Die Cybersicherheit war für Industrieunternehmen noch nie so strategisch wichtig wie heute. Angesichts der zunehmenden Zahl von Cyberangriffen und der explosionsartigen Verbreitung vernetzter Geräte stellt sich nicht mehr die Frage, ob ein Angriff stattfinden wird, sondern wann.
In diesem Kontext tritt der Cybersecurity Resilience Act (EU 2019/881) in Kraft, der am 7. Juni 2019 verabschiedet wurde. Diese europäische Verordnung zielt darauf ab, das Vertrauen in digitale Produkte und Dienstleistungen zu stärken, indem ein gemeinsamer Rahmen für Cybersicherheitszertifizierungen geschaffen wird. Konkret verleiht sie der ENISA (der Europäischen Agentur für Cybersicherheit) eine zentrale Rolle und etabliert Zertifizierungsschemata, die den Anwendern garantieren, dass die eingesetzten Lösungen anerkannten Sicherheitsniveaus entsprechen.
Bei Factory Software sind wir überzeugt, dass dieser Ansatz entscheidend ist. Unsere Kunden verlassen sich darauf, dass wir ihnen führende industrielle Lösungen bereitstellen – entwickelt, um cyber-resilient zu sein, die Kontinuität ihrer Betriebsabläufe sicherzustellen und nachhaltiges Wachstum zu unterstützen. Mit den AVEVA-Softwarelösungen, die wir vertreiben, beziehen wir eine klare Position: Die Einhaltung internationaler Regulierungen ist die natürliche Folge unseres tief verankerten Engagements für Cybersicherheit. Jede Nation hat das Recht – und die Pflicht –, ihre kritischen Infrastrukturen und ihre Bürger vor Cyberangriffen zu schützen. Daher begrüßen wir diese Regulierungen mit voller Transparenz und richten uns konsequent an ihren Anforderungen aus.
Was ist der Cybersecurity Resilience Act?
Der Cybersecurity Resilience Act (EU 2019/881) wurde im Juni 2019 verabschiedet und ist eine europäische Verordnung, die darauf abzielt, das digitale Vertrauen in Europa zu stärken. Er verleiht der ENISA (der Europäischen Agentur für Cybersicherheit) eine dauerhafte und deutlich ausgeweitete Rolle und etabliert europäische Cybersicherheitszertifizierungen für IKT-Produkte, -Dienstleistungen und -Prozesse. Das Ziel ist klar: sicherzustellen, dass digitale Lösungen, die in Europa eingesetzt werden, anerkannten und harmonisierten Sicherheitsstandards entsprechen.
Für den Industriemarkt ist diese Verordnung besonders strategisch. Produktionsstätten und kritische Infrastrukturen stützen sich heute auf Software, Netzwerke und vernetzte Geräte – und sind damit potenziellen Cyberangriffen ausgesetzt. Durch die Schaffung eines gemeinsamen Rahmens ermöglicht der Cybersecurity Resilience Act eine deutliche Erhöhung des Sicherheitsniveaus entlang der gesamten Wertschöpfungskette: von Herstellern über Integratoren bis hin zu Endanwendern.
Und dieser Ansatz entspricht unserer Vision. Unsere Industriesoftware – sei es für die Überwachung, für MES oder für das Datenmanagement – wird entwickelt, um die strengsten Anforderungen im Bereich Cybersicherheit zu erfüllen. Das bedeutet, dass unsere Kunden ihre digitalen Lösungen mit Vertrauen einsetzen können und zugleich im Einklang mit den europäischen Vorschriften stehen.
Cyber Resilience Act: ein neuer, unverzichtbarer europäischer Rechtsrahmen
Die Cybersicherheit ist heute eine der größten Herausforderungen der Europäischen Union, angesichts der wachsenden Anzahl vernetzter Geräte und der zunehmenden Auswirkungen von Cyberangriffen auf den Binnenmarkt und die kritischen Infrastrukturen. Um dem zu begegnen, hat die EU einen ambitionierten Ansatz gewählt: die Schaffung eines einheitlichen Rechtsrahmens, der grundlegende Cybersicherheitsanforderungen für Produkte festlegt, die digitale Elemente enthalten.
Dieser Anwendungsbereich umfasst sowohl Hardwaregeräte als auch Software, die direkt oder indirekt mit einem anderen Gerät oder einem Netzwerk verbunden sind. Der Cyber Resilience Act (CRA) legt daher klare Verpflichtungen für Hersteller und Vertreiber fest und deckt den gesamten Lebenszyklus digitaler Produkte ab. Obwohl er auf europäischer Ebene gilt, wird diese Regulierung weltweit Auswirkungen haben, da sich die Software- und Hardwareindustrie in einem globalisierten Ökosystem entwickelt.
Die zwei zentralen Herausforderungen des Cyber Resilience Act
Der CRA adressiert zwei kritische Schwachstellen:- Das niedrige Cybersicherheitsniveau digitaler Produkte.
