Recht der Cybersicherheit: Ein Leitfaden zu den wichtigsten Gesetzen, Vorschriften und Compliance-Anforderungen

Angesichts der zunehmenden Verbreitung vernetzter Geräte in Krankenhäusern und industriellen Systemen sind die rechtlichen Rahmenbedingungen für deren Schutz anspruchsvoller denn je. Das Recht im Bereich der Cybersicherheit umfasst mittlerweile Bundesvorschriften, Landesgesetze und weitreichende internationale regulatorische Anforderungen, wodurch ein komplexes Compliance-Umfeld entsteht, das jeden direkt betrifft, der für vernetzte Geräte, eingebettete Systeme oder vernetzte Geräte in geschäftskritischen Anwendungen verantwortlich ist.

Zu verstehen, welche Gesetze zur Cybersicherheit für Ihre Geschäftstätigkeit gelten, welche Anforderungen sie stellen und wie Sie diese umsetzen müssen, ist längst keine reine Backoffice-Angelegenheit mehr, sondern eine grundlegende betriebliche Notwendigkeit für jedes Unternehmen, das vernetzte Systeme in großem Umfang betreibt.

Das Recht der Cybersicherheit verstehen und warum es wichtig ist

Das Cybersicherheitsrecht umfasst die Gesetze, Verordnungen und durchsetzbaren Standards, die regeln, wie Organisationen ihre digitalen Systeme, Netzwerke, Daten und vernetzten Geräte schützen. Es befasst sich mit Verpflichtungen, die vom Datenschutz und der Meldung von Datenschutzverletzungen bis hin zur Absicherung der Infrastruktur und den SicherheitsanforderungenIoT reichen. Da IoT das IoT auf Milliarden von Endgeräten im Gesundheitswesen, bei Versorgungsunternehmen, im Verkehrswesen und in Industrieanlagen ausgeweitet IoT , haben die Cybersicherheitsvorschriften mit immer spezifischeren Vorgaben für vernetzte Produkte reagiert. Für Organisationen, die verteilte IoT betreiben, ist die Einhaltung dieser Vorschriften nicht nur eine gesetzliche Verpflichtung, sondern ein Mechanismus zur Risikominderung, zum Rechtsschutz und zur Gewährleistung der Betriebskontinuität.

Entdecken Sie die neuesten Trends IoT und erfahren Sie, wie Unternehmen vernetzte Geräte vor immer neuen Bedrohungen schützen.

Wichtige US-amerikanische Gesetze und Vorschriften zur Cybersicherheit

Die Vereinigten Staaten haben ein mehrstufiges System aus Cybersicherheitsvorschriften auf Bundesebene und Sicherheitsanforderungen auf Ebene der Bundesstaaten entwickelt, das regelt, wie Organisationen im Gesundheitswesen, in der öffentlichen Verwaltung, im Finanzdienstleistungssektor und in IoT Branchen ihre Systeme und Daten schützen müssen. Kein einzelnes Gesetz deckt alle Sektoren ab. Organisationen müssen sich häufig gleichzeitig mit mehreren, sich überschneidenden Gesetzen und Vorschriften zur Cybersicherheit auseinandersetzen: dem HIPAA (Health Insurance Portability and Accountability Act) neben den Anforderungen der FDA (Food and Drug Administration) für Hersteller medizinischer Geräte oder dem FISMA (Federal Information Security Modernization Act) neben dem FedRAMP (Federal Risk and Authorization Management Program) für Auftragnehmer der Bundesregierung. Das Verständnis dieses regulatorischen Mosaiks ist der entscheidende erste Schritt hin zu einer tragfähigen Compliance-Strategie für jede Organisation, die vernetzte Systeme und Geräte betreibt.

HIPAA und HITECH

HIPAA und der HITECH-Act (Health Information Technology for Economic and Clinical Health) legen die grundlegenden Standards für Gesetze zur Cybersicherheit im Gesundheitswesen in den Vereinigten Staaten fest und verpflichten betroffene Einrichtungen und Geschäftspartner, Sicherheitsmaßnahmen für elektronische geschützte Gesundheitsdaten (ePHI) zu implementieren, darunter Zugriffskontrollen, Protokollierung von Prüfvorgängen, Verschlüsselung sowie die Meldung von Datenschutzverletzungen an das HHS (Department of Health and Human Services) innerhalb von 60 Tagen. HITECH hat die Durchsetzungsbefugnisse des HIPAA gestärkt und die Strafen erheblich erhöht. Für Organisationen, die Sicherheitsmaßnahmen IoT im klinischen Umfeld einsetzen – von vernetzten Infusionspumpen bis hin zu Systemen zur Fernüberwachung von Patienten –, ist die Einhaltung der Vorschriften unverzichtbar. Datenschutzverletzungen im Gesundheitswesen sind nach wie vor die kostspieligsten aller Branchen und belaufen sich laut dem „2025 Cost of a Data Breach Report“ von IBM auf durchschnittlich 7,42 Millionen US-Dollar pro Vorfall.

