Status Quo der Normung zum Cyber Resilience Act

Parallel zur IEC 62443 entsteht derzeit mit der prEN-50770-Reihe eine neue Generation vertikaler CRA-Standards für konkrete OT-Produktkategorien. In den bisherigen Webinar-Sessions wurden unter anderem folgende Produktklassen adressiert:

• prEN 50770-1 über Firewalls / IDS / IPS 
• prEN 50770-2 über Network management systems
• prEN 50770-3 über Physical and virtual network interfaces 
• prEN 50770-4 über VPN products 
• prEN 50770-5 über Routers / switches 
• sowie prEN 50770-6 über SIEM (Security Information and Event Management)

So definieren die IEC 62443-Normen die generische Sicherheitsbasis, während die prEN-50770-Normen konkrete Sicherheitsprofile für spezifische Produkttypen beschreiben sollen. Dadurch entsteht erstmals ein konkreter technischer Rahmen dafür, wie CRA-Anforderungen künftig auf OT-Produkte angewendet werden sollen. 
 

Neuer Begriff „Core Functionality“ 

Ein interessanter Aspekt der aktuellen Entwicklung von CRA-Normen ist der Fokus auf die sogenannte „Core Functionality“ eines Produkts. 

In dem im Webinar vorgestellten Firewall-Beispiel wurde deutlich, dass künftig stärker zwischen Kernfunktion und Zusatzfunktionen unterschieden werden soll. Die eigentliche Kernfunktion einer Firewall besteht darin, Netzwerkverkehr zu überwachen und unerlaubte Kommunikation zu blockieren. Zusätzliche Funktionen wie Analytics, Dashboards oder Load-Balancing werden hingegen separat betrachtet. 

Die aktuellen Arbeiten deuten auf einen Bewertungsansatz hin, bei dem für die Kernfunktion eines Produkts spezifische vertikale Standards wie beispielsweise prEN 50770-1 gelten sollen, während zusätzliche Funktionalitäten weiterhin über generische Anforderungen der IEC 62443-4-2 bewertet werden.

Horizontale Normen: Die EN-40000-Serie als Fundament

Neben den IEC-62443-basierten OT-Standards und den neuen prEN-50770-Produktnormen entsteht derzeit auf europäischer Ebene vor allem ein neues horizontales CRA-Normensystem. Dieses wurde insbesondere in der Webinar-Session „Deep Dive Session Security Controls – Generic Security Requirements“ vorgestellt und dürfte künftig die generische Grundlage für nahezu alle CRA-konformen Produkte bilden. 

Inhaltlich geht es dabei um typische Cybersecurity-Bausteine wie sichere Authentifizierung, Zugriffskontrolle, sichere Kommunikation, Kryptografie, sichere Standardkonfigurationen, Logging, Angriffserkennung oder sichere Update-Mechanismen. Viele dieser Anforderungen basieren auf bestehenden Arbeiten aus der EN-18031-Reihe, die ursprünglich für die RED entwickelt wurde. Die neue EN-40000-Serie erweitert diese Ansätze nun jedoch und überträgt sie auf den deutlich breiteren CRA-Anwendungsbereich. 

Im Zentrum steht dabei die neue EN-40000-Normenfamilie, die aktuell innerhalb von CEN/CLC/JTC 13 WG9 entwickelt wird. Ziel dieser Arbeiten ist es, die bislang abstrakten Anforderungen des Cyber Resilience Act erstmals in ein konsistentes technisches Framework zu überführen. 

Nach aktuellem Stand der Arbeiten soll die EN 40000-1-2 die grundlegenden Prozess- und Lifecycle-Aktivitäten beschreiben sowie definieren, welche Ziele erreicht werden müssen, welche Eingaben verpflichtend oder optional sind und welche Ergebnisse mindestens erwartet werden. Im Mittelpunkt stehen dabei klassische Security-Engineering-Aktivitäten wie Risikoanalysen, Anforderungsmanagement und die Auswahl geeigneter Security Controls. 

Während die EN 40000-1-2 beschreibt, dass Risiken bewertet und geeignete Sicherheitsmaßnahmen ausgewählt werden müssen, liefert die EN 40000-1-4 anschließend die eigentlichen technischen Security Controls dafür. Diese Security Controls sollen verschiedene Ausprägungs- oder Reifegrade besitzen. Dadurch entsteht ein flexibles und risikobasiertes Modell, bei dem nicht zwangsläufig jede Sicherheitsmaßnahme identisch umgesetzt werden muss. 

Die EN 40000-1-3 ergänzt diesen Ansatz schließlich um den Lifecycle- und Vulnerability-Management-Aspekt. Dort werden detailliertere Prozessaktivitäten beschrieben – beispielsweise Security Monitoring, Verifikation, Validierung oder Release-Prozesse. Gleichzeitig soll die Norm konkrete Bewertungskriterien definieren, die später für die Vermutungswirkung relevant werden können. 

Einen detaillierten Überblick zur geplanten prEN 40000-1-3 finden Sie in unserem Beitrag „Normentwurf prEN 40000-1-3: "Umgang mit (Cyber-)Schwachstellen".
 

Obwohl der Normenreihe IEC 62443 bei der Erfüllung der CRA-Anforderungen eine Schlüsselrolle zukommt, ist aufgrund der bisherigen Aussagen eine Veröffentlichung der Teile -4-1, -4-2 und auch -3-3 eher nicht zu erwarten. Aktuell werden zwar für die Teile -4-1 sowie -4-2 Änderungsdokumente erstellt, jedoch ist auch bei diesen Normen sehr wahrscheinlich nicht mit einer Listung im Amtsblatt zu rechnen. 

Eine solche Konformitätsvermutung ist derzeit lediglich für die Normenreihe der „Verticals“ (EN 50770-1 bis -6) vorgesehen. Diese Normen definieren „Security for Operational Technologies“ und basieren als Produktnormen stark auf den Inhalten der IEC 62443-Reihe, sind vom Charakter aber keine „Broad Verticals“, also nicht generisch sektorübergreifend. 

Dennoch bleiben die Normen der IEC 62443-Reihe voraussichtlich die zentrale fachliche Grundlage für die spätere Konformitätsvermutung: Laut Aussage der Referenten wird beispielsweise die Risikoanalyse aus IEC 62443-4-1 für sämtliche Teile der Reihe EN 50770 als Vorgehensweise für die unterschiedlichen Produktspezifika definiert. 

Bei den horizontalen Normen wird aktuell lediglich eine Listung für die prEN 40000-1-3 (Vulnerability Handling) erwartet, für Teil 1-2 (Principles, product risk management, and lifecycle activities) ist dies derzeit nicht vorgesehen. Diese beiden Normen sollen bis spätestens August 2026 angenommen worden sein, Teil 1-4 ist erst für Herbst 2027 vorgesehen.

Fazit und Ausblick

Insgesamt wird deutlich, dass die europäische CRA-Normung inzwischen von der Diskussion in die technische Konkretisierung übergeht. 

Auf Basis der Webinarreihe zeigen sich jedoch auch die unterschiedlichen Positionen der Gesetzgeber und Normen-Komitees: Im Bereich Cybersecurity führt die Erstellung harmonisierter Normen nicht automatisch zu einer vollständig konkreten technischen Sicherheitsdefinition wie im Bereich der Maschinensicherheit. 

Lösungen zur Umsetzung der gesetzlichen Anforderungen werden hier anders gedacht, weshalb Anwender Normen trotz fehlender Listung im Amtsblatt als Schlüsseldokumente betrachten müssen.