Jahrelang wurde industrielle Cybersicherheit vor allem im Zusammenhang mit dem Schutz von Netzwerken diskutiert: Firewalls, Segmentierung, VPNs und sicherer Fernzugriff. Diese Maßnahmen sind nach wie vor unverzichtbar, doch die Diskussion verschiebt sich.
Da Industrieprodukte zunehmend vernetzt, softwaregesteuert und aus der Ferne wartbar sind, kann Cybersicherheit nicht länger an der Netzwerkgrenze enden. Sie muss sich auf die Art und Weise erstrecken, wie Produkte entworfen, entwickelt, aktualisiert und während ihrer gesamten Lebensdauer unterstützt werden.
Im Jahr 2026 wird dieser Wandel besonders deutlich. Europäische regulatorische Anforderungen treten in die Umsetzungsphase ein, Cybersicherheitsstandards beeinflussen die Produktentwicklung immer stärker, und Hersteller werden aufgefordert, mehr Verantwortung dafür zu übernehmen, was mit Produkten geschieht, nachdem sie auf den Markt gekommen sind.
Für Maschinenbauer und Anbieter industrieller Technologien wandelt sich die Frage daher von „Wie schützen wir eine vernetzte Maschine?“ hin zu „Wie erhalten wir ihre Cyber-Resilienz langfristig aufrecht?“
Die europäische Regulierungslandschaft liefert eines der deutlichsten Signale für diesen Wandel. Der Cyber Resilience Act (CRA) führt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein und berücksichtigt dabei die Cybersicherheit in den Phasen Planung, Konzeption, Entwicklung und Wartung.
Die meisten CRA-Verpflichtungen gelten ab Dezember 2027, doch ein wichtiger Meilenstein steht bereits früher an: Ab dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle. Der Rahmen sieht eine Frühwarnung innerhalb von 24 Stunden und eine weitere Meldung innerhalb von 72 Stunden vor.
Die Bedeutung geht über die reine Meldung hinaus. Der CRA untermauert einen grundlegenden Perspektivwechsel: Ein Produkt kann nicht einfach als sicher betrachtet werden, wenn es die Entwicklungsphase verlässt oder auf einem Gerät installiert wird. Schwachstellen können später auftreten, Software-Abhängigkeiten entwickeln sich weiter, Bedrohungen ändern sich und bereits eingesetzte Produkte erfordern möglicherweise Sicherheitsupdates.
Sicherheit wird somit zu einer Verantwortung über den gesamten Lebenszyklus hinweg.
Es gibt noch einen weiteren Grund für diesen Wandel: Die industriellen Architekturen selbst haben sich verändert.
HMIs, Industrie-PCs, Gateways und Steuerungen kommunizieren zunehmend mit Unternehmenssystemen, Remote-Diensten, Cloud-Plattformen und anderen Maschinen. Software kann aus der Ferne aktualisiert werden, Betriebsdaten können über die Maschine hinaus übertragen werden, und Anwendungen stützen sich zunehmend auf miteinander vernetzte Softwarekomponenten.
Die traditionelle Unterscheidung zwischen einer isolierten OT-Umgebung und der externen IT-Infrastruktur wird daher immer unschärfer. Das bedeutet nicht, dass VPNs, Firewalls, sicherer Fernzugriff oder Netzwerksegmentierung an Bedeutung verlieren. Ganz im Gegenteil: Sie bleiben grundlegende Komponenten der industriellen Cybersicherheit.
Doch der Schutz der Konnektivität ist nur ein Teil des Produktschutzes. Eine sichere Verbindung bedeutet nicht automatisch, dass die dahinterstehende Software sicher entwickelt wurde, dass Schwachstellen systematisch verwaltet werden, dass einem Update vertraut werden kann oder dass das Produkt während seiner gesamten erwarteten Lebensdauer sicher gewartet werden kann.
Die Cybersicherheit dringt folglich immer tiefer in die Produktentwicklung vor.
Hier gewinnen Normen wie die IEC 62443 besondere Bedeutung. Eines ihrer Kernprinzipien lautet, dass Sicherheit nicht ausschließlich von den endgültigen Eigenschaften eines Produkts abhängen darf; auch die Prozesse, die bei der Konzeption, Entwicklung und Wartung dieses Produkts zum Einsatz kommen, spielen eine Rolle.
Die Norm IEC 62443-4-1 befasst sich mit dem Lebenszyklus der sicheren Produktentwicklung und integriert Cybersicherheit durch Bereiche wie Sicherheitsanforderungen, sicheres Design, Verifizierung, Schwachstellenmanagement und Sicherheitsupdates in die Entwicklungspraktiken. Die Norm IEC 62443-4-2 hingegen befasst sich mit technischen Sicherheitsanforderungen auf Komponentenebene.
