Cybersecurity beginnt im Detail
Dr. Christopher Tebbe ist verantwortlich für das Security Technology Management bei Wago. (Quelle: Wago)
Jens Sparmann, ist Systemspezialist für Security Consulting bei Wago. (Quelle: Wago)
Jens Krake, Produktmanager in der Division Automationbei Wago, erklärt Chefredakteur Ronald Heinze im Rahmen der etz@tour den Compact Controller 100 mit in Kürze erfolgter IEC 62443-Zertifizierung. (Quelle: Wago)
Während das Consulting die Prozesse adressiert, zeigt sich die technische Seite der Security bei den Produkten selbst. Ein Beispiel ist der Compact Controller 100, der als erstes Wago-Gerät nach IEC 62443-4-2 zertifiziert wird. „Cybersecurity beginnt im Detail – manchmal steckt sie in Controllern wie diesem“, weiß Jens Krake, Produktmanager in der Division Automation. Die Norm fordere nicht nur Sicherheitsfunktionen, sondern auch dokumentierte Entwicklungsprozesse und Qualitätssicherung. „Ein nach IEC 62443 entwickeltes Produkt hat ein hohes Security-Niveau und zugleich eine hohe Softwarequalität. Das sorgt dafür, dass sich potenzielle Schwachstellen minimieren und die Betriebssicherheit steigt. Ein solches Produkt lässt sich lange sicher und störungsfrei betreiben.“
J. Krakes Argument ist pragmatisch: Wenn Sicherheit bereits im Design verankert ist, reduziert das die Belastung im Betrieb – weniger Notfall-Patches, klarere Update-Zyklen, geringere Stillstandszeiten. Damit erfüllt der Controller viele CRA-Forderungen „by design“ und ermöglicht Betreibern, ihre Anlagen künftig mit überschaubarem Aufwand CRA- und NIS-2-konform zu halten.
Dass die IEC 62443 damit nicht nur technische, sondern auch wirtschaftliche Relevanz gewinnt, betont Dr. C. Tebbe: „Die Norm hilft, Sicherheit durchgängig zu leben und auditierbar zu machen. Wer ihre Prinzipien anwendet, kann dem CRA gelassener entgegensehen.“ Gleichzeitig verweist er auf die Zusammenarbeit mit dem Cert@VDE, über das Sicherheitsmeldungen koordiniert und Schwachstellen transparent kommuniziert werden. Für Betreiber schafft das Nachvollziehbarkeit – ein Aspekt, der mit der neuen Regulierung noch an Bedeutung gewinnt.
Dialog zwischen IT- und OT-Welt gefördert
Tatsächlich steckt hinter der Norm mehr als nur Technik. Ihr Schichtenmodell mit „Defense in Depth“ und Zonen-Ansatz fördert den Dialog zwischen IT- und OT-Welt. Das gilt auch für organisatorische Themen wie Patch-Management, Zugriffskontrolle und Incident-Response. „Security funktioniert nur, wenn sie von allen getragen wird“, sagt J. Sparmann. „Das betrifft die Wartung genauso wie die Produktionsleitung. Unser Ziel ist, dass Security selbstverständlich wird – so wie Qualität oder Arbeitssicherheit.“
Der Besuch in Minden zeigte, dass dieser Kulturwandel längst begonnen hat. Wago sieht sich dabei weniger als Produktlieferant denn als Partner auf Augenhöhe. Das Unternehmen setzt auf Kooperation mit Forschung und Start-ups, auf praxisnahe Schulungen und den Aufbau von Know-how in den Betrieben. „Wir wollen nicht einfach verkaufen, sondern befähigen“, fasst J. Sparmann zusammen.
Die technische Grundlage liefert die IEC 62443, den regulatorischen Rahmen der Cyber Resilience Act, und die Brücke zwischen beidem bildet das Konzept einer gelebten Security. Wer künftig industrielle Netze plant, wird all das zusammendenken müssen – von der Produktentwicklung bis zur Instandhaltung. Wago zeigt, dass dies möglich ist, wenn Technologie, Beratung und Verantwortung ineinandergreifen.
Oder, wie es Dr. C. Tebbe zum Abschluss formuliert: „Der CRA zwingt uns alle, Cybersicherheit systematisch zu denken. Aber wer das heute schon tut, verschafft sich morgen nicht nur Rechtssicherheit, sondern echte Resilienz.“
Literatur
- etz@tour bei Wago: https://www.smart-production.de/etz/specials/etztour/firmen/besuch-bei-wago-in-minden
- Wago GmbH & Co. KG, Minden: www.wago.com