Cybersicherheit bei Medizinprodukten gemäß den Vorgaben der FDA

Die Anforderungen der FDA an die Cybersicherheit von Medizinprodukten, die im „Consolidated Appropriations Act“ von 2023 festgeschrieben sind, schreiben einen „Secure-by-Design“-Ansatz für mit dem Internet verbundene Medizinprodukte vor. Hersteller müssen einen Cybersicherheits-Managementplan vorlegen, Patches regelmäßig und bei kritischen Problemen bereitstellen sowie eine Software-Stückliste (SBOM) bereitstellen. Das Schwachstellenmanagement nach der Markteinführung ist ausdrücklich vorgeschrieben und prägt die Sicherheitsentscheidungen von OEMs, die vernetzte Diagnose- und Überwachungsgeräte herstellen. Sicherheit muss von Anfang an integriert werden – und darf nicht erst nach der Markteinführung nachgerüstet werden. Ausführlichere Informationen finden Sie in den Ressourcen von Digi zur Sicherheit medizinischer Geräte.

FISMA und FedRAMP

FISMA verpflichtet Bundesbehörden und deren Auftragnehmer zur Aufrechterhaltung umfassender Informationssicherheitsprogramme, die auf die Rahmenwerke des NIST (National Institute of Standards and Technology) abgestimmt sind, einschließlich Systemkategorisierung, Autorisierung und kontinuierlicher Überwachung. FedRAMP erweitert diese Anforderungen auf Cloud-Dienstleister, die Kunden aus dem Bundesbereich bedienen, und schreibt strenge Bewertungen durch unabhängige Dritte sowie eine fortlaufende Berichterstattung zur Einhaltung der Vorschriften vor. Für Organisationen, deren IoT mit Regierungsnetzwerken oder von Bundesbehörden genutzten Cloud-Plattformen verbunden ist, bestimmen diese Rahmenwerke unmittelbar die Architekturentscheidungen hinsichtlich Zugriffskontrolle, Verschlüsselungsstandards, Protokollierung von Vorfällen und Zeitplänen für das Patch-Management.

CCPA/CPRA und datenschutzrechtliche Vorschriften der Bundesstaaten

Der kalifornische CCPA (California Consumer Privacy Act), der durch den CPRA (California Privacy Rights Act) verschärft wurde, verpflichtet Organisationen dazu, personenbezogene Daten von Verbrauchern zu schützen, Datenschutzverletzungen unverzüglich zu melden und angemessene Sicherheitsmaßnahmen zu ergreifen. Diese Datenschutzgesetze haben landesweit Maßstäbe gesetzt, sodass Virginia, Colorado, Connecticut, Texas und viele andere Bundesstaaten ähnliche Gesetze verabschiedet haben. Insgesamt führt diese Welle von Cybersicherheitsgesetzen auf Bundesstaatsebene zu sich überschneidenden Verpflichtungen für alle Organisationen, die Daten über IoT erheben – einschließlich Systemen, die Verhaltens-, Umgebungs-, Standort- oder biometrische Informationen erfassen –, unabhängig davon, wie „datenintensiv“ diese Systeme traditionell erscheinen mögen.

CIRCIA und Meldepflichten für kritische Infrastrukturen

Das Gesetz zur Meldung von Cybervorfällen in kritischen Infrastrukturen (CIRCIA) verpflichtet Organisationen in 16 Sektoren kritischer Infrastrukturen dazu, schwerwiegende Cybervorfälle innerhalb von 72 Stunden und Zahlungen im Zusammenhang mit Ransomware innerhalb von 24 Stunden zu melden. Dieses Gesetz zielt darauf ab, ein nationales Bedrohungsbild zu erstellen und koordinierte Maßnahmen auf Bundesebene zu beschleunigen. Zu den betroffenen Sektoren gehören das Gesundheitswesen, die Energieversorgung, der Verkehr und die Wasserversorgung. Sobald die endgültige Verordnung der CISA (Cybersecurity and Infrastructure Security Agency) in Kraft tritt, werden die Meldepflichten gemäß CIRCIA direkte rechtliche Konsequenzen nach sich ziehen, wodurch die Fähigkeiten zur Erkennung und Dokumentation von Vorfällen zu einer unverzichtbaren Komponente der Compliance-Infrastruktur werden.

