Full Transcript for Cybersecurity in der OT richtig starten

Internet-CE-Prozess oder einfach existierende Prozesse innerhalb der Entwicklung, die ja auch jetzt schon vielleicht die Safety-Betrachtung halt mitmachen, dass die einfach erweitert werden, um ein, zwei andere, ich sag mal, Risikoprozess-Vorgehensweisen und so vereinfacht zusammengefasst. Weil am Ende des Tages ist das gar nicht so weit auseinander. Und die Challenge ist manchmal vielleicht weniger der Prozess selbst als naja, die Risiken einzuschätzen. Wenn ich keine Erfahrung habe mit dem Thema Netzwerk, mit dem ich sage mal, wie schlimm ist ein Internetzugang für meine Maschine? Wenn ich das nicht beurteilen kann, tue ich mir halt schwer. speaker-1: Du würdest sagen, es ist doch schon schwieriger, weil wir doch komplexere, größere Systeme haben und uns auch gewisse Erfahrungswerte fehlen, um gewisse Risiken einzuschätzen, im Gegensatz zur Safety bei der Risikobewertung. speaker-0: Ja, ich glaube halt, wenn man es vergleicht mit den Personen, die es halt machen. Also wenn man mal ganz ehrlich ist, die Idee ist nicht, dass ich regelmäßig einen externen Dienstleister einkaufe, der meine Risikobewertung macht speaker-1: Also, würdest du aber auch machen, speaker-0: Ja, zur Not natürlich oder initial. Aber wenn man mal ehrlich draufguckt, wir reden über, wir müssen ein risikobasiertes Vorgehen im Rahmen der internen Prozesse etablieren. Und das geht natürlich nur, wenn das Unternehmen selbst in der Lage ist, diese Prozesse irgendwann mal zu spielen. Und selbst wenn man sich das Thema, also die Idee kann ja nicht sein, dass ich eine dieser Kernleistungen nachher permanent von extern halt einkaufe, sondern ich muss meine Leute enablen, dass sie das im Rahmen ihres normalen Entwicklungsprozesses berücksichtigen. Und dann wird's, das ist nämlich die eigentliche Antwort auf deine Frage gerade, dann ist nämlich genau die Challenge, dass wir auf einmal einen Engineer haben, der eigentlich im Kern vielleicht Entwicklungsingenieur ist und die Anlagen plant beispielsweise und im Rahmen dieses Anlagenplanungszyklus jetzt auch noch ein Risk-Assessment vielleicht integrieren soll oder spielen soll und je nach Anlage dann vielleicht vor der Herausforderung steht und sagt, okay, wir bauen hier jetzt ein neues Modul XY ein, Internet Connectivity, Netzwerk hier, Fernwartung dort. Was mache ich denn jetzt damit? Wie schätze ich das denn jetzt ein? Und da ist es wichtig, dass wenn so ein Risikoprozess etabliert wird, dass der halt so etabliert wird, dass der intern spielbar ist und wiederholt werden kann. speaker-1: Dann würde ich aber sagen, wenn wir wieder zu unserer Frage von unserer heutigen Folge zurückkehren, was ist der richtige Weg zu starten? Was ist einer der ersten Punkte zu starten? Gehört es dann auch wirklich mit, die Leute zu enablen, also zu befähigen, weil wir einen immer wiederkehrenden Prozess hier haben? Gerade weil sich ja auch die Anlagen hoffentlich im Zuge von Digitalisierung stetig ändern, erweitern, dass derjenige der Betreiber, der Maschinenbauer, wirklich in der Lage ist, diese Risiken dann selber einzuschätzen. Also letztendlich das Wissen dafür haben muss, wäre dann ein wichtiger Baustein. speaker-0: Definitiv. Und ich glaube halt auch, sich darüber im Klaren zu sein, welche Auswirkungen auf die eigenen Geschäftsprozesse das Thema Cybersecurity hat. Also