Dr Tebbe: Firmy z branży automatyki muszą dziś sprostać wymaganiom zarówno rozporządzenia CRA, jak i dyrektywy NIS 2. CRA koncentruje się na zapewnieniu bezpieczeństwa produktów połączonych z siecią przez cały cykl ich życia, chroniąc je przed nieuprawnionym dostępem i manipulacją. Kluczową rolę odgrywa tutaj terminowe dostarczanie aktualizacji bezpieczeństwa oraz szybkie reagowanie na wykryte podatności. Dyrektywa NIS 2 rozszerza obowiązujące wcześniej przepisy i zobowiązuje przedsiębiorstwa, w zależności od sektora i kategorii działalności, do wdrożenia skutecznego zarządzania ryzykiem związanym z eksploatacją infrastruktury cyfrowej i świadczonych usług. Podobnie jak w przypadku CRA, firmy muszą także zgłaszać istotne incydenty cyberbezpieczeństwa odpowiednim organom krajowym. W praktyce oznacza to, że producenci i integratorzy systemów powinni regularnie analizować swoją infrastrukturę, produkty i systemy pod kątem potencjalnych luk bezpieczeństwa oraz wdrażać odpowiednie środki ochrony. Często wiąże się to z wydłużeniem procesów rozwojowych i większym naciskiem na kwestie bezpieczeństwa już na etapie projektowania. Dodatkowo konieczne jest zapewnienie, że również dostawcy spełniają wysokie wymagania w zakresie cyberbezpieczeństwa, co wymaga ścisłej współpracy i regularnych audytów.
Koncepcja bezpieczeństwa WAGO zgodna z normą IEC 62443 obejmuje między innymi bezpieczne sieci, ochronę informacji, uwierzytelnianie użytkowników oraz zarządzanie podatnościami.
There are strong interactions between the CRA and the NIS-2 Directive, as they affect both end-user products and industrial components in critical infrastructure.
Dr Tebbe: WAGO od wielu lat korzysta z systemu zarządzania bezpieczeństwem informacji (ISMS) opartego na międzynarodowym standardzie ISO 27001, dzięki czemu jest dobrze przygotowane na wymagania dyrektywy NIS2. W obszarze rozwoju produktów wdrożyliśmy kompleksową koncepcję bezpieczeństwa bazującą na międzynarodowej serii norm IEC 62443, potwierdzoną odpowiednimi certyfikacjami. IEC 62443 jest jednym z najważniejszych standardów cyberbezpieczeństwa dla przemysłowych systemów automatyki i sterowania. Obejmuje kluczowe działania ograniczające ryzyko, takie jak segmentacja systemów na strefy zaufania (Trust Zones), stosowanie wielowarstwowej ochrony (Defense in Depth), zasady minimalnych uprawnień (Least Privilege) czy skuteczne zarządzanie podatnościami. Dzięki tym rozwiązaniom możemy nie tylko spełniać wymagania nowych regulacji UE, ale także zapewniać wysoki poziom ochrony naszych produktów na każdym etapie ich cyklu życia.
Dr Tebbe: Cyber Resilience Act (CRA) ma charakter horyzontalny, co oznacza, że obejmuje szeroką gamę produktów wyposażonych w komponenty cyfrowe lub funkcje cyfrowe. Wyjątki są nieliczne i dotyczą głównie obszarów objętych odrębnymi regulacjami, takich jak wyroby medyczne czy pojazdy. W praktyce oznacza to, że wymogom CRA będą podlegać zarówno urządzenia codziennego użytku, takie jak sprzęt AGD, smartfony czy zabawki, jak i przemysłowe systemy sterowania oraz oprogramowanie użytkowe. Wszystkie te produkty muszą być zgodne z CRA, aby mogły zostać wprowadzone do obrotu na rynku europejskim i otrzymać oznaczenie CE. Szczególnie istotne lub krytyczne komponenty będą podlegały ocenie zgodności przeprowadzanej przez akredytowane jednostki certyfikujące. Zgodnie z założeniami UE obowiązek ten ma jednak dotyczyć stosunkowo niewielkiej grupy produktów, zazwyczaj tych, które realizują lub wspierają funkcje związane z cyberbezpieczeństwem. W przypadku pozostałych produktów wystarczająca będzie samoocena zgodności, oparta na uznanych standardach branżowych. Jednym z najważniejszych kandydatów do roli takiego standardu jest wspomniana wcześniej seria norm IEC 62443. Podejście opisane w normach IEC 62443-4-1 oraz IEC 62443-4-2 wspiera realizację wymagań CRA na każdym etapie cyklu życia produktu i opiera się na kluczowych zasadach: Secure by Design, Secure by Implementation oraz Secure by Default. Dopiero po pozytywnym przejściu procesu oceny zgodności produkt może otrzymać oznaczenie CE, a producent przygotowuje deklarację zgodności potwierdzającą spełnienie wymagań obowiązujących regulacji UE.
