如何最大限度降低工业网络安全的风险并符合《欧盟网络弹性法案》(CRA) 的要求

工业自动化领域的网络安全不再是可有可无，而是必不可少。 随着工业4.0的深入推进，由于网络攻击和日益严苛的法规，互联的系统面临的风险不断加剧。 本文探讨 Festo 如何在网络安全与产品安全领域确保合规性与可靠性，并解析《欧盟网络弹性法案》对工业网络安全的重大意义。

什么是 OT 安全，为什么它在网络安全中很重要？

运营技术 (OT) 安全用于保护控制工业运营的各类系统——涵盖制造业、机器人技术、能源电网及关键基础设施。 由于 OT 直接管理物理流程，因此 OT 保障关乎安全、可靠性与生产连续性。

随着网络攻击的复杂程度不断增加，产品安全已成为确保 OT 安全的关键。 OT 安全漏洞将导致运营中断、设备受损，引发重大的财务与安全风险，并可能造成数据丢失。 因此，针对传统系统、实时需求以及 IT 和 OT 网络的融合，部署量身定制的战略至关重要。

影响 OT 安全的主要法规和标准包括：

• 《欧盟网络弹性法案》(CRA)： 对具有数字元素的产品（特别是互联设备）制定了更高的欧盟全域安全要求。
• 欧盟机械法规 (EU) 2023/1230 于 2027 年 1 月 20 日起实施，要求必须为产品提供防篡改与防损坏保障。
• 欧盟 NIS2 指令（欧盟）2022/2555 于 2024 年 10 月 18 日起实施，为关键及重要实体设定了更高的网络安全要求。
• NIST SP 800-82： 美国 OT 安全指南，涵盖架构、威胁缓解与事件响应的最佳实践。
• 软件物料清单 (SBOM) 列出了软件产品中的所有库和依赖项，用于提高透明度和安全性。
• IEC 62443 ： 国际工业控制系统安全标准，覆盖从设计到监控的全生命周期。
• ISA/IEC 61511 ： 该标准针对安全性与网络安全相互交织的安全仪表系统。

什么是工业控制系统 (ICS)，为什么它对网络安全至关重要？

工业控制系统 (ICS) 是集硬件与软件于一体的解决方案，用于制造业、能源、水处理及交通运输等各行业流程的监控、控制和自动化。 其关键组件包括：用于远程监控的 SCADA 系统、实现工厂集中控制的分布式控制系统、执行特定工厂任务的 PLC，以及让操作员能够可视化并管理流程的人机界面。 除了保障运营安全高效之外，工业控制系统对于防御可能中断关键基础设施的网络攻击也至关重要。 《欧盟网络弹性法案》(CRA) 凸显了这种紧迫性，Festo 将致力于确保产品安全，并为客户提供合规、可靠的自动化解决方案与全面支持。

欧盟 CRA 法案如何加强网络安全

《欧盟网络弹性法案》是一项法规，旨在确保所有具有数字元素（包括硬件与软件）的互联产品符合设计安全、默认安全，且在整个生命周期内保持安全。 将此类产品投放到欧盟市场的制造商、进口商和分销商均需要遵守该法案。

主要义务包括：

• 在产品投放市场前进行风险评估和网络安全评价
• 持续发布安全更新和漏洞管理
• 贴附 CE (Conformité Européenne) 标志，证明符合要求
• 从 2026 年 9 月 11日开始向 ENISA 报告可被利用的漏洞

自2027 年 12 月 11 日起， 全面合规成为强制性规定，违规者最高可被处以 1500 万欧元或全球营业额 2.5% 的罚款。

Festo 如何根据《欧盟网络弹性法案》为客户提供支持？

带有数字接口的 Festo 硬件和软件，如 PLC、边缘计算机、阀岛、运动控制器、工程工具 ，以及基于人工智能的分析应用程序，均符合 CRA 规定。 为支持客户遵守 CRA 法规，Festo 提供了一项开源工具，用于创建、编辑和验证 CycloneDX SBOM，帮助用户记录使用过的软件组件并检测漏洞。 我们帮助机器制造商、分销商和进口商管理 CRA 合规性，包括合规时限、文件和安全性。

尽管目前尚无产品完全符合CRA要求，但 Festo 已获得由南德TÜV 审计的 IEC 62443-4-1 安全开发认证，并应用威胁与风险分析方法，旨在识别客户使用 Festo 产品时的潜在风险并加以规避。 我们确保，到 2027 年 12 月，客户就可以放心使用符合欧盟法规的 Festo 解决方案。

Festo 的 CRA 职责和安全联系人

CRA 影响自动化领域的所有角色： OEM 必须证明其设备合规，系统集成商对所用组件的安全性负有责任，运营方需要确保业务的连续性，而采购负责人则必须评估供应商的合规准备情况。 当前最大的挑战在于认证要求、产品生命周期管理及采购方面的不确定性。对此，我们通过保持信息透明与实施规范化文档管理来积极应对。 Festo 符合 ISO/IEC 29147 和 ISO/IEC 30111 标准。

您可以通过联系表或发送电子邮件至 psirt@festo.com ，向我们的产品安全事故响应小组 (PSIRT) 报告漏洞，我们还会在网站上以公开透明的方式发布公告，说明已知和已修复漏洞。

CRA 网络安全合规详细检查清单

☑ 了解 CRA 如何影响机器、运营和采购。

☑ 现在就开始确认供应商的 CRA 合规准备情况，不推荐等到 2027 年再做出行动。

☑ 使用 Festo 的建议、声明和安全文件进行规划。

☑ 与 IEC 62443 和 CRA 要求保持一致，避免合规风险。

☑ Festo 是您值得信赖的产品安全合作伙伴。