CRA für Industrieautomation: IEC 62443 und OT-Sicherheit

Die meisten SPS-, SCADA- und Prozessleitsystem-Produkte sind Standardprodukte im Geltungsbereich. Sie sind nicht automatisch Important oder Kritisch. Die Klassifizierung richtet sich nach der Kernfunktionalität des Produkts, nicht nach dem Sektor, in dem es eingesetzt wird. Eine Fertigungs-SPS bleibt Default. Eine SPS, die mit einer integrierten Firewall als Kernfunktion vermarktet wird, steigt auf Klasse II. IEC 62443 bietet eine tragfähige technische Grundlage für den CRA. Die verbleibende Lücke ist die SBOM: IEC 62443 hat diese nie gefordert.

Dieser Leitfaden behandelt die CRA-Compliance für Hersteller von Industrieautomation.

Welche Industrieprodukte sind erfasst?

CRA-Geltungsbereich für Industrieautomation

Der CRA gilt für „Produkte mit digitalen Elementen", die auf dem EU-Markt bereitgestellt werden. Für die Industrieautomation zählt dazu:

Eindeutig im Geltungsbereich:

• SPS (speicherprogrammierbare Steuerungen)
• Industrie-PCs und HMIs
• SCADA-Software
• Prozessleitsysteme (DCS)
• Industrial-IoT-Sensoren und -Gateways
• Industrierouter und -Switches
• Fernzugriffslösungen
• Engineering-Arbeitsplätze und -Software

Ausnahmen können gelten:

• Produkte ausschließlich für die nationale Sicherheit
• Produkte für militärische Verwendung
• Kundenspezifische Einzelanfertigungen (können als „Ersatzteile" gelten)

CRA-Klassifizierung für Industrieprodukte

Die Klassifizierung richtet sich nach der vermarkteten Kernfunktionalität, nicht nach dem Installationsort des Produkts (Artikel 7 Absatz 1). Eine SPS in einer Kernkraftanlage ist Default, wenn ihre Kernfunktion die Industriesteuerung ist. Ein Router in einem Büro ist Important Klasse I, wenn er für die Verbindung mit dem Internet vorgesehen ist. Der Sektor bestimmt nicht die Klasse. Die Funktion bestimmt die Klasse.

IEC 62443 und CRA-Abstimmung

Was ist IEC 62443?

IEC 62443 ist die internationale Normenreihe für die Sicherheit von Industrial Automation and Control Systems (IACS). Sie umfasst:

• IEC 62443-4-1: sicherer Entwicklungslebenszyklus.
• IEC 62443-4-2: Komponenten-Sicherheitsanforderungen (4 Security Level, SL 1 bis SL 4).
• IEC 62443-3-3: System-Sicherheitsanforderungen.
• IEC 62443-2-4: Dienstleisteranforderungen.

IEC 62443 ↔ CRA-Abdeckung auf einen Blick

Wo IEC 62443-Nachweise direkt auf CRA-Anforderungen passen, wo sie nur einen Teil der Pflicht abdecken und wo der CRA neue Pflichten ergänzt.

IEC 62443 ↔ CRA-Zuordnung

IEC 62443 als Grundlage, nicht als Gleichwertigkeit

Was IEC 62443 bietet:

• Starke technische Sicherheitsgrundlage.
• Ausgereifter sicherer Entwicklungslebenszyklus.
• Gut dokumentierte Sicherheitsfähigkeiten.
• Nachweise für die Konformitätsbewertung.