egal, was da jetzt vielleicht konkret dann vorfällt. Sei das halt, wir haben Anlagen, die zum Kunden halt rausgehen. Wenn mit diesen Anlagen aus Cybersecurity-Sicht etwas ist, was hat das für unser Geschäftsmodell, vielleicht für Auswirkungen. Aber halt auch, wenn man mal die Herstellerrolle verlässt und als Betreiber halt guckt, naja, was will ich als Betreiber machen? Ich will Innovation vorantreiben. Ich will Daten irgendwo rausbekommen. Wie kann ich das sicher machen, ohne meine Daten vielleicht alle in die Cloud zu jagen? Sich halt einfach reflektiert damit auseinanderzusetzen. Und ich glaube, das ist es halt eigentlich. Und wichtig ist zu verstehen, da kommt keiner und rettet einen. Das Zeug geht halt nicht mehr weg. Also ich muss mir Gedanken machen, wie ich das im Unternehmen halt strukturiert bearbeite. speaker-1: Und weil du sagst, halt strukturiert bearbeiten, ... dazu gehört natürlich oder ist essentiell, ... dass ich quasi meine Organisation ... ... zum einen befähige, aber natürlich auch meine ... Organisationsstruktur schaffe. Da auch nochmal der Hinweis an unsere Folge, ... wo wir auch schon mal das Thema ... Organisationsstrukturen darüber geredet haben. Daher glaube ich, da tauchen wir jetzt heute nicht mehr ... so tief ein. Also hört euch das gerne nochmal an der Stelle an. Aber das wären ... Aus meiner Sicht auf jeden Fall so die ersten zwei größeren Sachen zum Start, dass ich meine Organisationsstruktur aufbaue, definiere, dann anfange, meine Risiken zu bewerten und dementsprechend die Risiken, natürlich irgendwie offensichtlich sind, die man schon länger irgendwie mit sich trägt, da einfach auch schon mal anfängt, ins Doing zu kommen. Also in die Umsetzung. speaker-0: Ja, genau. Also ich glaube, vielleicht noch für den einen oder anderen ... interessant zu wissen ist, ... in der Vergangenheit war es halt so, da hat man gesagt, ... hier sind die Top 10, die du umgesetzt haben solltest. Muss man fairerweise auch sagen. Viele Beratungsunternehmen haben vor 10, 20 Jahren ... haben gesagt, hier, das sind deine Top 10, wir machen eine Gap-Analyse auf diese Top 10 ... ... und das musst du halt umgesetzt haben. Dieselben sind 10, 20 Jahre später gekommen ... und sagen, na ja, das ist ja schon irgendwie so richtig, aber eigentlich macht ihr das doch bitte risikobasiert. Und das ist halt so bisschen der Veränderungsprozess. Ich bin der Meinung, die Mischung liegt irgendwo dazwischen. Es gibt Themen, dafür brauche ich kein Risk-Assessment, da weiß ich, dass das ein Problem ist. Da weiß ich ohne das Assessment schon, dass das ein Problem ist. Oder gucke in das Risk-Assessment vor fünf Jahren rein, da steht das

nämlich immer noch drin. Also es gibt einfach Dinge, wo ganz klar ist, dass die gemacht werden müssen. Und gleichzeitig ist es aber so, deswegen ja auch das Risk-Assessment, nur weil du das weißt, ist es halt noch kein Nachweis darüber, dass dem auch wirklich so ist, nur weil du das weißt. Du brauchst ja eine Begründung in irgendeiner Form dafür. speaker-1: Dementsprechend da so bisschen zweigleisig zu fahren. Das heißt schon speaker-0: Definitiv. speaker-1: umsetzen, das was irgendwo auch offensichtlich ist, aber auf der anderen Seite schon vielleicht dann auch unnötige Umsetzungen vermeiden, indem ich, sage ich mal, gewissen Sachen dann wirklich auch erstmal die Risikobewertung mache, dann auch zu