Wie der Einkauf zur Cybersecurity-Kontrollinstanz wird

In Kraft getreten ist er bereits am 10. Dezember 2024, Meldepflichten für Sicherheitsvorfälle bestehen ab dem 11. September 2026 und mit dem 11. Dezember 2027 wird er verpflichtend anzuwenden sein – gemeint ist der Cyber Resiliance Act (CRA) der Europäischen Union. Die Einkaufsabteilungen vieler Unternehmen, insbesondere aus der Industrie, stehen aktuell vor der Aufgabe, relevante Anforderungen hinsichtlich Cybersecurity und CRA systematisch in ihre Beschaffungsprozesse zu integrieren. Gleichzeitig können Unternehmen, die – wie der Sensorhersteller Sick – als Lieferanten besonders vom CRA „betroffen“ sind, Einkaufsverantwortlichen hierzu wertvolle Hilfestellungen geben. 

Warum der Cyber Resilience Act die Industrie besonders betrifft

Der CRA trifft die Industrie stärker als viele klassische Branchen, weil moderne Maschinen und Anlagen fast immer „Produkte mit digitalen Elementen“ enthalten – also beispielsweise Maschinensteuerungen, Netzwerktechnik, Gateways, IoT-Geräte, Sensoren oder eingebettete Software. Daher hat Sick – auch hierfür – zusammen mit dem Fraunhofer-Institut für Angewandte und Integrierte Sicherheit AISEC das Open-Source-Risikobewertungstool QuBA-libre entwickelt, mit dem alle wesentlichen Aspekte der Cybersicherheit von CRA-relevanten Produkten geprüft werden können.

Zudem betreibt das Unternehmen als erster und derzeit wohl einziger deutscher Hersteller der Branche mit dem SICK Industrial Cybersecurity Testcenter (SICST) ein von der Deutsche Akkreditierungsstelle (DAkkS) offiziell akkreditiertes Prüflabor, das Produkte auf ihre Übereinstimmung mit den Anforderungen der Spezifikation IEC 62443-4-2:2019 prüft und nach dieser Norm Konformitätsbewertungen hinsichtlich der IT-Sicherheit industrieller Automatisierungssysteme durchführen darf.   

Cybersecurity: Den Gefahrenlagen ins Auge blicken

 Durch die Digitalisierung rücken in Unternehmen die Welten der Informationstechnologie (IT) und der operativen Technologie (OT) enger zusammen. Diese Vernetzung mit ihren verschiedenen Schnittstellen und Netzwerkkomponenten bringt bei allen Vorteilen aber auch – sofern nicht abgesichert – das Risiko von Cyberattacken und Manipulation von außen und von innen mit sich. Die Gefahrenlage reicht dabei vom Datendiebstahl, über die Beeinflussung von Prozessen, bis hin zur sogenannten digitalen Geiselnahme der kompletten Daten und Systeme eines Unternehmens. Cyberangriffe können Produktionsstopps- und -ausfälle verursachen, die bis zur Unternehmensinsolvenz führen können.

Der Cyber Resiliance Act (CRA) hat das Ziel, ein Mindestmaß an Cybersicherheit für Prodkte mit digitalen Elementen festzulegen. Er soll gewährleisten, dass nur noch Produkte und Systeme auf den Markt kommen, die keine bekannten ausnutzbaren Schwachstellen aufweisen, durch die die Produkte zum Einfallstor oder zur Angriffsplattform für Cyberattacken werden können. Beschaffungstechnisch verändert der CRA damit erheblich die Rolle des Einkaufs in Unternehmen.

Dieser ist künftig nicht mehr nur für Kriterien wie Preis, Qualität, Lieferfähigkeit und Nachhaltigkeit verantwortlich, sondern wird zu einer zentralen Kontrollinstanz für Cybersecurity-Compliance zu beschaffender Produkte, Maschinen und Anlagen. Gerade in der Automatisierungstechnik und im Maschinenbau – den wohl im industriellen Kontext wichtigsten Anbietern und Nutzern von Produkten mit digitalen Elementen – entstehen für das Beschaffungswesen neue Anforderungen, beispielsweise hinsichtlich Lieferantenauswahl, Lifecycle-Management, Ersatzteilbeschaffung, Softwarepflege und Dokumentationspflichten. 

Lieferantenqualifizierung nach CRA reduziert Lieferantenrisiken – und damit Cybergefahren 

Maschinenbauer, Händler und Integratoren in der EU sind nach Maßgabe des CRA dazu verpflichtet, nur entsprechend der Verordnung konforme Produkte mit digitalen Elementen in Verkehr zu bringen. Für den Einkauf als klassischem Beschaffer bedeutet dies, dass er mit dem CRA zusätzlich zum Compliance-Gatekeeper für Cybersecurity wird.

Lieferanten müssen künftig nachweisen können, dass ihre Produkte das verbindliche Auswahlkriterium der CRA-Konformität erfüllen. Hierzu gehört auch die Existenz einer Software Bill of Materials (SBOM) – also einer vollständigen, strukturierten und maschinenlesbaren Aufstellung aller verwendeten Komponenten, Bibliotheken und Abhängigkeiten.

Geklärt werden müssen auch Fragen zur zeitnahen Bereitstellung und zeitlichen Verfügbarkeit von Security-Updates, zur Untersuchung, Koordination, Offenlegung und Beseitigung von erkannten oder gemeldeten Sicherheitsschwachstellen. Gegebenenfalls gilt es, Supplier-Audits um diese und weitere Security-Aspekte zu erweitern. Verantwortlichkeiten für Cybersicherheit betreffen aber nicht nur einen direkten Lieferanten, sondern gelten entlang der gesamten Lieferkette.

