Das vom Fraunhofer-Institut für Angewandte und Integrierte Sicherheit Aisec und Sick entwickelte Risikoanalyse-Tool „QuBA-libre“ ermöglicht es, den Cybersecurity-Status von Produkten wie Sensoren, Edge-Geräten und einfachen Systemen bereits während des Entwicklungsprozesses zu bewerten. Das fragebogenbasierte Verfahren analysiert Risiken strukturiert, präzise und in kurzer Zeit. Zusätzlich generiert das Open-Source-Tool passende Vorschläge für Schutzmaßnahmen und erstellt nach Abschluss der Analyse automatisch eine Maßnahmenliste, die Anforderungen des Cyber Resilience Act (CRA) abbildet. Sick nutzt das System, um Cyber-Sicherheit systematisch und effizient in die eigene Produktentwicklung zu integrieren.
Cybersecurity-Anforderungen des CRA verstehen und erfüllen
Der 2024 verabschiedete und ab 2027 verbindliche EU-Cyber Resilience Act verfolgt das Ziel, Produkte mit digitalen Elementen sicherer zu machen. Die Verordnung verlangt, dass Hersteller über den gesamten Lebenszyklus hinweg sicherstellen, dass ihre Produkte keine bekannten Schwachstellen enthalten, die als Einfallstor für Angriffe dienen könnten. Dazu gehören verpflichtende Risikobewertungen für sämtliche digitalen Produkte. Diesen Prozess unterstützt „QuBA-libre“ bereits in frühen Entwicklungsphasen.
Risikoanalyse-Tool erleichtert CRA-konforme Cybersecurity in der Konzeptphase
Mit dem strukturierten Assessment lassen sich Cybersecurity-Risiken schon in der Konzeptions- und Entwurfsphase erkennen und vermeiden. Das Tool hilft, Angriffsflächen frühzeitig auszuschließen und geeignete Schutzmaßnahmen zu planen. Potenzielle Sicherheitslücken werden systematisch identifiziert und in die Produktarchitektur integriert. Dies ist ein zentraler Schritt, um CRA-Anforderungen von Anfang an zu erfüllen und die Cybersecurity neuer Produkte auf ein verlässliches Fundament zu stellen.
Automatisierte Risikobewertung
Das Open-Source-Tool verarbeitet Antworten zu Schadensausmaß und Angriffspotenzial, führt eine automatisierte Risikobewertung durch und verknüpft geeignete Schutzmaßnahmen mit den Vorgaben der IEC 62443-4-2. Dadurch entsteht ein vollständiges Bild über den Cybersecurity-Status eines Produktes oder Systems. Verbleibende Risiken werden klar benannt und können gezielt von Fachleuten für IT-Sicherheit bewertet werden. Abschließend generiert das Tool eine konsolidierte Maßnahmenliste, die die Ergebnisse übersichtlich zusammenfasst und klar den CRA-Anforderungen zuordnet.
Cybersecurity als Qualitätsmerkmal in der Produktentwicklung
Durch den Einsatz von „QuBA-libre“ wird CRA-konforme Cybersecurity zu einem festen Bestandteil des Produktdesigns. Wie Sick zeigt, lassen sich Schutzmechanismen effizient integrieren. Es werden Risiken gesenkt und regulatorische Anforderungen frühzeitig erfüllt. Das Tool bietet damit eine praxisnahe Grundlage, um Cybersecurity als dauerhaftes Qualitätsmerkmal digitaler Produkte zu etablieren.