gucken, passt denn das, was ja vielleicht mir auch extern vorgeschlagen wird, das dementsprechend kriege ich auch bei meinen Kunden immer wieder mit. Thema Cybersecurity ist natürlich schon auch seit längerer Zeit eine schöne Geschichte, womit der eine oder andere Vertriebler hausieren geht. Teilweise auch zurecht. Aber es sind natürlich auch schöne Verkaufsargumente, wo dann vielleicht auch mal was, grad Software-seitig vielleicht angeschafft wurde, was gar nicht so zum Unternehmen passt oder auch gar nicht so zu den Risiken, die wirklich reell vorhanden sind. speaker-0: Ja, glaube, wichtig ist immer so zu verstehen, die ... also, erstmal ist Cybersecurity gerade ein riesiger Markt, gerade in der OT. Jeder will einem da irgendwas verkaufen und reinbringen. Gleichzeitig erfindet sich der ganze Cybersecurity-Markt in der OT, aber auch noch gerade neu. Bestimmte Produkte, die vor zehn Jahren gestartet sind, die gibt's gar nicht mehr, haben anderen Funktionsumfang. Da ist ganz, ganz viel Bewegung drin. Und ich glaube halt, nochmal Thema pragmatisches Vorgehen. Ich bin der Meinung, wir haben nach wie vor ein Umsetzungsproblem bei allem, was wir tun. Wir sind in Deutschland sehr gut da drinnen, jede Menge Papier zu produzieren und noch eine Analyse. Und hier guckt noch jemand drauf und hier sind noch mal Gaps. Aber wenn es die Entscheidung nachher geht, wer von den 1000 Servern jetzt mal die ersten drei patcht, sind wir unfassbar schlecht. Da wird dann lieber noch ein Assessment gemacht und lieber noch jemand geholt, der bestätigt, dass das doch so schlimm ist, als einfach mal jetzt sich an dem Nachmittag hinzusetzen und diese Server zu patchen. Und das ist so für mich, ich weiß sehr wohl, dass die auch unsere ganzen Normen, Standards, gesetzliche Vorgaben, die jetzt kommen, die fordern ein, dass du einen Risikoprozess hast und, und, und. Ja, aber das ist ja noch der einfache Teil. Am Ende musst du das, was daraus fällt, umsetzen. Und du kannst dich nicht darauf ausruhen, dass jetzt die Risikoanalyse halt jetzt irgendwas aufzeigt und Am Ende kannst du es natürlich akzeptieren, das Risiko, aber am Ende, das meiste muss umgesetzt werden. Und da sind wir richtig, richtig schlecht. speaker-1: Ja, und vor allem, meine, das gilt ja auch wie bei allen Themen, dieses Thema, wie du sagst, machen, umsetzen, um dann auch wieder Erfahrung zu sammeln. Was funktioniert irgendwo gut? Auch diese Themen Best Practice, was ich halt auch merke, mich aber auch eingeschlossen. Es gibt natürlich noch nicht so viele Best Practice zum Thema Security im Vergleich zu beispielsweise Safety in der OT. Aber ... es ist vielleicht auch teilweise so ein bisschen wieder eine Ausrede, wo man sagt, naja, okay, wie setze ich es dann um. Auf der anderen Seite natürlich, weil wir nichts anderes als IT-Mechanismen nutzen. Da hingehend gerade alles, was Netzwerksicherheit angeht, da haben wir natürlich schon die ganzen Best Practices aus der IT, die wir dann zum größten Teil dann auch in der OT dann nutzen können. Ja, sehe ich oder kann ich im Prinzip bestätigen, dieses Umsetzen, mal machen, mal ausprobieren. Ich sag mal, was wir natürlich immer die Schwierigkeit in der OT haben, so bisschen dieses praktische Spielfeld. So, ich mach das jetzt mal und dann gucken wir, was passiert. Weil einer meiner Lieblingssprüche ist ja, was sind die drei wichtigsten Sachen in der OT? Verfügbarkeit, Verfügbarkeit und Verfügbarkeit. Das ist dann so dieser Gegenpol. Wie komme ich denn die Umsetzung? speaker-0: Wobei ich glaube, der Sprung ist manchmal kleiner als viele halt denken. Ich glaube auch, dass nach wie vor Ich sag immer übertrieben, vor 20 Jahren hat mal jemand was versucht. Es hat nicht geklappt. 