Was jetzt auf die Automatisierungstechnik zukommt

Nach Hochrechnungen des VDMA-Fachverbandes Robotik + Automation liegt der Umsatz der Robotik- und Automationsbranche in Deutschland 2023 bei 16,2 Mrd. Euro – 2022 betrug der Wert 14,3 Mrd. Euro. Für 2024 erwartet die Branche eine Steigerung um 4 % auf etwa 16,8 Mrd. Euro Umsatz. Die höheren Umsätze deuten darauf hin, dass es mit der Automatisierung vorangeht. Doch dieser Trend bedeutet auch mehr Möglichkeiten für Cyberangriffe, denn Geräte und Anlagen sind zunehmend miteinander vernetzt.

Für eine Studie zum Wirtschaftsschutz 2023 wurden im Auftrag des Digitalverbands Bitkom mehr als 1.000 Unternehmen quer durch alle Branchen repräsentativ befragt. Dabei sagten 726 Unternehmen, die zum Zeitpunkt der Umfrage in den letzten 12 Monaten von Diebstahl, Industriespionage oder Sabotage betroffen waren, dass sie 148,2 Mrd. Euro des Schadens auf Cyberangriffe zurückführen konnten. Dabei stimmen 97 % der Aussage zu, dass Sicherheitsbehörden besser über die Cybersicherheitslage informieren müssten, sollte es beispielsweise bekannte Schwachstellen geben. Wie sehr hat die Bundesregierung also die digitale Bedrohung auf dem Schirm?

Neue Cybersecurity-Richtlinien

Seit 2019 ist der europäische Rechtsakt zur Cybersicherheit in Kraft, der unter anderem dafür sorgen soll, dass Informations- und Kommunikationstechnologien (IKT) – seien es Produkte, Dienstleistungen oder Prozesse – in Europa nach definierten Sicherheitsleveln einheitlich zertifiziert werden. Im Oktober 2024 muss Deutschland dann die europäische Network-and-Information-Security-Richtlinie 2.0 (NIS2) in nationales Recht umsetzen. Im dritten Quartal 2024 wird die NIS2-Richtlinie voraussichtlich vom Cyber Resilience Act (CRA) ergänzt, der Sicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Darin eingeschlossen sind Soft- und Hardware, die in der EU vertrieben werden. Während die NIS2-Richtlinie sich an Organisationen und Betreiber richtet, sind vom CRA Hersteller und Entwickler betroffen.

Die EU-Mitgliedsstaaten und wirtschaftlichen Akteure haben vom Inkrafttreten des CRA an, drei Jahre Zeit sich den Anforderungen anzupassen – mit einer Ausnahme: Die Meldepflicht für Hersteller gilt bereits 21 Monate nach Inkrafttreten des CRA. Stellen Hersteller also fest, dass an ihrem Produkt eine Schwachstelle für einen Cyberangriff ausgenutzt wurde, sind sie in der Pflicht, dies bekannt zu geben. Unter die von der Verordnung betroffenen Produkte fallen beispielsweise Steuerungssysteme von Produktionsprozessen, im IoT vernetzte Sensoren, Fernwartungs- und Fernüberwachungssysteme und Software beispielsweise zur Steuerung von Anlagen. Also so ziemlich alles, was es braucht, um eine Anlage zu automatisieren.

Das wird teuer

Sowohl im CRA als auch in der NIS2-Richtlinie ist festgehalten, dass Produkte und Anlagen stärker vor Cyberangriffen geschützt werden müssen, was unter anderem regelmäßige Updates beinhaltet, um die Systeme auf dem neuesten Stand zu halten. Das hat zur Folge, dass Hersteller um Security by Design nicht mehr herumkommen. Andersherum betrachtet bedeutet es, dass Anwender sich künftig darauf verlassen können, dass die genutzten Geräte sicherer vor Cyberangriffen sind, es regelmäßige Updates gibt und sie gewarnt werden, sollte eine Sicherheitslücke bekannt werden.

Ein Verstoß gegen den CRA oder die NIS2-Richtlinie kann für das betreffende Unternehmen nämlich schnell teuer werden. Verstößt ein Betreiber gegen die NIS2-Richtlinie, kann das ein Bußgeld bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes kosten, und im schlimmsten Fall verliert der Betreiber seine Betriebserlaubnis. Ein Verstoß gegen den CRA ist nach jetzigem Stand sogar noch teurer – hier drohen Bußgelder bis zu 15 Mio. Euro oder bis zu 2,5 % des weltweiten Umsatzes.

Der digitale Mitarbeiter

Die Bedrohungen durch Cyberangriffe für vernetzte Anlagen verringern sich in Zukunft hoffentlich, wenn Unternehmen durch Gesetze gezwungen sind, ihre Produkte und Systeme besser gegen digitale Angriffe zu sichern. Die klassischen Argumente kein Geld, keine Priorität, keine Leute ziehen dann nicht mehr. Und apropos keine Leute: Dieses Problem könnte Künstliche Intelligenz (KI) in Teilen lösen. Im Rahmen der Industrie 5.0 sollen Mitarbeitende Aufgaben, die mit der Analyse großer Datenmengen einhergehen, an entsprechende KI-Tools abgeben, da diese in der Regel besser darin sind, Muster zu erkennen. Die Signifikanz der gefundenen Muster zu interpretieren, ist dann wiederum Aufgabe der menschlichen Mitarbeitenden, also zu entscheiden, ob das Muster beispielsweise auf ein bald ausfallendes Bauteil hindeutet.

Sammeln Unternehmen die Anlagendaten standortübergreifend auf einem Server oder in einer Cloud und lassen darüber ein Datenanalyse-Tool laufen, könnten auch Anomalien aufgedeckt werden, die an einem Standort zu selten auftreten, als dass sie als signifikant erachtet würden. Wird dann aber klar, dass dieselbe Anomalie an allen Standorten auftritt, lohnt sich doch ein genauerer Blick.

Mittels KI können Unternehmen beispielsweise auch die Energieeffizienz verschiedener Prozesse auswerten. Das Tool macht daraufhin Vorschläge, welche Maßnahme die größte Veränderung bringen würde, und sortiert verschiedene Maßnahmen nach Priorität. KI kann Unternehmen demnach dabei unterstützen, Geld zu sparen, da weniger Energieträger nötig sind, und gleichzeitig ermöglicht ein solches Vorgehen den Unternehmen, ihren Klimazielen näher zu kommen. Ein netter Nebeneffekt ist, dass weniger Mitarbeitende benötigt werden, die sich dann anderen Aufgaben widmen können als dem Durchforsten von Daten.

Auf Hersteller und Nutzer von Automatisierungslösungen mit digitalen Komponenten kommen Ende 2024 also einige gesetzliche Neuerungen zu. Aber statt sich darüber zu beklagen, sollte es eher als Ansporn gesehen werden, die Ausreden von zu wenig Geld und zu wenig Zeit zu überwinden. Schließlich ist der finanzielle Schaden, der durch geglückte Cyberattacken entsteht, in der Endrechnung auch nicht zu vernachlässigen. Dass die EU und die Bundesregierung sich schon mit der Cybersecurity und dem Vorbeugen von digitalen Angriffen befassen, zeigt eines sehr gut: Manchmal regelt der Markt sich eben doch nicht selbst.