INDUSTRIELLE AUTOMATION 2/2024

KOMPONENTEN UND SOFTWARE
darunter Systeme der Gebäudeautomation oder programmierbare
Steuerungen für Montagelinien.
Darauf reagiert auch der Gesetzgeber: So erweitert das IT-
Sicherheitsgesetz 2.0 den Betreiberkreis Kritischer Infrastrukturen
und macht unter anderem Systeme zur Angriffserkennung
verpflichtend. Auch die neue Europäische Maschinenverordnung
(MVO), die ab 2027 anstelle der Maschinenrichtlinie verpflichtend
anzuwenden sein wird, justiert nach. Sie ergänzt das
Risikomanagement um die gestiegenen Anforderungen der vernetzten
Industrie. Dafür rückt sie die Themen Cybersecurity
und Künstliche Intelligenz in den Fokus. Für Betreiber von Maschinen
und Anlagen ist das Thema der Cybersecurity mit der
TRBS 1115 Teil 1 bereits seit November 2022 relevant.
Die technischen Entwicklungen und die verschärften rechtlichen
und normativen Vorgaben spiegelt das Enhanced Risk
Assessment von TÜV SÜD wider. Die Experten kombinieren die
Gefährdungs- beziehungsweise Risikobeurteilung mit der Bewertung
der Cybersecurity. Sie orientieren sich eng an der IEC 62443 –
der wichtigsten Normenreihe für die IT-Sicherheit industrieller
Automatisierungssysteme und Kommunikationsnetze. Die Normenreihe
IEC 62443 umfasst alle Hard- und Softwarekomponenten
von Steuerungssystemen sowie die für deren Errichtung und
Betrieb nötigen Prozesse. Sie formuliert Schutzkonzepte und
CYBERMANIPULATIONEN KÖNNEN
FATALE FOLGEN FÜR MITARBEITER
UND UNTERNEHMEN HABEN
Leitfäden und teilt Netzwerke in Zonen, die bestimmte Sicherheitslevel
erreichen müssen. So erfassen Unternehmen auch bislang
unerkannte durch Cyberbedrohungen induzierte Risiken
und können Gegenmaßnahmen implementieren.
ENHANCED RISK ASSESSMENT IN DER PRAXIS
Je nach Anlage, Produkt und Umfeld legt das Unternehmen eigene
Schutzziele fest, die sich aus der IEC 62443 ableiten. Dabei
sind alle Lebensphasen eines Systems inbegriffen, von der Entwicklung
über die Implementierung bis hin zur Wartung und
Stilllegung. Die Mitarbeiter aus der Maschinen- und Anlagensicherheit,
der IT und OT definieren in enger Zusammenarbeit mit
den Sachverständigen geeignete Maßnahmen. Wie lässt sich beispielsweise
der unerlaubte Zugriff auf einen remote gesteuerten
Fertigungsroboter verhindern? Etwa dadurch, dass der Fernzugriff
zeitlich beschränkt wird und durch einen Maschinenexperten
vor Ort freigegeben werden muss. Ergänzend dazu reicht es
nicht, beispielsweise eine Fernzugriffsmöglichkeit aus Sicht der
Cybersecurity zu bewerten; auch die Arbeitssicherheitsprozeduren
müssen an die neuen Arbeitsweisen angepasst werden, um
die Sicherheit der Personen vor Ort weiterhin zu gewährleisten.
Der Fokus des ERA liegt auf dem Zusammenspiel von bestehenden
und neu zu implementierenden Maßnahmen zum
Schutz gegen Cyberkriminalität. Die Resilienz von bestehenden
Sicherheitskonzepten wird durch geeignete Safety- und Security-
Maßnahmen anforderungsgerecht erweitert. So kann in manchen
Fällen eine rein mechanische Komponente wie ein Endanschlag
ein wichtiger Bestandteil eines Sicherheitskonzepts sein:
er ist weder vernetzt noch programmier- oder parametrierbar
und bietet somit keine Angriffsfläche für Cyberangriffe. Mehr
Cybersicherheit darf jedoch nicht zulasten der Bedienbarkeit
Das ERA ermöglicht, Schutzmaßnahmen aus
den Bereichen Safety und Security präzise
aufeinander abzustimmen, ohne dass neue
Risiken entstehen. Zugleich bleiben die Systeme
zugänglich für die Bedienung und Instandhaltung.
So entsteht ein anforderungsgerechtes
Sicherheits-Niveau ohne Effizienzverluste,
das die Widerstandskraft der Unternehmen
und damit das Vertrauen ihrer Kunden stärkt.
Andreas Michael, Industrial IT Security Expert,
TÜV SÜD Industrie Service GmbH
gehen. Beispielsweise ist es notwendig, einen geeigneten Kompromiss
zwischen Cybersecurity-Maßnahmen und der Zugänglichkeit
für Wartung und Reparatur zu finden. Das ERA-Konzept
unterstützt die Unternehmen bei der Erstellung ihrer Safety- und
Cybersecurity-Bewertungen und sensibilisiert darüber hinaus
die Mitarbeiter für Bedrohungen durch Cyberangriffe.
Bild: Aufmacher Andrii Yalanskyi – stock.adobe.com, Portrait TÜV SÜD
www.tuevsued.de
UNTERNEHMEN
TÜV SÜD Industrie Service GmbH
Westendstr. 199
80686 München
Telefon 089/5792 - 0
AUTOREN
Michael Pfeifer, Experte für Maschinensicherheit
und I4.0 und Andreas Michael,
Industrial IT Security Expert, beide bei der
TÜV SÜD Industrie Service GmbH,
www.industrielle-automation.net INDUSTRIELLE AUTOMATION 2024/02 39