Industriekommunikation Profinet liefert schon heute eine Basis für CRA-konforme Produkte

Anbieter zum Thema

PROFIBUS Nutzerorganisation e.V. (PNO)

SAB Bröckskes GmbH & Co KG

ept GmbH

DMB Technics AG

Der Cyber Resilience Act zieht die Daumenschrauben für Hersteller digital vernetzter Produkte an: Ab dem 11. Dezember 2027 müssen „Produkte mit digitalen Elementen“ verbindliche Cybersicherheitsanforderungen erfüllen. Profinet ist bereits jetzt ein tragfähiges Fundament dafür.

Der EU Cyber Resilience Act (CRA) verpflichtet Hersteller dazu, Risiken systematisch zu bewerten, Angriffsflächen zu reduzieren und Sicherheitsupdates sowie Meldeprozesse zu organisieren. Neben den großen Pflichten ab Ende 2027 greifen einzelne Vorgaben früher, etwa bei Meldepflichten. Für Maschinenbauer, Gerätehersteller und ihre Zulieferketten wird das zum Thema, weil das Gesetz nicht nur klassische IT, sondern auch eingebettete Komponenten und die Kommunikation im Feld trifft.

„Die Anforderungen des CRA stellen Unternehmen vor große Herausforderungen“, sagt Xaver Schmidt, Vorstandsvorsitzender der PI-Nutzerorganisation. „Unsere Analyse zeigt: Hersteller, die auf Profinet setzen, haben bereits heute eine solide Basis für CRA-Konformität. Bei höherem Sicherheitsbedarf können Hersteller ihre Produkte künftig Schritt für Schritt mit Profinet-Security Features erweitern – von authentifizierter sicherer Kommunikation bis hin zur vollständigen Verschlüsselung."

Skalieren statt alles neu bauen

PI argumentiert mit einem Vorgehen, das zur Logik des CRA passt: Erst kommt die Risikobewertung, dann folgt die Auswahl passender Maßnahmen. Hersteller sollen dafür bestehende Profinet-Installationen nicht ersetzen müssen, sondern je nach Schutzbedarf ergänzen. Entscheidend wird in der Praxis sein, welche Angriffsszenarien ein Hersteller als realistisch bewertet, etwa unberechtigte Zugriffe aus überlagerten Netzen, Manipulation von Prozessdaten oder das Abhören sensibler Informationen.

Was hinter Secure Cell, Secure Access und Secure Realtime steckt

Für die CRA-Umsetzung verweist PIauf eine Profinet-Security-Architektur mit drei Bausteinen: Ein Teil davon lässt sich laut Verband bereits mit heutigen Installationen abbilden, weitere Funktionen sollen mit der Spezifikation V2.5 formell beschrieben werden.

• Secure Cell zielt auf Segmentierung und Zugriffskontrolle. Das Konzept setzt auf Zellschutz, also klar getrennte Netzwerkbereiche mit definierten Übergängen. Für zusätzliche Härtungsmaßnahmen nennt Pi die Profinet-Spezifikation V2.5 als Grundlage.

• Secure Access adressiert den direkten, abgesicherten Zugriff auf Geräte aus überlagerten Netzen. Pi nennt als Beispiele Anwendungen vom Asset-Management bis hin zu KI-gestützten Auswertungen, bei denen Datenzugriff und Zugriffskontrolle zusammen gedacht werden müssen.

• Secure Realtime nimmt die Echtzeitkommunikation ins Visier. Hier geht es um Integrität und Authentifikation, bei Bedarf auch um Vertraulichkeit, und zwar sowohl für azyklische als auch für zyklische Kommunikation. Pi ordnet das explizit dort ein, wo Kritikalität und Infrastrukturansprüche hoch sind.

Spezifikation V2.5 als nächster Schritt

Die Bausteine Secure Access und Secure Realtime werden mit der Profinet-Spezifikation V2.5 beschrieben, die Mitte 2026 veröffentlicht wird. Pi betont dabei, dass sich Security nicht als Einheitslösung über alle Anlagen stülpen lässt, sondern mitwachsen muss.

„Cybersicherheit ist kein One-size-fits-all-Ansatz, sondern muss skalierbar sein – von der kleinen Standalone-Maschine bis zur kilometerweit verteilten Anlage", so Schmidt. „Die Profinet-Architektur deckt das gesamte Spektrum ab: von der Netzwerksegmentierung bis zur kryptografisch abgesicherten Echtzeitkommunikation – und das bei gleichbleibender Performance. Entscheidend ist: Viele Hersteller können ihre vorhandenen Profinet-Installationen als Basis nutzen und bei Bedarf erweitern. Das ermöglicht eine bedarfsgerechte Umsetzung des CRA, ohne Kompromisse beim Datenzugriff."

PI entwickelt die Profinet-Spezifikation nach eigenen Angaben in enger Zusammenarbeit mit dem TÜV Süd und orientiert sich dabei an der Industrienorm IEC 62443. Für Hersteller dürfte das vorwiegend dann relevant werden, wenn sie Security-Anforderungen gegenüber Kunden oder Auditoren belegen müssen und dafür nachvollziehbare, standardnahe Konzepte benötigen. (mc)

(ID:50694835)