Gesetz zur Verbesserung der IoT

Der IoT Improvement Act“ weist das NIST und das OMB (Office of Management and Budget) an, grundlegende Sicherheitsstandards für die Gerätesicherheit bei der Beschaffung durch die Bundesregierung festzulegen, die die eindeutige Geräteidentität, sichere Standardkonfigurationen, Möglichkeiten zur Softwareaktualisierung, die Offenlegung von Sicherheitslücken und sichere Kommunikation umfassen. Obwohl das Gesetz direkt für von der Regierung beschaffte IoT gilt, fungiert es de facto als Marktstandard: Anbieter, die ihre Produkte gemäß diesen Grundstandards entwickeln, sind für den Verkauf an die Bundesregierung und die Einhaltung allgemeiner Cybersicherheitsvorschriften besser aufgestellt. Für OEMs und Integratoren ist die Anpassung an IoT des NIST zunehmend eine Grundvoraussetzung und kein Alleinstellungsmerkmal mehr.

Wichtige globale Gesetze zur Cybersicherheit

Der regulatorische Druck auf vernetzte Geräte reicht weit über die Vereinigten Staaten hinaus. OEMs, Systemintegratoren und multinationale Unternehmen, die auf internationalen Märkten tätig sind, sehen sich mit einem rasch wachsenden Bestand an Cybersicherheitsgesetzen in Europa und im asiatisch-pazifischen Raum konfrontiert. Für jeden Hersteller von eingebetteten Produkten oder IoT , die weltweit eingesetzt werden, ist das Verständnis dieser internationalen Rahmenbedingungen eine Voraussetzung für den Marktzugang. Internationale Gesetze und Vorschriften zur Cybersicherheit konvergieren auf gemeinsame Grundsätze: „Secure-by-Design“-Entwicklung, lebenslanges Schwachstellenmanagement, obligatorische Offenlegung von Vorfällen und klare Verantwortlichkeiten entlang der gesamten Lieferkette.

EU-Gesetz zur Cyber-Resilienz (CRA)

Das EU-Gesetz zur Cyber-Resilienz gilt für praktisch alle vernetzten Geräte – sowie für jedes Gerät, das direkt oder indirekt mit einem anderen Gerät oder Netzwerk verbunden werden kann –, die in der EU verkauft oder vertrieben werden sollen. Das Gesetz wurde Ende 2024 offiziell verabschiedet, und die Fristen für die Umsetzung rücken rasch näher. Hersteller müssen „Secure-by-Default“-Konfigurationen einführen, SBOMs führen und während der gesamten unterstützten Lebensdauer des Produkts kostenlose Sicherheitsupdates bereitstellen. Verstöße werden mit Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet. Für OEMs, die vernetzte Produkte für den EU-Markt herstellen, gehört das CRA zu den folgenreichsten Gesetzen im Bereich der Cybersicherheit seit einer Generation.

Erhalten Sie detaillierte Einblicke in die Erfüllung der CRA-Anforderungen im Whitepaper von Digi zur Einhaltung des Cyber Resilience Act.

Sicherheitsanforderungen der EU-DSGVO

Die DSGVO (Datenschutz-Grundverordnung) erlegt jeder Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet, Sicherheitsverpflichtungen auf, unabhängig vom Standort ihres Hauptsitzes. Zu den erforderlichen Maßnahmen gehören technische und organisatorische Schutzvorkehrungen zur Gewährleistung der Vertraulichkeit und Integrität der Daten, Verschlüsselung, sofern das Risiko dies rechtfertigt, sowie die Meldung von Datenschutzverletzungen an die Aufsichtsbehörden innerhalb von 72 Stunden. Für vernetzte IoT , die personenbezogene Daten erfassen – von medizinischen Wearables bis hin zu Sensoren in Smart Cities –, legt das DSGVO-Datenschutzrecht fest, wie gespeicherte und übertragene Daten geschützt werden müssen und wer im Falle einer Datenschutzverletzung rechtlich haftet.

EU-Richtlinie NIS2

Die NIS2-Richtlinie erweitert den Anwendungsbereich ihrer Vorgängerin erheblich, indem sie eine breite Palette von Sektoren und Einrichtungen abdeckt, die für das Funktionieren der Gesellschaft und der Wirtschaft als wesentlich oder wichtig erachtet werden. Sie gilt für mittlere und große Organisationen, die in Sektoren wie Energie, Verkehr, Bankwesen, Gesundheitswesen, Versorgungswirtschaft, IKT-Dienstleistungsmanagement (Informations- und Kommunikationstechnologie), öffentliche Verwaltung und Raumfahrt tätig sind, sowie für digitale Anbieter wie Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke. Die Richtlinie schreibt ein umfassendes Bündel von Cybersicherheitsverpflichtungen vor und verlangt von den betroffenen Einrichtungen die Umsetzung geeigneter und verhältnismäßiger technischer, betrieblicher und organisatorischer Maßnahmen zur Bewältigung von Cybersicherheitsrisiken, einschließlich Richtlinien zur Risikoanalyse, zum Umgang mit Vorfällen, zur Geschäftskontinuität, zur Sicherheit der Lieferkette, zur Verschlüsselung und zur Zugriffskontrolle. Die Leitungsorgane der Unternehmen tragen die direkte Verantwortung für die Genehmigung und Überwachung der Maßnahmen zur Umsetzung der Cybersicherheitsvorschriften und können bei Nichteinhaltung persönlich haftbar gemacht werden.

