Jak minimalizovat rizika v oblasti bezpečnosti průmyslových sítí a splnit požadavky zákona Evropské unie o kybernetické odolnosti (CRA)

Kybernetická bezpečnost v průmyslové automatizaci již není volitelná – je nezbytná. S rozvojem průmyslu 4.0 čelí propojené systémy rostoucím rizikům kybernetických útoků a vyvíjejícím se regulacím. Tento článek se zabývá tím, jak Festo zajišťuje shodu a spolehlivost v oblasti kybernetické bezpečnosti a zabezpečení výrobků – a proč je zákon Evropské unie o kybernetické odolnosti (CRA) významný pro bezpečnost průmyslových sítí.

Co je OT bezpečnost a proč je důležitá v kybernetické bezpečnosti?

Zabezpečení provozních technologií (OT) chrání systémy, které řídí průmyslové provozy – ve výrobě, robotice, energetických sítích a kritické infrastruktuře. Protože OT přímo řídí fyzické procesy, je jejich ochrana zásadní pro bezpečnost, spolehlivost a nepřerušovanou výrobu.

Vzhledem k tomu, že kybernetické útoky jsou stále sofistikovanější, je nyní pro zajištění OT bezpečnosti klíčové zabezpečení výrobků. Narušení může zastavit provoz, poškodit zařízení, způsobit velká finanční a bezpečnostní rizika a potenciální ztrátu dat. Proto jsou pro starší systémy, požadavky v reálném čase a konvergenci sítí IT a OT nezbytné strategie šité na míru.

Klíčové předpisy a normy, které ovlivňují bezpečnost OT, zahrnují:

• Zákon o kybernetické odolnosti (CRA): Stanovuje vyšší bezpečnostní požadavky pro celou EU na výrobky s digitálními prvky, zejména na propojená zařízení.
• Nařízení EU o strojních zařízeních (EU) č. 2023/1230, platné od 20. ledna 2027, vyžaduje, aby výrobky byly chráněny proti poškození a manipulaci.
• Směrnice EU NIS2 (EU) 2022/2555, platná od 18. října 2024, stanoví vyšší požadavky na kybernetickou bezpečnost pro základní a důležité subjekty.
• NIST SP 800-82: Americká příručka s osvědčenými postupy pro architektury OT, zmírňování hrozeb a reakci na ně.
• Softwarový kusovník (Software Bill of Materials = SBOM), který obsahuje seznam všech knihoven a závislostí v softwarovém produktu, aby se zvýšila transparentnost a bezpečnost.
• IEC 62443: Mezinárodní norma pro zabezpečení průmyslových řídicích systémů od návrhu po monitorování.
• ISA/IEC 61511: Zabývá se bezpečnostními přístrojovými systémy, kde se bezpečnost a kybernetická bezpečnost prolínají.

Co jsou průmyslové řídicí systémy (ICS) a proč jsou pro kybernetickou bezpečnost klíčové?

Průmyslové řídicí systémy (ICS) jsou hardwarová a softwarová řešení, která monitorují, řídí a automatizují procesy v průmyslových odvětvích, jako je výroba, energetika, úprava vody a doprava. Mezi klíčové komponenty patří systémy SCADA pro vzdálený dohled, distribuované řídicí systémy (DCS) pro centralizované řízení závodu, PLC pro specifické výrobní úlohy a HMI, které umožňují operátorům vizualizovat a řídit procesy. Kromě zajištění bezpečného a efektivního provozu mají systémy ICS zásadní význam pro obranu proti kybernetickým útokům, které mohou narušit základní infrastrukturu. Zákon o kybernetické odolnosti (CRA) tuto naléhavost zdůrazňuje a Festo zajistí bezpečnost výrobků a pomůže zákazníkům prostřednictvím kompatibilních a spolehlivých automatizačních řešení.

Jak CRA Evropské unie posiluje kybernetickou bezpečnost

Zákon EU o kybernetické odolnosti (CRA) je nařízení, jehož cílem je zajistit, aby všechny propojené produkty s digitálními prvky – hardwarem i softwarem – byly bezpečné již od návrhu, bezpečné ve výchozím nastavení a bezpečné po celou dobu svého životního cyklu. Vztahuje se na výrobce, dovozce a distributory, kteří uvádějí tyto výrobky na trh EU.

Klíčové povinnosti zahrnují:

• Posouzení rizik a hodnocení kybernetické bezpečnosti před uvedením výrobků na trh
• Průběžné aktualizace zabezpečení a správa zranitelností
• Označení CE (Conformité Européenne) prokazující shodu s předpisy
• Hlášení zneužitých zranitelností agentuře ENISA od 11. září 2026

Plné dodržování předpisů se stává povinným od 11. prosince 2027, přičemž sankce za nedodržení předpisů dosahují až 15 milionů eur nebo 2,5 % celosvětového obratu.

Jak Festo zákazníkům podle zákona o kybernetické odolnosti pomáhá?

Hardware a software Festo s digitálními rozhraními – jako jsou PLC, edge computer, ventilové terminály, motion controler, nástroje pro konstruktéry a analytické aplikace využívající umělé inteligence – podléhají zákonu CRA. Pro podporu shody se zákonem CRA nabízíme nástroj open-source pro tvorbu, úpravu a validaci CycloneDX SBOM, který pomáhá uživatelům dokumentovat používané softwarové komponenty a odhalovat zranitelnosti. Pomáháme výrobcům strojů, distributorům a dovozcům řídit dodržování předpisů CRA v oblasti časových lhůt, dokumentace a bezpečnosti.

Ačkoliv žádný z výrobků zatím není v souladu se zákonem CRA, Festo je držitelem certifikace IEC 62443-4-1 pro bezpečný vývoj, auditované společností TÜV Süd a používá metody analýzy hrozeb a rizik (TARA) k identifikaci a zmírnění možných rizik při používání našich výrobků. Zajistíme, aby do prosince 2027 mohli zákazníci bez obav používat řešení Festo v souladu s předpisy EU.

Role v rámci CRA a bezpečnostní kontakt ve Festo

CRA ovlivňuje všechny role v automatizaci: Výrobci OEM musí prokázat, že stroje vyhovují požadavkům, integrátoři jsou odpovědní za bezpečné komponenty, provozovatelé vyžadují zajištění kontinuity a nákupčí potřebných prvků musí posoudit připravenost dodavatelů. Největší výzvou je nejistota ohledně certifikace, životních cyklů výrobků a zdrojů, kterou řešíme transparentností a zdokumentovanými opatřeními. Festo je v souladu s normami ISO/IEC 29147 a ISO/IEC 30111.

Zranitelnosti lze nahlásit našemu týmu PSIRT (Product Security Incident Response Team) prostřednictvím kontaktního formuláře nebo e-mailu na adresu psirt@festo.com, na našich webových stránkách transparentně zveřejňujeme vydaná upozornění se známými a opravenými zranitelnostmi.

Kontrolní seznam kybernetické bezpečnosti krok za krokem pro CRA

☑ Vyjasniěte si, jak CRA ovlivňuje stroje, provoz a nákup.

☑ Ověřte si připravenost svých dodavatelů na CRA již nyní – nečekejte až na 2027.

☑ Při plánování používejte doporučení, prohlášení a bezpečnostní dokumentaci Festo.

☑ Udržujte soulad s požadavky IEC 62443 a CRA, abyste se vyhnuli rizikům shody.

☑ Spolehněte se na Festo jako na důvěryhodného partnera v oblasti zabezpečení výrobků.