Letztlich bleibt es den Herstellern überlassen, welche konkreten Maßnahmen zu ergreifen sind, um den Anforderungen der neuen EU-Verordnung Genüge zu leisten. Als Leitfaden kann jedoch die internationale Normenreihe IEC62443 dienen, die sich mit der IT-Sicherheit von ‚Industrial Automation and Control Systems‘ befasst. Hervorzuheben sind hier im Besonderen die Dokumente IEC62443 4-1 (Secure product development lifecycle requirements) sowie 62443 4-2 (Technical security requirements for IACS components). Sie behandeln, welche Aspekte im Hinblick auf einen sicheren Software-Entwicklungsprozess zu beachten sind.
Ratsam erscheint zuvorderst eine Bedrohungsmodellierung. Dadurch lässt sich erkennen, auf welchen unterschiedlichen Wegen (etwa über das Bedienterminal, USB-Zugänge oder das Netzwerk) die Maschine angegriffen werden kann. Auf Grundlage eines solchen Modells kann in einem nächsten Schritt das individuelle Risiko bewertet und ein Maßnahmenplan erstellt werden.
Dabei sollten folgende
Aspekte in Betracht
gezogen werden:
Þ eine starke Verschlüsselung sämtlicher Netzwerkverbindungen zur Maschine.
Þ Einführung eines Identitäts- und Zugangsmanagements, das sicherstellt, dass die Anmeldung ausschließlich berechtigten Personen gestattet ist. Die Sicherheitsparameter müssen zudem so festgelegt sein, dass der Aktionsraum des Benutzers klar umrissen ist. Ein solches Least-Privilege-Prinzip sollte nicht nur für Anwender, sondern auch für die Verbindung mit anderen Maschinen oder Systemen gelten.
Þ eine genaue Protokollierung sämtlicher Anmelde- und Abmeldevorgänge durch das installierte Software-Programm. Darüber hinaus müssen alle Modifizierungen der Software protokolliert werden – ganz gleich, ob sie autorisiert (etwa in Form von Updates) oder unautorisiert (schlimmstenfalls durch Hacker-Angriffe) vorgenommen wurden. Die Speicherung der Daten sollte direkt auf der Maschine oder auf einem zentralen Server erfolgen. Auch die Bereitstellung dieser Dokumentation für Prüfstellen oder Behörden ist vom Hersteller jederzeit zu garantieren.
Þ ein Vulnerability-Management für alle installierten Software-Programme, im Zuge dessen fortlaufend mögliche Schwachpunkte (schwach geschützte Zugangscodes, riskante Netzwerkverbindungen etc.) identifiziert werden. Aufgrund der neu hinzukommenden After-Sales-Verpflichtungen sollten Hersteller auch logistisch darauf vorbereitet sein, Defizite und Mängel rasch beseitigen zu können.
Auch wenn einige Formulierungen in der neuen EU-Maschinenverordnung unter Umständen Raum für Diskussionen lassen, weisen die Vorgaben zur Cybersecurity in die richtige Richtung. Die Verordnung reagiert auf ein Problem, das die Unternehmen in den kommenden Jahren immer stärker beschäftigen wird, und nimmt Hersteller sowie Betreiber im Kampf gegen Cyberkriminalität in die Pflicht.
Zumal auf Hersteller-Seite nun möglichst frühzeitig Vorkehrungen getroffen werden sollten: Diese reichen von einer umsichtigen Risikoanalyse aufgrund von Bedrohungsmodellierungen über verlässliche Verschlüsselungsverfahren und Identitätsprüfungen bis hin zu einem fortlaufenden Vulnerability-Management, das immer auch die Anwender in die Sicherheitsmaßnahmen einbindet. Nur im Schulterschluss von Herstellern und Betreibern kann die Bekämpfung von Cyber-Kriminalität gelingen. Die Komplexität dieser Aufgabe erfordert ein planvolles Handeln, auch wenn die Verordnung erst Anfang 2027 verbindlich anzuwenden ist.