Britisches PSTI-Gesetz

Die britische PSTI-Verordnung (Product Security and Telecommunications Infrastructure) legt verbindliche Mindestsicherheitsanforderungen für mit dem Internet verbundene Verbraucherprodukte fest, die auf dem britischen Markt in Verkehr gebracht werden. Sie gilt für eine breite Palette von internet- und netzwerkfähigen Verbrauchergeräten, darunter Smartphones, Smart-TVs, Router, vernetztes Spielzeug, Smart-Home-Geräte, tragbare Fitness-Tracker und andere IoT , schließt jedoch bestimmte Kategorien wie Medizinprodukte, intelligente Stromzähler und Ladestationen aus, die separaten Rechtsrahmen unterliegen. Die Verordnung erlegt Herstellern, Importeuren und Händlern entlang der gesamten Lieferkette Verpflichtungen auf, wobei den Herstellern die größten Pflichten obliegen. Sie müssen sicherstellen, dass Produkte nicht mit universellen Standardpasswörtern ausgeliefert werden (jedes Gerät muss über ein eindeutiges Standardpasswort verfügen oder den Nutzer auffordern, eines festzulegen), dass sie eine Richtlinie zur Offenlegung von Sicherheitslücken veröffentlichen, damit Forscher und andere Sicherheitsprobleme melden können, und dass sie eine Erklärung zur Mindestunterstützungsdauer bereitstellen, in der die Verbraucher darüber informiert werden, wie lange das Produkt Sicherheitsupdates erhalten wird.

APAC und andere internationale Rahmenwerke

Im gesamten asiatisch-pazifischen Raum stellen nationale Rahmenbedingungen bei multinationalen Implementierungen immer höhere Anforderungen an die Sicherheit IoT . Das australische Gesetz zur Sicherheit kritischer Infrastrukturen (SOCI) schreibt Risikomanagementprogramme und die Meldung von Vorfällen vor. Das aktualisierte japanische APPI-Gesetz (Gesetz zum Schutz personenbezogener Daten) verschärft die Verpflichtungen zum Umgang mit Daten in vernetzten Systemen. Ebenso ist JC-STAR (Japan Cybersecurity Technical Assessment für IoT mit Sternebewertung) erwähnenswert. Dieses freiwillige Kennzeichnungssystem für Cybersicherheit hilft Verbrauchern, fundiertere Kaufentscheidungen zu treffen, und ermutigt Hersteller gleichzeitig, strengere Cybersicherheitsmaßnahmen einzuführen. Singapurs „Cybersecurity Code of Practice“ (CCoP) legt verbindliche Standards für Betreiber kritischer Informationsinfrastrukturen fest. Unternehmen, die vernetzte Lösungen in diesen Märkten einsetzen, müssen ihre Compliance-Situation aktiv an die spezifischen Anforderungen der jeweiligen Rechtsordnung anpassen. Dies ist eine wachsende, aber unvermeidbare betriebliche Realität.

Sanktionen bei Verstößen gegen Cybersicherheitsvorschriften

Die Folgen einer Nichteinhaltung der Cybersicherheitsgesetze sind schwerwiegend, vielschichtig und nehmen immer schneller zu. Geldstrafen sind das sichtbarste Risiko, stellen jedoch nur eine Ebene der Gefährdung dar. Rechtliche Haftung, der Verlust von Regierungsaufträgen, Betriebsstörungen und langfristiger Reputationsschaden machen die Nichteinhaltung insgesamt weitaus kostspieliger als die Investitionen, die zu ihrer Einhaltung erforderlich sind. Da IoT immer tiefer in kritische Betriebsabläufe eingebettet sind – von medizinischen Umgebungen bis hin zu Energienetzen –, behandeln die Regulierungsbehörden Verstöße nicht mehr als administrative Versäumnisse, sondern als systemische Risiken, die eine angemessene Durchsetzung rechtfertigen.