Ein Supplier Risk Management hat also auch zu berücksichtigen, welche operativen und regulatorischen Risiken auftreten können, wenn ein Lieferant Sicherheitslücken nicht behebt oder vom Markt verschwindet. Zu prüfen im Rahmen der CRA-Konformität ist also beispielsweise auch, wie langfristig stabil ein Anbieter ist, ob er Sicherheitsvorfälle innerhalb gesetzlicher Fristen melden kann, ob er über Anlaufstellen und Abläufe für Software-Patches verfügt und ob Notfallprozesse vorhanden sind.

In der Praxis wird der Einkauf dann zusammen mit anderen Fachabteilungen wie IT- und OT-Security, der Rechtsabteilung oder dem Qualitätsmanagement beurteilen können, ob ein mögliches Lieferanten- und damit Cyberrisiko für eine Beschaffungsbeziehung vertretbar ist. 

CRA auch für Nicht-EU-Lieferanten relevant

 Der Einkauf von Produkten mit digitalen Elementen von Herstellern außerhalb der EU bedarf besonderer Aufmerksamkeit. Denn für diese Unternehmen gilt der CRA nicht unmittelbar – wohl aber für Importeure, die deren Produkte in der EU in Verkehr bringen. Folgerichtig tragen sie unter dem CRA eine erhebliche Mitverantwortung und haben zu prüfen, inwieweit die vertretenen Nicht-EU-Hersteller alle Pflichten der Verordnung erfüllen.

Für den Einkauf bringt dies unter anderem Due-Dilligence-Prozesse mit sich, bei denen die wirtschaftlichen, rechtlichen, steuerlichen und finanziellen Verhältnisse von Importeuren und Nicht-EU-Herstellern geprüft werden – mit dem Ziel, potenzielle Lieferanten ohne Compliance-Reife zu identifizieren. Daneben werden in einem Beschaffungsverhältnis, beispielsweise bei Iot-Komponenten und Embedded-Systemen aus Asien, Software aus den USA oder weltweit verfügbaren OEM-Komponenten aus Nicht-EU-Herstellung, im Einkauf sowohl die Dokumentationspflichten als auch die Anforderungen an technische Nachweise steigen. 

 Mit dem CRA verschwimmen in Industrieunternehmen die Grenzen zwischen Einkauf und Engineering, zwischen Cybersecurity und Abteilungen wie Legal und Compliance weiter. Der Einkauf wird noch stärker in frühe Entwicklungsphasen eingebunden – Stichwort Secure Procurement.

Dieser Entwicklung trägt auch das Risikobewertungstool QuBa-Libre Rechnung. Mit einem effizienten Risiko Assessment bietet es die Möglichkeit der Validierung des Cybersecuritystatus von Produkten wie Sensoren oder Edge-Geräten sowie von einfachen Systemen. Das gemeinsam von Sick mit dem Fraunhofer-Institut für Angewandte und Integrierte Sicherheit AISEC entwickelte, fragebogenbasierte Assessment QuBA-libre macht es möglich, Risiken technisch, rechtlich und beschaffungsseitig zu bewerten.

Darüber hinaus generiert das Open-Source-Tool Vorschläge für Gegenmaßnahmen zur Minderung oder Vermeidung identifizierter Risiken. Wie vom CRA gefordert, können dadurch schon in der Konzeptions- und Entwurfsphase Angriffsflächen vermieden und geeignete Schutzmaßnahmen geplant werden. Nach Abschluss der Risikoanalyse erstellt QuBA-libre automatisch eine Maßnahmenliste, die die Ergebnisse zusammenfasst und den Anforderungen der CRA zuordnet.  

Cybersicherheit in der EU-MVO und dem CRA

 Sowohl QuBa-Libre als auch das Cybersecurity-Testcenter tragen wesentlich zur technischen, rechtlichen und beschaffungsseitigen Sicherheit bei SICK-Produkten mit digitalen Elementen bei. Dies ist umso mehr erforderlich, als neben dem CRA mit der Maschinenverordnung (EU) 2023/1230 im Januar 2027 ein weiteres Regelwerk in Kraft tritt, das für die Maschinenbau- und die Automatisierungsbranche relevant ist.

Während sich die Maschinenverordnung (EU) 2023/1230 primär auf Safety, also die physische und funktionale Sicherheit beim Inverkehrbringen von Maschinen, bezieht, fokussiert der CRA den Aspekt der Datensicherheit, der Cybersecurity, von Produkten mit digitalen Elementen. Allerdings adressiert die Maschinenverordnung (EU) 2023/1230 im Gegensatz zur bisherigen Maschinenrichtlinie die Aspekte Softwaresteuerung, Künstliche Intelligenz und vernetzte Maschinen aktiv – und damit auch die Cybersicherheit von Produkten, die in Maschinen zum Einsatz kommen. Denn Cyberangriffe können beispielsweise Sicherheitsrisiken verursachen, in dem sie durch digitale Manipulation physische Sicherheitsfunktionen von Safety-Komponenten außer Kraft setzen.  

Cybersecurity wird also in vielerlei Hinsicht immer mehr zu einem zentralen, festen Bestandteil von Einkaufsorganisationen in Unternehmen. Um Haftungsprobleme, Marktverbote, Bußgelder und Reputationsschäden aufgrund einer möglichen Nichtkonformität mit der europäischen Verordnung zu vermeiden, gibt es zur systematischen Integration der Anforderungen des CRA in industrielle Beschaffungsprozesse keine Alternative.