Trends der Normenlandschaft, Teil 1 Industrial Security wird verpflichtend

Anbieter zum Thema

PFLITSCH GmbH & Co. KG

SIKO GmbH

Schneider Electric GmbH

Pilz GmbH & Co. KG

Die EU-Maschinenverordnung macht ab 2027 Industrial Security verpflichtend. Und mit dem ersten Entwurf des Cyber Resilience Acts ist eine EU-Verordnung in Vorbereitung, die eigens Anforderungen an die Cybersecurity stellt. In einer Artikelserie beleuchten wir den aktuellen Trend der Normenlandschaft hin zu Industrial Security.

Maschinen erhalten immer mehr digitale Elemente, die neue Anforderungen an die Sicherheit stellen: Könnte jemand von außen der Software schaden? Könnte jemand den Zugang zur Maschine erhalten, der nicht autorisiert ist, und Änderungen an der Programmierung vornehmen? Die Normenorganisationen ISO und IEC haben reagiert und wollen diese oder ähnliche Sorgen aus dem Weg räumen: Sie rüsten nach und definieren derzeit mit aktualisierten Normen neue Anforderungen für Produkte, Maschinen und Anlagen, die die Industrial Security in den Fokus rücken.

EN IEC 62061

Die EN IEC 62061 ist neben der EN ISO 13849 die wohl wichtigste Norm der funktionalen Sicherheit. Die Norm legt die Anforderungen fest und enthält Empfehlungen für die Gestaltung, die Integration und die Validierung von sicherheitsrelevanten Steuerungssystemen für Maschinen. Im Jahr 2022 in aktualisierter Form veröffentlicht, legt sie auch Security als Sicherheitsaspekt fest: Die Norm gibt vor, dass „absichtliche Angriffe auf die Hardware, Anwendungsprogramme und zugehörige Software als auch unbeabsichtigte Ereignisse, die auf menschliches Versagen zurückzuführen sind“ im Sicherheitslebenszyklus und während des gesamten Lebenszyklus der Maschine oder Anlage zu berücksichtigen sind. Diese dürfen die Integrität der Sicherheit nicht nachteilig beeinflussen. Sicherheitsfunktionen sind demnach neu zu bewerten.

EN ISO 13849-1

Die überarbeitete Version der ISO 13849-1 wurde im April dieses Jahres veröffentlicht. Ein wichtiger Aspekt betrifft die Anforderungen bezüglich Software und Management der funktionalen Sicherheit – also wie Daten innerhalb der Software von Maschinen geschützt sind. Es sind verschiedene Softwaretypen abgedeckt, beispielsweise sicherheitsbezogene Embedded Software (SRESW), sicherheitsbezogene Anwendungssoftware (SRASW) oder Software zur Parametrierung. Die Norm hält Verbesserungsvorschläge bereit, wie diese mit den Anforderungen für die Programmiersprachen mit eingeschränktem (LVL „Limited Variability Language) oder uneingeschränktem Sprachumfang (FVL „Full Variability Language“) verknüpft werden können.

Die EU-Maschinenverordnung

Am 29. Juni 2023 wurde die EU-Maschinenverordnung im EU-Amtsblatt veröffentlicht. Wie jede EU-Verordnung tritt die Maschinenverordnung 20 Tage später und ohne Übertragung in nationales Recht in Kraft. Maschinenhersteller und -betreiber haben dann 42 Monate Zeit, die neuen Anforderungen an Maschinen und Anlagen zu erfüllen. Der in der Verordnung genannte Stichtag 14.01.2027 wurde inzwischen durch eine Berichtigung der EU auf den 20.01.2027 geändert. „Zusammenfassend betrachtet trägt die neue Verordnung den technologischen Veränderungen der letzten Jahre Rechnung“, Klaus Dürr, Vice President Standards Group bei Pilz. „Mit der festgelegten Übergangszeit von 42 Monaten, haben die Normengremien jetzt viel Arbeit vor sich. Spannend bleibt also, ob bis zur verpflichtenden Anwendung der Maschinenverordnung die relevanten Normen als harmonisierte Normen zur Verfügung stehen.“

