Safety und Industrial Security: Jetzt ist die beste Zeit dafür

Der Schutz des Menschen (Maschinensicherheit) hängt immer stärker vom Schutz von Produktions- und Industrieanlagen (Industrial Security) ab. Denn durch die Digitalisierung entstehen neue Möglichkeiten für Manipulationen. Ziel der Industrial Security ist es, die Verfügbarkeit von Maschinen und Anlagen sowie die Integrität und Vertraulichkeit von maschinellen Daten und Prozessen zu gewährleisten.

Um die Gefährdungen durch Security-Vorfälle zu reduzieren, hat der europäische Gesetzgeber neue Regelwerke geschaffen beziehungsweise existierende Regelwerke angepasst, darunter die für den Maschinenbau wichtige Maschinenverordnung und den Cyber Resilience Act (CRA), der auf den Schutz von Geräten und Komponenten abzielt. Ob, wann und in welcher Tiefe sich Unternehmen mit dem Security befassen, ist damit nicht länger Ermessenssache. Security ist nun eine gesetzliche Vorgabe!

Die neue Maschinenverordnung 2023/1230 ist die Nachfolgerin der Maschinenrichtlinie, dem wichtigsten Gesetzeswerk für Maschinensicherheit in der EU. Veröffentlicht im Sommer 2023, wird sie ab Januar 2027 gültig. Die Maschinenverordnung verlangt Security-Maßnahmen für die Teile der Maschine mit Einfluss auf die funktionale Sicherheit. Wer in Zukunft an seiner Maschine eine CE-Kennzeichnung anbringen möchte, der muss sicherstellen, dass die Steuerung der Maschine angemessen gegen unbeabsichtigte oder vorsätzliche Korrumpierung geschützt ist und sich daraus ergebende gefährliche Situationen vermieden werden.

Der Cyber Resilience Act (CRA) fordert dagegen Securitymaßnahmen für Produkte mit digitalen Elementen. Darunter fallen auch Steuerungen, IO-Systeme und weitere Komponenten, die in Maschinen eingesetzt werden. Produkte mit digitalen Elementen werden voraussichtlich im vierten Quartal 2027 die Anforderungen aus dem CRA erfüllen müssen, um in der EU auf dem Markt bereitgestellt werden zu dürfen. Der CRA ist ebenfalls eine EU-Verordnung und wird somit in den EU-Mitgliedsstaaten unmittelbar gültig sein.

Für Anbieter und Anwender von Automatisierungskomponenten bedeutet das, dass sie in den nächsten Jahren ihre Prozesse grundlegend ändern müssen. Das reicht von der securen Entwicklung nach IEC 62443-4-1, über die laufende Analyse und Bewertung von Schwachstellen bis hin zur Bereitstellung von Sicherheits-Updates auch fünf Jahre nach Abkündigung des Produktes.

Für Maschinenbauer reicht die Beschaffung CRA-konformer Komponenten nicht aus. Sie brauchen Prozesse, um ihren Kunden auch nach Auslieferung den securen Betrieb ihrer Maschinen zu gewährleisten. Und um eine CE-Kennzeichnung durchzuführen, müssen sie die Schritte Risikoanalyse, Erstellung eines Security-Konzeptes, Umsetzung und abschließende Verifikation gehen. Betreiber müssen noch mehr tun, um den kommenden gesetzlichen Security-Anforderungen gerecht zu werden, etwa organisatorische Maßnahmen ergreifen, den Zutritt aufs Werksgelände regeln oder Mitarbeiter schulen. Den gesetzlichen Rahmen dafür liefert die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-2-Richtlinie). Sie enthält für die betroffenen Unternehmen Registrierungs-, Nachweis- und Meldepflichten.

Safety ist und bleibt eine Grundanforderung an Maschinen. Doch die entsprechenden Funktionen wie etwa Not-Halt oder die Funktion von Lichtgittern müssen nun gegen Manipulation (bewusst oder unbewusst) geschützt werden. Daher gilt: Ohne Industrial Security keine Safety und ohne Safety kein Schutz des Menschen. Auf Maschinenebene bedeutet das, dass Safety und Security in Planung und Konstruktion zusammen gedacht werden müssen, etwa für den Zugang zur Maschine. Klassisch regeln das Schutztüren. Diese lassen sich nur dann öffnen, wenn sich die Maschine in einem sicheren Zustand befindet.

Die beste Schutztürabsicherung bringt jedoch nichts, wenn der Zugriff darauf nicht ausreichend gegen Manipulation abgesichert ist. Safety muss durch Security abgesichert sein. Zum einen durch ein Identification and Access Management (I.A.M.) an der Maschine selbst. Damit lassen sich, flankiert durch organisatorische Maßnahmen, Berechtigungen und Zugänge an Maschinen und Anlagen klar regeln. Und zum anderen müssen Automatisierungsnetzwerke durch Manipulationen und unbefugten Zugriff von außen abgesichert sein, zum Beispiel durch eine Industrial Firewall.

Auf Netzwerkebene muss Safety als Funktion in entsprechenden Zonen angesiedelt werden, entsprechend dem Konzept Zones & Conduits aus der IEC 62443. Zwar verfügen die an den Übergängen (Conduits) eingesetzten Safety-Protokolle seit jeher über einen gewissen Schutz gegen Verfälschung, doch für die Gewährleistung der Safety werden künftig Themen wie sichere Identitäten oder Zertifikatsaustausch noch wichtiger werden

Die neuen beziehungsweise kommenden gesetzlichen und normativen Anforderungen sind durchaus komplex, tiefgehend und miteinander verwoben. Und es fehlen an vielen Stellen noch genauere Vorgaben. Die entsprechenden Normen befinden sich gerade erst in Ausarbeitung. Dennoch ist jetzt Zeit zu handeln!

Am Anfang steht dabei immer eine Bestandsaufnahme in Form einer Schutzbedarfsanalyse: Welche Gesetze gelten? Gibt es bereits verantwortliche Personen? Gibt es eventuell schon Zertifizierungen im Büro-Umfeld? Es geht anschließend darum, für Mensch und Maschine das Schadensausmaß bei Verlust der Safety, Vertraulichkeit, Integrität oder Verfügbarkeit zu ermitteln. So gelingt der Einstieg in das Thema Industrial Security.