Werkspilot

    Leistung für Maschinen- und Anlagenbauer

    Cybersecurity-Risikobeurteilung nach Maschinenverordnung und CRA – je Anlagentyp, unterschriftsreif in zwei Wochen.

    Ab dem 20. Januar 2027 gilt die Maschinenverordnung (EU) 2023/1230. Mit ihr gehört der Schutz gegen Korrumpierung zu den grundlegenden Anforderungen, die vor der CE-Kennzeichnung erfüllt sein müssen (Anhang III Nr. 1.1.9 und 1.2.1). Das betrifft die Verbindung mit anderen Geräten, auch über USB und Fernzugriff, sowie sicherheitsrelevante Software und Daten. Ab dem 11. Dezember 2027 verlangt der CRA zusätzlich eine dokumentierte Risikobeurteilung der Cybersicherheit für das Produkt selbst (Art. 13 Abs. 2 und 3).

    Beides entsteht aus einer Bedrohungsanalyse je Anlagentyp. Die Maschinenverordnung nutzt daraus die Szenarien, die eine Sicherheitsfunktion treffen, der CRA die Zuordnung zu Anhang I samt Restrisiken. Wir erstellen diese Basisbeurteilung in zwei Terminen mit Ihrer Konstruktion, nach zwei Wochen liegt sie unterschriftsreif vor. Je Auftrag wird danach nur dokumentiert, was sich gegenüber dem Anlagentyp ändert.

    Erstgespräch anfragen

    Die Beurteilung endet an der Schnittstelle zum Kundennetz

    Die erste Entscheidung fällt vor der ersten Bedrohung: Wo endet die Anlage? Die praktikabelste Grenze ist bisher diese: Das Kundennetz bleibt draußen, die Schnittstelle dorthin gehört dazu. In der Beurteilung stehen damit:

    • das Anlagennetz mit Feldbus (PROFINET, EtherCAT), Steuerungen und Antrieben
    • die Bedienebene: HMI und lokale Bedienpanels
    • USB-Ports und Wechseldatenträger
    • Fernwartungsrouter und VPN-Zugang
    • die Firewall zum Kundennetz und die MES/ERP-Anbindung, meist über OPC UA
    • der physische Zugang zum Schaltschrank
    • der Inbetriebnahme-Laptop, der während der Inbetriebnahme in mehreren Netzen hängt

    Nicht Teil der Beurteilung sind das IT-Netz des Betreibers und die Firmware zugekaufter Komponenten. Was in einer zugekauften SPS steckt, bewertet deren Hersteller; auf seine Advisories darf sich der Anlagenbauer stützen.

    Zwei Termine, dazwischen die Bedrohungsanalyse

    1. 1

      Systemaufnahme

      Mit Engineering oder Projektleitung nehmen wir den Anlagentyp auf: Netzbild, Komponenten, Schnittstellen, Fernwartungsweg und die Annahmen über die Einsatzumgebung.

    2. 2

      Bedrohungsanalyse

      Wir stellen die sechs STRIDE-Fragen je Schnittstelle, bewerten die Risiken, legen Maßnahmen fest und ordnen jede Zeile CRA Anhang I zu, bei betroffener Sicherheitsfunktion zusätzlich MVO Anhang III.

    3. 3

      Durchsprache mit der Konstruktion

      Im zweiten Termin gehen wir die Ergebnisse mit der Konstruktion durch. Sie unterschreibt die Beurteilung, und der Termin ist dafür da, dass sie weiß, was sie unterschreibt.

    Nach zwei Wochen liegt die Beurteilung unterschriftsreif vor.

    Die fertige Beurteilung hat sechs Bestandteile

    1. Systembeschreibung mit Netzbild, Zonen und Datenflüssen, Einsatzumgebung und Annahmen
    2. Bedrohungsanalyse je Schnittstelle nach STRIDE
    3. Risikobewertung mit Maßnahmen, referenziert auf IEC 62443-3-3 und -4-2
    4. Zuordnung zu CRA Anhang I für die technische Dokumentation und zu MVO Anhang III für die Risikobeurteilung nach EN ISO 12100
    5. Restrisiken mit Begründung und die Annahmen, die in die Betriebsanleitung gehören
    6. Pflegeregel: wann die Beurteilung angefasst wird und wie das Delta je Auftrag dokumentiert wird

    Auch Sondermaschinen brauchen eine Beurteilung je Anlagentyp, nicht je Auftrag

    Der häufigste Einwand lautet: „Jede unserer Anlagen ist ein Unikat.“ Für die Cyber-Bedrohungslage stimmt das selten. Die Angriffsfläche bestimmen Steuerungsplattform, Bedienebene, Fernwartungsweg und die Anbindung ans Kundennetz, und die wiederholen sich über das Portfolio. Deshalb schneiden wir die Beurteilung nach Steuerungsplattform und Schnittstellen zu, nicht nach Auftrag.