Nasza certyfikowana koncepcja bezpieczeństwa w procesie rozwoju produktów opiera się na międzynarodowej serii norm IEC 62443.
Dr Tebbe: Zarządzanie podatnościami od wielu lat stanowi integralny element naszej strategii cyberbezpieczeństwa. Kluczową rolę w tym obszarze pełni zespół Product Incident Response Team (PSIRT), który jest centralnym punktem kontaktowym dla zgłoszeń dotyczących podatności wykrytych w produktach i rozwiązaniach WAGO. Naszym celem jest wspieranie klientów w skutecznej ochronie ich aplikacji, systemów i procesów. Po otrzymaniu zgłoszenia zespół PSIRT analizuje potencjalną podatność, współpracuje z odpowiednimi interesariuszami, takimi jak działy rozwoju, inżynierii i zarządzania produktami, a następnie inicjuje niezbędne działania naprawcze. Mogą one obejmować publikację zaleceń bezpieczeństwa, aktualizacje oprogramowania lub przygotowanie odpowiednich poprawek. Przykładem takich działań była współpraca z firmą Intilion przy usuwaniu podatności wykrytej w przełącznikach sieciowych wykorzystywanych w systemach magazynowania energii. Dzięki jasno zdefiniowanym procesom PSIRT udało się szybko zidentyfikować problem i skutecznie wyeliminować potencjalny obszar ataku. Nieustannie rozwijamy nasze procedury i kompetencje w tym zakresie, rozszerzając sprawdzone procesy PSIRT zarówno na nowe produkty, jak i na rozwiązania już funkcjonujące na rynku.
Dr Tebbe: WAGO nie działa w tym obszarze samodzielnie. W zakresie koordynacji i publikowania informacji o podatnościach współpracujemy z CERT@VDE, jednostką działającą w strukturach niemieckiego stowarzyszenia inżynierów elektrotechniki VDE. CERT@VDE informuje o dostępnych poprawkach oraz wykrytych lukach bezpieczeństwa za pośrednictwem specjalnych komunikatów bezpieczeństwa. Dodatkowo udostępnia kanał RSS, który umożliwia użytkownikom bieżące śledzenie nowych informacji dotyczących zagrożeń i aktualizacji. W celu wzmocnienia bezpieczeństwa informacyjnego, stanowiącego jeden z kluczowych filarów Przemysłu 4.0 i transformacji cyfrowej, VDE stworzyło specjalną platformę cyberbezpieczeństwa. Działa ona jako centralne źródło informacji dla klientów, gromadząc zgłoszenia podatności od różnych producentów oraz udostępniając rekomendowane działania i rozwiązania służące ograniczaniu ryzyka.
Kilian Fröhlich: Firmy powinny jednocześnie dbać o bezpieczeństwo sieci OT i IT oraz wdrażać kompleksowe koncepcje ochrony, zgodnie z wymaganiami dyrektywy NIS2. W odpowiedzi na te potrzeby WAGO oferuje usługi doradcze w zakresie bezpieczeństwa systemów OT, uzupełnione o odpowiednio dobrane rozwiązania sprzętowe i programowe. Przykładem jest nasze partnerstwo z firmą Radiflow, dzięki któremu możemy dostarczać kompleksowe rozwiązania bezpieczeństwa OT dla klientów na całym świecie. Są one dostosowane do specyficznych potrzeb sektorów takich jak Smart Factory, Smart Building czy Smart Energy. Łącząc wieloletnie doświadczenie WAGO w automatyce przemysłowej z ekspercką wiedzą Radiflow w zakresie cyberbezpieczeństwa OT, oferujemy kompleksowe doradztwo i pomagamy klientom budować bezpieczne, odporne i niezawodne sieci przemysłowe.
Integrated cybersecurity: Through partnership with OT security specialist Radiflow, WAGO implements innovative solutions for real-time monitoring and security vulnerability analysis.
WAGO realizuje kompleksową strategię cyberbezpieczeństwa, aby skutecznie chronić produkty, systemy i infrastrukturę przed potencjalnymi zagrożeniami cybernetycznymi.