Geldstrafen und Bußgelder

Aufsichtsbehörden auf beiden Seiten des Atlantiks verhängen erhebliche Geldbußen für Verstöße gegen Cybersicherheitsvorschriften. Das HHS OCR (Office for Civil Rights) kann zivilrechtliche Geldstrafen gemäß HIPAA in Höhe von bis zu 2,190 Millionen US-Dollar pro Verstoßkategorie und Jahr verhängen. Die FTC (Federal Trade Commission) verfügt über weitreichende Befugnisse, Organisationen mit Geldbußen zu belegen, die keine angemessenen Sicherheitsmaßnahmen umsetzen. Nach der DSGVO können die Strafen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen; nach dem EU-CRA bis zu 15 Millionen Euro oder 2,5 %. Für kleinere Organisationen kann eine einzige Durchsetzungsmaßnahme eine existenzbedrohende finanzielle Belastung darstellen – was proaktive Cyberhygiene zu einer sinnvollen wirtschaftlichen Entscheidung macht, nicht nur zu einer rechtlichen.

Haftung und zivilrechtliche Klagen

Über behördliche Bußgelder hinaus sind Unternehmen nach Datenschutzverletzungen einem erheblichen Risiko zivilrechtlicher Klagen ausgesetzt. Sammelklagen im Zusammenhang mit Vorfällen im Bereich der Datensicherheit im Gesundheitswesen sind zunehmend an der Tagesordnung, wobei die Kläger Fahrlässigkeit, Vertragsbruch und Verstöße gegen Verbraucherschutzgesetze geltend machen. Laut dem „HIPAA Journal“ betraf der Ransomware-Angriff auf Change Healthcare schätzungsweise 192,7 Millionen Personen und löste neben zahlreichen Ermittlungen auf Bundesebene auch umfangreiche Rechtsstreitigkeiten aus. Für Unternehmen, die IoT einsetzen, die personenbezogene Daten oder Patientendaten verarbeiten, muss das zivilrechtliche Haftungsrisiko bei Entscheidungen über Sicherheitsinvestitionen ebenso berücksichtigt werden wie die direkten Kosten für die Einhaltung von Cybersicherheitsvorschriften – beide Aspekte sind eng miteinander verflochten.

Auswirkungen staatlicher Fördermittel und Verträge

Bundesweite Cybersicherheitsvorschriften fließen zunehmend in die Anforderungen für die Auftragsvergabe und die Förderungswürdigkeit ein. Die Nichteinhaltung von FISMA, des IoT Improvement Act“ und branchenspezifischer Vorgaben kann zum Verlust der Auftragsberechtigung, zur Rückforderung bereits gewährter Fördermittel und zum Ausschluss von künftigen Ausschreibungen führen. Neue Cybersicherheitsklauseln in der FAR (Federal Acquisition Regulation) und das CMMC-Rahmenwerk (Cybersecurity Maturity Model Certification) für Rüstungsunternehmen bedeuten, dass die Sicherheitslage nun eine direkte Voraussetzung für den Zugang zum öffentlichen Beschaffungsmarkt ist. Unternehmen, die IoT für den staatlichen Einsatz entwickeln, müssen die Einhaltung der Vorschriften von Anfang an als Voraussetzung für den Marktzugang betrachten.

Betriebsstörungen und Auswirkungen auf die Berichterstattung

Die Meldepflichten gemäß CIRCIA, HIPAA und DSGVO setzen Unternehmen nach einem Vorfall unter erheblichen Zeitdruck. Im Vergleich zu anderen Branchen dauert es im Gesundheitswesen am längsten, Datenschutzverletzungen zu erkennen und einzudämmen – im Durchschnitt 279 Tage. Das sind fünf Wochen länger als der weltweite Durchschnittszeitraum für den Lebenszyklus einer Datenschutzverletzung. HIPAA Journal: Lange Verweildauern machen die Einhaltung enger Meldefristen – 72 Stunden gemäß DSGVO, 24 Stunden für Ransomware-Zahlungen gemäß CIRCIA – ohne automatisierte Erkennungsfunktionen extrem schwierig. Unternehmen, denen es an Tools zur Überwachung IoT und an dokumentierten Reaktionsplänen mangelt, müssen zusätzlich zu den Folgen des Datenlecks selbst mit sekundären Strafen wegen verspäteter oder unzureichender Meldung rechnen.

Schädigung des Rufs und des Kundenvertrauens

Bei Problemen mit der Cybersicherheit von Geräten im Einzelhandel, im Gesundheitswesen, in öffentlichen Systemen wie Ladestationen für Elektrofahrzeuge und anderen sicherheitskritischen Bereichen können die Reputationsschäden länger anhalten als die finanziellen Folgen. Laut Dialog Health können gestohlene Gesundheitsdaten im Dark Web bis zu 50-mal wertvoller sein als Finanzdaten, was das Gesundheitswesen zu einem dauerhaft hochkarätigen Ziel macht. Der Wiederaufbau des Vertrauens nach einem öffentlich bekannt gewordenen Datenleck erfordert nachhaltige Investitionen in Sicherheit, Transparenz, Abhilfemaßnahmen und Kommunikation; dies sind Kosten, die in Budgetdiskussionen vor einem Datenleck selten berücksichtigt werden, aber regelmäßig die Wiederaufbauplanung nach einem Datenleck dominieren. Die proaktive Einhaltung von Cybersicherheitsvorschriften ist letztendlich eine Strategie zur Wahrung des Vertrauens.

