Auch technisch steigen die Anforderungen erheblich. Gefordert wird u.a. eine Hardware Root of Trust bzw. Security, die sicherstellt, dass Bootloader, Firmware und Betriebssystem unverändert und authentisch sind. Software darf künftig nicht mehr beliebig nachinstalliert werden. Jede Änderung muss Teil des Sicherheitskonzepts sein. Gleichzeitig müssen Systeme Updates eigenständig validieren können, damit manipulierte Software ausgeschlossen wird. Hinzu kommt ein kontinuierliches Schwachstellen-Monitoring über den gesamten Produktlebenszyklus. Hersteller müssen Risiken in Komponenten und Gesamtsystemen überwachen und abhängig von der Sicherheitsklassifizierung regelmäßig Updates bereitstellen. Gerade bei älteren Produkten ist das oft schwierig umzusetzen.
Security verändert die
Software-Entwicklung
Besonders stark verändert der CRA die Software-Entwicklung. Unternehmen müssen z.B. nachverfolgen und dokumentieren (SBOM), welche Software-Komponenten im Einsatz sind und diese stetig bezüglich Vulnerabilitäten überwachen. Gleichzeitig steigen die Anforderungen an sichere Entwicklungsprozesse, Dokumentation und Testing deutlich. Security-by-Design wird zum verbindlichen Entwicklungsprinzip. Schnelle Ad-hoc-Releases oder kurzfristige Workarounds lassen sich unter diesen Rahmenbedingungen kaum noch realisieren. Auch externe Entwicklungspartner und Teams außerhalb der EU müssen in die Sicherheitsstrategie integriert werden. Definierte Schnittstellen, nachvollziehbare Prozesse und zusätzliche Schulungen gewinnen an Bedeutung. Insgesamt wird Software-Entwicklung formaler und strategischer. Kleine Sonderlösungen oder kurzfristige Individualprojekte dürften dadurch seltener werden.
Vorgefertigte Security-Bausteine gewinnen an Bedeutung
Um die Umsetzung zu beschleunigen und Entwicklungsaufwände deutlich zu reduzieren, setzen Unternehmen auf vorhandene Lösungen. CRA-ready-Produkte wie KontronOS integrieren Funktionen wie Secure Boot, sichere OTA-Updates und SBOM bereits im Betriebssystemumfeld. Device Management Lösungen wie KontronGrid ermöglichen das sichere und effektive Ausrollen von Security-Updates von Edge-Geräten. Gleichzeitig wächst die Nachfrage nach Beratungsleistungen rund um Embedded Linux und industrieller Cybersecurity. Auch für bestehende Systeme gibt es Ansätze. Sicherheits-Gateways wie KontronAIShield können als vorgeschaltete Firewall zwischen Netzwerk und Bestandssystem fungieren. Durch vorgeschaltete Sicherheits- und Hardwarelösungen können die Risiken älterer, nicht mehr updatefähiger Systeme reduziert werden.
Update-Fähigkeit wird zum kritischen Faktor
Ein zentraler Painpoint bleibt die langfristige Update-Fähigkeit. Der CRA fordert, Schwachstellen über mindestens fünf Jahre nach Auslieferung eines Produkts zu beheben. In der Industrie liegen reale Nutzungsdauern jedoch oft bei zehn bis 20 Jahren. Zwar können Hersteller eigener Betriebssysteme Updates meist selbst bereitstellen, doch bei BIOS, Firmware oder Prozessorplattformen bleiben sie von Zulieferern abhängig. Endet dort der Support, gerät die Updatefähigkeit des Gesamtsystems in Gefahr. Hinzu kommt die hohe Komplexität industrieller Updates. Maschinen und Anlagen bestehen meist aus Komponenten verschiedener Hersteller und Integratoren. Selbst wenn Updates verfügbar sind, müssen Betreiber und Partner diese prüfen, anpassen und freigeben. Der organisatorische Aufwand steigt dadurch erheblich.
