Cyber Resilience Act
Was ist der Cyber Resilience Act, und warum betrifft er uns?
Ab dem 11. Dezember 2027 gilt in der EU eine klare Regel: Komponenten und Maschinen mit digitalen Elementen dürfen nur noch in Verkehr gebracht werden, wenn sie die Cyber-Sicherheitsanforderungen des Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, nachweislich erfüllen.
Das betrifft Maschinenbauer – und alle Zulieferer, die Komponenten für diese Maschinen liefern. Die erste Frist kommt früher, denn die Umsetzung erfolgt in Etappen: Ab 11. September 2026 greift eine Meldepflicht für Schwachstellen und Sicherheitsvorfälle gegenüber der EU-Sicherheitsbehörde ENISA. Diese gilt für alle Produkte, die in den Anwendungsbereich des CRA fallen – unabhängig davon, wann sie in Verkehr gebracht wurden. Wer jetzt handelt, schützt nicht nur seine Produkte – sondern auch seine Lieferfähigkeit.
STÖBER hat die Anforderungen des CRA frühzeitig in die Entwicklung von Antriebsreglern und Motoren integriert. Was das konkret bedeutet, zeigen die folgenden Abschnitte.
Wo sind Antriebssysteme angreifbar?
Cyber-Sicherheit beginnt mit einer ehrlichen Analyse. Auf Basis einer TARA (Threat Analysis and Risk Assessment) hat STÖBER systematisch untersucht, über welche Pfade Angriffe auf digitale Komponenten in Antriebsregler und Motoren erfolgen können – und welche Szenarien dabei besonders relevant sind.
Fernangriff über Kommunikationsschnittstellen
Kommunikations- und Serviceschnittstellen ermöglichen im Betrieb den Austausch mit übergeordneten Steuerungen und Engineering-Tools. Bei unzureichender Absicherung können diese Schnittstellen auch für Angriffe genutzt werden – etwa für Datendiebstahl oder die Manipulation von Prozessparametern.
Angriff über das Feldbus-Protokoll
Wird das Kommunikationsprotokoll nicht konform implementiert, können speziell präparierte Protokollnachrichten dazu verwendet werden, das Gerät in undefinierte Zustände zu bringen. Der Antrieb muss daher strikt gemäß den Spezifikationen von PROFINET, EtherCAT und EtherNet/IP betrieben werden.
Physischer Zugriff auf das Gerät
Auch der direkte, physische Zugang zum Gerät stellt ein Risiko dar – etwa über Wechseldatenträger, das Bedienfeld oder unbefugte Eingriffe an Anschlüssen und Verkabelung.
Welche Anforderungen stellt der CRA konkret?
Der CRA definiert verbindliche Anforderungen für Hersteller von Produkten mit digitalen Elementen. Sie sind Marktzugangskriterien – keine Empfehlungen. Die folgenden Punkte sind beispielhaft für die zentralen Anforderungen des CRA und erheben keinen Anspruch auf Vollständigkeit.
Verfügbarkeit grundlegender Funktionen
Auch unter Angriffsbedingungen müssen sicherheitsrelevante Grundfunktionen aufrechterhalten werden.
Begrenzung der Angriffsfläche
Schnittstellen und Dienste, die nicht benötigt werden, dürfen keine aktive Angriffsfläche bieten.
Minimierung der Auswirkungen eines Vorfalls
Ein erfolgreicher Angriff darf keine unkontrollierten Folgewirkungen auf andere Systeme oder Prozesse haben.
Lückenlose Aufzeichnung sicherheitsrelevanter Ereignisse
Zugriffe, Parameteränderungen und Kommunikationsereignisse müssen nachvollziehbar protokolliert werden.
Sicheres Löschen aller Daten
Am Ende des Produktlebenszyklus oder bei einem Gerätewechsel muss eine vollständige und zuverlässige Datenlöschung möglich sein.
Meldepflicht gegenüber ENISA
Bekannte und aktiv ausgenutzte Schwachstellen müssen der EU-Cyber-Sicherheitsbehörde gemeldet werden.
