Kako zmanjšati tveganja na področju varnosti industrijskih omrežij in izpolniti zahteve zakona Evropske unije o kibernetski odpornosti (CRA)

Kibernetska varnost v industrijski avtomatizaciji ni več neobvezna – je nujna. Z razvojem Industrije 4.0 se povezani sistemi soočajo z vse večjimi tveganji zaradi kibernetskih napadov in spreminjajočih se predpisov. Ta članek raziskuje, kako Festo zagotavlja skladnost in zanesljivost na področju kibernetske varnosti in varnosti izdelkov ter zakaj je Zakon Evropske unije o kibernetski odpornosti (CRA) pomemben za varnost industrijskih omrežij.

Kaj je OT-varnost in zakaj je pomembna za kibernetsko varnost?

Varnost operativne tehnologije (OT) varuje sisteme, ki nadzorujejo industrijske operacije – v proizvodnji, robotiki, energetskih omrežjih in kritični infrastrukturi. Ker OT neposredno upravlja fizične procese, je njegova zaščita ključnega pomena za varnost, zanesljivost in neprekinjeno proizvodnjo.

Ker so kibernetski napadi vse bolj izpopolnjeni, je varnost izdelkov zdaj ključnega pomena za zagotavljanje varnosti OT. Kršitev lahko ustavi delovanje, poškoduje opremo, povzroči velika finančna in varnostna tveganja ter potencialno izgubo podatkov. Zato so prilagojene strategije bistvenega pomena za starejše sisteme, zahteve v realnem času ter konvergenco omrežij IT in OT.

Ključni predpisi in standardi, ki oblikujejo varnost OT, vključujejo:

• Zakon o kibernetski odpornosti (CRA): Določa višje varnostne zahteve za celotno EU za izdelke z digitalnimi elementi, zlasti za povezane naprave.
• Uredba EU o strojih (EU) 2023/1230, ki se uporablja od 20. januarja 2027, zahteva, da so izdelki zaščiteni pred korupcijo in manipulacijo.
• Direktiva EU NIS2 (EU) 2022/2555, ki se uporablja od 18. oktobra 2024, določa višje zahteve glede kibernetske varnosti za bistvene in pomembne subjekte.
• NIST SP 800-82: Ameriški vodnik z najboljšimi praksami za arhitekture OT, zmanjševanje groženj in odzivanje.
• Programski seznam materialov (SBOM), ki vsebuje seznam vseh knjižnic in odvisnosti v programskem izdelku, da se izboljšata preglednost in varnost.
• IEC 62443: Mednarodni standard za varnost industrijskih nadzornih sistemov, od načrtovanja do nadzora.
• ISA/IEC 61511: Obravnava varnostne instrumentalne sisteme, pri katerih se križata varnost in kibernetska varnost.

Kaj so industrijski nadzorni sistemi (ICS) in zakaj so ključni za kibernetsko varnost?

Industrijski nadzorni sistemi (ICS) so strojne in programske rešitve, ki spremljajo, nadzorujejo in avtomatizirajo procese v panogah, kot so proizvodnja, energetika, čiščenje vode in transport. Ključne komponente vključujejo sisteme SCADA za oddaljeni nadzor, sisteme za porazdeljeni nadzor (DCS) za centralizirani nadzor tovarne, PLC za posebne tovarniške naloge in vmesnike HMI, ki operaterjem omogočajo vizualizacijo in upravljanje procesov. Poleg zagotavljanja varnega in učinkovitega delovanja so ICS ključnega pomena tudi za obrambo pred kibernetskimi napadi, ki lahko povzročijo motnje na osnovni infrastrukturi. Zakon o kibernetski odpornosti (CRA) poudarja to nujnost, zato bo Festo zagotovil varnost izdelkov in strankam nudil podporo s skladnimi in zanesljivimi rešitvami za avtomatizacijo.

Kako agencija CRA Evropske unije krepi kibernetsko varnost

Zakon EU o kibernetski odpornosti je uredba, katere namen je zagotoviti, da so vsi povezani izdelki z digitalnimi elementi – strojno in programsko opremo – varni že pri zasnovi, privzeto varni in varni v celotnem življenjskem ciklu. Velja za proizvajalce, uvoznike in distributerje, ki take izdelke dajejo na trg EU.

Ključne obveznosti so:

• Ocene tveganja in ocene kibernetske varnosti pred dajanjem izdelkov na trg
• Stalne varnostne posodobitve in upravljanje ranljivosti
• Oznaka CE (Conformité Européenne) za dokazovanje skladnosti
• Poročanje o izkoriščenih ranljivostih agenciji ENISA od 11. septembra 2026

Popolna skladnost postane obvezna 11. decembra 2027, pri čemer bodo kazni za neskladnost znašale do 15 milijonov EUR ali 2,5 % svetovnega prometa.

Kako Festo podpira stranke v skladu z Zakonom o kibernetski odpornosti?

Za strojno in programsko opremo družbe Festo z digitalnimi vmesniki, kot so krmilniki PLC, robni računalniki, terminali ventilov, krmilniki gibanja, inženirska orodja , in analitične aplikacije na osnovi umetne inteligence, velja uredba CRA. Za podporo skladnosti s CRA Festo ponuja odprtokodno orodje za ustvarjanje, urejanje in potrjevanje dokumentov CycloneDX SBOM, ki uporabnikom pomaga dokumentirati uporabljene komponente programske opreme in odkrivati ranljivosti. Proizvajalcem strojev, distributerjem in uvoznikom pomagamo upravljati skladnost z zahtevami agencije CRA glede rokov, dokumentacije in varnosti.

Čeprav še noben izdelek ni skladen z zahtevami CRA, ima Festo certifikat IEC 62443-4-1 za varen razvoj, ki ga je revidiral TÜV Süd, in uporablja metode analize groženj in tveganj (TARA) za prepoznavanje morebitnih tveganj pri uporabi naših izdelkov in njihovo zmanjševanje. Zagotavljamo, da bodo do decembra 2027 stranke lahko z gotovostjo uporabljale Festove rešitve v skladu s predpisi EU.

Vloge v okviru CRA in varnostnih stikov v družbi Festo

CRA vpliva na vse vloge v avtomatizaciji: Proizvajalci originalne opreme morajo dokazati skladnost strojev, integratorji so odgovorni za varne komponente, upravljavci zahtevajo zagotovilo o neprekinjenosti, uradniki za javna naročila pa morajo oceniti pripravljenost dobaviteljev. Največji izziv je negotovost glede certificiranja, življenjskih ciklov izdelkov in virov. Rešujemo jo s preglednostjo in dokumentiranimi ukrepi. Festo je usklajen z ISO/IEC 29147 in ISO/IEC 30111.

Ranljivosti lahko prijavite naši skupini za odzivanje na varnostne incidente izdelkov (PSIRT) s kontaktnim obrazcem ali e-pošto na naslov psirt@festo.com, na našem spletišču pa pregledno objavljamo izdana obvestila z znanimi in odpravljenimi ranljivostmi.

Kontrolni seznam skladnosti kibernetske varnosti za agencijo CRA po korakih

☑ Razumeti, kako agencija CRA vpliva na stroje, delovanje in nabavo.

☑ Potrdite pripravljenost svojih dobaviteljev za CRA zdaj – ne čakajte do leta 2027.

☑ Za načrtovanje uporabite Festova priporočila, izjave in varnostno dokumentacijo.

☑ Bodite usklajeni z zahtevami IEC 62443 in CRA, da se izognete tveganjem glede skladnosti.

☑ Zanesite se na družbo Festo kot zanesljivega partnerja na področju varnosti izdelkov.