Cyber Security

Bei Fragen der Cybersicherheit und der Erfüllung neuer Sicherheitsanforderungen an Ihre Produkte, beraten Sie die MESCO-Experten technologie- und herstellerneutral und unterstützen Sie dabei, Ihre Entwicklungsprojekte effizient und konform mit den neuen regulatorischen Vorgaben umzusetzen.

Mit dem Cyber Resilience Act (CRA) hat die Europäische Union einen wegweisenden Schritt zur Verbesserung der Cybersicherheit im digitalen Binnenmarkt beschlossen.  Ab Ende 2027 dürfen digitale Komponenten nur noch dann in Verkehr gebracht werden, wenn sie die grundlegenden Sicherheitsanforderungen des CRA erfüllen.

Diese Regelung betrifft daher auch Geräte der Fabrik- und Prozessautomation, darunter Sensoren, Aktoren, Steuerungen und Kommunikationstechnologien – insbesondere solche mit digitalen Schnittstellen. So dürfen  Komponenten mit Embedded Software ab Ende des Jahres 2027 nur noch dann auf den Markt gebracht werden, wenn sie die spezifischen Vorgaben des CRA erfüllen.

Unternehmen der Fabrik- und Prozessautomatisierungsbranche stehen vor der Herausforderung, ihre Produkte an die neuen gesetzlichen Anforderungen des Cyber Resilience Act anzupassen. Die Einhaltung dieser Vorschriften ist zwingend erforderlich, um weiterhin eine CE-Kennzeichnung auf ihren Produkten anbringen und diese in der EU vertreiben zu können. Allerdings behalten Produkte, die vor 2027 in Verkehr gebracht werden, ihre CE-Kennzeichnung auch über diesen Stichtag hinaus, wenn sie nicht wesentlich verändert wurden. Ein Software-Update oder ein Austausch einer Software-Komponente könnte aber bereits eine wesentliche Veränderung darstellen und erfordern, dass alle Anforderungen des CRA einzuhalten sind.

Sicherheitsmaßnahmen sind nicht nur auf das Feldgerät beschränkt, sondern müssen insbesondere auch die Schnittstellen, wie zum Beispiel Feldbusse, betrachten. Da andere Feldgeräte als Einfallstor in einen Feldbus genutzt werden könnten, haben sich die Feldbusorganisationen schon eingehend mit dem Thema Security in Echtzeitnetzwerken, insbesondere solche auf Ethernet-Basis oder Funknetzwerke befasst.

Die Feldbus-Organisationen haben bereits erste Sicherheitskonzepte entwickelt: So gibt es beispielsweise Maßnahmen, die darauf abzielen, den Zugriff auf ein System oder eine Infrastruktur vor unbefugter Manipulation zu schützen.

Die PROFIBUS Nutzerorganisation PI stellt zum Beispiel mit der Sicherheitsklasse 1 bei PROFINET sicher, dass Geräte korrekt von der Steuerung angesprochen werden.

Dies wird unter anderem durch die Deaktivierung der einfachen Geräteadressmanipulation sowie die Signierung der GSDML-Dateien erreicht. Allerdings trägt diese Maßnahme nur bedingt dazu bei, externe Bedrohungen abzuwehren. Wird insbesondere ein Gerät zum Beispiel über eine IOT-Schnittstelle durch einen Angreifer übernommen, so sind diese Maßnahmen weitgehend wirkungslos.Soll die Sicherheit bei PROFINET weiter erhöht werden, sind folgende, zusätzliche Maßnahmen erforderlich:

• Integrität und Authentizität der Daten (Sicherheitsklasse 2): Diese Maßnahmen verhindern Manipulationen an Daten während der Übertragung und stellen sicher, dass Informationen nicht verfälscht oder unbemerkt verändert werden. Dies kann durch kryptografische Signaturen oder Prüfmechanismen erreicht werden.
• Vertraulichkeit der Daten (Sicherheitsklasse 3): Hierbei geht es um den Schutz sensibler Informationen vor unbefugtem Zugriff. Verschlüsselungstechnologien sorgen dafür, dass nur autorisierte Parteien Zugriff auf Prozessdaten haben. Dies dient insbesondere dem Know-how-Schutz in der Applikation.

Die Umsetzung dieser Sicherheitsanforderungen erfordert die Implementierung geeigneter Schutzmechanismen sowie umfassende Tests zur Validierung.