CE & Cybersecurity
Cybersecurity und Lieferkettensicherheit für Maschinen & OT
Sie möchten wissen, welche digitalen Abhängigkeiten Ihre Maschinen haben – und welche Risiken daraus für Betrieb und Sicherheit entstehen.
OT bezeichnet industrielle Steuerungs- und Automatisierungstechnik. Vernetzte Maschinen verbinden Steuerungen, Software und Komponenten verschiedener Lieferanten. Eine manipulierte Steuerung, ein veralteter Softwarestand oder ungesicherte Fernwartung kann den Betrieb und sicherheitsrelevante Funktionen beeinträchtigen. Ich verbinde Maschinenbau, technische Risikobewertung, Lieferantenbewertung und digitale Sicherheit, um diese Abhängigkeiten nachvollziehbar einzuordnen.
Typische Kundenfragen
- Welche Steuerungen, Softwarestände und digitalen Komponenten sind verbaut?
- Welche Lieferanten und Dienstleister haben Zugriff auf die Anlage?
- Welche bekannten Schwachstellen könnten die eingesetzte Technik betreffen?
- Wer stellt Updates und Sicherheitsinformationen bereit?
- Wie werden Lieferanteninformationen geprüft und dokumentiert?
- Welche Auswirkungen können digitale Schwachstellen auf Betrieb und Maschinensicherheit haben?
Für wen
- Maschinen- und Anlagenhersteller
- Integratoren
- Betreiber industrieller Anlagen
- Technischer Einkauf und Qualitätsverantwortliche
Leistungsumfang
- Strukturierte Bestandsaufnahme von Komponenten, Schnittstellen und Verantwortlichkeiten
- Technische Bewertung von Lieferanteninformationen und Sicherheitsnachweisen
- Betrachtung von Fernwartung, Update-Prozessen und Produktunterstützung
- Einordnung bekannter Schwachstellen im konkreten Maschinen- und Betriebskontext
- Priorisierung von Massnahmen
- Nachvollziehbare Dokumentation der Bewertung
Ergebnisse & Unterlagen
- Komponenten- und Schnittstellenübersicht mit Verantwortlichkeiten
- Dokumentierte Bewertung von Lieferanteninformationen und digitalen Risiken
- Priorisierte Massnahmenliste mit offenen Punkten
- Nachvollziehbarer Bewertungsbericht und Abschlussbesprechung
Regulatorische Einordnung
Drei Perspektiven – unterschiedliche Pflichten
NIS2: Einrichtungen und Lieferketten
NIS2 betrifft das Cybersicherheits-Risikomanagement erfasster Einrichtungen. Artikel 21 nennt Lieferkettensicherheit, Beziehungen zu direkten Lieferanten und Diensteanbietern sowie den Umgang mit Schwachstellen. Welche Pflichten gelten, hängt von der Einrichtung und den nationalen Umsetzungsvorschriften ab – nicht jedes Unternehmen ist betroffen.
NIS2-Richtlinie (EU) 2022/2555, Artikel 21Maschinenverordnung: sicherheitsrelevante digitale Einflüsse
Die Maschinenverordnung (EU) 2023/1230 berücksichtigt den Schutz vor Korrumpierung und die Sicherheit von Steuerungssystemen. Digitale Einflüsse sind zu betrachten, soweit sie die Maschinensicherheit beeinträchtigen können. Der allgemeine EU-Anwendungsbeginn ist der 20. Januar 2027; einzelne Bestimmungen gelten früher.
Maschinenverordnung, Artikel 54 und Anhang IIICyber Resilience Act: Produkte mit digitalen Elementen
Der CRA (EU) 2024/2847 betrifft erfasste Produkte mit digitalen Elementen auf dem EU-Markt, einschliesslich Anforderungen an Cybersicherheit und Schwachstellenbehandlung. Er gilt grundsätzlich ab 11. Dezember 2027; die Meldepflichten nach Artikel 14 gelten seit 11. September 2026. Produktumfang, Rolle, Ausnahmen und Übergangsregeln sind gesondert zu prüfen.
Cyber Resilience Act, Artikel 2, 14 und 71Ich kläre die massgeblichen Anforderungen anhand Ihres Zielmarkts, Ihrer Rolle und des geplanten Inverkehrbringens und leite daraus die erforderlichen Schritte ab.
Mit anderen Leistungen verbunden
Lieferantenprozesse und technische Nachweise im Zusammenhang bewerten.
Digitale Abhängigkeiten, veraltete Steuerungen und mögliche Folgekosten bei Investitionen berücksichtigen.
Für Fernwartung, Lieferantenanforderungen und Schwachstellenmanagement sensibilisieren; Umfang nach Vereinbarung.
Für eine erste Einschätzung hilfreich
- Systemübersicht, Komponentenliste oder Netzwerkskizze
- Software- und Firmwarestände, soweit bekannt
- Lieferanteninformationen und Sicherheitsnachweise
- Beschreibung von Fernzugriffen, Updates und Supportvereinbarungen
- Vorhandene Risikobeurteilung und Zielmärkte
Ablauf
- 1
Anliegen und Ziel klären
Kurzes Gespräch zu Fragestellung, Umfang und Zeitrahmen.
- 2
Unterlagen und Ausgangssituation erfassen
Vorhandene Dokumente, Daten und die Situation vor Ort strukturiert aufnehmen.
- 3
Planung, Untersuchung oder Schulung durchführen
Planen, prüfen, messen und bewerten – oder Wissen praxisnah vermitteln.
- 4
Ergebnisse und nächste Schritte besprechen
Nachvollziehbare Unterlagen und klar priorisierte Massnahmen.
Häufige Fragen
Führen Sie Penetrationstests durch?
Penetrationstests sind nicht Teil dieses Angebots. Der Schwerpunkt liegt auf der ingenieurmässigen Bewertung von Komponenten, Lieferanteninformationen und digitalen Risiken im Maschinen- und Betriebskontext.
Warum gehört Cybersecurity zur Maschinensicherheit?
Weil digitale Manipulation sicherheitsrelevante Funktionen verändern kann. Diese Wechselwirkung muss in einer gemeinsamen Bewertung betrachtet werden.
Was umfasst ein Cybersecurity-Lieferantenaudit?
Ich bewerte technische Lieferanteninformationen, Sicherheitsnachweise und die vereinbarten Prozesse zu Fernzugriffen, Updates und Produktunterstützung. Tiefe und Abgrenzung werden für den konkreten Auftrag vereinbart; eine Zertifizierung ist damit nicht verbunden.
Wie hängen NIS2, Maschinenverordnung und CRA zusammen?
Es sind drei eigenständige Regelwerke: NIS2 richtet sich an erfasste Einrichtungen und deren Lieferketten, die Maschinenverordnung an die Sicherheit der Maschine, der CRA an Produkte mit digitalen Elementen. Ich kläre, welche davon für Ihre Rolle und Ihren Zielmarkt massgeblich sind, und leite daraus die technischen Schritte ab.
Bieten Sie automatisiertes Schwachstellen-Monitoring als Produkt an?
Nein. Das Angebot umfasst die technische Einordnung bekannter Schwachstellen im vereinbarten Bewertungsumfang, keinen automatisierten Monitoring- oder Compliance-Dienst.
Fachlicher Stand: Oktober 2026 · Quellen siehe regulatorische Einordnung.
Verwandte Leistungen
Ihr Projekt besprechen
Schildern Sie kurz Ihr Anliegen. Sie erhalten eine persönliche Rückmeldung mit einer ersten Einschätzung zum möglichen Vorgehen.