Was der CRA über IEC 62443 hinaus ergänzt:

• SBOM-Anforderungen. IEC 62443 enthält keine entsprechende Anforderung.
• Meldung aktiv ausgenutzter Schwachstellen: Frühwarnung binnen 24 Stunden, Schwachstellenmeldung binnen 72 Stunden, Abschlussbericht innerhalb von 14 Tagen nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme. CSIRT als Koordinator und ENISA erhalten Meldungen gleichzeitig über die Einheitliche ENISA-Meldeplattform.
• Meldung schwerwiegender Vorfälle: gleiche 24-Stunden-/72-Stunden-Frühwarnung, aber der Abschlussbericht ist innerhalb von einem Monat nach der 72-Stunden-Vorfallsmeldung fällig, nicht nach 14 Tagen. Ein Vorfall ist schwerwiegend, wenn er die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit wichtiger Funktionen beeinträchtigt oder zur Ausführung von Schadcode führt (Artikel 14 Absatz 5).
• Nutzerbenachrichtigung: Nach Bekanntwerden einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls müssen Hersteller betroffene Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall sowie über Abhilfe- oder Korrekturmaßnahmen informieren (Artikel 14 Absatz 8).
• CE-Kennzeichnung und EU-Konformitätserklärung.
• Supportzeitraum, der die zu erwartende Produktlebensdauer widerspiegelt. Fünf Jahre sind die absolute Untergrenze nach CRA Artikel 13 Absatz 8.
• Spezifische Anforderungen an das Dokumentationsformat (Anhang VII).
• Koordinierung der Marktüberwachung.

IEC 62443 für den CRA nutzen

Wenn Sie bereits eine IEC 62443-4-1- oder -4-2-Zertifizierung haben, fangen Sie nicht bei null an. Sie verfügen über etwas, das die meisten Software-Hersteller beim Einstieg in den CRA nicht haben: einen dokumentierten SDL und geprüfte Sicherheitsfähigkeiten. Die praktische Frage ist, ob IEC 62443 irgendwann eine harmonisierte CRA-Norm unter Mandat M/606 wird. Wenn ja, könnten Important-Klasse-I-Hersteller Modul A ohne notifizierte Stelle nutzen. Das ist noch nicht geklärt. Prüfen Sie den Status der harmonisierten Normen, bevor Sie Ihren Konformitätsweg planen.

1. Wenn Sie eine IEC 62443-4-1-Zertifizierung haben. Verwenden Sie die SDL-Dokumentation für die technische Dokumentation nach CRA wieder, weisen Sie Ihren sicheren Entwicklungslebenszyklus nach und nutzen Sie sie als Nachweis für den Ansatz der Risikobewertung.
2. Wenn Sie eine IEC 62443-4-2-Zertifizierung haben. Verwenden Sie die Dokumentation der Sicherheitsfähigkeiten wieder, bilden Sie jedes erreichte Security Level auf die grundlegenden Anforderungen des CRA ab und legen Sie sie als Nachweis für die Umsetzung der Sicherheitsfunktionen vor.
3. Ergänzen Sie die CRA-spezifischen Punkte. Erzeugen Sie eine SBOM, richten Sie die ENISA-Meldefähigkeit für beide Melde-Tracks ein, bereiten Sie die EU-Konformitätserklärung vor und bringen Sie die CE-Kennzeichnung an.

OT-spezifische Compliance-Herausforderungen

Update- und Patching-Herausforderungen

Industrieumgebungen unterliegen besonderen Einschränkungen bei Updates.

Herausforderungen:

• 24/7-Betrieb ohne Wartungsfenster.
• Revalidierung sicherheitsbezogener Systeme nach Updates.
• Integration von Legacy-Systemen.
• Air-Gapped- oder teilvernetzte Umgebungen.
• Lange Qualifizierungszyklen.

CRA-Anforderungen gelten weiterhin:

• Sicherheitsupdates müssen während des gesamten Supportzeitraums bereitgestellt werden. Mindestens fünf Jahre, bei längerer Nutzungsdauer entsprechend länger (CRA Artikel 13 Absatz 8).
• Es muss ein Mechanismus zur Bereitstellung von Updates vorhanden sein. Durchgehende Online-Konnektivität ist nicht vorgeschrieben, aber die Fähigkeit muss vorhanden sein.
• Schwachstellen müssen in angemessener Zeit behoben werden.

Die Update-Pflichten sind real, aber der CRA schreibt keinen bestimmten Bereitstellungskanal vor. Die Herausforderung besteht darin, den Kanal so zu gestalten, dass er innerhalb der OT-Randbedingungen funktioniert. Den Leitfaden für Sicherheitsupdates finden Sie für Bereitstellungsansätze bei eingebetteten, eigenständigen und Air-Gapped-Architekturen.

