So, rüsten sich Unternehmen für die Security-Anforderungen

Cyber Resilience Act
Drei Sofortmaßnahmen für Unternehmen

10/23/2024

Von Fraunhofer IEM

4 minutes Lesedauer

Anbieter on the topic

On October 10, the EU Cyber Resilience Act (CRA) was passed and approved by the Mindestanforderungen government for the security system. Das Fraunhofer IEM hat drei Tipps, was Unternehmen jetzt tun sollten, um sich für den CRA zu rüsten.

In its Secure Engineering Laboratory in Paderborn unterstützt das Fraunhofer IEM Unternehmen dabei, ihre Prozesse und Produkte den neuen EU-Richtlinien anzupassen.(Image: Fraunhofer IEM) — In its Secure Engineering Laboratory in Paderborn unterstützt das Fraunhofer IEM Unternehmen dabei, ihre Prozesse und Produkte den neuen EU-Richtlinien anzupassen.

(Image: Fraunhofer IEM)

The date of the Cyber Resilience Act (CRA) was announced and made official: October 10, 2024 was approved. Damit Gelten AB Dem November 2027 Für Eine Vielzahl Vernetzter Geräte und Deren Software EU-Weite Neue Mindestanforderungen en Puncto Security-Schwachstellenmeldepflichten Gelten Schon Schon Ab August 206 Produkte security writing for the European market is completed and, without the slightest cost, no branch is permitted. The Fraunhofer IEM was built with Unternehmen such as Adesso Mobile Solutions, Connext, Phoenix Contact and Kraft Maschinenbau seit vielen Jahren Security-Maßnahmen – and gave tips, such as Unternehmen sich für den CRA rüsten können.

„Die Übergangsfrist, bis der CRA 2027 voll erfüllt werden muss ist kurz. Unternehmen müssen sich in vielen Bereichen neu aufstellen – angefangen von der Durchführung von Security-Risikoanalysen über kurzfristige Meldepflichten bei Bekanntwerden von Schwachstellen bis hin zu kostenfreien Security-Updates während der Erwarteten Lebensdauer des Produkts. E Aufschieben gilt nicht, denn bei Nichteinhaltung des CRA drohen Strafzahlungen in Millionenhöhe“, erläutert Dr. Matthias Meyer, Bereichsleiter Softwaretechnik und IT-Sicherheit am Fraunhofer IEM.

End of November 2024, the Cyber Resilience Act EU-weit in Kraft, the erste CE-relevant Regulierung zum Thema Cybersecurity für Produkte; dann starten auch die Übergangsfristen. (Image: Sikov - stock.adobe.com)

O Forschungsinstitut empfiehlt Unternehmen, jetzt drei Maßnahmen zu ergreifen, um den Weg zur CRA-konformen Produktentwicklung zu startnen. „Die schnelle Reaktion auf das Bekanntwerden von Schwachstellen undsistematische Risikoanalysen sind essenzielle Maßnahmen zur Erfüllung der CRA-Anforderungen: Unternehmen, die diese Maßnahmen jetzt angehen, sind schon sehr gut unterwegs. Zusätzlich brought a first supportive analysis to product research and process clarity for weitere Vorgehen,” said Meyer.

1. Aufbau eines Schnelleinsatzteams für den Ernstfall

Werden Hersteller gewahr, dass Schwachstellen in ihren Produkten ausgenutzt werden, informieren sie künftig die Agentur der Europäischen Union für Cybersicherheit (ENISA): Innerhalb von 24 Stunden müssen sie eine erste Warnung geben und innerhalb von 72 Stunden weitere Details zur Art der Schwachstelle mö glichen Ge genmaßnahmen and more holidays. Make sure you answer one question for each person, that health security can be improved, and that you are looking for a better, more suitable software solution. It was created to create a Product Security Incident Response Team (PSIRT): The person responsible, however, did not establish PSIRT, it was established, therefore, please, and not for everyone Product on the market, also known as the long deadline for manufacturing CRA.

BEST IN THE INDUSTRY AWARD

Stimmen Sie jetzt für die Besten der Besten!

The big online voting for the 2024 Best in Industry Awards has begun. Stimmen Sie heute noch für die spannendsten Innovationen aus den Bereichen Fertigung und Konstruktion, Prozessindustrie sowie Labor- und Medizintechnik!

2. Bedrohungs- und Risikoanalysen als zentrales Instrument

I am Kern verlangt der CRA, the manufacturer of your product regelmäßig auf Sicherheitsrisiken analisieren und an diese Risiken angepasste Sicherheitsmaßnahmen integrieren. Unternehmen müssen das Durchführen von Bedrohungs- und Risikoanalysen für alle Produkte fest in den Entwicklungsprozess prozess integrieren: So identify sie systematically Bedrohungen, bewerten das jeweilige Sicherheitsrisiko und leit informiert und gezielt Schutz- und Gegenmaßnahmen ab. The security level of the software may be continuous and may be impaired. Entwicklungsteams erlangen ein neues Sicherheitsbewusstsein und teure, aber eigentlich unnötige Maßnahmen werden sogar vermieden.

