Darum geht’s

Neue EU-Regularien wie Cyber Resilience Act und Maschinenverordnung fordern ab 2027 Cybersecurity über den gesamten Produktlebenszyklus – mit Strafen bis 2,5 Prozent des Jahresumsatzes bei Nichteinhaltung.

KMUs scheitern oft an Dokumentationschaos, Ressourcenmangel und fehlender Prozess-Standardisierung – Excel-Chaos kostet Zeit und gefährdet Audits.

Enablement-Ansatz: Von Outsourcing zur internen Expertise durch Tool-Integration (Ansys Medini) und strategisches Coaching, was eine Zeitersparnis von 40 bis 60 Prozent ermöglicht.

5 Phasen für den Umsetzungs-Fahrplan

Phase 1 – Gap-Analyse (4 Wochen): Es gilt zunächst, den Ist-Zustand gegenüber den Anforderungen von Cyber Resilience Act und MVO zu prüfen. Checkliste: Ist TARA vorhanden? Wird die SBOM (Software Bill of Materials) gepflegt? Sind Update-Prozesse dokumentiert?

Phase 2 – Quick-Wins (2 Monate): Low-Hanging-Fruits identifizieren. Bestehende ISO 9001- oder ISO 27001-Prozesse um Cybersecurity erweitern. Das QM-System liefert meist bereits Grundgerüste für die Governance. Marktbarrieren absichern und die aktuelle Risikoanalyse (TARA) noch outsourcen – die Ergebnisse „Medini-Tool-ready“ einfordern.

Phase 3 – Tooling (3 Monate): Medini-Lizenz beschaffen – Team schulen, am besten gleich anhand der Medini TARA aus Phase 2. In einem weiteren Pilotprojekt ein Produkt komplett selbst durchmodellieren. Lessons Learned dokumentieren.

Phase 4 – Prozess-Rollout (6 Monate): Die TARA in den Entwicklungsprozess integrieren. Rollen definieren: Wer macht die Anaylse? Wer ist der Reviewer für die TARA? Wer pflegt Vulnerability-Datenbank und übernimmt das Monitoring?

Phase 5 – Pre-Audit (ab Monat 9): clockworkX führt als externer Berater ein Mock-Audit durch. Schwachstellen können noch behoben werden, bevor das offizielle BSI-Audit kommt.

Realistisch planen: Neun bis zwölf Monate bis audit-readyness sollten vorgehalten werden. Die Branchen-übergreifende Erfahrung zeigt: sechs bis neun Monate allein für den Prozessaufbau sind normal.

Risikoanalyse in fünf Schritten

Gehen wir durch eine TARA anhand des Beispiels „smartes Ventilsystem im Kontext industrieller Automatisierung und kritischer Infrastruktur“:

• Schritt 1 – Asset-Identifikation: Was muss geschützt werden? Es sind die Steuerungssoftware, Konfigurationsdaten und der Remote-Zugang zum Ventil.

• Schritt 2 – Threat-Analyse: Typische Angriffsmöglichkeiten werden über standardisierte Methoden betrachtet, hier einige Beispiele aus STRIDE: Spoofing (gefälschte Firmware-Updates), DoS (Denial of Service, Ventil absichtlich blockieren), Privilege Escalation (Angreifer erlangt Admin-Rechte).

• Schritt 3 – Attack-Path Analysis:  Jetzt geht es in die konkreten Szenarios: der Angreifer greift über ein ungeschütztes Produktionsnetzwerk eine digitale Schnittstelle an, zum Beispiel Feldbus, OPC-UA oder IoT-API, und manipuliert die Firmware. Der Schaden entsteht.

• Schritt 4 – Risiko-Bewertung: Es folgt die Einschätzung der Situation nach: Safety (Prozessstillstand gefährdet Mitarbeiter), Financial (100.000 Euro Produktionsausfall), Operational (24 Stunden Downtime), Privacy (keine personenbezogenen Daten betroffen).

• Schritt 5 – Maßnahmen: Über eine Risikomatrix wird ein High Risk erkannt und Maßnahmen werden definiert: Verschlüsselte Updates + Multi-Faktor-Authentifizierung.

Medini unterstützt diese Schritte durch Automatisierung und über vordefinierte Templates, beispielsweise IEC 62443), und CADFEM hilft bei Toolfragen. Die clockworkX unterstützt die Risikobewertung im Rahmen eines Assessments – eine externe Validierung, die typischerweise vor dem offiziellen Audit erfolgt, um Lücken frühzeitig zu schließen.