Entdecken Sie IoT von Digi und erhalten Sie eine praxisnahe Einführung in den Schutz vernetzter Geräte und die Einhaltung von Compliance-Anforderungen.

Herausforderungen bei der Einhaltung von Vorschriften für kritische Infrastrukturen und industrielle Systeme

Betreiber kritischer Infrastrukturen, darunter Energieversorger, Wasserversorger, Verkehrsbetriebe und Industrieunternehmen, stehen vor ganz besonderen Herausforderungen bei der Einhaltung von Cybersicherheitsvorschriften. Im Gegensatz zu IT-Umgebungen in Unternehmen kombinieren diese Sektoren veraltete Betriebstechnologie mit modernen vernetzten Systemen, unterliegen strengen Anforderungen an die Verfügbarkeit und setzen ihre Anlagen in großen, geografisch verteilten Netzwerken ein. Die Anwendung aktueller Gesetze und Vorschriften zur Cybersicherheit auf dieses Umfeld erfordert den Umgang mit echten Spannungen zwischen Sicherheitsanforderungen und betrieblichen Realitäten, für deren Bewältigung die meisten Compliance-Rahmenwerke ursprünglich nicht konzipiert wurden.

Einhaltung von Versorgungs- und Energiesicherheitsstandards

Energie- und Versorgungsunternehmen müssen die NERC-CIP-Standards (North American Electric Reliability Corporation Critical Infrastructure Protection) einhalten, die Kontrollen in Bezug auf elektronische Sicherheitsperimeter, Zugriffsmanagement, Risiken in der Lieferkette und die Meldung von Vorfällen für Anlagen des Stromgroßnetzes vorschreiben. In Verbindung mit den Meldepflichten gemäß CIRCIA und den branchenspezifischen CISA-Leitlinien ergeben diese Vorschriften ein anspruchsvolles Compliance-Konzept. Die Umsetzung dieser Vorschriften in jahrzehntealten SCADA-Systemen (Supervisory Control and Data Acquisition) und modernen vernetzten Sensoren, ohne den Netzbetrieb zu stören, stellt eine der technisch anspruchsvollsten Herausforderungen im Bereich der Cybersicherheit dar, mit denen Organisationen kritischer Infrastrukturen derzeit konfrontiert sind.

Einhaltung der Anforderungen im Verkehrsbereich und im Bereich Smart City

Verkehrsbetriebe und Smart-City-Betreiber müssen vernetzte Verkehrsmanagementsysteme, öffentliche Nahverkehrsnetze, IoT am Straßenrand sowie Kommunikationssysteme für die öffentliche Sicherheit über große Geräteflotten hinweg absichern, die an physisch exponierten Standorten eingesetzt werden – häufig von verschiedenen Anbietern mit unterschiedlichen Sicherheitsstandards. Um eine einheitliche Sicherheit IoT in dieser heterogenen Landschaft zu gewährleisten und gleichzeitig die Betriebsleistung in Echtzeit aufrechtzuerhalten, sind koordinierte Strategien zur Einhaltung der Cybersicherheitsvorschriften erforderlich, die sowohl Beschaffungsstandards als auch das laufende Lebenszyklusmanagement der Geräte berücksichtigen.

Umsetzung von Netzwerksegmentierung und Zero Trust in großem Maßstab

Die Durchsetzung von Netzwerksegmentierung und Zero-Trust-Prinzipien in großen, verteilten IoT gehört zu den technisch anspruchsvollsten Anforderungen in den Rechtsrahmenwerken zur Cybersicherheit, darunter NERC CIP und NIST. Die Segmentierung von Betriebsnetzwerken, die Durchsetzung des Prinzips der geringsten Berechtigungen pro Gerät und die Überprüfung jeder einzelnen Verbindung werden bei großem Umfang exponentiell komplexer. Um eine Zero-Trust-Sicherheit IoT über Hunderte oder Tausende von Remote-Geräten hinweg zu erreichen, sind speziell entwickelte Verwaltungsplattformen und integrierte Sicherheitsfunktionen auf Geräteebene erforderlich – nicht nur Perimeter-Abwehrmaßnahmen allein.

