Was fordert der CRA von OEMs?
Der CRA fordert Sicherheit in jeder Phase: Design, Bereitstellung, Ausführung und Wartung. Wenn man es auf sein wesentliches Element reduziert, läuft es auf drei Fragen hinaus. Beantworte sie ehrlich und du weißt, woran du bist.
Frage 1: Ist Ihre Organisation sicher?
Nicht nur Ihre Produkte, Ihre Organisation. Können Sie Ihren Markt bedienen, Support leisten und auf einem Niveau agieren, das Sie gerne kommunizieren würden?
Am einfachsten lässt es sich als Ihre Cybersicherheitskultur betrachten. Ist Cybersicherheit in Ihrer Organisation so verankert, wie es mit der Arbeitssicherheit vor 15-20 Jahren in der Fertigungskultur geschah?
Frage 2: Sind Ihre Angebote Secure by Design und Secure by Default?
Dies sind zwei Fachbegriffe, die man auseinanderhalten sollte. Hier müssen OEM nachweisen können, dass die Cybersicherheit während des gesamten Design- und Entwicklungsprozesses berücksichtigt wurde, was die CE-Zeichen und die Einhaltung der Norm IEC 62443 ermöglicht.
Sicher durch Design = Wie die Maschine gebaut ist
Dazu gehört, wie es entworfen und wie es verbunden ist und wie Menschen physisch oder aus der Ferne darauf zugreifen.
Secure by Default = der Zustand bei Auslieferung
Das bedeutet, es ist mit möglichst wenig unnötigen Dingen und den wenigsten Haken gebaut. Die Maschinen sind geschützt und lassen sich nicht durch nachgelagerte Akteure sperren.
Frage 3: Können Sie fortlaufenden Support und Updates bereitstellen?
Diese ist vorgeschrieben. Das ist auch, was OEM am häufigsten unterschätzen.
Sie können am Tag des Versands überprüfen, ob Ihr Produkt frei von Viren ist, aber wie werden Sie neue und aufkommende Schwachstellen im Laufe der Zeit verfolgen? Schwachstellen treten in der Regel auf, nachdem ein Angreifer Versionen dieser Ausrüstung in die Hände bekommt und nach Wegen sucht, um einzudringen.
Das bedeutet, dass Ihre Haltung immer aktiv sein muss. Sie wissen, was Sie verkauft haben, und was die Berichte zu Bedrohungsinformationen und Schwachstellen Ihnen darüber verraten. Und jetzt haben Sie die Pflicht, den Kunden zu helfen, denen Sie die Maschine verkauft haben. Oder es könnte weitere Probleme verursachen.
Die Rechnung, die die meisten OEM nicht gemacht haben
Folgendes müssen Sie außerdem aus dritten Frage beachten: Diese Verpflichtung gilt für die gesamte Lebensdauer des Produkts oder bis zu 10 Jahre, während es in Produktion ist.
Hypothetisches Beispiel: Ihr OEM liefert hundert Maschinen pro Jahr aus. Wenn Sie das Zehn-Jahres-Fenster erreichen, haben Sie 1.000 Maschinen mit aktiver Verpflichtung. Und jede mit einer Anzahl von installierten Geräten. Sagen wir 100 solcher Geräte. Das bedeutet, dass Sie in der Lage sein müssen, Schwachstellen und Produktaktualisierungen nachzuverfolgen, die über 100.000 Endpunkten zugeordnet sind, welche Sie an mehrere Standorte ausgeliefert haben. Alles in tausend Maschinen, deren Versionen und Schwachstellenstatus Sie kennen, verfolgen und melden müssen.
Als Nächstes fügen Sie die Arbeitskosten hinzu. Es skaliert mit Ihrer Größe und ist nicht trivial. OEMs in Europa, die sich damit auseinandersetzen, berichten uns, dass der Nachverfolgungsaufwand immens ist; und diejenigen, die einen Weg gefunden haben, ihn zu vereinfachen, haben eine erhebliche Zeitersparnis erzielt.
Die Wahl, vor der OEMs stehen
Diese Art von Arbeitsbelastung führt zu einer schwierigen Entscheidung. Sie können dies als Status quo ansehen und es als Teil der Kernkompetenz Ihres Produkts, Ihrer Funktion und Ihres Dienstes integrieren. Oder Sie können es als lästige, erforderlich Angelegenheit behandeln und es hinter sich lassen.
Der zweite Weg ist der, bei dem die Probleme auftreten. Täuschen Sie sich nicht, der CRA wird den OEM-Markt verändern. Die Frage ist, auf welcher Seite dieser Veränderung Sie stehen.
Eine Warnung an nordamerikanische OEM-Hersteller
Für nordamerikanische OEM und Maschinenbauer ist es verlockend, den CRA als ein „europäisches Problem“ abzutun. Aber es ist wichtig, die Flugbahn zu beobachten.
Wenn Sie nach Europa verkaufen oder Kunden haben, die dies tun, erreicht Sie die Anforderung über die Bestellung.
Wenn Sie ausschließlich in Nordamerika ansässig sind, hat die Bundesregierung bereits damit begonnen, die Cybersicherheitsanforderungen in allen Branchen und Regierungssektoren zu erhöhen, was darauf hindeutet, dass diese Anforderungen auch auf andere Branchen ausgeweitet werden. Unabhängig davon, ob es nach einem festen Zeitplan geschieht, die Richtung geht nicht zu weniger Rechenschaftspflicht.
