NIS-2 und CRA: Auswirkungen auf die Automatisierung

Die NIS-2-Richtlinie (Network and Information Security Directive 2) stärkt die Cybersicherheit kritischer und wesentlicher Dienste in der EU. Sie baut auf der ursprünglichen NIS-Richtlinie von 2016 auf und erweitert deren Geltungsbereich auf eine größere Anzahl von Unternehmen. Zu diesen zählen beispielsweise Betreiber kritischer Infrastrukturen (Energie, Transport, Gesundheitswesen), Hersteller und Betreiber von Industrieautomatisierungssystemen sowie Anbieter digitaler Dienste (Cloud, Rechenzentren, IoT-Plattformen).

Die Hauptverpflichtungen der NIS-2-Richtlinie für Unternehmen der industriellen Automatisierung umfassen:

• Erweiterte Sicherheitsmaßnahmen: Unternehmen müssen ein effektives Risikomanagement etablieren, das sich auf Netzwerksicherheit, Zugangskontrolle und Vorfallreaktionen konzentriert.
• Meldepflichten: Sicherheitsvorfälle müssen innerhalb von 24 h an die zuständigen Behörden gemeldet werden.
• Lieferkettensicherheit: Die Sicherheit von Zulieferern und Partnern wird stärker reguliert, um Schwachstellen in der gesamten Lieferkette zu minimieren.

Die Umsetzung der NIS-2-Richtlinie erfordert von Unternehmen der industriellen Automatisierung eine enge Zusammenarbeit zwischen IT- und OT-Sicherheitsabteilungen sowie die Integration von Sicherheitskonzepten in bestehende Betriebsabläufe.

CRA: Stärkung der Produktsicherheit

Neben NIS-2 setzt der Cyber Resilience Act neue Standards für die Cybersicherheit von Produkten mit digitalen Elementen. Besonders betroffen sind Hersteller von industriellen Steuerungssystemen und IIoT-Geräten. Der CRA schreibt vor:

• Security by Design: Bereits in der Entwicklungsphase müssen Sicherheitsmerkmale berücksichtigt werden.
• Schwachstellenmanagement: Unternehmen sind verpflichtet, bekannte Sicherheitslücken zu identifizieren und zu beheben.
• Langfristige Update-Pflichten: Sicherheits-Updates müssen über einen definierten Zeitraum bereitgestellt werden.

Durch diese Anforderungen soll die Sicherheit industrieller Automatisierungssysteme erhöht und das Risiko von Cyberangriffen minimiert werden.

IEC 62443 – ein bewährter Sicherheitsstandard für die Automatisierung

Neben NIS-2 und CRA spielt auch die internationale Normenreihe IEC 62443 eine zentrale Rolle bei der Cybersicherheit in der industriellen Automatisierung. Diese Norm bietet einen strukturierten Ansatz zur Sicherung von Automatisierungssystemen und umfasst:

• Risikobasierte Sicherheitskonzepte: Unternehmen können Sicherheitsmaßnahmen entsprechend ihrer individuellen Bedrohungslage anpassen.
• Segmentierung von Netzwerken: Durch die Trennung kritischer und nicht-kritischer Systeme wird die Angriffsfläche reduziert.
• Identitäts- und Zugriffsmanagement: Die Authentifizierung und Autorisierung von Nutzern und Maschinen wird verbessert.
• Sichere Kommunikation: Daten werden über verschlüsselte Kanäle übertragen, um Manipulation und Abhören zu verhindern.

Die IEC 62443 kann Unternehmen dabei unterstützen, die Anforderungen von NIS-2 und CRA effizient umzusetzen und eine robuste Cybersicherheitsstrategie zu etablieren.

Herausforderungen und Chancen für die Industrie

Die Einhaltung von NIS-2, CRA und IEC 62443 stellt Unternehmen vor verschiedene Herausforderungen:

• Legacy-Systeme: Ältere Steuerungen und Automatisierungslösungen entsprechen häufig nicht den neuen Sicherheitsanforderungen und müssen modernisiert werden.
• Erhöhter Verwaltungsaufwand: Die Einführung neuer Prozesse zur Cybersicherheitsüberwachung kann komplex sein.
• Schulungsbedarf: Mitarbeiter müssen im sicheren Umgang mit neuen Vorschriften geschult werden.

Gleichzeitig bieten die neuen Regularien Vorteile:

• Erhöhte Sicherheit und Resilienz: Unternehmen können sich besser vor Cyberangriffen schützen.
• Vertrauen und Wettbewerbsvorteil: Firmen, die frühzeitig in Cybersicherheit investieren, können sich als zuverlässige Partner positionieren.
• Standardisierte Sicherheitsprozesse: Eine einheitliche Sicherheitsstrategie erleichtert die Zusammenarbeit innerhalb globaler Lieferketten.