaden durch Cyberkriminalität im Jahr 2024 deutlich über diesem Wert liegt.

Verstärkter Schutz vor Cyberkriminalität

Vor diesem Hintergrund hat die Europäische Union beschlossen, die neue Maschinenverordnung (EU) 2023/1230 um konkrete Anforderungen zur Cybersicherheit für Maschinen und deren digitale Komponenten zu ergänzen. Damit trägt die EU der Entwicklung Rechnung, dass moderne Maschinen zunehmend vernetzt sind und softwaregesteuerte Sicherheitsfunktionen nutzen. Der Schwerpunkt der MVO liegt allerdings weiterhin auf der physischen und funktionalen Sicherheit von Maschinen und deren Komponenten. Sie ersetzt die bisherige Maschinenrichtlinie 2006/42/EG und tritt am 20. Januar 2027 vollständig in Kraft.

Um die Cybersicherheit von Produkten mit digitalen Elementen zu regeln, hat die Europäische Union den Cyber Resilience Act (CRA) verabschiedet, der bereits am 10. Dezember 2024 in Kraft getreten ist. Der CRA definiert Zugangsvoraussetzungen für den EU-Binnenmarkt und erweitert den Geltungsbereich des CE-Kennzeichens. Er gilt ab Dezember 2027, doch besteht bereits ab September 2026 eine Meldepflicht für Schwachstellen hinsichtlich der Cybersicherheit eines Produkts.

Der CRA definiert von der Produktkategorie unabhängige Cybersicherheitsanforderungen für den Schutz von digitalen Produkten über deren gesamten Lebenszyklus hinweg. Hersteller müssen über den Zeitpunkt des Kaufs hinaus die Verantwortung für die IT-Sicherheit ihrer Produkte übernehmen. Dies gilt für so gut wie alle vernetzten oder vernetzbaren Produkte: vom Saugroboter über Software bis hin zu Produkten, die in kritischen Sektoren zum Einsatz kommen. Dies ist nicht nur bei Inverkehrbringen des Produktes, sondern über die übliche Nutzungsdauer eines Produktes verpflichtend.

Künftig sind zwei Regelwerke maßgeblich

Damit ergänzen sich die MVO und der CRA: Während die MVO für die mechanische und funktionale Sicherheit von Maschinen sorgt, stellt der CRA sicher, dass digitale Komponenten und Software sicher gegen Cyberangriffe sind. Beide setzen auf strenge Herstellerpflichten, Konformitätsprüfungen und Marktüberwachung. Dies hat auch erhebliche Auswirkungen auf die Arbeit von Konstrukteuren und Entwicklern: Sie müssen künftig nicht nur mechanische Sicherheit gewährleisten, sondern auch Cybersicherheit in ihren Konstruktions- und Entwicklungsprozessen berücksichtigen – ansonsten drohen empfindliche Geldstrafen.

Dies wirkt sich maßgeblich auf die künftige Produktentwicklung aus: So wird etwa für Produkte Security by Design (Sicherheit von Anfang an) sowie Security by Default (Maschinen müssen standardmäßig mit sicheren Einstellungen ausgeliefert werden) gefordert. Konstrukteure müssen also bereits in der Entwurfsphase Sicherheitsmaßnahmen gegen Cyberangriffe, unbefugten Zugriff und Manipulation einplanen. Maschinen mit digitaler Steuerung benötigen geschützte Schnittstellen für eine sichere Kommunikation. Zudem benötigen sie bei Software-Updates oder Fernzugriff sichere Update-Mechanismen, Software-Änderungen dürfen keine Sicherheitslücken verursachen. Die Risikobewertung muss nun Cyberbedrohungen berücksichtigen, z. B. mögliche Hackerangriffe auf Maschinensteuerungen.

Dies sind nur einige Beispiele, wie die MVO und der CRA die Produktentwicklung maßgeblich beeinflussen und verändern werden. Unternehmen und ihre Konstrukteure und Entwickler sind demnach gut beraten, sich bereits heute auf die künftigen Anforderungen einzustellen.

(ID:50481707)