Die Verschmelzung von IT und OT im Automatisierungsprozess von Industrieunternehmen stellt eine besondere Herausforderung dar. Die beiden Referenten Torben Griebe, Lead Information Security Expert bei Supercomputing Systems AG, und Christoph Svoboda, Managing Consultant Information Security bei Eraneos Switzerland AG, griffen dies auf und vermittelten in kompakter Form Tipps, wie Unternehmen ihre Risiken minimieren und die rechtliche Compliance sicherstellen können.
Verschiedene gesetzliche Vorgaben haben Einfluss auf das Thema Cybersicherheit in der Industrie:
- DSG/VDSG
- StromVV
- StGB
- EU-Maschinenverordnung (tritt im Januar 2027 in Kraft)
- EU-NIS2-Richtlinie (wird im Oktober 2024 veröffentlicht)
- EU Cybersecurity Act (veröffentlich im Juni 2019)
- EU Cyber Resilience Act (Entwurf in Arbeit)
Die Zahl der verschiedenen Normen, Standards und Best Practices ist noch grösser. Im Seminar wurde konkret auf die beiden Normen ISA/IEC 62443 und ISO 27001 eingegangen.
Operational Technology: Der wichtige Standard IEC 62443
ISO 27001 umfasst sowohl IT als auch OT und ist zertifizierbar.
Für Industrieunternehmen besonders relevant ist ISA/IEC 62443, eine Normenreihe mit starkem OT-Fokus. Sie unterscheidet die Bereiche «Prozesse» und «Technische Anforderungen» und bietet innerhalb dieser Gebiete einen adaptiven Anforderungskatalog mit unterschiedlichen Maturity bzw. Security Levels. Dies ermöglicht es Unternehmen, auf Basis ihrer individuellen Situation mit der Umsetzung zu beginnen.
Die Vorteile der Normenreihe IEC 62443:
- verständlich dokumentiert, enthält detaillierte Erläuterungen
- weit verbreiteter, etablierter Standard für IT/OT
- zertifizierbar
- unterstützt Gesetzeskonformität
Die Norm wird aktiv und kontinuierlich weiterentwickelt, um die aktuelle Bedrohung- und Risikolage bestmöglich abzubilden.
Die Zukunft: Cybersicherheit in der Lieferkette
Eine wichtige rechtliche Anforderung wird der EU Cyber Resilience Act sein. Die Finalisierung dieses Gesetzes ist für das Frühjahr 2024 geplant und wird die Anforderungen an die Cybersicherheit entlang des gesamten Produktlebenszyklus regeln.
Sie haben das Webinar «Cybersichere Maschinen, Komponenten und Services für meine Kunden» verpasst? Hier geht es zur Aufzeichnung der einstündigen Input-Veranstaltung: Aufzeichnung Kurzevent «Cybersichere Maschinen, Komponenten und Services für meine Kunden» (industrie2025.ch)
Wie weiter?
Sie möchten das Thema Cybersicherheit weiterverfolgen? Industrie 2025 führt eine entsprechende Arbeitsgruppe, verfügt über ein Partnernetzwerk und bietet verschiedene praxisbezogene Angebote für Industrieunternehmen. Weitere Informationen unter www.industrie2025.ch.
Mit Ihren Fragen dürfen sie sich gerne an Philip Hauri, Geschäftsführer Industrie 2025, philip.haurinoSpam@industrie2025.ch wenden.