NIS-2 und CRA: Auswirkungen auf die industrielle Automatisierung

Die EU-Richtlinien NIS-2 und CRA setzen neue Cybersicherheitsstandards für die Industrie und stellen Automatisierungsunternehmen vor Herausforderungen bei Sicherheit, Compliance und Betriebskontinuität. 

Die zunehmende Digitalisierung industrieller Prozesse bringt neben Effizienzsteigerungen auch neue Herausforderungen in Bezug auf Cybersicherheit mit sich. Zwei wesentliche gesetzliche Regelwerke der Europäischen Union, die NIS-2-Richtlinie (Network and Information Security Directive 2) und der Cyber Resilience Act (CRA), setzen neue Standards für den Schutz industrieller Automatisierungssysteme. Diese Regularien haben erhebliche Auswirkungen auf Unternehmen der Automatisierungsbranche, insbesondere hinsichtlich Sicherheit, Compliance und Betriebskontinuität. 

Die NIS-2-Richtlinie stärkt die Cybersicherheit kritischer und wesentlicher Dienste in der EU . Sie baut auf der ursprünglichen NIS-Richtlinie von 2016 auf und erweitert deren Geltungsbereich auf eine größere Anzahl von Unternehmen, darunter:

• Betreiber kritischer Infrastrukturen (Energie, Transport, Gesundheitswesen) 
• Hersteller und Betreiber von Industrieautomatisierungssystemen 
• Anbieter digitaler Dienste (Cloud, Rechenzentren, IoT-Plattformen) 

Die Hauptverpflichtungen der NIS-2-Richtlinie für Unternehmen der industriellen Automatisierung umfassen: 

• Erweiterte Sicherheitsmaßnahmen: Unternehmen müssen ein effektives Risikomanagement etablieren, das sich auf Netzwerksicherheit, Zugangskontrolle und Vorfallreaktionen konzentriert. 
• Meldepflichten: Sicherheitsvorfälle müssen innerhalb von 24 Stunden an die zuständigen Behörden gemeldet werden. 
• Lieferkettensicherheit: Die Sicherheit von Zulieferern und Partnern wird stärker reguliert, um Schwachstellen in der gesamten Lieferkette zu minimieren. 

Die Umsetzung der NIS-2-Richtlinie erfordert von Unternehmen der industriellen Automatisierung eine enge Zusammenarbeit zwischen IT- und OT-Sicherheitsabteilungen sowie die Integration von Sicherheitskonzepten in bestehende Betriebsabläufe. 

Cyber Resilience Act (CRA): Stärkung der Produktsicherheit 

Neben NIS-2 setzt der Cyber Resilience Act (CRA) neue Standards für die Cybersicherheit von Produkten mit digitalen Elementen. Besonders betroffen sind Hersteller von industriellen Steuerungssystemen und IIoT-Geräten. Der CRA schreibt vor: 

• Security by Design: Bereits in der Entwicklungsphase müssen Sicherheitsmerkmale berücksichtigt werden. 
• Schwachstellenmanagement: Unternehmen sind verpflichtet, bekannte Sicherheitslücken zu identifizieren und zu beheben. 
• Langfristige Update-Pflichten: Sicherheitsupdates müssen über einen definierten Zeitraum bereitgestellt werden. 

Durch diese Anforderungen soll die Sicherheit industrieller Automatisierungssysteme erhöht und das Risiko von Cyberangriffen minimiert werden. 

IEC 62443: Ein bewährter Sicherheitsstandard für die Automatisierung 

Neben NIS-2 und CRA spielt auch die internationale Normenreihe IEC 62443 eine zentrale Rolle bei der Cybersicherheit in der industriellen Automatisierung. Diese Norm bietet einen strukturierten Ansatz zur Sicherung von Automatisierungssystemen und umfasst: 

• Risikobasierte Sicherheitskonzepte: Unternehmen können Sicherheitsmaßnahmen entsprechend ihrer individuellen Bedrohungslage anpassen. 
• Segmentierung von Netzwerken: Durch die Trennung kritischer und nicht-kritischer Systeme wird die Angriffsfläche reduziert. 
• Identitäts- und Zugriffsmanagement: Die Authentifizierung und Autorisierung von Nutzern und Maschinen wird verbessert. 
• Sichere Kommunikation: Daten werden über verschlüsselte Kanäle übertragen, um Manipulation und Abhören zu verhindern. 

Die IEC 62443 kann Unternehmen dabei unterstützen, die Anforderungen von NIS-2 und CRA effizient umzusetzen und eine robuste Cybersicherheitsstrategie zu etablieren. 

Herausforderungen und Chancen für die Industrie 

Die Einhaltung von NIS-2, CRA und IEC 62443 stellt Unternehmen vor verschiedene Herausforderungen: 

• Legacy-Systeme: Ältere Steuerungen und Automatisierungslösungen entsprechen häufig nicht den neuen Sicherheitsanforderungen und müssen modernisiert werden. 
• Erhöhter Verwaltungsaufwand: Die Einführung neuer Prozesse zur Cybersicherheitsüberwachung kann komplex sein. 
• Schulungsbedarf: Mitarbeiter müssen im sicheren Umgang mit neuen Vorschriften geschult werden. 

Gleichzeitig bieten die neuen Regularien erhebliche Vorteile: 

• Erhöhte Sicherheit und Resilienz: Unternehmen können sich besser vor Cyberangriffen schützen. 
• Vertrauen und Wettbewerbsvorteil: Firmen, die frühzeitig in Cybersicherheit investieren, können sich als zuverlässige Partner positionieren. 
• Standardisierte Sicherheitsprozesse: Eine einheitliche Sicherheitsstrategie erleichtert die Zusammenarbeit innerhalb globaler Lieferketten. 