20 Jahre später sind alle immer noch der Meinung, dass es nicht klappt. Es hat aber 20 Jahre keiner mehr versucht. Und das ist so ein bisschen das, warum vielleicht auch bestimmte Dinge nicht in die Umsetzung kommen. Und dass, obwohl wir teilweise von den Branchenverbänden, also sehr gute Unterlagen auch teilweise kostenlos zur Verfügung haben. Auch ein VDMA hat da gerade für das Thema hier Lieferanten-Einkauf und so was echt einiges mittlerweile am Start. Aber das muss man natürlich wissen. Und nur weil es das Dokument gibt, also das ist ja das Einfachste, das Dokument runterzuladen. Du musst es lesen, du musst es verstehen, du musst es einordnen können, du musst deinen Vorgesetzten überzeugen, musst es in den Laden bekommen. Und dann sind wir wieder bei der Organisation und vielleicht auch genau bei der Rückfrage, wenn du nämlich in so deine Schulungsteilnehmer guckst, die ja, sage ich mal, ich würde sagen so klassischerweise die die Umsetzenden ja auch an vielen Ecken sind. Wie alltäglich sind denn Cybersecurity-Anteile bei denen im Alltag? speaker-1: Also je nachdem natürlich welche Rolle es gibt. Wobei, ich sag mal, die klassischen Rollen, dass wir dann wirklich Cybersecurity-Beauftragten haben, ... gibt es dann eher weniger. Hab grad jetzt auch wieder eine Kundenanfrage ... von einem größeren Maschinenbauer, ... die dann sagen, ... ... wir bekommen von unseren Auftraggebern, ... ... also die machen dementsprechend ... Im Stahlbereich sind sie unterwegs. Dann hast du dann einen großen wie ThyssenKrupp, die jetzt halt da mehr mehr fordern.

Also da hast du auch wieder diesen gewissen Druck, was zu tun. Auf der anderen Seite halt bei der Umsetzung ... Ja, es ist allgemein diese Schwierigkeit, wenn ich jetzt wieder nur rein auf die SPS gucke. Du hast einfach so viel mehr Themen als früher die reine SPS-Programmierung. Und jetzt kommt dann noch sowieso so ein Siemens und alle anderen und die setzen jetzt nochmal Dinge obendrauf, wie du musst jetzt eine Benutzerverwaltung anlegen, du musst dich jetzt mit Zertifikaten auseinandersetzen und so richtig die einfach zu implementierenden Lösungen, sei es jetzt gerade zum Thema Benutzerverwaltung oder Zertifikatsverwaltung, die haben wir dann halt auch nicht. Und da habe ich dann schon einfach auch so ein Verständnis, dass das Thema dann auch erstmal geschoben wird. Auf der anderen Seite, das sind auch so die Basics, was wir in der Schulung auch mal predigen, das Thema Passwortmanagement. Da kann mir keiner mehr heutzutage erzählen, dass Passwortmanagement eine Schwierigkeit ist. Aber da ist halt so diese Thematik. Da sage ich dann auch im privaten Umfeld, hat es halt noch nicht genug wehgetan, ... ... dass man irgendwo mal auf den Passwortmanager umstellt. Weil das sind da wirklich diese kleinen Hürden. Ja und daher sieht man ja glaube ich auch schon wieder, es mehrschichtig ... ... und du hast wirklich kleine oder einfache, wie sagt man das schön, ... Low Hanging Fruits. Aber du hast dann auch die dickeren Bretter, wo ich dann auch schon wieder