Cybersecurity Compliance für Maschinenbauer
Mit dem Cyber Resilience Act (CRA) und der Maschinenverordnung (MVO) kommen neue Anforderungen an Cybersecurity und Produktsicherheit auf Maschinenhersteller in Europa zu.
Was ist der Cyber Resilience Act (CRA)?
Das Gesetz zur Cyber-Resilience (CRA) führt verpflichtende Cybersecurity-Anforderungen für Produkte mit digitalen Elementen ein, die innerhalb der Europäischen Union verkauft werden.
Ziel ist es sicherzustellen, dass Cybersecurity bei der Konzeption, Entwicklung und Wartung von Produkten über deren gesamten Lebenszyklus hinweg berücksichtigt wird.
Was ist die Maschinenverordnung (MVO)?
Die neue EU-Maschinenverordnung (2023/1230) ersetzt die bisherige Maschinenrichtlinie (2006/42/EG) und spiegelt die Realität zunehmend digitalisierter Industrieanlagen und Maschinen wider.
Da es nunmehr eine Verordnung ist, gilt sie direkt in allen EU-Mitgliedstaaten und sorgt für einen einheitlichen Rechtsrahmen.
| Thema | Cyber Resilience Act (CRA) | Maschinenverordnung (MVO) |
|---|---|---|
| Schwerpunkt | Cybersecurity | Funktionale Sicherheit |
| Anwendung | Produkte mit digitalen Elementen | Maschinen |
| Ziel | Daten und Systeme schützen | Menschen schützen |
| Cybersecurity | Kernziel | Schutz der funktionalen Sicherheit |
| Relevanz | EU-weit | EU-weit |
Wer ist betroffen und welche Schritte sind jetzt notwendig?
Betroffen sind alle Hersteller und Importeure in der EU, die Produkte mit digitalen Elementen in Verkehr bringen. Dazu zählen insbesondere Maschinen mit elektronischen Steuerungen, Roboter und andere industrielle Anlagen.
Hersteller müssen während des gesamten Produktlebenszyklus ein angemessenes Cybersecurity-Niveau gewährleisten. Dazu gehören die Entwicklung sicherer Produkte, das Management von Schwachstellen sowie die Bereitstellung von Sicherheitsupdates und Support über die vorgesehene Nutzungsdauer hinweg.
Wie erleichtert KEBA die Umsetzung von CRA und Maschinenverordnung?
Mit KEBA setzen Sie CRA und Maschinenverordnung effizient und zukunftssicher um. Unser Fokus liegt darauf, regulatorische Anforderungen in praxistaugliche Lösungen zu übersetzen. Gemeinsam identifizieren wir Handlungsbedarf, bewerten Risiken und entwickeln einen klaren Fahrplan für die Umsetzung der neuen Vorgaben.
Neben der Umsetzung der relevanten Normen EN 50742, EN 40000 und ausgewählter IEC-62443-Maßnahmen profitieren Sie von unserer langjährigen Erfahrung und praxisnahen Beratung. Von der Analyse bis zur erfolgreichen Umsetzung.
Mythen und Fakten
Mythos: Sicherheitslücken müssen umgehend behoben werden
Fakt: Der CRA verlangt ein risikobasiertes Management ausnutzbarer Schwachstellen, nicht die sofortige Beseitigung jeder einzelnen Schwachstelle.
Mythos: CRA Compliance = IEC 62443 Compliance
Fakt: Die IEC 62443 kann die Umsetzung des CRA unterstützen, ersetzt jedoch nicht die vollständige Erfüllung der CRA-Anforderungen.
Mythos: Der CRA gilt nicht für Maschinenhersteller
Fakt: Maschinenhersteller sind vom CRA betroffen, wenn ihre Produkte digitale Komponenten oder Software enthalten, die in den Anwendungsbereich des Cyber Resilience Act fallen.
Mythos: Der CRA betrifft ausschließlich Software
Fakt: Der Anwendungsbereich des CRA umfasst alle Produkte mit digitalen Elementen, darunter auch Hardware mit eingebetteter Software für industrielle Anwendungen.
Mythos: Bestehendes Produkt = Nicht CRA-Relevant
Fakt: Alle Produkte, die nach Inkrafttreten des CRA in Verkehr gebracht werden, müssen die Anforderungen an Cybersecurity sowie an Sicherheitsupdates und Produktsupport erfüllen.
Mythos: Cybersecurity ist ausschließlich ein IT-Thema
Fakt: Cybersecurity ist ein wesentlicher Bestandteil der Maschinensicherheit. Der CRA und die MVO schreiben vor, Cyberrisiken während des gesamten Produktlebenszyklus zu bewerten und zu berücksichtigen.
Mythos: Jedes Produkt muss für den CRA zertifiziert werden
Fakt: Für die meisten Produkte ist eine Selbstbewertung ausreichend und die Konformität kann vom Hersteller selbst erklärt werden. Eine Zertifizierung durch eine unabhängige Stelle ist nur für bestimmte Produktkategorien des CRA erforderlich.
Mythos: Cybersecurity endet bei der Markteinführung
Fakt: Der CRA verpflichtet Hersteller, Schwachstellen während des gesamten festgelegten Supportzeitraums zu behandeln sowie Sicherheitsupdates und Produktsupport bereitzustellen.
Mythos: CRA verbietet Open-Source-Software
Fakt: Der CRA verbietet Open-Source-Software nicht. Hersteller sind jedoch verpflichtet, die daraus entstehenden Cybersecurity-Risiken zu berücksichtigen und geeignete Maßnahmen umzusetzen.
Fragen & Antworten
Haben Sie Fragen zum Cyber Resilience Act (CRA) oder zur Maschinenverordnung (MVO)? Hier finden Sie Antworten auf die häufigsten Fragen.