- Den Mangel an verfügbaren Informationen für Nutzer, um fundierte Entscheidungen treffen zu können.
Die zentralen Grundsätze des Cyber Resilience Act
Um Vertrauen und Sicherheit zu stärken, führt die Verordnung mehrere grundlegende Verpflichtungen ein:
- Sicherheit ab der Konzeption: Hersteller müssen Cybersicherheit bereits während der Entwicklung integrieren und Produkte standardmäßig sicher konfiguriert ausliefern.
- Fortlaufende Verantwortung: Hersteller bleiben während des gesamten Lebenszyklus für die Sicherheit des Produkts verantwortlich.
- Konformitätsbewertung: Softwarehersteller müssen eine Selbsteinschätzung durchführen oder auf eine dritte Partei zurückgreifen, um ihre Konformität nachzuweisen.
- Transparenz für Benutzer: Hersteller müssen die Sicherheitsmerkmale und bewährten Nutzungsempfehlungen klar an die Endkunden kommunizieren.
- CE-Kennzeichnung: Konforme Produkte dürfen die CE-Kennzeichnung tragen, was die Einhaltung des CRA und ihre Zuverlässigkeit für den europäischen Markt bestätigt.
Ein bereits festgelegter Zeitplan
Die Anwendung des Cyber Resilience Act erfolgt schrittweise:- 11. September 2026: Inkrafttreten der Meldepflichten.
- 11. Dezember 2027: vollständige Anwendung der Regulierung für alle betroffenen Produkte.
Der proaktive Ansatz von AVEVA gegenüber dem Cyber Resilience Act
Mit über 50 Jahren Erfahrung in der Entwicklung und im Support industrieller Software erkennt AVEVA die Bedeutung strenger Cybersicherheitsanforderungen und hoher betrieblicher Standards. Die Expertise im Bereich Security Development Lifecycle positioniert das Unternehmen ideal, um künftig Produkte bereitzustellen, die der CE-Kennzeichnung entsprechen.
Obwohl die Regulierung noch in Entwicklung ist und ihre vollständige Anwendung erst in zwei Jahren vorgesehen ist, hat AVEVA bereits interne Bewertungen gestartet, um ihre Auswirkungen auf das gesamte Softwareportfolio vorwegzunehmen.
Zum Zeitpunkt der Anwendbarkeit wird der CRA hauptsächlich On-Premise- und hybride Angebote betreffen, doch die Konformitätsstrategie ruht bereits auf vier Säulen:
- Sicherheitskultur: Sensibilisierung interner Teams und globaler Partner für die Auswirkungen dieser Regulierung auf Praktiken und die Wertschöpfungskette.
- Lebenszykluspolitik: Die Produktpolitik 2024 integriert die Anforderungen des CRA, um Kunden Transparenz und Flexibilität in den Supportmodellen zu bieten.
- Security Development Lifecycle: Integration der grundlegenden Anforderungen in jede Entwicklungsphase – von der Schulung der Teams bis zum Management von Updates und Incident Response.
- Konformitätsnachweis: Bereitstellung umfassender Dokumentation, eines Online-Trust Centers, vertraglicher und kommerzieller Governance sowie der CE-Kennzeichnung für konforme Produkte.
Welche Auswirkungen hat das für die Industrie?
Für Maschinenhersteller stellt der Cyber Resilience Act eine wichtige Weiterentwicklung dar: Cybersicherheit bereits bei der Auslegung von Geräten zu berücksichtigen wird zu einer Pflicht, gleichbedeutend mit physischer Sicherheit oder regulatorischer Konformität.
Für Anbieter industrieller Software wie AVEVA besteht die Herausforderung darin, Kunden bei der Einführung robuster Lösungen zu unterstützen, die sowohl Produktionsdaten als auch die Betriebskontinuität schützen.
Als offizieller Distributor der AVEVA-Software spielt Factory Software eine Schlüsselrolle: informieren, begleiten und beraten, damit Industrieunternehmen die Auswirkungen des CRA antizipieren, ihre digitalen Umgebungen in Einklang bringen und ihre Investitionen langfristig absichern können.
Für IT/OT-Verantwortliche bietet der CRA schließlich einen klareren Rahmen und eine zusätzliche Sicherheit: Produkte mit CE-Kennzeichnung werden ein nachgewiesenes Schutzniveau bieten und die Integration in kritische Umgebungen erleichtern.
Zusammenfassend wird diese Regulierung nicht nur das Vertrauen der Anwender stärken, sondern auch die Cyberreife industrieller Wertschöpfungsketten beschleunigen.
Der Cyber Resilience Act ist keine bloße regulatorische Verpflichtung: Er ist eine strategische Chance, die Cybersicherheit im Herzen industrieller Systeme zu stärken. Durch die frühzeitige Antizipation seiner Auswirkungen ermöglichen AVEVA und Factory Software den Industrieunternehmen, diesen Übergang gelassen anzugehen und sich auf eine sicherere, zuverlässigere und widerstandsfähigere digitale Zukunft vorzubereiten.
