EU Cyber Resilience Act 2024/2847, was Schweizer Maschinen- und Anlagenbauer wissen sollten!
Was ist das?
Der Cyber Resilience Act ist die EU-Verordnung für die Cybersicherheit von Produkten mit digitalen Elementen. Er gilt unmittelbar in allen EU-Staaten und erfasst Produkte, die eine direkte oder indirekte, logische oder physische Datenverbindung zu einem Gerät oder Netz haben. Damit fallen die meisten modernen Industrieanlagen in den Geltungsbereich, auch Maschinen ohne Netzanschluss, die einen USB-Port oder eine Sensoranbindung haben. Ausgenommen sind Produkte ohne jede Datenverbindung und einige Bereiche mit eigenen Regeln, etwa Medizinprodukte oder Fahrzeuge.
Trifft Sie das?
Prüfen Sie für Ihr Portfolio, ob eine der folgenden Aussagen zutrifft:
-
Ihre Maschine hat eine SPS oder ein HMI.
-
Ihre Steuerung hat einen USB-Port oder eine Wartungsschnittstelle.
-
Ihre Anlage kommuniziert mit anderen Geräten, einer Leitebene oder einem Netz.
-
Sie bauen Steuerungskomponenten von Dritten ein und liefern die Maschine unter eigenem Namen aus.
-
Sie spielen Software-Updates aus der Schweiz auf Anlagen in der EU auf.
Trifft mindestens ein Punkt zu und gelangt die Maschine in die EU, sind Sie sehr wahrscheinlich Hersteller im Sinne des Cyber Resilience Act. Damit gelten die Pflichten zur Behandlung von Schwachstellen, zu Sicherheitsupdates, zu Meldungen und zur technischen Dokumentation.
Was steht auf dem Spiel?
Der Cyber Resilience Act sieht drei Stufen von Bussgeldern vor, wobei jeweils der höhere Betrag gilt:
-
bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes bei Verstössen gegen die grundlegenden Cybersicherheitsanforderungen und die Pflichten der Hersteller, einschliesslich der Meldepflichten
-
bis 10 Millionen Euro oder 2 Prozent bei Verstössen gegen die übrigen Pflichten
-
bis 5 Millionen Euro oder 1 Prozent bei falschen, unvollständigen oder irreführenden Angaben gegenüber Behörden
Im Anlagenbau wiegt der Ausschluss vom Markt oft schwerer:
-
Die Marktüberwachungsbehörden können verlangen, dass ein Produkt vom Markt genommen oder zurückgerufen wird.
Hinweis zur Cyber-Versicherung, kein Teil des Cyber Resilience Act:
-
Versicherer könnten bei grober Fahrlässigkeit die Deckung einschränken. Compliance und Versicherbarkeit hängen enger zusammen, als es auf dem Papier scheint.
Für Verwaltungsrat und Geschäftsleitung heisst das:
-
Die Cybersicherheit der eigenen Produkte ist eine Frage der Unternehmensführung, kein IT-Detail.
Stichtage
10. Dezember 2024
-
Inkrafttreten der Verordnung.
11. Juni 2026
-
Die Regeln für die Konformitätsbewertungsstellen gelten.
11. September 2026
-
Seit diesem Tag gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, auch für Produkte, die schon im Feld stehen.
11. Dezember 2027
-
Die Verordnung gilt vollständig, mit den Anforderungen an Entwicklung, Konformitätsbewertung und Dokumentation für neu in Verkehr gebrachte Produkte.
"Wir bauen Maschinen, keine Software"
Das ist der häufigste Einwand im Maschinenbau, und er trägt nicht. Sobald Ihre Maschine eine SPS, ein HMI oder eine Datenverbindung hat, ist sie ein Produkt mit digitalen Elementen. Das gilt auch für Anlagen mit USB-Service-Port, mit Sensorbus oder mit gelegentlichem Zugang über einen Wartungslaptop. Die Frage ist nicht, ob Sie betroffen sind, sondern mit welchen Pflichten.
Bestandsanlagen, Umbauten und Meldepflicht
Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, fallen nur dann unter die Anforderungen an Entwicklung und Konformitätsbewertung, wenn sie danach wesentlich verändert werden. Das ist der Bestandsschutz. Er hat zwei Grenzen.
Erstens hebt eine wesentliche Veränderung den Bestandsschutz auf. Darunter fallen zum Beispiel Software-Updates, die die Zweckbestimmung ändern oder das Risiko erhöhen. Reine Sicherheitsupdates, die das Risiko senken, ohne die Zweckbestimmung zu ändern, gelten nicht als wesentliche Veränderung.
Zweitens gilt die Meldepflicht nach Artikel 14 für alle Produkte, auch für ältere Anlagen. Bei einer aktiv ausgenutzten Schwachstelle läuft sie in drei Schritten über die Meldeplattform der ENISA an das zuständige CSIRT:
-
innert 24 Stunden eine Frühwarnung
-
innert 72 Stunden eine Meldung mit den verfügbaren Angaben zur Schwachstelle
-
spätestens 14 Tage, nachdem eine Korrektur verfügbar ist, ein Abschlussbericht
„Aktiv ausgenutzt“ heisst: Es gibt verlässliche Hinweise, dass jemand die Schwachstelle ohne Erlaubnis nutzt. Für schwerwiegende Sicherheitsvorfälle gelten ähnliche Fristen.
Der Unterstützungszeitraum, in dem Sie Sicherheitsupdates liefern, beträgt in der Regel mindestens fünf Jahre. Ist die erwartete Nutzungsdauer kürzer, richtet er sich nach ihr. Im Anlagenbau mit langer Nutzungsdauer wird er entsprechend länger.
Lieferkette und Haftung
Wer eine Maschine unter eigenem Namen in der EU in Verkehr bringt, ist Hersteller, auch wenn Steuerung, Antrieb und Sensorik zugekauft sind. Die Verantwortung für die Cybersicherheit der ganzen Maschine liegt bei ihm, einschliesslich der eingebauten Komponenten. Daraus folgen Sorgfalt bei der Auswahl der Komponenten, Meldungen an deren Hersteller, die Behebung gegenüber den Endkunden und vertragliche Anforderungen an die Lieferanten zu SBOM, Updates und Schwachstelleninformationen.
Wo es kompliziert wird
Drei Fragen sind in der Praxis erfahrungsgemäss heikel. Was zählt als wesentliche Veränderung, die den Bestandsschutz aufhebt? Ab wann läuft die Frist von 24 Stunden, ab dem Verdacht oder ab der Bestätigung? Wie tief muss eine SBOM gehen? Die Antworten hängen von Ihrem Portfolio, Ihrem Servicemodell und Ihrer Lieferkette ab. Darum klären wir sie pro Produkt.
Warum die drei Verordnungen zusammen?
Der Cyber Resilience Act kommt nicht allein. Die Maschinenverordnung verlangt Schutz gegen Manipulation, die Ökodesign-Verordnung setzt den Rahmen für Produktinformationen.
Alle drei verlangen belastbare Angaben über das Produkt, seinen Lebensweg und seine digitalen Bestandteile. Darum klären wir sie gemeinsam ab, mit einem Fragenkatalog und einem Bericht pro Produkt.