Der EU Cyber Resilience Act (CRA) stellt verbindliche Anforderungen an die Entwicklung und Pflege von Produkten mit digitalen Elementen. Darunter sind Produkte zu verstehen, die sich mit Geräten oder Netzwerken verbinden können, also Hardware mit Netzwerkfähigkeit und Software. Das wird die Auswahl und den Betrieb dieser Produkte erheblich beeinflussen.

Im Rahmen der Strategie der Europäischen Union zur Stärkung der Cyber-Sicherheit werden Regulierungen sowohl für Betreiber ebenso wie für Anbieter entsprechender Produkte erstellt. Hersteller müssen ihre Produkte für die Cybersecurity ertüchtigen und auch langfristige Zusagen zur Aufrechterhaltung geben. Betreiber haben die Cyber-Sicherheit umzusetzen. Dazu müssen sie ebenfalls die jeweiligen Eigenschaften und Fähigkeiten der Hersteller im Allgemeinen sowie der entsprechenden Angebote, also Produkte oder Dienste, prüfen.

Cyber Resilience Act verlangt Nachweise zur Produkt-Sicherheit

Der EU Cyber Resilience Act verpflichtet Hersteller, alle Produkte nach den Anforderungen der Cyber-Sicherheit zu entwickeln. Die jeweiligen europäischen Standards, an denen sich die Hersteller orientieren können, werden aktuell erarbeitet. Für den OT-Bereich basieren diese Standards auf der internationalen Norm IEC 62443. Die IEC 62443-4-1 enthält bereits jetzt die wesentlichen Elemente, die für einen sicheren Produktlebenszyklus notwendig sind.

Der Hersteller muss für jedes Produkt die Qualität der Cyber-Sicherheit nachweisen, um die Konformität des Produkts belegen und eine Konformitätserklärung ausstellen zu können. Diese Nachweise sind Teil der technischen Dokumentation, die intern beim Hersteller zu pflegen ist. Eine Offenlegung der Unterlagen ist nur gegenüber der Marktaufsicht erforderlich. Auch für den Anwender müssen essenzielle Dokumente erzeugt werden. Zum einen ist die Zweckbestimmung des Produkts anzugeben, die sowohl den bestimmungsgemäßen Gebrauch ebenso wie die vorgesehene Einsatzumgebung beschreiben muss. Zum anderen besteht die Pflicht, eine ausführliche Dokumentation zur sicheren Inbetriebnahme oder Integration, dem sicheren Betrieb und ebenfalls der Außerbetriebnahme bereitzustellen. Sicher wird die Qualität der Implementierung auch bei gesetzeskonformen Produkten unterschiedlich ausfallen. Es bleibt die Aufgabe der Hersteller, dies den Kunden gegenüber darzustellen. 

Ein wichtiges Element ist der gesetzlich vorgeschriebene Zeitraum, währenddessen das Produkt durch Sicherheitshinweise oder Updates unterstützt werden muss. Diese Zeitspanne wird sich zwischen den Herstellern unterscheiden und kann ein Auswahlkriterium werden. Eine Besonderheit im IT-Umfeld könnten Modelle sein, bei denen Software im Abonnement angeboten wird. Hier würde der Unterstützungszeitraum wohl mit dem Abonnement zusammenfallen.

Sicherheitsdokumentation wird zur Grundlage der Produktauswahl

Für die Betreiber ergeben sich durch den CRA erhebliche Vorteile. Er kann beim Einkauf eines Produkts grundsätzlich davon ausgehen, dass es nach den Gesichtspunkten der Cyber-Sicherheit gestaltet ist. Dennoch wird eine Lieferantenbewertung und ebenso eine spezifische Beurteilung des Produkts weiterhin notwendig sein, um den Sorgfaltspflichten eines Betreibers nachzukommen. Am Ende wird die Marktaufsicht nicht in der Lage sein, die Durchsetzung des CRA großflächig zu erreichen. An dieser Stelle lässt sich zum Beispiel eine externe Zertifizierung beispielsweise der Entwicklungsprozesse oder einzelner Produkte heranziehen. Inwieweit ein Hersteller Einblick in seine interne technische Dokumentation gewährt, ist offen. Es würde sich zudem die Frage des Aufwands stellen, der aus den einzelnen Bewertungen resultiert.

