„Einheitliche Cybersicherheitsanforderungen sind der einzig richtige Weg“

„Die europäische Industrie ist immer häufiger von Cyberangriffen betroffen, die fast ausnahmslos auf Schwachstellen in der Informationstechnik zurückgehen. Produktionsausfälle sind regelmäßig die Folge. Es ist daher richtig, dass die Europäische Kommission jetzt mit dem so genannten Cyber Resilience Act europaweit verpflichtende und einheitliche Vorgaben auf den Weg bringt. Vernetzte Produkte, dazu zählen auch Maschinen und Anlagen, werden in Zukunft nur dann auf dem europäischen Markt zugelassen, wenn diese grundlegende Anforderungen an die Cybersicherheit erfüllen. Damit geht die EU-Kommission in puncto Cybersicherheit aufs Ganze.

Der Vorschlag enthält aus Sicht des Maschinen- und Anlagenbaus viele positive Punkte. Insbesondere das Konzept der eigenverantwortlichen, risikobasierten Umsetzung auf Basis des vielfach erfolgreichen New Legislative Frameworks begrüßt der VDMA ausdrücklich. Auch die klare Abgrenzung zu anderen technischen Regularien, wie der Maschinenverordnung ist geeignet, Doppelanforderungen zu vermeiden.

Problematisch ist allerdings die pauschale Einordnung von Kernkomponenten für vernetzte Maschinen und Anlagen als „kritische Produkte“. Diese Generalisierung wird zu unnötigen Mehrbelastungen für die Hersteller führen, da viele Industriekomponenten nur in nicht-kritischen Bereichen eingesetzt werden. Hier würde der Bezug auf die bestimmungsgemäße Verwendung der Produkte helfen.

Entscheidend für den Erfolg des Cyber Resilience Act wird aber die rechtzeitige Verfügbarkeit von harmonisierten Normen sein. Fehlen entsprechende Standards, sind Engpässe bei der Verfügbarkeit zugelassener Produkte unumgänglich. Daher fordern wir die Europäische Kommission auf, frühzeitig entsprechende Normungsmandate zu erteilen, die die Normungsorganisationen im Schulterschluss mit der Wirtschaft zügig annehmen und umsetzen müssen. Die Erarbeitung harmonisierter Normen darf auf keinen Fall verzögert werden.“