Umsetzung der IEC 62443-4-1 bei Softing Industrial 

Softing Industrial hat in den letzten 5 Jahren verstärkt Kundennachfragen bezüglich der Zertifizierung nach der IEC 62443-4-1 bekommen. Dieser Teil der Spezifikation beschreibt die Anforderungen an einen sicheren Produktentwicklungsprozess für Komponentenhersteller im Bereich der industriellen Automatisierung.  

Im Januar 2022 begann Softing Industrial mit der Erweiterung seiner Prozesse, um diesen Anforderungen gerecht zu werden.Im Juni 2023 erhielt das Unternehmen die Zertifizierung nach der Norm IEC 62443-4-1:2018 für seine Standorte in Haar bei München, Nürnberg und den Entwicklungsstandort in Cluj, Rumänien. Der Zertifizierungsprozess wurde vom TÜV Süd durchgeführt. Seitdem integriert das Unternehmen diese Prozesserweiterungen in allen Produktentwicklungen und setzt die in der IEC 62443-4-2 beschriebenen Sicherheitsanforderungen für Komponenten um.  

Segmentierung von Netzwerken 

Wie oben aufgeführt, ist die Segmentierung der Netzwerke ein wichtiger Aspekt der IEC 62443. Die Spezifikation empfiehlt, die Kommunikationsnetze für die industrielle Automatisierung in Zonen und Übergänge zu unterteilen. An den Übergängen zwischen den Zonen werden diese zum Schutz vor möglichen Angriffen abgesichert. Die Segmentierung kann durch Standard-IT-Produkte wie Firewalls oder durch spezifischere, an die OT angepasste Produkte realisiert werden.  

Softing Industrial hat mit dem smartLink HW-PN ein Produkt im Angebot, das die Sicherung von PROFINET Netzwerken erleichtert. Der smartLink HW-PN realisiert einen sicheren Zugangspunkt für Anwendungen zu PROFINET Netzwerken.  

Der smartLink HW-PN bietet passende Schnittstellen für die folgenden Anwendungsbereiche: 

• Asset Management 
• Netzwerk Monitoring 
• Prozess Analyse (IIoT, NOA) 

Asset Management Anwendungen wie z.B. Emerson AMS Device Manager greifen über den smartLink HW-PN auf PROFINET Geräte zu, um Parameter einzustellen und den Zustand zu überwachen. Der smartLink HW-PN bietet dazu eine FDI Communication Schnittstelle an, welche auf dem sicheren Kommunikationsprotokoll OPC UA basiert. Die Kommunikation zwischen der Asset Management Anwendung und dem smartLink HW-PN kann über Zertifikate geschützt und verschlüsselt werden. Nur autorisierte Anwendungsinstanzen können sich über diese nordseitige Schnittstelle mit dem smartLink HW-PN verbinden. Südseitig, im PROFINET Netzwerk, agiert der smartLink HW-PN als PROFINET Supervisor und baut zu den PROFINET Geräten eine „Device IO“ Verbindung auf. Er ermöglicht damit berechtigten Anwendungen einen transparenten Zugriff auf die PROFINET Geräte, unabhängig vom eingesetzten PROFINET Controller.  

Die Hardware-Architektur des smartLink HW-PN garantiert dabei eine sichere Trennung des nordseitigen Anwendungsnetzwerkes vom südseitigen PROFINET Netzwerkes. Die Ethernet Schnittstellen werden von separaten Betriebssysteminstanzen bedient. Diese separaten Instanzen kommunizieren nur über eine geteilten Speicherbereich miteinander. Damit ist ein Durchgriff auf der IP-Ebene von der Nord- auf die Südseite ausgeschlossen.    

Eine komplexe Konfiguration von Firewalls für den Durchgriff der Anwendungen in das PROFINET Netzwerk ist mit dem smartLink HW-PN nicht mehr nötig.   

Echtzeit Inventur von Netzwerken 

Für den sicheren Betrieb von Netzwerken in der industriellen Automatisierung ist es auch essenziell zu wissen welche Geräte mit welchen Firmwareständen verbaut sind. Theoretisch sollte das von der Anlagenplanung bekannt sein. Doch oft unterscheidet sich der tatsächlich installierte vom geplanten Stand („As-Built“ vs „As-Planned“), speziell wenn die Anlagen schon ein paar Jahre im Betrieb sind.  

Softing Industrial bietet für PROFIBUS und ab dem Herbst 2025 auch für PROFINET Netzwerke mit dem Produkt plantPerfect Monitor ein Netzwerk Monitoring Anwendung an. Diese nutzt für den Zugriff auf das Netzwerk die Softing Industrial smartLink Produkte und ermöglicht eine Echtzeit Inventur der im Netzwerk verbauten Geräte und schafft damit eine Basis für den sicheren Betrieb.  

Fazit 

NIS-2, CRA und IEC 62443 markieren einen wichtigen Schritt in Richtung einer sichereren und widerstandsfähigeren Industrie. Unternehmen der industriellen Automatisierung müssen sich auf umfangreiche Sicherheitsanforderungen einstellen, die sowohl technische als auch organisatorische Maßnahmen erfordern. Wer sich frühzeitig anpasst, kann nicht nur regulatorische Risiken minimieren, sondern auch Wettbewerbsvorteile durch eine verbesserte Cybersicherheitsstrategie erlangen. 

Autor: Thomas Rummel, Managing Director, Softing Industrial Automation GmbH