Neue Vorgaben für die Automatisierungsindustrie Was Cyber Resilience Act und IEC 62443 bedeuten

Anbieter zum Thema

achelos GmbH

netfiles GmbH

Insider Research

Hyland Software Germany GmbH

Der Cyber Resilience Act verlangt von Herstellern, Integratoren und Betreibern digitaler Produkte umfangreiche Cyber-Security-Maßnahmen über den gesamten Lebenszyklus hinweg. Doch was genau kommt nun auf betroffene Unternehmen zu?

Cybersicherheit ist ein heißes Thema: 2023 wurden die entsprechenden Vorgaben der EU durch die NIS2-Richtlinie aktualisiert, im März ist das EU-Gesetz über Cyberresilienz, der Cyber Resilience Act (CRA), vom Europäischen Parlament verabschiedet worden. Nach der Verabschiedung durch den Europäischen Rat – eine reine Formsache – haben Hersteller 36 Monate Zeit, die Vorgaben umzusetzen.

Der CRA gilt für Produkte, Software und Hardware mit digitalen Elementen und damit ist auch die Industrie angesichts von vernetzter Fertigung im Industrial Internet of Things (IIOT) voll im Fokus: Geräte, Maschinen und Komponenten in der Produktion sammeln und erzeugen Daten mit Sensoren und Aktoren und tauschen sie aus, industrielle Steuerungssysteme (Industrial Control Systems) arbeiten damit.

Sicherheitskritische Produkte mit digitalen Elementen werden im Anhang III des CRA sogar als kritische Hard- und Softwareprodukte gelistet: Dazu zählen unter anderem Firewalls, Systeme zur Erkennung und Prävention von Einbrüchen und Angriffen, Router, Modems und Switches, auch im industriellen Kontext.

Für all diese Produkte legt der CRA einen umfangreichen Anforderungskatalog fest. Sie benötigen:

• einen sicheren Produkt- und Entwicklungslebenszyklus (Security by Design), der Cybersicherheit im gesamten Lebenszyklus berücksichtigt.

• ein kontinuierliches Schwachstellen-Management: Cybersicherheitsrisiken müssen dokumentiert werden und die Hersteller aktiv ausgenutzte Schwachstellen und Zwischenfälle melden.

• ein sicheres Software-Update-Management: Die Hersteller müssen nach dem Verkauf weiterhin sicherstellen, dass für die Dauer des Support-Zeitraums Schwachstellen ihrer Produkte wirksam behandelt werden. Außerdem sind Sicherheitsaktualisierungen und Patches für die voraussichtliche Nutzungsdauer des Produkts vorgeschrieben.

• eine sicherheitsbezogene Dokumentation mit klaren und verständlichen Anweisungen.

• Vorgaben zur Konformitätsbewertung bzw. der Produktkonformität und der Risikobewertung.

Cyber-Security-Anforderungen und kritische Produkte

Die konkreten Cyber­sicher­heits­an­forde­rungen stehen in Anhang I des CRA: Produkte mit digitalen Elementen benötigen auf Grundlage ihrer Risikobewertung geeignete Kontrollmechanismen, die Schutz vor unbefugtem Zugriff bieten. Genannt werden hier Authentifizierungs-, Identitäts- oder Zugangsverwaltungssysteme. Sie müssen die Integrität gespeicherter, übermittelter oder anderweitig verarbeiteter Daten, ob personenbezogener oder sonstiger Daten, Befehle, Programme und Konfigurationen vor einer Manipulation schützen. Ihre Beschädigung muss gemeldet werden. Außerdem muss sichergestellt werden, dass Schwachstellen durch (automatische) Sicherheitsaktualisierungen behoben werden können.

Die normativen Anforderungen legt die IEC 62443 fest, die wichtigste Sicherheitsnorm der Automatisierungsindustrie. Diese Sicherheitsanforderungen des CRA zu erfüllen und die IEC 62443 umzusetzen, ist keine einfache Aufgabe - weder für Hersteller noch für Integratoren und Betreiber: Nicht nur, dass die speziellen Anforderungen an die Vernetzung mit Routern und smarten Geräten oft nicht im Fokus liegen. Viele Unternehmen sind per se keine IT-Sicherheitsspezialisten und verfügen nur über limitierte IT-Sicherheitskapazitäten in einem allgemeinen Sicherheitsumfeld wie IT Security Management Systems (EN ISO 270001). Zudem sind Verantwortlichkeiten oft nicht klar definiert und es fehlt die Expertise.