Kilian Fröhlich: Nasze wsparcie dla klientów realizujemy w dwóch etapach, aby w sposób systematyczny ograniczać potencjalne wektory ataku w sieciach przemysłowych. W pierwszym etapie koncentrujemy się na monitorowaniu sieci i wykrywaniu anomalii, które mogą wskazywać na zagrożenia lub nieprawidłowości w działaniu infrastruktury. Na tej podstawie, w drugim etapie, możliwe jest przeprowadzenie w dużej mierze zautomatyzowanej oceny ryzyka oraz opracowanie odpowiednich działań naprawczych i środków ochrony. Dobrym przykładem takiej współpracy jest integracja rozwiązania iSID firmy Radiflow ze środowiskiem programowym WAGO. Ten zaawansowany system Intrusion Detection System (IDS) działa na naszych urządzeniach Edge i jest oferowany pod nazwą WAGO Cybersecurity Network Sight. W rozbudowanych sieciach przemysłowych proces monitorowania wspierają specjalne urządzenia typu network tap, dostępne jako „WAGO Cybersecurity Collectors”. Pozwalają one na efektywne zbieranie i analizę danych z sieci, zwiększając widoczność infrastruktury OT. Zgromadzone dane mogą być również wykorzystywane do zarządzania zasobami, zgodnie z zasadą: „Można chronić tylko to, co się zna”. Takie podejście pozwala ograniczyć zakres prac wykonywanych ręcznie, a jednocześnie obniżyć koszty operacyjne związane z utrzymaniem bezpieczeństwa.
Kilian Fröhlich: Firmy powinny w pierwszej kolejności zweryfikować stosowane obecnie środki bezpieczeństwa w środowiskach OT oraz przeprowadzić kompleksową ocenę ryzyka. Narzędzie „WAGO Cybersecurity Analysis”, bazujące na platformie „Ciara” firmy Radiflow, wspiera klientów w wykrywaniu zagrożeń, ocenie ryzyka i wdrażaniu skutecznych działań ochronnych, takich jak segmentacja sieci. Pozwala to skutecznie ograniczać ryzyko i wzmacniać poziom bezpieczeństwa. Platforma umożliwia ciągłe monitorowanie poziomu bezpieczeństwa i rozwijanie strategii cyberbezpieczeństwa w oparciu o aktualne zagrożenia. Jednocześnie wspiera organizacje w spełnianiu wymagań uznanych standardów międzynarodowych, takich jak NIST, IEC 62443 i ISO 27001. Jest to szczególnie ważne dla przedsiębiorstw działających w sektorach o wysokich wymaganiach regulacyjnych.
Rekomendujemy firmom podejście etapowe. Najpierw należy wyeliminować największe luki bezpieczeństwa, a następnie stopniowo wdrażać kolejne środki ochrony.
Kilian Fröhlich: Jedną z największych zalet rozwiązania WAGO Cybersecurity Analysis jest ujednolicone raportowanie. Narzędzie dostarcza szczegółowych analiz oraz intuicyjnego dashboardu, który w przejrzysty sposób prezentuje aktualny poziom bezpieczeństwa sieci. Kluczowe jest przełożenie wyników analiz na konkretne działania, takie jak skuteczna segmentacja sieci, które realnie zwiększają poziom cyberbezpieczeństwa organizacji. Obejmuje to m.in. hardening systemów, wdrażanie aktualizacji i poprawek bezpieczeństwa oraz dostosowywanie konfiguracji sieci. Wyniki analiz pomagają firmom na bieżąco monitorować poziom bezpieczeństwa i w razie potrzeby dostosowywać strategię cyberbezpieczeństwa. Nasz zespół doradczy wspiera klientów w szybkim podejmowaniu działań niezbędnych do zapewnienia bezpieczeństwa przemysłowych systemów sterowania.
Kilian Fröhlich: Planujemy dalsze rozwijanie współpracy z Radiflow oraz systematyczne udoskonalanie wspólnych rozwiązań z zakresu cyberbezpieczeństwa. Oprócz czterech już uzgodnionych produktów, do oferty będą dołączać kolejne rozwiązania, takie jak Active Scanner, który umożliwia ukierunkowane wyszukiwanie podatności w poszczególnych urządzeniach. Równolegle planujemy rozbudowę naszego portfolio switchy i routerów, które również posiadają certyfikację zgodną z normą IEC 62443. W tym przypadku alerty z systemu iSID mogłyby modyfikować reguł firewalla.
Kilian Fröhlich: Na pierwszy rzut oka wdrożenie kompleksowych środków bezpieczeństwa może wydawać się dużym wyzwaniem. Warto jednak działać proaktywnie, aby uniknąć kosztownych przestojów, incydentów i długofalowych konsekwencji cyberataków. Rekomendujemy firmom podejście etapowe. Najpierw należy wyeliminować największe luki bezpieczeństwa, a następnie stopniowo wdrażać kolejne środki ochrony. Kluczowym punktem wyjścia jest pełna widoczność zasobów sieciowych, ponieważ obowiązuje prosta zasada: można skutecznie chronić tylko to, co się zna i nad czym ma się kontrolę.
Centrala Spółki
Masz pytania? Chętnie pomożemy.