3. Überblick durch Ist-Stand-Analyse

Die ersten beiden Maßnahmen sind wichtig, werden aber nicht ausreichen: Unternehmen müssen sich ein Bild davon machen, welche Anforderungen des CRA sie erfüllen, und zwar sowohl bezüglich ihrer Prozesse im Produktlebenszyklus als auch der konkreten Produkte. Even if no harmonized standards are approved by the CRA, it is expert knowledge of the existing standards for industrial cybersecurity IEC 62443 and appropriate guidance guidance. Unternehmen müssen is also not warten, sondern können schon jetzt Ist-Stands-Analysen für ihre Prozesse und Produkte durchführen und Maßnahmen availableiten und somit wertvolle Zeit bei der Umsetzung des CRA gewinnen.

Industrial Security gewährleistet die Verfügbarkeit von Machinen and Anlagen sowie die Integrität und Vertraulichkeit von maschinellen Daten und Prozessen. (Image: Pilz GmbH & Co KG)

Contact Phoenix Contact, Miele and our partners

The Fraunhofer IEM experience is based on long-term projects with limited resources.

So, unterstützten die Wissenschaftlerinnen und Wissenschaftler bereits 2018 Phoenix Contact dabei, sich als eines der ersten Unternehmen nach der Cybersicherheitsnorm IEC 62443-4-1 zertifizieren zu lassen, indem sie auf die Firma angepasste Methode zur Bedrohungs- und Risikoanaly erar beiteten.

Stand on 04/15/2021

This is for a trusted person who will be evaluated for your personal data. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detailed information can be found in our data list.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel Communications Group GmbH & Co. 7/9, 97082 Würzburg einschließlich aller mit ihr im Sinne der §§ 15 ss. AktG sends messages (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newsletter nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletter erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print-and Digital-Mediaangebote und Services wie weitere (editorial) newsletter, Gewinnspiele, Lead-Kampagnen , Market Forschung in online and offline services, specialized online portal and e-learning training. When a personal telephone number is used, we give it to you for the promotion of the original product and the supply of the original product and the market offer genutzt werden.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug fürsen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne this Einwilligung für die hier genannten Zwecke verwendet werden.

Law in Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrafbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Newsletter Editor.

Seitdem hat das Fraunhofer IEM die Methode weiterentwickelt und in zahlreichen Bedrohungsanalyse-Workshops und Schulungen angewendet, z. B. with Kraft Maschinenbau. „We do not take any risk of risk for our product. Unsere Mitarbeiter:innen erlernten im Workshop mit dem Fraunhofer IEM auch ein systematisches Vorgehen für künftige Bedrohungsanalysen und steigerten ihr Sicherheitsbewusstsein“, said Geschäftsführer Jörg Timmermann.

An insurance, of its long-lasting products also nach Markteinführung sicher bleiben, stellte Miele mit dem Fraunhofer IEM bereits im Jahr 2021 ein eigenes PSIRT-Team auf. Durch’s Stakeholder Interviews are, auf bestehenden Unternehmensprozessen aufzubauen und klar definierte Prozess-Schnittstellen zu Schaffen.

The Construction and Practice Podcast from Fachmagazin zum Hören informs the schnell and unterhaltsam über spannende Technikthemen – diesmal: Methoden der Risikoabschätzung. (Image: © Stockwerk-Fotodesign / ©korkeng – stock.adobe.com)

In Vorbereitung auf die Norm für industrielle Cybersicherheit IEC 62443 ermittelte KEB den Ist-Stand seiner Entwicklungsprozesse. Das Fraunhofer IEM führte dazu Interviews with Führungskräften und Safety-Expert:innen des Unternehmens durch und half KEB, weitere nötige Tätigkeiten zur Umsetzung der Norm zu planen, deren Aufwand abzuschätzen und die Normumsetzung systematically voranzutreiben.

Damit alle an der Softwareentwicklung beteiligten Mitarbeitenden auf dem Laufenden bleiben und ihre Softwareentwicklung stets verbessern, arbeitet das Fraunhofer IEM auch im Bereich der Mitarbeitenden-Weiterbildung z. B. with Adesso Mobile Solutions and Connext zusammen. Beide Unternehmen setzen seit Jahren Security-Champions como Multiplikatoren for thema Cybersecurity in your Softwareentwicklung ein.

(ID:50215064)

Weiterführende Inhalte