Mit dem Cyber Resilience Act (CRA), der NIS2-Richtlinie und der neuen EU-Maschinenverordnung schafft die Europäische Union einen erweiterten regulatorischen Rahmen für IT- und OT-Sicherheit. Eine Analyse von NTT DATA zeigt zentrale Inhalte und Auswirkungen der drei Vorgaben auf Unternehmen.
Foto: NTT DATA DACH
Christian Koch, Senior Vice President Cybersecurity IoT/OT, Innovations und Business Development bei NTT DATA DACH
Cyberangriffe auf industrielle Anlagen und Maschinen stellen für Unternehmen zunehmend ein konkretes Risiko dar. Ursachen sind unter anderem unsichere Fernwartungszugänge oder unzureichendes Patch-Management. Gleichzeitig hat sich die technische Ausgangslage verändert: Produktionsumgebungen sind heute eng mit IT-Systemen vernetzt, wodurch neue Angriffsflächen entstehen. Vor diesem Hintergrund verschärft die Europäische Union ihre regulatorischen Anforderungen. Mit dem Cyber Resilience Act (CRA), der NIS2-Richtlinie und der neuen EU-Maschinenverordnung werden erstmals umfassende Vorgaben, Meldepflichten und Sanktionsmechanismen etabliert.
Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Komponenten, Sicherheitsaspekte bereits in der Entwicklungsphase systematisch zu berücksichtigen. Produkte dürfen keine bekannten Schwachstellen aufweisen, und auch Standardkonfigurationen müssen sicher ausgelegt sein. Zudem sind technische Maßnahmen erforderlich, um unbefugte Zugriffe und Manipulationen zu verhindern.
Darüber hinaus sieht der CRA vor, dass Hersteller über den gesamten Lebenszyklus hinweg Sicherheitsupdates und Patches bereitstellen. Auch die aktive Kommunikation von Schwachstellen gegenüber Kunden und Behörden ist verpflichtend. Für industrielle Komponenten wie Steuerungen, Gateways oder IoT-Geräte bedeutet dies eine neue regulatorische Einordnung: Sie gelten nicht mehr nur als funktionale Elemente, sondern als sicherheitskritische Systeme mit kontinuierlichem Wartungsbedarf.
Mit der neuen EU-Maschinenverordnung wird der Sicherheitsbegriff im industriellen Umfeld erweitert. Cyberrisiken sind künftig integraler Bestandteil der Bewertung von Maschinensicherheit. Hersteller müssen nachweisen, dass vernetzte Maschinen auch unter Bedingungen wie Cyberangriffen, fehlerhaften Daten oder gestörten Verbindungen sicher betrieben werden können.
Die Verordnung fordert zudem robuste Steuerungs- und Sicherheitssysteme, die sowohl gegenüber Angriffen als auch gegenüber technischen Fehlern widerstandsfähig sind. Änderungen an Software und Parametern müssen nachvollziehbar dokumentiert werden. Zusätzlich entstehen Anforderungen für den Einsatz von KI in Maschinen, insbesondere im Hinblick auf Transparenz von Entscheidungen und die Begrenzung möglicher Fehlfunktionen.
Die NIS2-Richtlinie verlagert das Thema Cybersicherheit stärker in die unternehmerische Verantwortung. Unternehmen in kritischen und wichtigen Sektoren sind verpflichtet, Cyberrisiken systematisch zu analysieren und geeignete technische sowie organisatorische Maßnahmen umzusetzen. Sicherheitsvorfälle müssen innerhalb definierter Fristen gemeldet werden.
Die Anforderungen gehen dabei über klassische IT-Sicherheitsmaßnahmen hinaus und beziehen ausdrücklich auch Produktions- und OT-Umgebungen ein. Zudem wird die Lieferkette stärker berücksichtigt, wodurch Risiken bei Zulieferern und Dienstleistern regulatorisch relevant werden.
Für die Unternehmensleitung ergeben sich daraus erweiterte Verantwortlichkeiten. Versäumnisse im Bereich Cybersicherheit können haftungs- und sanktionsrechtliche Konsequenzen nach sich ziehen.
Christian Koch, Senior Vice President Cybersecurity IT/OT, Innovations & Business Development bei NTT DATA DACH erklärt:
„Weder NIS2, die EU-Maschinenverordnung noch der CRA sind reine Bußgeldthemen, sondern längst zentrale Voraussetzungen für den Marktzugang und die Wettbewerbsfähigkeit. Nur die Unternehmen, die diese Anforderungen konsequent umsetzen, bauen die notwendigen internen Sicherheitsstrukturen auf und erhöhen langfristig ihre Krisenfestigkeit. Und damit letztendlich auch das Vertrauen bei Kunden und Partnern.“