    Die Kommission liest den CRA genauso: Für Varianten mit gleicher Architektur und gleichen Risiken genügt eine gemeinsame Risikobeurteilung, abweichende Schnittstellen oder ein anderer Fernzugang müssen darin abgebildet werden (Leitlinien C(2026) 5252, Rn. 174 bis 176, nicht rechtsverbindlich). Genau das ist das Delta je Auftrag: zusätzliche Schnittstellen, die konkrete MES-Anbindung, abweichende Komponenten.

    Eine vorhandene Vorlage prüfen wir als Gap-Analyse

    Wer schon eine eigene Vorlage oder erste Beurteilungen hat, fängt nicht neu an. Wir prüfen das Dokument gegen MVO Anhang III Nr. 1.1.9 und 1.2.1, CRA Art. 13 und Anhang I sowie die Inhaltsliste für Bedrohungsmodelle aus IEC 62443-4-1 (SR-2) und benennen je Lücke, was ergänzt werden muss.

    Danach wird die Beurteilung zur Vorlage für die weiteren Projekte

    Die Risikobeurteilung ist der einmalige Teil der CRA-Arbeit. In Werkspilot dient sie als Vorlage für weitere Projekte desselben Typs. Laufend bleibt das Schwachstellenmanagement über die ausgelieferten Anlagen. Die Methode und ein durchgespieltes STRIDE-Beispiel an einer Verpackungsmaschine stehen im Fachbeitrag zur Risikobeurteilung.

    Häufige Fragen zur Cyber-Risikobeurteilung

    Nein. Sie deckt Fehlfunktion, Verschleiß und Fehlanwendung ab, nicht den gezielten Eingriff. Das bestehende Dokument bleibt gültig und wird um die Bedrohungsanalyse ergänzt; ersetzt wird es nicht.

    Nein. Je Anlagentyp entsteht eine Basisbeurteilung, je Auftrag ein dokumentiertes Delta. Die Kommissions-Leitlinien zum CRA lassen für Varianten mit gleicher Architektur und gleichen Risiken eine gemeinsame Risikobeurteilung zu (C(2026) 5252, Rn. 174 bis 176). Der Zuschnitt richtet sich nach Steuerungsplattform und Schnittstellen.

    Keine. CRA und Maschinenverordnung sind methodenneutral; die Kommissions-FAQ zum CRA (v1.4, Nr. 4.1.2) verlangt eine Bedrohungsmodellierung, die zur Zweckbestimmung des Produkts passt. Wir arbeiten mit STRIDE je Schnittstelle, einem Raster aus Eintrittswahrscheinlichkeit und Schadensausmaß und der IEC 62443 als Referenz für Maßnahmen.

    Für die Maschinenverordnung bei Maschinen, die ab dem 20. Januar 2027 in Verkehr gebracht werden. Für den CRA bei Produkten, die ab dem 11. Dezember 2027 in Verkehr gebracht werden. Wer in diesem Zeitraum liefert, führt die Beurteilung im laufenden Auftragsbestand ein.

    Ein Netzbild, die Komponentenliste (etwa aus EPLAN), eine Liste der Schnittstellen einschließlich Fernwartungsweg und eine Person aus Engineering oder Konstruktion, die den Anlagentyp kennt. Was fehlt, nehmen wir im ersten Termin gemeinsam auf.

    Nein. Die Risikobeurteilung ist ein Bestandteil der technischen Dokumentation. Konformitätsbewertung und EU-Konformitätserklärung bleiben beim Hersteller, also beim Anlagenbauer, der die Anlage in Verkehr bringt. Wir erstellen die Beurteilung, die Konstruktion unterschreibt sie.

    Erstgespräch zur Risikobeurteilung anfragen.

    30 Minuten zu Anlagentyp, Schnittstellen und Zeitplan. Wir antworten per E-Mail mit Terminvorschlägen.