Verständnis habe, wo ich sage, so das Thema meine OPCUA-Verbindung beispielsweise mit Zertifikaten abzusichern und dann noch eine Public-Key-Infrastruktur drüber zu legen, das Ganze zu verwalten, dann sagen auch viele, ja, viel Spaß. Dann speaker-0: Genau das. speaker-1: Maschinenbauer und Betreiber, die das auch noch zusammen machen. speaker-0: Genau das, Michael, das ist so das super Beispiel, was du da die letzten Sätze erzählt hast zum Thema Komplexität. Jetzt hast du halt im Einfachsten, hast du vielleicht nur die Safety-Steuerung, die du dir anguckst. In der nächsten Runde guckst du dir halt irgendwie deinen Verbund an SPS an, die miteinander halt irgendwie sprechen, die irgendwie Daten irgendwo hinmelden sollen, die vielleicht OPC-UA-Connect, was auch immer halt haben. Auf einmal wird diese zu betrachtende Bubble, die du da hast, auch in deinem Risk-Assessment, die wird immer größer. Dann hast du irgendwelche Schnittstellen, von der IT bereitgestellt werden. Dann hast du das Thema Fernwartung mit drin und, und, Und du hast teilweise ganz unterschiedlichste Fachdisziplinen und musst jetzt dafür eine Bewertung halt durchführen. Und die große Challenge ist dann, nämlich genau zu sagen, gucken wir uns denn in einem Risk-Assessment überhaupt die Steuerung an oder gucken wir uns das gesamte, also gucken wir uns das System an und vereinfachen das System. Nutzen wir vielleicht dann auch für das Thema Risikobeurteilung vielleicht bestimmte... Es gibt zum Beispiel das Mitre-Att&ck-Framework, was ganz viele Standard, sich der Angriffspfade quasi halt vorhält, die man ja auch ansetzen kann. Aber am Ende des Tages ist es so, du hast eine wie auch immer komplexe Systemlandschaft, unterschiedliche Fachdisziplinen und musst jetzt sagen, welche Angriffsszenarien... passen denn da möglicherweise? Und wie teuer kommen die mich in meinem Business? Wie hoch ist das Risiko? Und da kann man sich halt einfach beliebig tief verzetteln. Und so einfach, mach mal eben ein Risk-Assessment, ist es halt eben nicht. Aber speaker-1: da hingehend, ich glaube, da kann man jetzt aber auch schon wieder, die Beispiele, die ich genannt habe, auch schön differenzieren zu der Fragestellung, womit fange ich dann an. Weil so ein Passwortmanagement, also wenn ich jetzt mal in meine Fabrik gucke, auf meinen Maschinenpark gucke, die Maschinen, die ich ausliefern und mir die Frage stellen, wie sieht mein Passwortmanagement aus? Okay, haben wir nicht. Da glaube ich, brauche ich jetzt nicht so eine große Risikobeurteilung, um dann zu sagen, das Thema, das sollten wir mal angehen. speaker-0: Die Frage dazu, Michael, ist eigentlich ja folgende. Ich hab 10.000 Euro. Und soll ich die 10.000 Euro in mein Passwortmanagement packen oder soll ich stattdessen lieber die Netzsegmentierung machen? Das ist ja eigentlich das, was ich über die Risikobeurteilung, über Prioritäten nachher raushaben möchte. Und was aber auch klar ist, dass ich beides nachher ganz sicher brauche. Die Frage ist ja, ob ich darüber eine Priorisierung reinkomme. Und das ist ja auch das ... warum der Großteil ja das Thema Risk-Assessments ja so predigt, um zu entscheiden, wo das Geld initial hin soll. Und ich sehe es halt ein bisschen pragmatischer, nämlich auch so ein bisschen wie du dann an der Stelle. Na ja, jetzt komm, ey, dann fix doch das Passwortmanagement schon mal einfach mit. speaker-1: Und dann