Der CRA für Industrieautomatisierung und Elektronik

01Typische Produkte

• SPS und dezentrale Peripherie (Remote I/O)
• HMI-Panels und Bedienterminals
• Vernetzte Sensoren und Messgeräte
• Motorantriebe und Motion Controller
• Industrielle Gateways, Router und Switches

02Wahrscheinliche CRA-Klasse

Die meisten SPS, HMIs, Sensoren und Antriebe fallen in die Standardkategorie; ihre Kernfunktionen fallen unter keine Kategorie aus Anhang III oder IV.

Es gibt Ausnahmen: Industrierouter und -switches gehören zu Anhang III Klasse I („Router, Modems für die Internetanbindung und Switches“), und Geräte, deren Kernfunktion Firewall oder Angriffserkennung ist, gehören zur Klasse II. Ein Produkt, das als Netzwerkmanagementsystem arbeitet, gehört ebenfalls zur Klasse I.

Der Einsatz eines Mikrocontrollers mit Sicherheitsfunktionen macht ein Produkt nicht automatisch zu einem Produkt der Klasse I; die Klasse richtet sich nach der Kernfunktion des Produkts. Prüfen Sie Ihr Produkt mit unserem Klassencheck.

03Weitere geltende Vorschriften

• NIS-2-Richtlinie (Richtlinie (EU) 2022/2555): Wesentliche und wichtige Einrichtungen in Sektoren wie Energie, Wasser, Verkehr und verarbeitendes Gewerbe müssen die Sicherheit ihrer Lieferkette steuern (Artikel 21). Diese Kunden verlangen von Zulieferern eine SBOM, die Behandlung von Schwachstellen und Update-Zusagen.
• Maschinenverordnung (Verordnung (EU) 2023/1230): Gilt ab dem 20. Januar 2027. Ihre Anforderungen nach Anhang III Nummer 1.1.9 (Schutz gegen Korrumpierung) und 1.2.1 (Sicherheit und Zuverlässigkeit von Steuerungen) erfassen auch böswillige Versuche. Eine vernetzte Maschinenkomponente kann sowohl unter diese Verordnung als auch unter den CRA fallen.
• IEC 62443: Eine in der Industrieautomatisierung weit verbreitete Normenreihe zur Cybersicherheit. Kunden und Auditoren beziehen sich häufig darauf. Wie sie mit dem CRA zusammenhängt, erklärt der Leitfaden zu IEC 62443 und CRA.

04Besondere Herausforderungen der Branche

• Sehr lange Produktlebensdauer: Geräte, die 10 bis 20 Jahre im Feld laufen; Unterstützungszeitraum und Update-Plan müssen das berücksichtigen.
• Update-Fenster: Ein Gerät in einer Produktionslinie lässt sich nicht zu jedem beliebigen Zeitpunkt aktualisieren; Updates müssen sicher und überprüfbar sein.
• Kundenaudits: Kunden, die unter NIS 2 fallen, verlangen von Zulieferern Unterlagen für ihre eigenen Audits; dieselben Nachweise für jeden Kunden neu aufzubereiten kostet Zeit.
• Gemischte Software-Stacks: RTOS, Embedded Linux und Protokollstacks Dritter nebeneinander erschweren das Komponenteninventar.

05Was die Plattform hier leistet

• Erstellt das Komponenteninventar aus Firmware-Images und SBOMs von Zulieferern und prüft es fortlaufend auf neue Schwachstellen.
• Priorisiert Schwachstellen anhand von CISA KEV und EPSS; die Ausgabe in CSAF 2.0 und OpenVEX liefert Ihren Kunden maschinenlesbare Nachweise.
• Erfasst von den Geräten gemeldete Manipulations- und Speicherbeschädigungsereignisse; kritische Geräteereignisse legen automatisch einen Bewertungsdatensatz an, und Ihr Team entscheidet, ob sie gemeldet werden müssen.
• Überwacht die Fristen nach Artikel 14 ab dem Zeitpunkt der Kenntniserlangung.
• Signierte OTA-Updates mit A/B-Partitionen und Rollback-Schutz.
• Entwürfe der technischen Dokumentation und ein signiertes Nachweisarchiv mit RFC-3161-Zeitstempel, 10 Jahre unverändert aufbewahrt; dieselben Nachweise nutzen Sie in Kundenaudits erneut.

06Häufige Fragen