Cybersicherheit & Produktsicherheit

Ja. Der CRA gilt für alle Produkte mit digitalen Elementen, also Hardware und Software mit Firmware oder einer direkten oder indirekten Datenverbindung zu einem Gerät oder Netzwerk. Dazu gehören Gateways, RTUs, Datenlogger, I/O-Module mit Kommunikationsschnittstellen und SENECA-Software.

Ab dem 11.09.2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die ENISA-Plattform melden (24 h / 72 h / Abschlussbericht). Ab dem 11.12.2027 gelten alle grundlegenden Anforderungen: In Verkehr gebrachte Produkte müssen dem CRA entsprechen und eine CE-Kennzeichnung tragen, die auch die Cybersicherheit abdeckt.

Nein. Die Entwicklungsanforderungen des CRA gelten für Produkte, die ab dem 11.12.2027 in Verkehr gebracht werden. Die Meldepflichten nach Art. 14 gelten dagegen auch für bereits vermarktete Produkte: Deshalb bearbeitet SENECA Meldungen zu allen Produkten, einschließlich der vor diesem Datum installierten Geräte.

Schreiben Sie an security@seneca.it und geben Sie Produkt, Code, Hardware-/Firmwareversionen, Beschreibung, Schritte zur Reproduktion, Auswirkungen und mögliche Nachweise an. Sie erhalten eine Eingangsbestätigung mit einer PSIRT-Kennung. Senden Sie keine Passwörter oder Zugangsdaten.

SENECA informiert betroffene Nutzer und veröffentlicht Sicherheitshinweise auf dieser Seite und im Newsroom, einschließlich Abhilfemaßnahmen und korrigierter Versionen. Sie können den SENECA-Newsletter abonnieren, um technische Updates zu erhalten.

Der CRA verlangt vom Hersteller, für jedes Produkt einen Supportzeitraum festzulegen, in der Regel mindestens 5 Jahre, sofern keine kürzere Nutzung erwartet wird. Während dieses Zeitraums müssen Sicherheitsupdates gewährleistet werden. SENECA wird den Supportzeitraum in der Dokumentation CRA-konformer Produkte angeben.

Diese Norm definiert die technischen Sicherheitsanforderungen an Komponenten industrieller Automatisierungs- und Steuerungssysteme (IACS). Jede Anforderung kann auf einem Security Level von SL1 (Schutz vor unbeabsichtigten Verstößen) bis SL4 (Schutz vor ausgefeilten Angriffen mit umfangreichen Ressourcen) erfüllt werden. Für die Baureihe PASS / SSD dokumentiert die unabhängige Bewertung den erreichten Security Level für jede anwendbare Anforderung, bis hin zu SL4.

NIS2 verlangt Risikomanagement auch in der Lieferkette. Geräte mit starker Authentifizierung, Verschlüsselung, Segmentierung, Audit-Logs und sicheren Updates liefern zusammen mit unabhängigen Tests und Konformitätsdokumentation die in Fragebögen und Audits wesentlicher und wichtiger Einrichtungen geforderten Nachweise.

Vernetzte Funkprodukte, die seit dem 1. August 2025 in Verkehr gebracht werden, unterliegen den Cybersicherheitsanforderungen der Delegierten Verordnung (EU) 2022/30 (EN 18031). Modelle wie Z-LTE-CEI und MY2-CEI sind RED-DA-konform; für andere Modelle ist die EU-Konformitätserklärung des Produkts maßgeblich.

Der CRA verlangt vom Hersteller, als Teil der technischen Dokumentation eine Software-Stückliste (SBOM) zu erstellen. SENECA integriert die SBOM in den Freigabeprozess; Informationen zu Komponenten von Drittanbietern können im Rahmen von Audits und Sicherheitsfragebögen auf Anfrage bereitgestellt werden.

Laden Sie Firmware und Software ausschließlich von der offiziellen Website www.seneca.it oder über die SENECA-Supportkanäle herunter. Bei Geräten der Baureihe PASS / SSD ist die Firmware digital signiert und Secure Boot verhindert den Start nicht authentischer Images.

Ändern Sie die Zugangsdaten bei der ersten Anmeldung, aktivieren Sie 2FA, sofern verfügbar, deaktivieren Sie ungenutzte Dienste und Ports, trennen Sie das OT-Netzwerk vom IT-Netzwerk, nutzen Sie für den Fernzugriff ausschließlich verschlüsselte VPNs (z. B. LET’S / VPNBOX2), senden Sie Logs an ein SIEM, sichern Sie die Konfiguration und installieren Sie regelmäßig Sicherheitsupdates.

Ab dem 20.01.2027 muss der Maschinenhersteller den Schutz gegen Verfälschung und unbefugte Zugriffe berücksichtigen, die die Sicherheit beeinträchtigen könnten. Komponenten mit dokumentierten IEC-62443-4-2-Anforderungen, Eingriffsprotokollen und nachvollziehbaren Updates vereinfachen diese Bewertung.

Ja, an Geräten in Ihrem Eigentum und in Testumgebungen unter Beachtung der auf dieser Seite beschriebenen Regeln: keine Auswirkungen auf Produktions- oder Drittsysteme, keine DoS-Angriffe auf SENECA-Dienste, kein Social Engineering. Melden Sie Ergebnisse an security@seneca.it nach dem Grundsatz der koordinierten Offenlegung.