Unser Engagement für Cybersicherheit
Vernetzte industrielle Computersysteme spielen eine immer wichtigere Rolle in der modernen Fertigung, im intelligenten Transportwesen, bei autonomen Systemen, Edge-AI-Anwendungen und zahlreichen weiteren anspruchsvollen Einsatzbereichen. Damit gewinnt auch die Cybersicherheit zunehmend an Bedeutung und ist heute ein wesentlicher Bestandteil der Zuverlässigkeit und Qualität industrieller Produkte.
Gemeinsam mit unserem Technologiepartner Neousys Technology setzen wir uns dafür ein, die Cybersicherheit unserer angebotenen Produkte mit digitalen Elementen kontinuierlich weiterzuentwickeln. Dabei orientieren wir uns an den Anforderungen des europäischen Cyber Resilience Act (CRA) und unterstützen die entsprechende Ausrichtung der Produktentwicklung sowie des gesamten Produktlebenszyklus.
Unser gemeinsamer Ansatz berücksichtigt die Cybersicherheit über den gesamten Produktlebenszyklus hinweg. Dies umfasst die Produktkonzeption und Entwicklung ebenso wie den Umgang mit Sicherheitslücken, Sicherheitsupdates, technische Dokumentationen und den laufenden Produktsupport.
Der EU Cyber Resilience Act (CRA) – ein Überblick
Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, legt europaweit einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die auf dem europäischen Markt bereitgestellt werden.
Die Verordnung gilt für Produkte mit digitalen Elementen, die direkt oder indirekt mit einem anderen Gerät oder Netzwerk verbunden sind. Abhängig von ihrer Funktionalität und ihrem vorgesehenen Einsatzzweck können daher auch industrielle Computerplattformen, Embedded-PCs sowie zugehörige Hard- und Softwarelösungen unter den Anwendungsbereich des CRA fallen.
Der Cyber Resilience Act definiert Anforderungen an die Cybersicherheit über den gesamten Produktlebenszyklus. Dazu gehören insbesondere:
Bewertung von Cybersicherheitsrisiken und sichere Produktentwicklung
Sicherheitsanforderungen für Produkte mit digitalen Elementen
Identifizierung, Behandlung und Behebung von Sicherheitslücken
Sicherheitsupdates und kontinuierliche Produktpflege
Koordinierte Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure)
Technische Dokumentation und Bereitstellung relevanter Cybersicherheitsinformationen
Transparenz innerhalb der Lieferkette und bei eingesetzten Softwarekomponenten
Konformitätsbewertung und Einhaltung regulatorischer Anforderungen
Meldung aktiv ausgenutzter Sicherheitslücken und schwerwiegender Sicherheitsvorfälle
Damit verändert der CRA den bisherigen Stellenwert der Cybersicherheit: Sie wird nicht mehr als optionale Produkteigenschaft betrachtet, sondern ist ein fester Bestandteil der Produktentwicklung und des gesamten Produktlebenszyklus.
In Zusammenarbeit mit Neousys Technology verfolgen wir die regulatorischen Entwicklungen und berücksichtigen die daraus resultierenden Anforderungen bei der Bereitstellung unserer industriellen Computerlösungen.
Statement von Omtec
„Der Cyber Resilience Act (CRA) stellt neue Anforderungen an die Cybersicherheit industrieller Computersysteme und wird die Entwicklung und den Einsatz vernetzter Produkte nachhaltig prägen. Für Unternehmen ist es daher wichtig, sich frühzeitig mit den neuen Vorgaben auseinanderzusetzen und bei der Auswahl ihrer Industrie-PCs und Embedded-Systeme auf zukunftsorientierte und sichere Technologien zu setzen. Bei OMTEC verfolgen wir diese Entwicklungen gemeinsam mit unserem Technologiepartner Neousys Technology und legen großen Wert darauf, unsere Kunden bei der Auswahl geeigneter Lösungen und der Berücksichtigung der neuen Anforderungen zu unterstützen. Unser Anspruch ist es, nicht nur leistungsfähige Hardware bereitzustellen, sondern auch langfristige Perspektiven für einen sicheren und zuverlässigen Einsatz industrieller Computersysteme zu schaffen.“
– Daniel Kunze, Vertriebsleiter OMTEC Vertriebs GmbH
Kurzinfo: CRA
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Er verpflichtet Hersteller unter anderem dazu, Sicherheitslücken zu beheben, Sicherheitsupdates bereitzustellen und die IT-Sicherheit über den gesamten Produktlebenszyklus hinweg zu berücksichtigen.
Der Zeitplan zur Umsetzung des Cyber Resilience Act
Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten. Die einzelnen Anforderungen werden schrittweise eingeführt. Für Hersteller und Anbieter digitaler Produkte ergeben sich dabei folgende wichtige Stichtage:
11. Juni 2026 – Konformitätsbewertungsstellen
Ab diesem Zeitpunkt gelten die Bestimmungen zur Meldung und Benennung von Konformitätsbewertungsstellen. Diese Einrichtungen übernehmen im Rahmen des CRA bestimmte Aufgaben bei der Bewertung der Konformität von Produkten mit den geltenden Cybersicherheitsanforderungen.