ist auch die Frage, kosten gewisse Sachen halt dann auch immer Geld? Je nachdem, wenn ich halt Passwörter, sag ich mal so, klassisch in der SPS ist, ist immer auch nur verbreitet von wegen, ich nehme den, nehme irgendwie einen Teil vom Betriebsmittelkennzeichen von der SPS. Also sehr standardisierte Passwörter. Und da heißt das Prinzip auch so die ersten Steps dann zu machen. Ok, das kann von mir aus wirklich der allererste Step sein. Ich habe eine Excel. Ich habe kostenlose Passwortmanager, womit ich starten kann. Oder auch ein anderes Beispiel. Gibt leider auch immer noch genügend das Thema Backup, Disaster-Recovery. Wie habe ich da meine also mache ich es überhaupt, habe ich überhaupt Prozesse? Und auch das Thema Prozesse, habe ich das überhaupt mal niedergeschrieben? Das ist auch eines meiner Empfehlungen. Es bringt dann auch wenig oder ein Teil des Machens ist halt auch ein Stück weit, das auf jeden Fall zu dokumentieren. Gerade auch so das Thema Änderungsmanagement. Wer macht wann, wie wo Änderungen? Habe ich eine Fremdfirma, die kommt, dass ich denen dann auch sage, guck mal hier, das ist auf zwei ... zwei

PDF-Seiten. Oder noch besser, ist hier der Link zu meinem Wiki. Hier steht es drin. Hier kannst du im Prinzip den Prozess nachlesen, wie bei uns das Änderungsmanagement, ... wo du danach die Datei ablegen musst. Und das sind dann so Punkte, wo ich sage, ... da brauchst du keine 10.000 Euro dafür. Da muss ich halt mal jemand hinsetzen. 2, 3, 4 Stunden. Oder in einem Team-Meeting. Und das einfach mal dann machen. speaker-0: Ja, das ist es halt. Es wird halt so schnell so over-engineert. Und das ist so bisschen wie vorhin das Thema: allen ist klar, dass wir hier gerade 1000 veraltete Server haben. Und warum nicht mal zwei in Angriff nehmen? Und ich verstehe das sehr wohl, weil viele von den Themen sind komplex. Ich kann den Server nicht einfach ändern. Da ist Software drauf, die muss geändert werden. Ich kann die Software nicht hochrüsten ohne eine andere Lizenz halt zu bekommen. Die Hochrüstung hilft mir nichts, ... wenn ich nicht auch die Hardware nachgezogen habe. Also und, und, und. Halt eine hohe Komplexität. Aber ich glaube an vielen Ecken ... ... Security muss ... mehr implizit werden. Also und mein Beispiel ist es immer, wenn ich an meine eigene Hochschulausbildung halt spreche, ... an mein Studium, denke an mein Studium. Du hast halt irgendwie Softwareentwicklung gelernt ... ... in drei Semestern. Und wenn du Bock hattest, konntest du 5. oder 6. Semester den Wahlpflichtkurs sichere Softwareentwicklung wählen. Weißt du? Und das ist halt das Problem. speaker-1: Also sozusagen den ersten Step machen und danach kannst du auch immer noch mal entscheiden, machst du den zweiten, dritten Step. Aber erstmal das erste Doing. speaker-0: Genau, es muss halt einfach impliziter überall rein quer durch die Gesellschaft. Also wenn ich halt irgendwie den Studiengang beispielsweise, Personalwirtschaft halt irgendwie studiere, dann sollte vielleicht da implizit drin sein, das Thema Datenschutz und all sowas. Und so sehe ich es halt im Rahmen des Engineerings halt auch. Also es geht nicht darum, dass der SPS-Programmierer am Ende des Tages das alles machen kann. Er braucht ein grundlegendes Verständnis. Und genauso braucht es aber der Windows-Server-Admin auch oder der Linux-Server-Admin und alle weiteren. Weil am Ende des