Cyber Resilience Act (CRA) bei FORSIS

Industrie-PCs sind heute ein fester Bestandteil digital vernetzter Produktions-, Logistik- und Automatisierungsprozesse. Damit steigen auch die Anforderungen an die Cybersicherheit der eingesetzten Systeme.

Mit dem Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, schafft die Europäische Union erstmals einheitliche und verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen.

Als Hersteller von Industrie-PC-Systemen bereitet FORSIS seine Produkte, technischen Prozesse und Dokumentationen systematisch auf diese Anforderungen vor.

Dabei verfolgen wir einen für industrielle Anwendungen besonders wichtigen Ansatz:

Cybersicherheit endet bei FORSIS nicht mit der Auslieferung eines Industrie-PCs.

Wir betrachten den gesamten Produktlebenszyklus – von der Auswahl der eingesetzten Komponenten über die eindeutige Identifikation des Gerätes bis zur Bewertung später bekannt werdender Sicherheitslücken und der Bereitstellung geeigneter Abhilfemaßnahmen.

Welche FORSIS Produkte betrifft der CRA?

Der Cyber Resilience Act betrifft Produkte mit digitalen Elementen. Dazu gehören grundsätzlich auch Industrie-PCs. Bei FORSIS betrifft dies insbesondere unsere Produktfamilien:

FORSIS PROFI

Robuste Industrie-PCs und Bedienterminals für Fertigung, BDE, MDE, QDE, MES, Visualisierung und weitere industrielle Anwendungen.

FORSIS EXPERT

Edelstahl-Industrie-PCs für hygienisch anspruchsvolle Produktionsbereiche, insbesondere in der Lebensmittel-, Getränke- und Pharmaindustrie.

FORSIS MOBILE

Robuste Fahrzeug- und Staplerterminals für mobile Anwendungen in Produktion, Intralogistik und Lager.

Bei der CRA-Betrachtung berücksichtigen wir nicht nur das komplette FORSIS Gerät, sondern auch sicherheitsrelevante Hardware-, Firmware- und Softwarekomponenten.

1. So setzt FORSIS den Cyber Resilience Act um

1.1 Eindeutige Identifikation unserer Industrie-PCs

Eine wesentliche Voraussetzung für effektives Schwachstellenmanagement ist die eindeutige Identifizierbarkeit eines Produktes. FORSIS Industrie-PCs verfügen deshalb über eine individuelle Geräte- bzw. Seriennummer.

Über diese Geräteidentifikation können relevante technische Informationen einer ausgelieferten Produktkonfiguration zugeordnet werden.

In erster Linie die Baureihe. Ebenso aber auch die LCD Variante und die CPU Ausstattung mit einer klaren Angabe der CPU Generation.

Extrem wichtig ist, dass in der Seriennummer das Herstellungsdatum verschlüsselt ist

Dadurch schaffen wir für Sie die Grundlage, so dass auch Sie direkt eine erste Analyse vornehmen können und eine erste Einschätzung vornehmen können.

Die Seriennummer selbst ist grundsätzlich nur einmal vorhanden. Somit ist jedes Gerät eindeutig identifizierbar.

1.2 Komponenten im Industrie-PC

Die Cybersicherheit eines Industrie-PCs wird nicht allein durch das Gehäuse oder das FORSIS Gesamtsystem bestimmt. Sicherheitsrelevante Funktionen befinden sich in unterschiedlichen Hardware- und Softwarekomponenten. Dazu gehören beispielsweise:

Mainboard und Prozessorplattform
BIOS und UEFI
Firmware
Netzwerkkontroller
LAN, WLAN und Bluetooth Schnittstellen
Touch Kontroller
Schnittstellen

Dies aufgeführten Komponenten bzw. diverse weitere werden beim Herstellungsprozess eines Industrie PCs in unserem Warenwirtschaftssystem (WWS) eindeutig, zum Teil mit Seriennummern, geführt. Im Augenblick der Gerätefertigmeldung sind alle Einzelkomponenten fest dem „neuen „Industrie PC zugeordnet. Somit können wir über die Geräteseriennummer exakt die eingesetzten Komponenten identifizieren.

1.3 FORSIS bewertet bekannt gewordene Sicherheitslücken

Nicht jede veröffentlichte Sicherheitslücke betrifft automatisch den FORSIS Industrie-PC. Wird beispielsweise eine neue CVE-Sicherheitslücke für eine bestimmte Hardware-, Firmware- oder Softwarekomponente veröffentlicht, prüfen wir deren Relevanz für unsere Produkte. Dabei werden insbesondere folgende Fragen betrachtet:

Ist ein FORSIS Produkt betroffen?
Zunächst wird geprüft, ob die betreffende Komponente oder Software überhaupt in einem FORSIS Produkt eingesetzt wird.
Welche Geräte sind betroffen?
Ist die Komponente vorhanden, wird geprüft, welche Produktgenerationen, Konfigurationen und Geräte betroffen sein können.
Wie kritisch ist die Schwachstelle?
Wir bewerten die möglichen Auswirkungen auf die Sicherheit des Systems. Dazu gehören insbesondere mögliche Auswirkungen auf:

Vertraulichkeit – Integrität – Verfügbarkeit

Wird die Schwachstelle bereits aktiv ausgenutzt?
Besondere Bedeutung haben Schwachstellen, bei denen verlässliche Hinweise darauf bestehen, dass Angreifer diese bereits tatsächlich ausnutzen.
Gibt es eine Abhilfemaßnahme?
Wir prüfen, ob beispielsweise ein BIOS-, Firmware-, Treiber- oder Betriebssystemupdate oder eine andere technische Gegenmaßnahme verfügbar ist.