Behebung häufiger Sicherheitslücken in der Industrie

Industrieumgebungen und OT-Umgebungen (Operational Technology) weisen spezifische Risikoprofile auf, auf die die bestehenden Gesetze zur Cybersicherheit oft nicht ausgelegt sind. Ältere Anlagen, darunter SPSen (speicherprogrammierbare Steuerungen), verteilte Steuerungssysteme und industrielle Kommunikationsprotokolle, verfügen häufig nicht über moderne Authentifizierungs-, Verschlüsselungs- oder Patch-Funktionen. Unsichere Fernzugriffswege und eine eingeschränkte Transparenz der Anlagen verschärfen die Herausforderung zusätzlich.

Um diese Schwachstellen zu beheben, ohne den Betrieb zu beeinträchtigen, ist eine systematische Priorisierung erforderlich: Erfassung der Systeme, Ausgleichskontrollen für Geräte, für die keine Patches verfügbar sind, und schrittweise Umstellung auf Cybersicherheitsarchitekturen, die den aktuellen regulatorischen Anforderungen gerecht werden.

Entwicklung einer praxisorientierten Compliance-Strategie für IoT

Um die Anforderungen der heutigen Cybersicherheitsvorschriften zu erfüllen, müssen systematische, skalierbare Prozesse etabliert werden, die den gesamten Lebenszyklus der Geräte abdecken. Beginnen Sie mit einer umfassenden Risikobewertung, bei der die gesetzlichen Verpflichtungen und Anforderungen den konkret eingesetzten Systemen zugeordnet und Lücken identifiziert werden. Konzentrieren Sie sich anschließend auf sichere Konfigurationen bei der Bereitstellung, die kontinuierliche Überwachung von Schwachstellen sowie Dokumentationsverfahren, die die Audit-Bereitschaft unterstützen.

Das Lebenszyklusmanagement von Geräten – einschließlich sicherer Over-the-Air-Updates (OTA), Verfahren zur Außerbetriebnahme und Herstellerüberprüfung – wird für OEMs zunehmend zu einer zwingenden Anforderung. Unternehmen, die in wiederholbare, automatisierte Prozesse zur Einhaltung IoT investieren, sind weitaus besser aufgestellt, um neue regulatorische Anforderungen zu bewältigen, sobald diese aufkommen.

Entdecken Sie die wichtigsten IoT in Digis ausführlichem Leitfaden zum Schutz vernetzter Geräte.

Wie Digi sichere und vorschriftsmäßige vernetzte Systeme unterstützt

Digi International entwickelt seit 1985 sichere vernetzte Lösungen, und sein Technologieportfolio unterstützt OEMs und Systemintegratoren dabei, die Sicherheitsvorschriften für vernetzte Geräte einzuhalten.

Der Ansatz von Digi kombiniert integrierte Sicherheit auf Hardware- und Firmware-Ebene, cloudbasiertes Lebenszyklusmanagement und eine kontinuierliche Überwachung von Sicherheitslücken – und bietet Unternehmen damit die technische Grundlage zur Einhaltung von Cybersicherheitsvorschriften gemäß HIPAA, FDA, NERC CIP, der EU-RED-Verordnung, der EU-CRA-Verordnung und anderen geltenden Rahmenwerken. Ganz gleich, ob es um die Entwicklung eines neuen IoT oder die Absicherung einer bestehenden Infrastruktur geht: Digi bietet speziell entwickelte Tools und Dienstleistungen, die auf die Einhaltung von Vorschriften in großem Maßstab ausgelegt sind.

Digi TrustFence-Sicherheitsrahmenwerk

Digi TrustFence ist ein in die Hardware-Plattformen von Digi integriertes Framework für Gerätesicherheit, das es Herstellern ermöglicht, Sicherheits- und Datenschutzfunktionen IoT in ihre Produktdesigns einzubinden.

TrustFence umfasst Secure Boot, geschützte Ports, Netzwerkauthentifizierung, sichere Speicherung oder Partitionsverschlüsselung, nutzt verschlüsselte Kommunikation und unterstützt sichere Firmware-Updates – entwickelt, um sich an die sich ständig weiterentwickelnden Bedrohungen über die gesamte Lebensdauer eines Produkts anzupassen. In Kombination mit dem nach SOC^2® Typ² verifizierten Digi Remote Managererweitert TrustFence die Sicherheit vom Gerät bis in die Cloud und schafft so eine überprüfbare Sicherheitslage, die die Einhaltung von Cybersicherheitsvorschriften wie HIPAA, FDA-Richtlinien, der EU-RED-DA, der EU-CRA und NIST-Rahmenwerken unterstützt.

Digi ConnectCore Sicherheit und Cloud-Dienste

DieDigi ConnectCore Services und dieDigi ConnectCore Services erfüllen zwei der wichtigsten Anforderungen moderner Cybersicherheitsgesetze: kontinuierliches Schwachstellenmanagement und sichere Over-the-Air-Updates.

