Roundtable-Diskussion (v. l.): Anahita Sadjjadi (Schneider Electric), Olaf Pein (Murrelektronik), Dr. Tobias Frank (Phoenix Contact), Markus Sandhöfner (Lenze), Inge Hübner (openautomation), Ronald Heinze (openautomation), Steffen Winkler (Bosch Rexroth), Rahman Jamal (Thought Leader), Volker Vogler (Mitsubishi Electric), Tom Roca (Wago), Dr. Thomas Bürger (Weidmüller) (Quelle: VDE VERLAG)
Im ersten Teil der Roundtable-Diskussion standen Co-Creation, offene Standards und Plattformen sowie die Umsetzungsgeschwindigkeit im Fokus. In Teil 2 wurde zunächst der Schwerpunkt auf Security gesetzt. Steffen Winkler, Vertriebsleiter der Business Unit Automation & Electrification Solutions bei Bosch Rexroth, brachte es direkt zu Beginn auf den Punkt: „IT-Security ist im Grunde kein neues Thema: Wir sprechen seit Jahren über IT/OT-Konvergenz, und genauso lange auch über Security in diesem Kontext. Am Ende wird das schlicht Stand der Technik sein.“ Die größere aktuelle Hürde liegt aus seiner Sicht auf Anwenderseite. So sei heute in vielen Fabriken die Mentalität verbreitet: Wir frieren den Softwarestand ein: Alles läuft stabil und somit ändern wir möglichst nichts. Das gelte vor allem auch wegen den Safety-Anforderungen und Validierungsaufwänden. „In einer Maschine steckt jedoch nicht nur eine Automatisierungskomponente, sondern typischerweise viele Komponenten unterschiedlicher Anbieter. Diese müssen in Summe dokumentiert sowie aktuell und patchbar gehalten werden. Das ist aus meiner Sicht das eigentliche Problem“, so S. Winkler. Die Lösung liege in Open Automation, über die passend Standards, Offenheit und Interoperabilität eingebracht werden.
„Dazu möchte ich zunächst eine generelle Anmerkung loswerden“, meldete sich Dr. Thomas Bürger, Executive Vice President Automation Products & Solutions bei Weidmüller, zu Wort. „Wir hören immer wieder die Frage, ob Security und Offenheit überhaupt vereinbar sind. Offene Systeme sind kein Wildwest: Es gelten Produkthaftung und klare Regeln, wie Coding Guidelines, Tests, Prozesse, Dokumentation usw. Security ist also nicht trotz Offenheit möglich, sondern wird systembedingt mitgedacht.“ Als positives Beispiel verwies er auf die IT, wo Cybersecurity seit Jahrzehnten etabliert und in vielen Bereichen deutlich weiter sei. Deshalb lautet sein Modell, Partnerschaften mit starken IT-Security-Playern einzugehen. „Vor allem dort, wo IT und OT beim Kunden zusammenwachsen, ist das ein wichtiges Erfolgskonzept, um Lücken zu schließen und echten Mehrwert zu liefern. Wir praktizieren das selbst mit zwei großen Partnern und sehen, dass genau diese Kombination beim Kunden Mehrwert bringt.“
Markus Sandhöfner, Group Vice President Global Accounts bei Lenze, erinnert die aktuelle Debatte um Cybersecurity an die Diskussion, die vor 10 bis 15 Jahren zur Funktionalen Sicherheit geführt wurde. „Es kommt nicht von ungefähr, dass viele Ansätze heute wieder über Risikoabschätzung funktionieren. Aus der Functional Safety haben wir zudem gelernt, dass europäische Prinzipien und Standards häufig sehr schnell international adaptiert werden. Daraus kann ein echter Wettbewerbsvorteil entstehen.“
Dr. Tobias Frank, Vice President Automation Systems bei Phoenix Contact, wundert sich über den positiven CRA-Tenor und meint: „So einfach wird das nicht werden: Da kommen Anforderungen auf uns zu, die viele so bisher nicht kannten: ein durchgängiger Product-Upkeep-Prozess, also Updates und Security-Fixes auch noch lange nach Abkündigung bzw. Letztlieferung einer Komponente – über einen ziemlich sportlichen Zeitraum.