Was STÖBER konkret umsetzt
Cyber-Sicherheit ist kein nachträgliches Add-on. Der CRA fordert einen nachweisbaren Security-by-Design-Prozess – STÖBER setzt ihn um.
Grundlage ist die Risikoanalyse TARA (Threat Analysis and Risk Assessment): eine strukturierte Methode, die systematisch bewertet, welche Bedrohungen real sind, wie wahrscheinlich ein Angriff ist und welchen Schaden er anrichten kann.
Die daraus abgeleiteten Maßnahmen zielen auf die Erfüllung der Kriterien des Security Level 2 nach IEC 62443-4-2.
Bitte wenden Sie sich direkt an unser Cybersecurity-Team:
Unsere Kontaktinformation „Cyber-Sicherheit“ ist zusätzlich
maschinenlesbar nach dem internationalen Standard RFC 9116
hinterlegt:
stoeber.de/.well-known/security.txt
Sichere Kommunikation und Datenschutz
Sensible Daten sind nur dann sicher, wenn sie auf dem Übertragungsweg nicht abgehört oder manipuliert werden können. STÖBER setzt deshalb auf verschlüsselte Kommunikation, ein strukturiertes Zertifikatsmanagement und signierte Firmware – damit nur authentifizierte und unveränderte Software auf dem Gerät ausgeführt wird.
Zugriffsschutz und Identitätsmanagement
Nicht jede Person und nicht jeder Dienst sollte auf jeden Parameter zugreifen können. Ein durchgängiges Benutzer- und Rechtemanagement stellt sicher, dass nur autorisierte Zugriffe möglich sind – auch bei Engineering- und Servicezugängen.
Sichere Firmware-Updates
Updates sind notwendig, dürfen aber selbst kein Einfallstor sein. Firmware-Updates werden vor dem Einspielen auf Integrität geprüft, sodass nur autorisierte und unveränderte Software auf den Antriebssystemen zur Ausführung kommt.
Lückenlose Protokollierung
Sicherheitsrelevante Ereignisse am Antriebssystem werden protokolliert. Das schafft im Störungsfall die notwendige Nachvollziehbarkeit – eine zentrale Anforderung des CRA.
Sicherheit ab Werk
STÖBER-Antriebssysteme sind im Auslieferungszustand so konfiguriert, dass keine unnötige Angriffsfläche besteht. Sicherheit ist der Ausgangszustand, nicht das Ergebnis einer nachträglichen Härtung.
Dokumentation und Unterstützung
STÖBER stellt Maschinenbauern strukturierte Sicherheitsdokumentation und Hardening-Empfehlungen zur Verfügung – als Grundlage für den sicheren Einsatz unserer Antriebssysteme in der jeweiligen Maschinenapplikation.
Koordinierter Umgang mit Schwachstellen
Sicherheitslücken lassen sich nie vollständig ausschließen – entscheidend ist, wie man damit umgeht. Wer eine Schwachstelle in einem STÖBER-Produkt entdeckt, kann diese direkt über unsere Meldestelle melden. Ein internes Team koordiniert Bewertung, Behebung und die gesetzlich vorgeschriebene Meldung an die zuständige EU-Behörde ENISA.
Schwachstelle melden:
csirt@stoeber.de
Unsere Cybersicherheits-Kontaktinformation ist zusätzlich maschinenlesbar nach dem internationalen Standard RFC 9116 hinterlegt – abrufbar unter
stoeber.de/.well-known/security.txt
Entwicklung nach anerkannten Standards
Unsere Entwicklungsprozesse orientieren sich an etablierten Normen und Richtlinien der industriellen Cyber-Sicherheit, mit dem Ziel, die Kriterien des Security Level 2 nach IEC 62443-4-2 zu erfüllen.
Cyber-Sicherheit von Anfang an mitdenken
Mit Security by Design, strukturierten Prozessen und sicheren Antriebssystemen unterstützt STÖBER Maschinenbauer bei der Umsetzung der Anforderungen des Cyber Resilience Act.