Die ConnectCore Security Services unterstützen automatische, benutzerdefinierte SBOM-Scans zur Einstufung von CVEs (Common Vulnerabilities and Exposures) über den gesamten Produktlebenszyklus hinweg und tragen damit direkt zur Erfüllung der Dokumentationspflichten der CRA, der FDA und im Bereich der Cybersicherheit von Medizinprodukten bei. Die ConnectCore Cloud Services ermöglichen sichere OTA-Firmware-Updates mit zertifikatsbasierter Authentifizierung und TLS-Verschlüsselung und stellen so sicher, dass die Verpflichtungen hinsichtlich Patches und der Wartung des Gerätebestands in großem Maßstab erfüllt werden können.

Smart City IoT

Die Smart-City-Sicherheitslösungen von Digi bieten kabelgebundene und kabellose Konnektivität für sicherheitskritische städtische Anwendungen, darunter Überwachungskameras, Sensoren, Drohnen und Netzwerke für die öffentliche Sicherheit. Mobilfunk und XBee-HF-Module von Digi bieten geschäftskritische Zuverlässigkeit und Echtzeit-Diagnosefunktionen für Betreiber, die sich im Rechtsrahmen der Cybersicherheit für öffentliche Infrastruktur zurechtfinden müssen. Fernverwaltungsfunktionen unterstützen die kontinuierliche Überwachung und Konfigurationssteuerung, die zur Aufrechterhaltung IoT in verteilten, stadtweiten Installationen erforderlich sind, einschließlich neuer Sicherheitsstandards für kommunale und staatliche Smart-Infrastrukturen.

Unterstützung bei Entwicklung, Prüfung und Konformität durch Digi

Über TrustFence und ConnectCore hinaus unterstützt das umfassende Portfolio von Digi die Einhaltung von Cybersicherheitsvorschriften branchenübergreifend. Digi Remote Manager eine zentralisierte Überwachung der Konfiguration und die automatisierte Behebung nicht konformer Gerätekonfigurationen. Die Wireless Design Services von Digi können die Entwicklungsteams von OEMs durch sicherheitsorientierte Designprozesse ergänzen, die Schwachstellen bereits vor der Inbetriebnahme beseitigen. Dies ist für Unternehmen von entscheidender Bedeutung, die bereits in den frühesten Entwicklungsphasen die Vorschriften und Standards für die Cybersicherheit medizinischer Geräte sowie die gesetzlichen Anforderungen an die Sicherheit eingebetteter Daten berücksichtigen müssen.

Stärkung der Widerstandsfähigkeit vernetzter Systeme

Cybersicherheitsgesetze und IoT sind für jedes Unternehmen, das heute vernetzte Systeme betreibt, untrennbar miteinander verbunden. Die in diesem Leitfaden behandelten Rahmenwerke – von den Cybersicherheitsanforderungen der HIPAA und der FDA für Medizinprodukte bis hin zur EU-CRA und den NERC-CIP-Vorschriften – basieren alle auf derselben Prämisse: Sicherheit muss bewusst gestaltet, dokumentiert und über den gesamten Lebenszyklus eines Geräts hinweg gewährleistet werden.

Unternehmen, die Cybersicherheitsvorschriften eher als Checkliste zur Einhaltung von Vorschriften denn als operative Disziplin betrachten, werden sich ständig in einer reaktiven Rolle wiederfinden. Der Aufbau echter Resilienz bedeutet, bereits in der Entwurfsphase in integrierte Sicherheit zu investieren, skalierbare Funktionen IoT einzusetzen und mit Anbietern zusammenzuarbeiten, die das gesamte regulatorische Umfeld verstehen. Digi unterstützt seit Jahrzehnten sichere und vorschriftsmäßige Implementierungen in den Bereichen Gesundheitswesen, Industrie, Verkehr und Smart Cities – und diese Erfahrung fließt in jede unserer Lösungen ein.

Möchten Sie die nächsten Schritte für die eingebettete Cybersicherheit Ihres Teams festlegen? Melden Sie sich jetzt für eine kostenlose einstündige Beratung an.

Häufig gestellte Fragen zu Gesetzen zur Cybersicherheit

Nächste Schritte

• Möchten Sie mit einem Digi-Experten sprechen? Kontaktieren Sie uns
• Möchten Sie mehr von Digi hören? Melden Sie sich für unseren Newsletter an
• Oder kaufen Sie jetzt für Digi-Lösungen ein: Wie Sie kaufen

Haftungsausschluss: Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Rechtsberatung dar. Leser sollten keine Handlungen auf der Grundlage der hierin enthaltenen Informationen vornehmen, ohne zuvor professionellen Rat einzuholen. Für eine Beratung zu Ihrer konkreten Situation oder zur Auslegung geltender Gesetze wenden Sie sich bitte an einen qualifizierten Rechtsanwalt.