Diese Unterscheidung verdeutlicht etwas, das über die Zertifizierung selbst hinausgeht. Cybersicherheit ist nicht einfach nur ein Zertifikat, das man erwerben muss, oder eine Sammlung von Sicherheitsfunktionen, die einem Produkt hinzugefügt werden. Es handelt sich um eine kontinuierliche ingenieurtechnische Disziplin, die sowohl Prozesse als auch Produkte umfasst.
Dies verändert auch die Beziehung zwischen Herstellern und Produkten, die bereits im Einsatz sind.
Traditionell ließ sich die industrielle Produktentwicklung weitgehend anhand von Meilensteinen der Markteinführung betrachten: Entwicklung, Validierung, Fertigung, Inbetriebnahme und Support. Vernetzte Produkte erfordern eine kontinuierlichere Beziehung.
Eine Schwachstelle, die erst Jahre nach der Inbetriebnahme entdeckt wird, muss möglicherweise noch bewertet werden. Softwarekomponenten und Abhängigkeiten müssen verstanden werden. Sicherheitsupdates müssen unter Umständen auch Geräte erreichen, die bereits bei Kunden im Einsatz sind. Hersteller benötigen zudem definierte Prozesse, über die Schwachstellen gemeldet, bewertet und verantwortungsbewusst kommuniziert werden können.
Dies wirft für die Industrie praktische Fragen auf: Wie lange wird ein Produkt unterstützt? Wie können bereits im Einsatz befindliche Geräte aktualisiert werden? Wie werden Sicherheitslücken entgegengenommen und bewertet? Was geschieht, wenn Jahre nach der Inbetriebnahme ein Sicherheitsproblem auftritt?
Dies sind keine Fragen mehr, die ausschließlich Cybersicherheitsspezialisten betreffen. Sie betreffen zunehmend auch die Bereiche Forschung und Entwicklung, Technik, Produktmanagement, Qualitätssicherung und Kundendienst. Cybersicherheit wird zu einem festen Bestandteil des Produktlebenszyklusmanagements selbst.
Für EXOR International stellt die Erlangung der Zertifizierung nach IEC 62443-4-1:2018, Reifegrad 2, für seinen „Secure Development Lifecycle“ einen wichtigen Meilenstein dar, jedoch nicht das Ende des Weges.
Das Unternehmen setzt diese Arbeit auf Produktebene fort und strebt die Zertifizierung nach IEC 62443-4-2 für ausgewählte Hardware der neuen Generation an. Der Unterschied ist erheblich: Sichere Produkte erfordern sowohl sicherheitsorientierte Entwicklungsprozesse als auch technische Sicherheitsfunktionen, die in den Produkten selbst implementiert sind.
Auch deshalb darf das Schwachstellenmanagement nicht erst dann beginnen, wenn es die Vorschriften erfordern. EXOR International hat bereits einen öffentlichen Prozess zur Offenlegung von Sicherheitslücken eingerichtet eingerichtet, über den externe Sicherheitsforscher potenzielle Sicherheitsprobleme melden können, die seine Produkte und Dienstleistungen betreffen. Der Prozess definiert Meldewege, Grundsätze für die koordinierte Offenlegung sowie Verfahren zum Umgang mit gemeldeten Schwachstellen.
Zusammen spiegeln diese Initiativen ein umfassenderes Prinzip wider: Cybersicherheit ist kein Zertifikat, das man vorzeigen kann, sondern eine Fähigkeit, die im Laufe der Zeit aufgebaut, gepflegt und unter Beweis gestellt werden muss.
Der Wandel, der sich im Jahr 2026 vollzieht, geht über die CRA oder einzelne Standards hinaus. Die industrielle Cybersicherheit verlagert sich vom Perimeterschutz hin zur Lebenszyklus-Resilienz, von einzelnen Sicherheitsfunktionen hin zur sicheren Entwicklung und von einmaligen Compliance-Maßnahmen hin zu kontinuierlicher Verantwortung.
Für OEMs und Anbieter industrieller Technologien verändert dies die grundlegende Fragestellung. Es geht nicht mehr nur um die Frage: „Ist dieses Produkt heute sicher?“, sondern zunehmend um die Frage: „Können wir dieses Produkt während seiner gesamten Betriebsdauer sicher entwickeln, warten, aktualisieren und unterstützen?“
Bei EXOR International ist dies die Richtung, die hinter der bereits laufenden Arbeit steht: ein zertifizierter sicherer Entwicklungsprozess, ein strukturiertes Schwachstellenmanagement und ein kontinuierlicher Weg hin zu technischen Sicherheitsanforderungen, die auf Produktebene umgesetzt und bewertet werden.
Denn letztendlich ist Cybersicherheit kein Zertifikat, das man vorzeigen kann. Das Zertifikat ist dann von Bedeutung, wenn es etwas Reales belegt: Prozesse und Produkte, die so konzipiert sind, dass sie auch bei sich ständig weiterentwickelnder Technologie, neuen Bedrohungen und sich ändernden regulatorischen Anforderungen vertrauenswürdig bleiben.