11. September 2026 – Meldepflichten für Sicherheitsvorfälle
Ab dem 11. September 2026 gelten die Meldepflichten des CRA für aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle. Hersteller müssen die dafür vorgesehenen Meldeverfahren und Fristen der Verordnung einhalten.
11. Dezember 2027 – Vollständige Anwendbarkeit der CRA-Anforderungen
Ab dem 11. Dezember 2027 gelten die wesentlichen Anforderungen des Cyber Resilience Act vollständig für Produkte mit digitalen Elementen, die in den Anwendungsbereich der Verordnung fallen und auf dem EU-Markt bereitgestellt werden.
Dazu zählen unter anderem die geltenden Cybersicherheitsanforderungen, der Umgang mit Sicherheitslücken, die technische Dokumentation, die Konformitätsbewertung sowie weitere Verpflichtungen der Hersteller.
Gemeinsam mit unserem Technologiepartner Neousys Technology bereiten wir uns auf die jeweils geltenden Anforderungen des CRA vor. Dabei werden die Produkt- und Lebenszyklusprozesse kontinuierlich weiterentwickelt, um den europäischen Anforderungen an die Cybersicherheit und den zukünftigen regulatorischen Entwicklungen Rechnung zu tragen.
Unser Ansatz zur Umsetzung des Cyber Resilience Act (CRA)
Gemeinsam mit unserem Technologiepartner Neousys Technology verfolgen wir einen ganzheitlichen Ansatz zur Umsetzung der Anforderungen des Cyber Resilience Act. Im Mittelpunkt stehen die kontinuierliche Verbesserung der Produktsicherheit, ein verantwortungsvoller Umgang mit Sicherheitslücken sowie die Berücksichtigung von Cybersicherheitsanforderungen über den gesamten Produktlebenszyklus hinweg.
Cybersicherheit von Anfang an – Security by Design
Bereits bei der Entwicklung und technischen Konzeption industrieller Computersysteme werden Aspekte der Cybersicherheit berücksichtigt. Gemeinsam mit Neousys Technology achten wir dabei auf mögliche Sicherheitsrisiken, die sich aus der Produktarchitektur, den Funktionen und den jeweiligen Einsatzumgebungen ergeben können.
Dazu gehören insbesondere:
Bewertung potenzieller Cybersicherheitsrisiken
Schutz vor unbefugtem Zugriff und unerwünschten Sicherheitslücken
Sichere Konfiguration und Inbetriebnahme der Systeme
Berücksichtigung von Schnittstellen und Netzwerkverbindungen
Sicherheitsaspekte bei Software, Firmware und integrierten Komponenten
Die konkret verfügbaren Sicherheitsfunktionen und Konfigurationsmöglichkeiten können je nach Produktmodell, Betriebssystem, Firmware und individueller Einsatzumgebung variieren.
Management und Behebung von Sicherheitslücken
Der CRA legt besonderen Wert auf den systematischen Umgang mit Sicherheitslücken während des jeweiligen Produktunterstützungszeitraums.
In Zusammenarbeit mit Neousys Technology werden Prozesse zur Identifizierung, Bewertung und Behebung potenzieller Sicherheitsprobleme unterstützt. Dazu zählen unter anderem:
Überwachung relevanter Sicherheitsmeldungen zu eingesetzten Produktkomponenten
Bewertung gemeldeter Sicherheitslücken hinsichtlich ihrer Auswirkungen und Ausnutzbarkeit
Abstimmung der Sicherheitsanalysen mit relevanten internen und externen Stellen
Entwicklung und Bereitstellung geeigneter Sicherheitsupdates und Maßnahmen
Information betroffener Kunden über relevante Sicherheitsprobleme, sofern erforderlich
Dabei ist zu beachten, dass nicht jede bekannt gewordene Sicherheitslücke einer Drittanbieterkomponente automatisch eine tatsächliche Schwachstelle im jeweiligen Neousys-Produkt darstellt. Entscheidend sind unter anderem die konkrete Produktkonfiguration, die Ausnutzbarkeit und die möglichen Auswirkungen.
Koordinierte Meldung von Sicherheitslücken
Ein verantwortungsvoller und koordinierter Umgang mit Sicherheitslücken ist ein wichtiger Bestandteil des Cyber Resilience Act.
Sicherheitsforscher, Kunden, Partner und andere Beteiligte sollen die Möglichkeit haben, vermutete Sicherheitslücken über die dafür vorgesehenen Meldekanäle von Neousys Technology zu melden.
Eingehende Meldungen werden hinsichtlich ihrer Relevanz und möglicher Auswirkungen auf betroffene Produkte bewertet. Sofern erforderlich, werden Maßnahmen zur Behebung sowie die Kommunikation mit betroffenen Kunden entsprechend den geltenden Sicherheits- und Regulierungsvorgaben abgestimmt.