1. Gestufter Rollout. Zuerst Testumgebungen, dann Pilot-Produktionslinien, danach der volle Rollout mit Überwachung.
2. Update-Planung. Koordinieren Sie mit geplanter Wartung, informieren Sie Wochen oder Monate im Voraus und unterstützen Sie kundenseitig geplante Update-Zyklen.
3. Offline-Bereitstellung. USB-basierte Update-Pakete, Update-Server innerhalb des OT-Netzwerks oder sichere Dateiübertragungsmechanismen für Air-Gapped-Standorte.
4. Safety-Revalidierung. Dokumentieren Sie die Update-Auswirkung auf Sicherheitsfunktionen, stellen Sie eine Revalidierungsanleitung bereit und erwägen Sie Safety-Security-Co-Engineering.

Lange Produktlebenszyklen

Industrieprodukte haben oft Lebenszyklen von 15 bis 20+ Jahren, der CRA verlangt jedoch nur mindestens fünf Jahre.

Dokumentationsbedarf:

• Kommunizieren Sie den Supportzeitraum beim Kauf klar.
• Geben Sie ein End-of-Support-Datum an.
• Dokumentieren Sie die Kundenverantwortlichkeiten nach Supportende.

Integration von Safety und Security

Industrieprodukte haben häufig Safety-Anforderungen (SIL-Stufen nach IEC 61508 / ISO 13849). Der CRA ergänzt Security-Anforderungen.

SBOM für Industriesysteme

Herausforderungen bei der Komponentenidentifikation

Industrieprodukte enthalten oft:

• Echtzeit-Betriebssysteme (RTOS).
• Proprietäre Firmware.
• Drittanbieter-Bibliotheken (OPC UA, MQTT, Modbus-Stacks).
• Hardware-Komponenten mit Firmware.

1. Software-Komponenten. RTOS und Kernel, Protokoll-Stacks (OPC UA, Modbus, EtherNet/IP, PROFINET), Sicherheitsbibliotheken (TLS, Krypto), Drittanbieter-Middleware und Anwendungssoftware.
2. Firmware. Bootloader, Geräte-Firmware und feldprogrammierbare Komponenten.
3. Tiefe. Primärkomponenten sind herstellerkontrolliert, fordern Sie SBOMs von Lieferanten für Drittanbieter-Komponenten an und gehen Sie so tief wie praktisch möglich in verschachtelte Komponenten.

Komplexität der Lieferkette

Industrieprodukte haben häufig komplexe Lieferketten.

Maßnahmen:

• Aktualisieren Sie Lieferantenvereinbarungen um SBOM-Anforderungen.
• Etablieren Sie ein SBOM-Austauschformat mit Lieferanten.
• Richten Sie einen Prozess zur SBOM-Integration ein.
• Dokumentieren Sie Einschränkungen der Lieferkette.

Konformitätsbewertung für Industrieprodukte

Modul B+C (EU-Baumusterprüfung)

Für Important Klasse II-Industrieprodukte:

1. Modul B, Baumusterprüfung. Die notifizierte Stelle prüft Vollständigkeit der technischen Dokumentation, Angemessenheit der Risikobewertung, Abdeckung der Sicherheitsanforderungen, eine als Nachweis vorgelegte IEC 62443-Zertifizierung, SBOM-Qualität und Testergebnisse. Ergebnis: EU-Baumusterprüfbescheinigung.
2. Modul C, Konformität mit dem Baumuster. Der Hersteller stellt sicher, dass die Produktion dem geprüften Baumuster entspricht, führt die interne Qualitätssicherung in der Produktion durch und hält die Dokumentation aktuell. Ergebnis: Eigenerklärung der Konformität mit dem Baumuster.