Tages ist es ja so, die Security-Abteilung ganz oft ist eher eine Governance-Abteilung. Ja, die betreiben auch manche Security-Tools oder so. Aber sie sagen eigentlich eher, was du machen sollst. Die machen für dich das Risk-Assessment und sagen dir, du, in dem Kontext, wo du unterwegs bist bei deiner Anlage, das ist nicht so gut, du musst das und das ändern. Und dann brauchst du aber als umsetzender Fachbereich ein Verständnis dafür, dass du das entgegennehmen kannst und sagst, okay, dann ändere ich das jetzt so und so und so und meldest das quasi zurück. Und dann ist dir die Schnittstelle auch in der Organisation gespielt. speaker-1: Das heißt, wir müssen mehr ins Machen kommen. Mal ausprobieren. speaker-0: immer. speaker-1: Aber parallel

schon, klar, haben wir gesagt, die Organisation muss da sein für die Priorisierung oder auch für die Priorisierung, aber auch, was wir am Ende dann umsetzen, hilft uns auf jeden Fall die Risikoanalyse. Wäre das dann so die Quintessenz, was wir dann unseren Zuhörern mitgeben können. speaker-0: Ich glaube, man sollte sich halt wirklich einmal damit auseinandersetzen und sich überlegen, wie könnte ein praktikables Vorgehen für sich selbst, fürs Unternehmen und für den Bereich aussehen. Einfach irgendwas zu nehmen und machen zu lassen, funktioniert nicht. Einfach einen Dienstleister zu beauftragen gesagt, bau mir das. Natürlich bauen die mir das dann. Aber im Nachgang kann ich es, es ist immer noch nicht ein, vielleicht ein Risikoprozess, der auf mich angepasst ist. Also ich muss beim, ich kann es danach immer noch nicht selber halt pflegen. Und ich glaube, wichtig ist halt zum Thema Security grundlegend, sich zu überlegen, dass man einen Prozess hat, nach dem man arbeitet. Kann in vielen Fällen ein Riskprozess sein, muss aber nicht immer einer sein. Kann auch ein Reifegradprozess sein oder, oder oder. Je nachdem, was mir da die Regulatorik dann zugesteht, was ich machen darf. Und parallel dazu aber immer mit einem pragmatischem Blick halt da drauf. Und ehrlicherweise würde ich sagen, kann man manche Risken, also anstatt dann das xte Risk-Assessment nachzuschieben, boah, setzt euch doch einfach zusammen und fixt doch einfach mal zwei Server. Vielleicht die zwei kritischsten, dann hat man auch ein bisschen was gewonnen, anstatt nur wieder Papier zu produzieren. speaker-1: Ja, dann Max, ich habe noch eine letzte Frage, habe ich noch mal mitgebracht. Noch mal ein bisschen aus einem anderen Scope, als kleine Überraschung für dich. Je nachdem, wann jetzt unsere Folge ausgestrahlt wird, ist entweder kurz davor oder kurz danach das Thema Meldepflicht, Cyber Resilience Act. Wie ist denn da so deine Markteinschätzung? Wo siehst du denn die die dementsprechend Maschinenbauer, Anlagenbauer oder Komponentenhersteller, wo sind sie da aufgestellt und was würdest du denn noch zum Thema Meldepflicht Cyber Resilience Act als Tipp mitgeben? speaker-0: Gute Frage, Michael. Grundsätzlich gilt ganz oft, je größer das Unternehmen, desto eher ist es halt, geht es in die Richtung halt schon. Je kleiner, desto unvorbereiteter. Die Themen sind grundsätzlich natürlich identisch. Man darf dabei nicht vergessen, nur weil das Unternehmen größer ist, hat es ... Also das Verhältnis der Personen, die sich damit beschäftigt zur Unternehmensgesamtgröße Es kann gut sein, dass der Maschinenbauer mit 100 Leuten und einer