Herstellerbewertung bleibt trotz Cyber Resilience Act notwendig

In jedem Fall kann der Betreiber den bestimmungsgemäßen Gebrauch und die erwartete Nutzungsumgebung im Kontext der geplanten Anwendung betrachten, um die Eignung des Produkts beurteilen zu können. Die Anwenderdokumentation lässt sich ebenfalls zur Durchführung dieser Bewertung verwenden. Dies wird es den Anwendern deutlich erleichtern, Produkte nach Sicherheitsgesichtspunkten auszuwählen und zu betreiben. Schließlich erhält der Anwender durch die Angabe des Unterstützungszeitraums eine Entscheidungshilfe bei der Selektion und dem sicheren Betrieb des Produkts.

Support-Zeiträume beeinflussen Betrieb und Beschaffung

Der EU Cyber Resilience Act zielt auf alle Produkte mit digitalen Elementen ab und unterscheidet dabei nicht nach der Anwendung. Im praktischen Betrieb in einem Unternehmen - egal ob in der IT oder OT - werden speziell die Anforderungen zur Automatisierbarkeit von Updates nicht anwendbar sein. Im Unternehmensumfeld ist es wichtig, dass Informationen zu Sicherheitsproblemen und Sicherheits-Updates der Hersteller zeitnah zur Verfügung stehen. Die Entscheidung zur Nutzung von Updates muss aber weiterhin bei den Anwendern verbleiben, damit unerwünschte Nebenwirkungen von ungeplanten Neustarts bis zu Fehlfunktionen vermieden werden.

In der Zusammenarbeit zwischen IT und OT ist eine bessere Durchgängigkeit von Prozessen und Kommunikation zu erwarten. Bewährte Methoden wie das Asset Management werden einfacher, sofern eine vollständige Dokumentation vorliegt. Netzwerk- und Integrationsplanungen erleichtern sich, wenn zum Beispiel sämtliche Kommunikationswege einer Maschine offengelegt sind. Sicherheitsmechanismen, wie etwa eine Zugriffssteuerung oder die Protokollierung, helfen im Betrieb bei der Verhinderung sowie der Aufklärung von Sicherheitsvorfällen.

Cyber Resilience Act erleichtert die Umsetzung von Security-Anforderungen

Der EU Cyber Resilience Act wird eine deutliche Optimierung der Cyber-Sicherheit von Produkten bieten. Durch die bessere Sicherheitsqualität, aber auch die vorgegebene Sicherheitsdokumentation werden Betreiber besser in die Lage versetzt, ihre zum Teil auch durch eine Regulierung angeordneten Cyber-Sicherheitsanforderungen umzusetzen.

Zertifizierungen nach IEC 62443 regelmäßig prüfen

Phoenix Contact arbeitet bereits seit vielen Jahren nach dem etablierten Standard IEC 62443-4-1. Entsprechend entwickelte Produkte verfügen über eine detaillierte Sicherheitsdokumentation, die den Anwender bei der sicheren Verwendung der Produkte unterstützt. Die Einhaltung dieser Anforderungen wird in den regelmäßigen Überprüfungen im Rahmen der bestehenden TÜV-Zertifizierung der Prozesse bestätigt. Für einige Produkte besteht zusätzlich eine Zertifizierung der Cyber-Sicherheit nach dem Standard IEC 62443-4-2. Hier werden nicht nur die Sicherheitsfunktionen nachgewiesen. Die Beachtung des sicheren Entwicklungsprozesses für das Produkt gehört ebenfalls zur Zertifizierung. Damit ist automatisch auch die Verfügbarkeit und Qualität der Sicherheitsdokumentation in der Bestätigung durch die Zertifizierung enthalten.

Autor

Dr.-Ing. Lutz Jänicke
Corporate Product & Solution Security Officer bei Phoenix Contact