IT-Sicherheit für industrielle Automatisierungssysteme
Während der CRA und die MVO rechtlich verbindliche Anforderungen setzen, liefert die Normenreihe DIN EN IEC 62443-x-y (VDE 0802-x-y) [4] ein praxisnahes, international anerkanntes Rahmenwerk für die Umsetzung industrieller Cybersecurity. Sie richtet sich an alle Beteiligten entlang des Lebenszyklus einer Anlage – von Komponentenherstellern über Systemintegratoren bis hin zu Betreibern – und schafft eine gemeinsame Sprache für Sicherheitsanforderungen.
Die Normenreihe ist modular aufgebaut und deckt sowohl organisatorische als auch technische Aspekte ab. Ein zentrales Konzept sind die sogenannten Security Levels. Sie definieren abgestufte Schutzklassen, die von einem grundlegenden Schutz gegen unbeabsichtigte Fehlhandlungen bis hin zu Maßnahmen gegen hochprofessionelle und gezielte Angriffe reichen. Damit können Unternehmen ihre Sicherheitsarchitektur nicht nach dem Gießkannenprinzip, sondern gezielt anhand der individuellen Bedrohungsszenarien und Risikoprofile gestalten.
Für den Maschinen- und Anlagenbau bedeutet die Normenreihe zweierlei: Einerseits bietet sie eine klare Orientierung und praxistaugliche Vorgaben, die sich auf bestehende Architekturen übertragen lassen. Andererseits schlägt sie die Brücke zur Regulierung, da sie es Herstellern und Betreibern ermöglicht, die Vorgaben von CRA und MVO methodisch umzusetzen. Wer sich frühzeitig mit der Normenreihe auseinandersetzt, schafft nicht nur eine belastbare Grundlage für die Erfüllung künftiger rechtlicher Vorgaben, sondern auch eine nachvollziehbare Dokumentation gegenüber Kunden und Aufsichtsbehörden und damit einen wichtigen Wettbewerbsvorteil in einer zunehmend regulierten Industrie.
Technische Maßnahmen
Netzwerksegmentierung und Zero-Trust-Ansätze trennen Automatisierungsbereiche klar von unternehmensweiten ITNetzen. Steuerungen und Embedded-PC sollten gehärtet werden, daher müssen sichere, dokumentierte Konfigurationen Standard sein. Patch-Strategien sind unerlässlich: Updates sollten separiert von Funktionsupdates automatisiert einspielbar und nachvollziehbar sein. Monitoring und IDS/Anomalie-Erkennung im OT-Bereich erlauben frühe Warnung. Dies ist insbesondere relevant bei Ransomware-Attacken. Für Remote-Wartung braucht es sichere Authentifizierung, Verbindungsnachweis und Logging – gern anhand von Security-by-Design-Prinzipien.
Gerade diese Schlagworte und technischen Maßnahmen können für Maschinenbauer auf den ersten Blick abstrakt wirken. In den Webinaren von Wieland Electric werden die Begrifflichkeiten deshalb zunächst eingeordnet und verständlich erklärt [5]. Anschließend wird praxisnah aufgezeigt, welche Anforderungen Hersteller selbst umsetzen müssen und welche nur im Zusammenspiel mit Betreibern erfüllt werden können. Damit erhalten Teilnehmende nicht nur eine technische Einführung, sondern auch konkrete Handlungsanleitungen für die Umsetzung im eigenen Umfeld.
Cybersecurity als Teil der Unternehmens-DNA
Cybersecurity beginnt nicht erst im Feld, sondern bereits in der Konstruktion. Wer Maschinen und Anlagen entwickelt, sollte Sicherheitsrisiken von Anfang an in den Entwicklungsprozess integrieren. Eine fundierte Risikoanalyse bildet dabei das A und O, denn sie macht Schwachstellen sichtbar und legt die Basis für wirksame Schutzmaßnahmen. Ebenso wichtig ist die klare Verteilung von Verantwortlichkeiten: Jedes Unternehmen muss benennen, wer für Cybersicherheit zuständig ist und wie Schnittstellen zwischen Entwicklung, Betrieb und Service organisiert werden. Technik allein reicht jedoch nicht aus. Nur wenn Entwickler, Techniker und Servicemitarbeiter geschult und für das Thema sensibilisiert sind, lässt sich ein nachhaltiges Sicherheitsniveau erreichen. Maschinen sind immer nur so sicher, wie es die Menschen gestalten, die sie entwickeln und betreiben. Schließlich braucht es vorbereitete Notfallpläne und Incident-Response-Prozesse, die sicherstellen, dass im Falle eines Sicherheitsvorfalls schnell und strukturiert gehandelt werden kann. Das ist eine Anforderung, die durch die Meldepflichten des CRA ab 2026 zusätzliche Relevanz erhält.
Praxisnah und konkret
Wieland Electric startet ab Anfang Oktober 2025 eine praxisorientierte Webinarreihe zu industrieller Cybersecurity, in der konkrete Praxisfälle und Handlungsempfehlungen im Mittelpunkt stehen. Die Webinare erklären, wie technische und organisatorische Maßnahmen im Maschinenumfeld umgesetzt werden, und zeigen Lösungen für die unternehmerische Praxis. Ergänzend dazu lädt das Expertenforum von Wieland Electric „Funktionale Sicherheit & Cybersecurity“ am 2. Dezember 2025 [6] online zu einem intensiven Austausch ein. Hier haben Teilnehmende die Möglichkeit, mit Fachleuten aktuelle Entwicklungen zu diskutieren und vertiefende Einblicke in innovative Sicherheitsstrategien zu gewinnen.
Literatur
- Wieland Electric GmbH, Bamberg: www.wieland-electric.com
- Europäische Union: Verordnung (EU) 2023/1230 des Europäischen Parlaments und des Rates vom 14. Juni 2023 über Maschinen und zur Aufhebung der Richtlinie 2006/42/EG des Europäischen Parlaments und des Rates und der Richtlinie 73/361/EWG des Rates. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023R1230
- Europäische Union: Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung). https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- DIN EN IEC 62443-x-y (VDE 0802-x-y): IT-Sicherheit für industrielle Automatisierungssysteme. Berlin · Offenbach: VDE VERLAG
- Wieland Electric GmbH: Industrielle Cybersecurity im Maschinenbau (MVO, CRA & IEC 62443). www.wieland-electric.com/de/support/training/webinarreihe-industrielle-cybersecurity/
- Wieland Electric GmbH: Funktionale Sicherheit & Cybersecurity. https://www.wieland-electric.com/de/support/training/expertenforum-funktionale-sicherheit/