Denn innerhalb der grundlegenden Sicherheits- und Gesundheitsschutzanforderungen im Anhang III stellt die Maschinenverordnung neu Anforderungen an die Cybersecurity unter 1.1.9 „Protection against corruption“. Danach dürfen Bedrohungen durch Cybersecurity die Sicherheitsfunktionen der Maschine nicht beeinträchtigen. So wird die Industrial Security verpflichtend für die Sicherheit von Maschinen und ist nicht länger nur Auslegungssache des Inverkehrbringers der Maschine. Konkret heißt das, dass Hersteller zukünftig konformitätsrelevante Teile ihrer Software benennen und sowohl gegen versehentliche als auch gegen absichtliche Veränderung schützen müssen. Ferner muss jede Maschine zukünftig Nachweise über das rechtmäßige oder unrechtmäßige Eingreifen in die Software dokumentieren. Hersteller werden ihre bestehenden Sicherheitskonzepte für Safety und Security hinsichtlich dessen überarbeiten müssen.

Zitat

„Zusammenfassend betrachtet trägt die neue Verordnung den technologischen Veränderungen der letzten Jahre Rechnung. Mit der festgelegten ‚Übergangszeit‘ von 42 Monaten, haben die Normengremien jetzt viel Arbeit vor sich. Spannend bleibt also, ob bis zur verpflichtenden Anwendung der Maschinenverordnung die relevanten Normen als harmonisierte Normen zur Verfügung stehen."

Klaus Dürr, Vice President Standards Group bei Pilz

Cyber Resilience Act

Im September 2022 hat die Europäische Kommission einen Entwurf für eine Verordnung vorgelegt, die die Cybersicherheit von Produkten erhöhen soll. Der erste Entwurf des Cyber Resilience Acts richtet sich unter anderem an Hersteller von Produkten und Maschinen mit digitalen Elementen, sei es Soft- oder Hardware, als auch an Betreiber. Zu Software zählt beispielsweise auch die Firmware. Die Verordnung bezieht sich hierbei sowohl auf Consumer-Produkte, als auch auf Produkte für industrielle Anwendungen, wie zum Beispiel Maschinensteuerungen. Laut Cyber Resilience Act dürfen nur noch Produkte in Verkehr gebracht werden, die ein angemessenes Cybersicherheitsniveau gewährleisten, was auf Grundlage einer Risikobewertung zu verifizieren ist. Des Weiteren werden Hersteller verpflichtet, Kunden über Sicherheitslücken so schnell wie möglich zu informieren und diese zu schließen. Die Verordnung betrifft also den gesamten Lebenszyklus eines Produktes. Das bedeutet, dass Hersteller nun auch über den üblichen Gewährleistungszeitraum hinaus Softwareupdates anbieten müssen, um auch zukünftige Bedrohungen abzuwehren. Mit einer Veröffentlichung der EU-Verordnung ist in zwei bis drei Jahren zu rechnen.

Maschinenhersteller und -betreiber sind nicht allein

Die Frage, wie all diese kommenden normativen Anforderungen an Security von Seiten internationaler Industrie gut und effizient umgesetzt werden können, bleibt. Denn die Herausforderungen, die neuen Anforderungen in bestehenden sowie neuen Entwicklungs- und Herstellungsprozessen zu berücksichtigen, sind dementsprechend groß. „Wir empfehlen frühes Handeln”, sagt Arndt Christ, Vice President Customer Support International bei Pilz. „Für unsere Kunden bleiben wir weltweit am Ball. Meine Mitarbeiter beantworten rund um die Uhr Fragen – zu unserem Produktportfolio, aber auch generell zu Fragestellungen, wie Maschinen und Anlagen secure entwickelt und betrieben werden können. Oder wie werden Security-Anforderungen überhaupt erstmal identifiziert?”

Zugangsberechtigung

Safety und Industrial Security an der Maschine ganzheitlich denken

Automatisierungsexperten wie Pilz unterstützen seit Jahren Hersteller von Maschinen mit einem umfassenden Dienstleistungsangebot für Maschinensicherheit von der Sicherheitsanalyse über Validierung bis zur CE-Kennzeichnung. Experten von Pilz beraten Kunden bei einer wesentlichen Veränderung an Maschinen und Anlagen nach den Anforderungen der neuen Maschinenverordnung. Auch die neuen normativen Anforderungen an Security hat Pilz im Blick. Dafür erweitert Pilz aktuell auch sein Dienstleistungsangebot um entsprechende Schulungen im Bereich Industrial Security.