Ab 11. September gilt in der Europäischen Union eine neue Richtlinie für mehr Cybersicherheit, die weitreichende Folgen für Hersteller internetfähiger Geräte hat. Der sogenannte Cyber Resilience Act betrifft nicht nur Produzenten von Smartwatches oder Waschmaschinen, sondern auch Maschinen- und Anlagenbauer. Ein Beispiel dafür ist die Firma SW Automatisierung aus Golling im Tennengau, die sich seit Monaten auf die neuen Vorgaben vorbereitet.

Vernetzte Maschinen aus dem Tennengau

SW Automatisierung stellt Drahtkonfektionierungsmaschinen her und hat darin seit Jahren einen Netzwerkanschluss verbaut. Kunden können ihre Geräte dadurch über das Netzwerk überwachen und steuern. Der Hersteller selbst kann die Maschinen von Golling aus weltweit warten. Diese Vernetzung bringt das Unternehmen unmittelbar in den Anwendungsbereich der neuen EU-Richtlinie, da vernetzte Geräte künftig strengeren Sicherheitsanforderungen unterliegen.

Das Unternehmen mit 45 Mitarbeitern wurde bereits Opfer eines Cyberangriffs. Genau solche vernetzten Systeme rücken durch den Cyber Resilience Act stärker in den Fokus der Regulierung.

Neue Meldepflichten und Fristen

Ab 11. September gilt eine erste konkrete Vorgabe: Sicherheitslücken in Systemen müssen innerhalb von 24 Stunden gemeldet werden. Diese Meldepflicht bildet den ersten Schritt der neuen Richtlinie. Für die vollständige Umsetzung aller Anforderungen bleibt den Unternehmen jedoch Zeit bis Ende 2027. Ab diesem Zeitpunkt dürfen in der Europäischen Union nur noch Produkte in Umlauf gebracht werden, die den neuen Sicherheitsstandard erfüllen. Wer die Vorgaben nicht einhält, muss mit Geldbußen bis in den zweistelligen Millionenbereich rechnen.

Bei SW Automatisierung bedeutet die Vorbereitung auf die neuen Anforderungen bereits jetzt einen spürbaren Mehraufwand. Stefan Neureiter beziffert den aktuellen Aufwand im Softwareentwickler-Team auf rund 20 Prozent. Dieser erhöhte Aufwand wird nach seiner Einschätzung mindestens bis zum Jahresende bestehen bleiben.

Cybersicherheit als neue Grundanforderung für Produkte

Der Cyber Resilience Act reiht sich in eine Reihe von EU-Regelungen ein, die technische Produkte an einheitliche Sicherheitsstandards binden. Grundsätzlich verfolgen solche Vorschriften das Ziel, digitale Schwachstellen bereits bei der Entwicklung von Geräten und Software zu berücksichtigen, statt sie erst nach dem Verkauf zu beheben. Vernetzte Maschinen, Sensoren oder Steuerungssysteme gelten in diesem Zusammenhang als besonders sensibel, da sie über das Internet erreichbar sind und damit potenziell auch angreifbar werden.

Für Unternehmen bedeutet die Einhaltung solcher Standards üblicherweise zusätzlichen organisatorischen und technischen Aufwand. Dazu zählen etwa die Dokumentation von Sicherheitsmaßnahmen, die Einrichtung von Meldewegen für entdeckte Schwachstellen sowie die kontinuierliche Aktualisierung von Software über den gesamten Lebenszyklus eines Produkts hinweg. Gerade bei Maschinen, die über viele Jahre im Einsatz bleiben, stellt die dauerhafte Absicherung gegen neue Bedrohungen eine besondere Herausforderung dar.

In der Industrie wird häufig zwischen klassischer Betriebssicherheit und Cybersicherheit unterschieden. Während erstere technische Unfälle oder Fehlfunktionen verhindern soll, zielt die zweite auf den Schutz vor unbefugten Zugriffen, Manipulationen oder Datenverlust ab. Mit zunehmender Vernetzung von Produktionsanlagen verschwimmt diese Trennung zunehmend, da ein digitaler Angriff mittlerweile auch reale physische Folgen für Maschinen und Betriebsabläufe haben kann. Regulierungen wie der Cyber Resilience Act sollen diesem Umstand Rechnung tragen, indem sie Sicherheitsanforderungen bereits in der Produktentwicklung verbindlich festschreiben.