NIS2 und Cyber Resilience Act (CRA) Warum die Elektronikbranche jetzt dringend handeln muss

Anbieter zum Thema

Infinigate Deutschland GmbH

FAULHABER Antriebssysteme

CSA Group Bayern GmbH

MES Electronic Connect GmbH & Co. KG

Die NIS2-Richtlinie und der Cyber Resilience Act (CRA) stellen die deutschen Elektronikunternehmen vor komplexe Aufgaben. 30.000 bis 40.000 Unternehmen in Deutschland sind betroffen und müssen jetzt handeln. Doch 88 Prozent sind laut Umfragen nicht ausreichend vorbereitet.

Die Umsetzung der NIS2-Richtlinie und des Cyber Resilience Acts (CRA) stellt die deutsche Industrie, insbesondere den Elektronikbranche, vor erhebliche Herausforderungen. Aktuelle Schätzungen gehen davon aus, dass allein in Deutschland etwa 30.000 bis 40.000 Unternehmen von NIS2 betroffen sein werden.

Alarmierend ist jedoch, dass nach jüngsten Umfragen 88 Prozent der potenziell betroffenen Unternehmen noch nicht ausreichend über die Anforderungen von NIS2 informiert sind. Das deutet auf einen erheblichen Handlungsbedarf hin, zumal die Umsetzungsfrist für NIS2 am 17. Oktober 2024 endete und Sanktionen seit dem 18. Oktober 2024 möglich sind.

Was auf die Elektronikbranche zukommt

Für den Elektronikbranche ergeben sich komplexe Anforderungen, da er sowohl von NIS2 als auch vom CRA betroffen ist. Der CRA, dessen erste Teile voraussichtlich im Frühjahr 2025 in Kraft treten werden, zielt speziell auf Produkte mit digitalen Elementen ab. Dies betrifft eine breite Palette von Elektronikprodukten, von Endgeräten wie Laptops und Smartphones bis hin zu Software und Komponenten.

Eine der zentralen Hürden für Unternehmen der Elektronikbranche ist die Implementierung des Security-by-Design-Prinzips. Das erfordert eine grundlegende Neuausrichtung der Produktentwicklungsprozesse, bei der Cybersicherheitsaspekte von Anfang an berücksichtigt werden müssen. Zudem müssen Unternehmen sicherstellen, dass ihre Produkte über den gesamten Lebenszyklus hinweg sicher bleiben, was kontinuierliche Updates und Schwachstellenmanagement erfordert.

IEC 62443 als Schlüsselstandard für die Cybersicherheit

Eine zentrale Rolle an der Schnittstelle zwischen NIS2 und dem Produktentwicklungsprozess in der Elektronikbranche spielt die Normenreihe IEC 62443. Als Referenz für die NIS2-Normen bietet sie einen umfassenden Rahmen für die Cybersicherheit in der Betriebstechnik (OT). Für Elektronik-Hersteller ist die IEC 62443 besonders relevant, da sie konkrete Leitlinien für die sichere Entwicklung und den Betrieb von Produkten liefert. Sie adressiert sowohl Sicherheitsaspekte in der Produktion als auch im Produktentwicklungsprozess und unterstützt Unternehmen dabei, ein ganzheitliches Sicherheitskonzept zu entwickeln, das von der Produktentwicklung bis zum Einsatz in der Produktion reicht.

Ein weiteres kritisches Element stellt die erweiterte CE-Konformität dar. Für Elektronik-Hersteller gilt es nun nicht mehr nur Sicherheit, Gesundheitsschutz und Umweltschutz, sondern auch Cybersicherheit nachzuweisen. Dies erfordert neue Prüf- und Zertifizierungsprozesse, die Zeit und Ressourcen in Anspruch nehmen werden.

Die Sicherheit der Lieferkette rückt ebenfalls in den Fokus. NIS2 verpflichtet Unternehmen, ihre gesamte Lieferkette einer Sorgfaltsprüfung im Bereich der Cybersicherheit zu unterziehen. Für den Elektronik-Sektor mit seinen oft komplexen globalen Lieferketten stellt dies einen echten Kraftakt dar.

Die Elektronikindustrie muss jetzt handeln

Angesichts dieser Herausforderungen müssen Unternehmen im Elektronik-Sektor jetzt handeln. Der erste Schritt sollte eine gründliche Analyse der eigenen Betroffenheit sein. Unternehmen müssen prüfen, ob sie unter NIS2 fallen und welche ihrer Produkte vom CRA betroffen sind. Anschließend gilt es, eine umfassende Risikobewertung durchzuführen und ein robustes Cybersicherheits-Risikomanagement zu implementieren.

Ein weiterer wichtiger Schritt ist die Anpassung der Entwicklungs- und Produktionsprozesse. Unternehmen sollten Cybersicherheit als integralen Bestandteil ihrer Produktentwicklung etablieren und Prozesse für kontinuierliche Sicherheitsupdates und Schwachstellenmanagement einrichten.

Die Schulung und Sensibilisierung der Mitarbeiter, insbesondere der Führungskräfte, ist ebenfalls von entscheidender Bedeutung. NIS2 macht Geschäftsführer persönlich haftbar für Sicherheitsvorfälle, die auf Missachtung der Vorgaben zurückzuführen sind. Schließlich sollten Unternehmen Prozesse für die Meldung von Sicherheitsvorfällen und Schwachstellen etablieren. Der CRA sieht eine zentrale Meldeplattform vor, die von der europäischen Cybersicherheitsagentur ENISA betrieben wird. Unternehmen müssen in der Lage sein, Vorfälle innerhalb der vorgeschriebenen Fristen zu melden.

Die Umsetzung von NIS2 und CRA stellt zweifellos eine fordernde Aufgabe dar. Gleichzeitig bietet sie jedoch auch die große Chance, die Cybersicherheit nachhaltig zu verbessern und damit das Vertrauen der Kunden zu stärken. Unternehmen, die jetzt proaktiv handeln, können sich einen Wettbewerbsvorteil verschaffen und sind bestens gerüstet für die digitalen Herausforderungen der Zukunft. (heh)

OT-Sicherheit in der Industrie

„Der Schutz industrieller Anlagen muss höchste Priorität haben“

Cybersicherheit in Unternehmen

Jetzt müssen IT und OT enger zusammenarbeiten

* Patrick Scholl ist Head of OT bei Infinigate Deutschland.

(ID:50233064)