IT-Sicherheit · Branchen-Briefing

Ab dem 20. Januar 2027 wird die EU-Maschinenverordnung (EU 2023/1230) für Hersteller verbindlich, wodurch Cybersecurity von einer ergänzenden IT-Frage zu einer Pflichtaufgabe im Produktsicherheitskontext wird. Die Umsetzung erfordert Cyber-Gefährdungsbeurteilungen, angepasste Risikobewertungen und klare Definitionen wesentlicher Maschinenveränderungen. Unternehmen müssen ihre bisherigen Gefährdungsbeurteilungen inhaltlich um Cyber-Aspekte erweitern und ein belastbares Vorgehensmodell entwickeln, das Cybersecurity in die Logik der Maschinenrisikobewertung integriert – mit Fokus auf Angriffsmöglichkeiten, Folgen für Betrieb und Personal sowie daraus abgeleitete organisatorische und technische Maßnahmen. Der Schwerpunkt verschiebt sich damit von der reinen Dokumentenerstellung hin zu nachweisbarer Beherrschung von Gefährdungen. Parallel werden weitere Sicherheitsstandards konkretisiert, darunter die VDI 4062 Blatt 1 zur Evakuierung und die VDI 2263 Blatt 8 zum Brand- und Explosionsschutz. Unternehmen sollten sofort handeln, da Cyber-Gefährdungsbeurteilungen und angepasste Risikobearbeitungsprozesse nicht kurzfristig aufgesetzt werden können, ohne bestehende Dokumentation und technische Entscheidungen zu durchdringen.

Der Artikel behandelt hauptsächlich US-amerikanische Beschaffungsregulierungen und Bundeskontraktbestimmungen, nicht IT-Sicherheit im engeren Sinne. Allerdings enthält er relevante Abschnitte zur Cybersicherheit-Compliance: Die neue FAR Part 40 würde Informationssicherheits- und Supply-Chain-Security-Anforderungen konsolidieren und einen gouvernementalen CUI-Rahmen schaffen. Auftragnehmer, die Controlled Unclassified Information (CUI) verarbeiten, müssen NIST SP 800-171 Revision 3 erfüllen und CUI-Vorfälle innerhalb von 72 Stunden melden. Das Verteidigungsministerium erweiterte die FOCI-Disclosure-Anforderungen (Foreign Ownership, Control, or Influence) über traditionelle geheime Verträge hinaus auf unklassifizierte DoD-Verträge über 5 Millionen Dollar, was mehr als 37.000 Entitäten betreffen könnte. Zudem wurde die Liste der chinesischen Militärunternehmen mit etwa 200 Entitäten erheblich erweitert, was neue Beschaffungsrestriktionen ab Juni 2027 auslöst. Die SBIR/STTR-Reauthorisierung verstärkt die Überprüfung ausländischer Eigentums-, Cybersicherheits- und Supply-Chain-Risiken ab Geschäftsjahr 2027.

Die Inhalte behandeln umfassend die regulatorische Landschaft für IoT- und Connected-Device-Sicherheit, einschließlich kritischer Entwicklungen wie die EU Cyber Resilience Act (CRA) mit Durchsetzungsfristen Ende 2024 und Bußgelder bis zu 15 Millionen Euro oder 2,5% des globalen Jahresumsatzes, sowie den FDA Medical Device Cybersecurity Requirements aus dem Consolidated Appropriations Act 2023, die einen Secure-by-Design-Ansatz mit obligatorischen Cybersecurity-Management-Plänen und Software Bill of Materials fordern. In den USA prägen HIPAA/HITECH, FISMA/FedRAMP, CCPA/CPRA sowie die kommende CIRCIA-Meldepflicht (72 Stunden für Vorfälle, 24 Stunden für Ransomware-Zahlungen) das Compliance-Umfeld, während international die EU NIS2 Directive, UK PSTI Act und asiatische Rahmenwerke wie Australiens SOCI Act und Japans APPI ebenfalls strikte Anforderungen an Secure-by-Default-Konfigurationen, Lifetime-Vulnerability-Management und Incident-Disclosure setzen.