1.4 Umgang mit aktiv ausgenutzten Schwachstellen

Ab dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act für aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle. Eine aktiv ausgenutzte Schwachstelle liegt nicht bereits deshalb vor, weil eine Sicherheitslücke theoretisch ausgenutzt werden könnte. Entscheidend ist, dass verlässliche Hinweise auf eine tatsächliche unberechtigte Ausnutzung der Schwachstelle vorliegen.

Wird uns eine solche Schwachstelle bekannt und betrifft diese auch ein FORSIS Produkt, wird unmittelbar unser interner Bewertungs- und Eskalationsprozess gestartet. Bei Vorliegen der gesetzlichen Voraussetzungen erfolgt die erforderliche CRA-Meldung innerhalb der vorgeschriebenen Fristen.

1.6 Sicherheitsupdates und Abhilfemaßnahmen

Wird eine relevante Schwachstelle festgestellt, prüft FORSIS die geeignete Abhilfemaßnahme. Je nach betroffenem Produkt und Art der Schwachstelle können dies beispielsweise sein:

BIOS-/UEFI-Updates
Firmware-Updates
aktualisierte Gerätetreiber
Betriebssystemupdates
Konfigurationsänderungen
Deaktivierung einer betroffenen Funktion
technische Workarounds
Austausch einer Komponente

Dabei berücksichtigen wir eine Besonderheit industrieller Systeme:

Sicherheit und Anlagenverfügbarkeit müssen gemeinsam betrachtet werden.

Ein Industrie-PC ist häufig Bestandteil einer validierten oder über Jahre gewachsenen Produktionsumgebung. Ungeprüfte Updates können Auswirkungen auf MES-/ERP-Anwendungen, Maschinenkommunikation, Treiber, Schnittstellen oder angeschlossene Peripheriegeräte haben. Deshalb müssen Sicherheitsmaßnahmen nicht nur wirksam, sondern auch für die jeweilige industrielle Anwendung geeignet sein.

Zusammenarbeit mit unseren Technologiepartnern

Unsere Lieferkette ist Teil der CRA-Strategie

Industrie-PCs bestehen aus Komponenten verschiedener spezialisierter Technologiehersteller.

Sicherheitsinformationen unserer Lieferanten und Technologiepartner sind deshalb ein wichtiger Bestandteil des FORSIS Vulnerability Managements.

Werden beispielsweise Sicherheitslücken für eine von uns eingesetzte Prozessorplattform, ein Mainboard, eine Firmware oder Netzwerkkomponente bekannt, prüfen wir die Relevanz für die entsprechenden FORSIS Produktkonfigurationen.

2. Sicherheitslücke an FORSIS melden

Sie haben ein mögliches Sicherheitsproblem entdeckt?

Kunden, Systemintegratoren, IT-Verantwortliche, Technologiepartner und Sicherheitsforscher können FORSIS auf mögliche Sicherheitsprobleme unserer Produkte hinweisen.

Für eine möglichst schnelle technische Bewertung helfen uns folgende Angaben:

FORSIS Produktbezeichnung
Seriennummer des Gerätes
Betriebssystem und Versionsstand
betroffene Hardware- oder Softwarekomponente
bekannte CVE-Nummer
Beschreibung der festgestellten Schwachstelle
Beschreibung eines beobachteten Sicherheitsvorfalls
gegebenenfalls vorhandene Log-Dateien
Kontaktdaten für technische Rückfragen

3. Security Kontakt

Eingehende Sicherheitsmeldungen werden von FORSIS erfasst, technisch bewertet und entsprechend ihrer Relevanz bearbeitet.

Hierzu haben wir eine direkte EMAIL INBOX eingerichtet: security@forsis.de

Bei einer bislang nicht öffentlich bekannten Sicherheitslücke bitten wir darum, sicherheitskritische technische Details zunächst vertraulich an FORSIS zu übermitteln. Dadurch ermöglichen Sie uns eine koordinierte Prüfung und gegebenenfalls die Vorbereitung geeigneter Abhilfemaßnahmen.

Der CRA-Zeitplan bei FORSIS

10. Dezember 2024 – CRA in Kraft

Der Cyber Resilience Act ist als Verordnung (EU) 2024/2847 in Kraft getreten. FORSIS hat die Umsetzung der daraus resultierenden Anforderungen in seine Produkt- und Prozessplanung aufgenommen.

11. September 2026 – Meldepflichten

Ab diesem Zeitpunkt gelten die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle. FORSIS richtet hierfür einen internen Melde-, Bewertungs- und Eskalationsprozess ein.

11. Dezember 2027 – umfassende Anwendung

Ab diesem Zeitpunkt gelten die wesentlichen Anforderungen des Cyber Resilience Act umfassend. Die FORSIS Umsetzung umfasst hierzu insbesondere die Bereiche:

Cybersecurity-Risikobewertung
technische Dokumentation
Schwachstellenmanagement
Produktidentifikation und Rückverfolgbarkeit
Security Support
Konformitätsbewertung
erforderliche Produkt- und Nutzerinformationen

Haben Sie weitergehende Fragen zum CRA bei FORSIS ?

Bitte nehmen Sie Kontakt mit uns auf.