Person, die da was macht, eine bessere Ratio hat als der Maschinenbauer mit 4.000 Mitarbeitern, der auch nur zwei Personen hat. Und dann ist es so, dass im Kern sind es ganz viele klassische Themen, die jeder eigentlich auch aus einem logischen Menschenverstand vielleicht als Absicherung seiner Produkte halt durchführt, die Klassiker-Themen. Zum Thema Meldepflicht per se. Ich sehe halt so zwei Ecken, na drei. Die einen, die gehen das proaktiv an. Wohl wissentlich, dass sie das nicht vollkommen vielleicht auch erfüllen können. Andere wiederum lassen sich schon zertifizieren. Und andere sagen, na ja, wo dann kein Kläger, da kein Richter. Na, wir warten mal ab. Ich finde die Sicht nicht gut, aber ich kann sie verstehen, weil eine berechtigte Frage ist sehr wohl. Wer prüft das Ganze? Wann wird das geprüft? Wer zwingt mich? Und was passiert, wenn ich es doch nicht gemacht habe? Kriterien hin oder her, Schadensersatz zum hin oder her und so weiter. Aber wo kein Kläger da, kein Richter. Und wer fordert es nachher ein? speaker-1: Das ist eigentlich für mich auch die zentrale Frage. Wie wird der Markt das quasi untereinander einfordern? Sei es das dann dementsprechend der Anlagenbetreiber, der Maschinenbauer, das da einfordert oder dementsprechend die unterschiedlichen Komponentenhersteller sich da vielleicht gegenseitig anschwärzen? Wir werden sehen, wie hoch da die Interessen sind. Aber ich glaube, die reine Regulatorik, weil ich glaube, das ist ja irgendwie beim BSI dann aufgehängt, dass hier überhaupt genügend Manpower dahinter steht. speaker-0: Ja, es wird spannend. Also ich finde den Grundansatz dahinter voll gut. Also noch so zum Abschluss vielleicht. Also wir haben eine sehr, sehr, sehr große Supermarktkette mit über 2000 Stores und die kaufen halt regelmäßig Produkte aus der ganzen Welt ein, wie zum Beispiel Kaffeemaschinen, Rasenmäher, was auch immer, die alle teilweise mittlerweile einen digitalen Anteil haben. Und sie selber agieren damit als Inverkehrbringer halt und stehen jetzt vor dem Problem und sagen, puh, na ja, wir müssen jetzt schon prüfen, ob der Teddybär, den wir hier mit einer Stückzahl 20.000 kaufen, der jetzt ein KI-Sprachmodul mittlerweile drin hat, eine Cloud mit drin hat, können wir dieses Ding ruhigen Gewissens 20.000-mal verkaufen, ne? An Kinder. So. Und das ist im Kern, das ist auch CRA. Und das haben wir im Maschinen- und Anlagenumfeld genauso. Aber am Ende heißt es halt, jemand muss Energie reinstecken, Prozesse müssen angepasst werden, Dinge werden teurer, jemand muss das bezahlen und und und. Wichtig ist, wir brauchen es. speaker-1: Ja und damit glaube ich haben wir jetzt unseren Zuhörern nicht nur mitgegeben, wie sie mit dem Thema starten können, sondern auch noch ein bisschen was zum Thema Meldepflicht abgerundet. Wer bis hier hin zugehört hat, nicht vergessen weiter hier unseren Kanal zu abonnieren und Max, bis nächstes Mal! speaker-0: Genau, bis demnächst, speaker-1: Bis zum nächsten Mal. Die Industrie verändert sich und wenn ich dabei bleibe, der verliert den Anschluss. Im Podcast "Die Zukunft der Industrie" erfährst du, was Digitalisierung, industrielle Daten, OT, Organisation, Cybersecurity für den Shopfloor wirklich bedeuten. Praxisnah, verständlich und ohne Passworts. Willst du die Zukunft der Industrie aktiv mitgestalten? Dann abonnier' jetzt den Podcast und verpasst keine der neuen Folgen.