“ Hinzu komme, dass es akuell keine konfliktfreie Abstimmung mit anderen Regularien wie der Maschinenverordnung oder der DSGVO gäbe. Zudem würde noch immer eine finale harmonisierte Norm fehlen, die eindeutig die CRA-Umsetzung definiert. „Viele orientieren sich deshalb an IEC 62443 nach dem Motto: Wenn wir das erfüllen, sind wir nah am Ziel. Aber selbst das ist nicht automatisch deckungsgleich“, so Dr. T. Frank. Besonders schwer werde die CRA-Umsetzung aus seiner Sicht für kleine Unternehmen und spezialisierte Anbieter. „Meine persönliche Einschätzung ist, dass man an der Gesetzgebung noch nachschärfen muss: Dinge klarziehen, vielleicht auch die Timeline etwas strecken. Ich kann mir schwer vorstellen, dass wir das in Europa in der Automation über komplette Portfolios fristgerecht und flächendeckend schaffen.“
„Beim CRA bin ich voll dabei“, stimmte Dr. T. Bürger ein. Auch er ist überzeugt, dass dieses Regelwerk inhaltlich wie terminlich noch einmal kritisch geprüft und nachgeschärft werden muss. „Worüber wir uns aber alle einig sind, ist doch das Thema Cybersecurity. Intellektuell ist jedem klar, dass das notwendig ist. Und wir spüren weltweit, dass das Thema längst im Markt angekommen ist“, differenziert er. „Security ist nicht ‚SOP ready‘ und dann ‚never touch again‘. Security ist ein Lebenszyklusthema“, stellte er ferner heraus. Das bedeute, eine Maschine oder Anlage von der Wiege bis zur Bahre beherrschen zu müssen. Das umfasse die Fähigkeit, darauf zuzugreifen, sie zu warten, remote upzudaten und sicher über die Zeit zu betreiben. „Genau da schließt sich der Kreis zur Open Automation und zum IIoT: Viele dieser Anforderungen lassen sich überhaupt erst effizient umsetzen, wenn man sie auf digitale Plattformen und offene, interoperable Strukturen hebt“, brachte Dr. T. Bürger die Vorteile des Open-Automation-Gedankens im Zusammenhang mit der Cybersecurity-Umsetzung ins Spiel.
Dr. T. Frank knüpft noch einmal an die Ausführungen von M. Sandhöfner an: „In Teilen passt die Analogie zu Safety, aber nicht uneingeschränkt.“ In beiden Fällen gelte: Das geht in der Praxis kaum ohne Consulting. Als große Unterschiede nennt er allerdings: „Bei Safety baue ich eine Maschine, mache eine Sicherheitsbewertung und dann ist sie funktional sicher. Security kann dagegen über Nacht komplett verschwinden: Ein neuer Exploit reicht, und plötzlich ist ein System, das gestern noch als ‚secure‘ galt, angreifbar. Das kann auch sehr niedrigschwellig passieren.“ Er hob hervor, dass Security ein kontinuierlicher Prozess sei. „Deshalb müssen wir nicht nur sensibilisieren und Awareness schaffen, sondern vor allem auch Kompetenz beim Kunden aufbauen.“
„Wir sprechen hier gerade stark aus unserer Perspektive – funktional, organisatorisch, technologisch. Draußen gibt es aber noch eine andere Welt“, sagte Volker Vogler, Head of Business Development & Marketing bei Mitsubishi Electric. „Unsere Erfahrung ist, dass viele Kunden – sowohl OEM als auch Endkunden – das Thema bisher eher halbherzig behandeln, um es mal salopp zu sagen. Wir sitzen hier und sagen: 2027 ist nicht mehr weit weg, wir müssen jetzt Tempo machen und Awareness erzeugen. Das ist für mich kein Widerspruch, weil wir als Hersteller ja ohnehin gefordert sind. Nur spüre ich diesen Druck aus dem Kundenumfeld aktuell noch nicht so stark, wie wir ihn hier in der Runde diskutieren.“
Dr. T. Franks Eindruck ist, dass das Thema bei den Kunden generell angekommen ist, aber in der Umsetzung stark mit der Unternehmensgröße variiere. Und Dr. T. Bürger nannte als Erfahrung: „Wir erleben die komplette Bandbreite – von Vogel-Strauß-Taktik bis hin zu Kunden, die Lieferanten massiv drängen und Dinge einfordern, die es in dieser Form heute noch gar nicht geben kann.“ Beide sehen deshalb das Thema Consulting als wichtiges Element, um Kunden bei dem Thema zu unterstützen.