Meldung von Sicherheitslücken:
Für vertrauliche Meldungen zu möglichen Sicherheitslücken sollten ausschließlich die dafür vorgesehenen Sicherheitskontaktkanäle von Neousys Technology genutzt werden. Allgemeine Vertriebs- oder technischen Supportkanäle sind hierfür nicht vorgesehen, sofern ein spezieller Meldekanal zur Verfügung steht.
Sicherheitsupdates und Produktlebenszyklus
Der CRA verpflichtet Hersteller dazu, Sicherheitslücken während des jeweils geltenden Produktunterstützungszeitraums angemessen zu behandeln.
Gemeinsam mit Neousys Technology richten wir unseren Blick daher nicht nur auf die Sicherheit bei der Auslieferung, sondern auch auf die langfristige Produktpflege. Werden bei unterstützten Produkten relevante Sicherheitslücken festgestellt, sollen geeignete Sicherheitsupdates oder andere Korrekturmaßnahmen bereitgestellt werden.
Die Verfügbarkeit entsprechender Updates kann vom jeweiligen Produkt, Betriebssystem, der Firmware, verwendeten Drittanbieterkomponenten, der technischen Umsetzbarkeit und dem geltenden Produktunterstützungszeitraum abhängen.
Für produktspezifische Informationen zu verfügbaren Updates und empfohlenen Sicherheitsmaßnahmen sollten Kunden stets die aktuellen Produktdokumentationen und offiziellen Sicherheitshinweise von Neousys Technology berücksichtigen.
Transparenz bei Softwarekomponenten
Moderne industrielle Computersysteme bestehen aus zahlreichen Softwarekomponenten. Dazu gehören Betriebssysteme, Firmware, Treiber, Bibliotheken sowie weitere Softwarelösungen von Drittanbietern und aus dem Open-Source-Bereich.
Eine transparente Dokumentation dieser Komponenten ist wichtig, um potenzielle Sicherheitsrisiken frühzeitig erkennen und bewerten zu können.
Gemeinsam mit Neousys Technology berücksichtigen wir deshalb die Transparenz eingesetzter Softwarekomponenten bei der Produkt- und Sicherheitsdokumentation. Soweit durch die geltenden CRA-Anforderungen vorgesehen, werden relevante Informationen zu Softwarekomponenten auch im Rahmen der technischen Dokumentation des Herstellers gepflegt.
Detaillierte Informationen, beispielsweise in Form einer Software Bill of Materials (SBOM), können abhängig von den regulatorischen Anforderungen, dem jeweiligen Produkt, Sicherheitsaspekten und den geltenden Offenlegungsbedingungen bereitgestellt werden.
Sicherheitsdokumentation und Kundeninformationen
Eine sichere Nutzung industrieller Computersysteme setzt voraus, dass Kunden über die notwendigen Informationen zur Installation, Konfiguration, Wartung, Aktualisierung und Außerbetriebnahme ihrer Produkte verfügen.
Der CRA legt deshalb besonderen Wert auf eine transparente und nachvollziehbare Sicherheitsdokumentation.
In Zusammenarbeit mit Neousys Technology unterstützen wir die Weiterentwicklung entsprechender Produktinformationen und Dokumentationen. Je nach Produkt können diese unter anderem folgende Inhalte umfassen:
Sichere Installation und Erstkonfiguration der Systeme
Sicherheitsrelevante Produkteinstellungen und Konfigurationshinweise
Informationen zu Sicherheitsupdates und deren Installation
Angaben zum Produktlebenszyklus und Unterstützungszeitraum
Sicherheitshinweise und Informationen zu bekannten Schwachstellen
Sichere Außerbetriebnahme von Produkten und Entfernung gespeicherter Daten
Für produktspezifische Informationen empfehlen wir grundsätzlich, die jeweils aktuelle Produktdokumentation und die offiziellen Mitteilungen von Neousys Technology zu berücksichtigen.
Hinweis: Die beschriebenen Maßnahmen und Sicherheitsfunktionen können je nach Produktmodell und dessen Anwendungsbereich variieren. Maßgeblich sind die jeweiligen Herstellerangaben und die geltenden regulatorischen Anforderungen.
Häufige Fragen zum Cyber Resilience Act (CRA) und zur Cybersicherheit
Der neue EU Cyber Resilience Act stellt Unternehmen und Hersteller vor wichtige Anforderungen an die Cybersicherheit digitaler Produkte. Hier beantworten wir die wichtigsten Fragen rund um die Verordnung, ihre Auswirkungen und die Anforderungen an industrielle Computersysteme kurz und praxisnah:
Was bedeutet der Cyber Resilience Act für Ihr Unternehmen?
Erfahren Sie, welche Anforderungen künftig für Industrie-PCs und Embedded-Systeme gelten, worauf Sie bei der Auswahl Ihrer Systeme achten sollten und wie wir Sie gemeinsam mit unserem Technologiepartner Neousys Technology auf dem Weg zu mehr Cybersicherheit und CRA-Konformität unterstützen.