Cybersicherheit für industrielle Systeme: Strategisch vorbereitet auf den Cyber Resilience Act

Cyber Resilience Act im Zusammenspiel mit ISO/IEC 62443

Der CRA schafft neue Pflichten für alle Akteure entlang der industriellen Wertschöpfungskette: Hersteller, Systemintegratoren, Zulieferer und Betreiber digitaler Produkte müssen Sicherheitsanforderungen umfassend umsetzen, dokumentieren und über den gesamten Produktlebenszyklus nachhalten. Wichtige Elemente wie Security by Design, Schwachstellenmanagement und Update-Prozesse werden verpflichtend.

Die ISO/IEC 62443 wiederum bietet einen bewährten technischen und organisatorischen Rahmen, um genau diese Anforderungen strukturiert umzusetzen. Besonders relevant sind hier die Teile -2-1 (Sicherheitsmanagement), -3-2 (Risikobewertung) und -4-1 (sicherer Entwicklungsprozess).

Was ist die ISO/IEC 62443?

Die ISO/IEC 62443 ist ein international anerkannter Normenverbund zur Cybersicherheit von industriellen Automatisierungs- und Steuerungssystemen (IACS). Sie bietet sowohl für Hersteller als auch für Betreiber einen strukturierten Ansatz zur Absicherung von industriellen Steuerungs- und Fertigungsanlagen. Die Norm deckt dabei den gesamten Lebenszyklus ab: von der Systementwicklung und Integration über den Betrieb bis hin zur Wartung. Durch ihre modulare Struktur erlaubt die ISO/IEC 62443 eine rollenbasierte Umsetzung für Hersteller, Integratoren und Betreiber. Im Kontext des CRA liefert sie die methodische Grundlage, um die gesetzlichen Anforderungen systematisch, risikoorientiert und nachprüfbar zu erfüllen.

Unsere Beratungsleistungen für industrielle Systeme im Bereich Cybersicherheit

1. Gap-Analyse & Risikobewertung

Wir analysieren systematisch bestehende Sicherheitslücken innerhalb Ihrer Organisation und Ihres Produktportfolios. Dabei werden sowohl die CRA-Anforderungen als auch die ISO/IEC 62443 berücksichtigt. Im Fokus stehen u.a.:

• Sicherheitsorganisation nach ISO/IEC 62443-2-1,
• Risikoanalysemethodik nach ISO/IEC 62443-3-2,
• Entwicklungsprozesse nach ISO/IEC 62443-4-1,
• künftige CRA-Pflichten für Hersteller und Betreiber.

2. Normkonforme Umsetzung

Wir begleiten bei der Umsetzung der erforderlichen technischen und organisatorischen Maßnahmen:

• Etablierung von Security by Design & Default,
• Segmentierungsstrategien und Netzwerkarchitekturen,
• Schwachstellenmanagementprozesse,
• Zertifizierungsvorbereitungen nach ISO/IEC 62443,
• Harmonisierung mit den CRA-Anforderungen für CE-Konformität.

3. Dokumentation & Nachweissicherheit

Wir erstellen oder überarbeiten Ihre technische Dokumentation mit Blick auf rechtliche Nachweissicherheit:

• Sicherheitsarchitektur und -analysen,
• Risiko- und Bedrohungsbewertungen,
• Update- und Patch-Strategien,
• Schwachstellenmanagement und Reportingprozesse.

4. Herstellerpflichten & CE-Kennzeichnung

Wir unterstützen bei der praxisgerechten Umsetzung der neuen CRA-Pflichten, u. a.:

• Marktüberwachungs- und Meldepflichten (Art. 11 CRA),
• CE-Kennzeichnung auf Basis der Konformitätsbewertung,
• Dokumentationspflichten gemäß Anhang I und II CRA.

5. Integrationsberatung für Zulieferer und OEMs

Wir moderieren die Abstimmung entlang komplexer Lieferketten:

• Rollendefinition gemäß ISO/IEC 62443 (Asset Owner, System Integrator, Component Supplier),
• Abstimmung von Verantwortlichkeiten zwischen Herstellern und OEMs,
• Vertragsgestaltung zur Absicherung der Haftungs- und Nachweisfragen.

Ihre Vorteile durch unsere integrierte Beratung

Unsere integrierte Beratung bietet Ihnen die Möglichkeit, Synergieeffekte zwischen der ISO/IEC 62443 und dem Cyber Resilience Act optimal zu nutzen und so eine einheitliche und belastbare Cybersicherheitsstrategie zu etablieren.

Durch eine zielgerichtete Maßnahmenplanung vermeiden wir unnötige Überimplementierung und schaffen gleichzeitig eine hohe Zeit- und Kosteneffizienz bei der Umsetzung.

Darüber hinaus stellen wir sicher, dass Ihre Organisation zukunftssicher aufgestellt ist, indem wir die Harmonisierung mit weiteren EU-Digitalgesetzen wie der NIS-2-Richtlinie bereits frühzeitig in die Strategie integrieren.

Zielgruppen

Unsere Leistungen richten sich gezielt an:

• Hersteller und Entwickler vernetzter industrieller Komponenten und Systeme,
• Systemintegratoren und Betreiber kritischer Infrastrukturen,
• OEMs mit Verantwortung für Produkt- und Prozesssicherheit in Europa.