Public-Key-Infrastruktur (PKI)

Mit elektronischen Zertifikaten können die wichtigsten Sicherheitsanforderungen des CRA realisiert werden: Sie werden über eine Public Key Infrastruktur (PKI) bereitgestellt. Eine PKI gilt als das sicherste Verfahren für die Vernetzung von IoT-Geräten und industriellen Steuerungssystemen. Sie ist eine asymmetrische Kryptographietechnologie, die mit öffentlichen und privaten Schlüsseln einen vertraulichen Datenaustausch ermöglicht. Die Daten werden dafür signiert und verschlüsselt. Digitale Zertifikate erzeugen einen Zertifizierungspfad und stellen die Authentizität der Schlüssel sicher.

Über die Zertifikate der PKI greifen vier Schutzmechanismen: Die initiale Geräteidentität in der Produktion beim Hersteller wird durch eine zertifikatsbasierte Authentifizierung im Netzwerk sichergestellt – ein Geburtszertifikat identifiziert und authentifiziert das jeweilige Gerät, so dass ein sicherer Kommunikationskanal ins Internet aufgebaut werden kann.

Elektronische Zertifikate sichern auch das Update Management ab: Die PKI prüft darüber die Authentizität der Software, so dass keine Malware eingeschleust oder unerlaubte Änderungen vorgenommen werden können. Die Firmware-Updates durch den Hersteller sind signiert. Über Zertifikate kann ebenfalls die Autorisierung von Updates von Drittanbietern gesteuert werden.

Dritter Anwendungsfall ist der sichere Gerätestart, das Secure Boot. Hierbei wird gewährleistet, dass die Firmware der Geräte vor jedem Start authentifiziert ist und sie über einen sicheren Integritätscode verfügen. Eine PKI ermöglicht auch die sichere Inbetriebnahme eines Geräts bei seinem Betreiber – nach einer Authentisierung wird eine lokale Geräteidentität generiert.

Secure Development Lifecycle

Die CRA konforme Entwicklung von Steuergeräten und Systemen unter Berücksichtigung industrieller Sicherheitsstandards gemäß IEC 62443 gelingt mit einem Secure Development Lifecycle (SDL) Ansatz. Eine Bestandsaufnahme des Produkts mit Gap-Analyse zu CRA-Anforderungen macht hier den Anfang. Dem schließt sich im Rahmen von Security Requirements Engineering / TARA eine Bedrohungs- und Schwachstellenanalyse und Risikobewertung an, um Sicherheitsanforderungen spezifizieren zu können. Danach werden im Security Architecture Engineering Prozess Sicherheitskonzeption und -architektur entwickelt.

Geschützt müssen auch die Update- und Boot-Prozesse der ICS-Komponenten sein – hier greift das Embedded Security Engineering, bei dem kryptographische Funktionen implementiert werden. Unternehmen benötigen nun leistungsfähige Testwerkzeuge, um ihre ICS- Produkte herstellerunabhängig auf Sicherheit und Konformität mit der IEC 62443 und individuellen Sicherheitsanforderungen zu testen – unter anderem in Form von Robustheitstests, Code-Analysen oder Penetrationstests. Danach sind Produkt-Evaluierungen nach IEC 62443 sinnvoll.

Fazit

Industrieunternehmen müssen bei der Entwicklung ihrer Steuerungen den CRA berücksichtigen, einen sicheren Produktlebenszyklus, Konformität und Schwachstellenmanagement gewährleisten und dabei die Industrienorm IEC 62443 umsetzen. Eine PKI mit Signatur-Services für Firm- und Software bzw. elektronischen Zertifikaten gewährleistet die Datensicherheit in der Kommunikation der Infrastruktur und ein Secure Development Lifecycle (SDL) Ansatz die CRA konforme Entwicklung von Steuergeräten und Systemen. All diese Anforderungen lassen sich auch mit einem Security-Partner bewältigen.

(ID:50040946)