Moxa ist bereit für den Cyber Resilience Act

© Moxa

Nach CRA müssen Hersteller von Produkten mit digitalen Komponenten innerhalb von 24 Stunden nach Bekanntwerden einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls eine Frühwarnung an die ENISA und das zuständige nationale CSIRT übermitteln. Innerhalb von 72 Stunden muss eine vollständige Meldung erfolgen. Bei aktiv ausgenutzten Schwachstellen ist zudem innerhalb von 14 Tagen nach Verfügbarkeit einer Korrekturmaßnahme bzw. eines Patches ein Abschlussbericht einzureichen. Nach der Meldung schwerwiegender Sicherheitsvorfälle beträgt diese Frist einen Monat.

Bei der Erfüllung dieser Verpflichtungen stützt sich Moxa auf einen validierten Secure Development Life Cycle (SDL). Als einer der ersten Anbieter hat das Unternehmen eine zweifache Zertifizierung nach IEC 62443-4-1 Maturity Level 3 (ML 3) sowohl von der IECEE als auch von ISCI/ISASecure erhalten. Damit hat das Unternehmen bewiesen, dass es wiederholbare Produktsicherheitsprozesse hat, die unternehmensweit einheitlich angewendet werden. Diese Fähigkeiten bilden eine solide Grundlage für die Erfüllung der CRA-Cybersicherheitsverpflichtungen nach der Markteinführung.

Die 24-Stunden-Meldepflichten der CRA zu erfüllen, geht über die reine Reaktion auf Vorfälle hinaus; vielmehr ist ein integriertes Rahmenwerk für die Cybersicherheits-Governance erforderlich. Dies ermöglicht es Herstellern, betroffene Produkte schnell zu identifizieren, die Auswirkungen auf die Cybersicherheit zu bewerten sowie die Entwicklungsteams zu koordinieren, um zeitnah regulatorische Entscheidungen treffen zu können. 

Moxa hat ein umfassendes Schwachstellenmanagement implementiert, um diese Anforderungen zu erfüllen. Dies umfasst unter anderem:

• ein ausgereiftes Product Security Incident Response Team (PSIRT), das in der Lage ist, Reaktionen auf Schwachstellen schnell zu validieren, zu bewerten und zu koordinieren,
• ein umfassendes Management der Software-Stückliste (Software Bill of Materials, SBOM), das es den Entwicklungsteams ermöglicht, betroffene Softwarekomponenten, Produkte und Firmware-Versionen schnell zu identifizieren,
• eine durchgängige Produktrückverfolgbarkeit, welche die Software-Zusammensetzung, Firmware-Versionen und Lebenszyklusdaten abdeckt,
• ein SDL, der eine vollständige Rückverfolgbarkeit der Entwicklung sowie strukturierte Prozesse zur Behebung von Schwachstellen gewährleistet,
• klar definierte Governance-Verfahren, die die Entscheidungsfindung in den Bereichen Entwicklung, Produktmanagement, Cybersicherheit, Recht und Geschäftsführung aufeinander abstimmen, um eine zeitnahe Berichterstattung an die Aufsichtsbehörden zu gewährleisten.

Zudem baut Moxa seine Fähigkeiten zur Meldung von Schwachstellen durch die Integration von SBOM-Daten in Produktdatenbanken weiter aus. Werden neue Schwachstellen in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen, kann das PSIRT von Moxa Daten umgehend miteinander verknüpfen, Auswirkungen bewerten, Maßnahmen priorisieren und die rechtzeitige Einhaltung der CRA-Vorgaben sicherstellen.

„Die 24-Stunden-Meldepflicht des CRA zu erfüllen, ist nicht nur ein Wettlauf gegen die Zeit, sie zeigt auch die Reife einer Organisation im Bereich Cybersicherheit und ist das sichtbare Ergebnis jahrelanger Investitionen in die Cybersicherheits-Governance“, sagt John Chang, Director of R&D Management and the Product Security Center bei Moxa. 

„Anbieter wie Moxa, die diese Verpflichtung konsequent erfüllen, haben eine technische Governance, sichere Entwicklungspraktiken, Prozesse für das Schwachstellen-Management und funktionsübergreifende Koordination etabliert, um betroffene Produkte schnell zu erfassen, Cybersicherheitsrisiken zu bewerten, technische Maßnahmen zu koordinieren und den Aufsichtsbehörden präzise Informationen zur Verfügung zu stellen.“

Für Maschinen- und Anlagenbauer, Systemintegratoren und Betreiber kritischer Infrastrukturen bietet die Zusammenarbeit mit Lieferanten, die über diese Fähigkeiten verfügen, die Gewissheit, dass ihr Zulieferer nicht nur heute sichere Produkte liefert, sondern auch für die kommenden Jahre gerüstet ist, um neu auftretende Cybersicherheitsrisiken zu bewältigen. 

Der CRA definiert die Verantwortlichkeiten im Bereich Cybersicherheit in der Industrie neu. Damit wird Vertrauen künftig sowohl an den Sicherheitsmerkmalen der Produkte als auch am Engagement des Herstellers für Cybersicherheit über den gesamten Produktlebenszyklus hinweg gemessen. Durch die Implementierung zertifizierter SDL-Verfahren, eines effektiven Schwachstellen-Managements, PSIRT-Maßnahmen, einer SBOM-Governance und transparenter Prozesse hilft Moxa seinen Kunden, Cybersicherheitsrisiken zu reduzieren und ihren CRA-Pflichten nach der Markteinführung nachzukommen.