IEC 62443-Zertifizierung nutzen

Wenn Sie eine IEC 62443-4-2-Zertifizierung haben:

1. Der notifizierten Stelle vorlegen. Reichen Sie das IEC 62443-4-2-Zertifikat, das erreichte Security Level (SL 1 bis SL 4), gegebenenfalls das ISASecure-Zertifikat und den Bewertungsbericht ein.
2. Bewertung durch die notifizierte Stelle. Die notifizierte Stelle erkennt IEC 62443 als Nachweis an, verifiziert die Abdeckung der CRA-Anforderungen, identifiziert etwaige Lücken und kann den Testumfang reduzieren.
3. Zusätzliche Nachweise weiterhin erforderlich. SBOM (nicht durch IEC 62443 abgedeckt), ENISA-Meldefähigkeit für beide Melde-Tracks, dokumentierte Zusage zum Supportzeitraum, der die zu erwartende Produktlebensdauer widerspiegelt (Untergrenze fünf Jahre nach Artikel 13 Absatz 8), und Benutzerdokumentation.

Branchenspezifische Anleitung

Praktische Compliance-Roadmap

Was wann gilt

Bereits auf dem Markt befindliche Produkte

Wenn Ihr Produkt vor dem 11. Dezember 2027 auf dem EU-Markt bereitgestellt wurde, müssen Sie nachträglich keine Konformitätsbewertung, keine technische Dokumentation und keine CE-Kennzeichnung nachrüsten. Maßgeblich ist, wann das Produkt auf dem Markt bereitgestellt wurde, nicht wann es hergestellt wurde. Eine Einheit einer bestehenden Produktlinie, die Sie ab dem 11. Dezember 2027 auf dem EU-Markt bereitstellen, muss zum Zeitpunkt des Verkaufs vollständig CRA-konform sein.

Änderung eines bestehenden Produkts

Eine Änderung ist wesentlich, wenn sie die Konformität mit den grundlegenden Anforderungen an die Cybersicherheit beeinträchtigt oder den Bestimmungszweck ändert, gegen den das Produkt bewertet wurde. Ein wesentlich geändertes Produkt unterliegt ab dem Zeitpunkt seiner erneuten Bereitstellung auf dem Markt der vollständigen CRA-Compliance. Die Person, die die Änderung vornimmt und das Produkt erneut auf dem Markt bereitstellt, wird für CRA-Zwecke zum Hersteller. Das ist relevant für OT-Systemintegratoren, die Produkte von Drittanbietern modifizieren und weiterverkaufen.

Die Definition ist in der Verordnung enthalten. Wie sie auf spezifische OT-Änderungen anzuwenden ist, bedarf noch einer Klärung durch die Kommission.

Klasse II- und Kritisch-Produkte: Jetzt mit der Suche nach einer notifizierten Stelle beginnen

Die Mitgliedstaaten sollen bis Dezember 2026 über ausreichende Kapazitäten an notifizierten Stellen verfügen. Die Kapazitäten können in der frühen Übergangsphase noch begrenzt sein. Eine Verzögerung bei der Beauftragung einer notifizierten Stelle verschiebt Ihren CE-Kennzeichnungs-Zeitplan. Warten Sie nicht bis 2027.

Branchenressourcen

Normungsorganisationen

• IEC (Internationale Elektrotechnische Kommission). IEC 62443-Normenreihe. iec.ch
• ISA (International Society of Automation). Entwicklung ISA/IEC 62443, ISASecure-Zertifizierungsprogramm. isa.org
• NAMUR (Interessengemeinschaft Automatisierungstechnik der Prozessindustrie). NE-Empfehlungen für OT-Sicherheit. namur.net
• NIST. Cybersecurity Framework, SP 800-82 (OT-Sicherheitsleitfaden). nist.gov

Branchenverbände

Wenn Sie Maschinen mit digitalen Elementen herstellen, lesen Sie unseren Leitfaden für Maschinenhersteller mit konkreten Hinweisen zur Doppel-Compliance nach CRA und EU-Maschinenverordnung.

Checkliste für Industrieautomation

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Compliance-Beratung wenden Sie sich an qualifizierte Rechtsberater.