Betrifft das Management von Cybersicherheitsrisiken in Unternehmen.

Wesentliche und wichtige öffentliche sowie private Einrichtungen.

Ziel ist es, die Cybersicherheit in Unternehmen zu verbessern, indem strengere Anforderungen zum Schutz von Unternehmensnetzwerken und Geschäftsdaten eingeführt werden. 

Auf dem NIS-Portal der Nationalen Agentur für Cybersicherheit finden sich die offiziellen Unterlagen: 

• Eine PowerPoint-Präsentation , die einen Überblick über die Verordnung und die entsprechenden Umsetzungsfristen bietet. 
• Eine allgemeine Übersicht sowie eine detaillierte Übersicht , die erläutern, welche Arten von Unternehmen als wesentliche oder wichtige Einrichtung den Anforderungen entsprechen müssen. ​

Inkrafttreten: In Italien ist das Gesetzesdekret Nr. 138/2024 seit dem 16. Oktober 2024 in Kraft. 

Frist für die Umsetzung der Sicherheitsmaßnahmen: 31. Oktober 2026 .

Dem Endanwender muss die Gewähr gegeben werden, dass alle vier Bereiche abgedeckt wurden: 

• Sicherheit der Lieferkette und sichere Softwareentwicklung 
• Risikomanagement und technische Maßnahmen (Zugriffskontrolle und Verschlüsselung) 
• Management von Sicherheitsvorfällen und Schwachstellen 
• Auditierung, Überwachung und Betriebskontinuität 

ASEM stellt Maschinenherstellern und Systemintegratoren ein spezielles Tool zur Verfügung, mit dem ein Maßnahmen- bzw. Mitigationsbericht für diese vier Bereiche erstellt werden kann.

Betrifft die Cybersicherheit im Zusammenhang mit der physischen Sicherheit von Maschinen.

Hersteller, Importeure und Händler von Maschinen, dazugehörigen Produkten sowie unvollständigen Maschinen, die auf dem EU-Markt in Verkehr gebracht werden.

Die neue Maschinenverordnung (EU) 2023/1230 , auch als Machinery Regulation (MR) bezeichnet, ersetzt die bisherige Maschinenrichtlinie und gilt für Maschinen, die ab dem 20. Januar 2027 in Verkehr gebracht oder in Betrieb genommen werden. Sie führt ausdrückliche Cybersicherheitsanforderungen für vernetzte Maschinen ein. Grund: Ein Cyberangriff kann ein physisches Sicherheitsrisiko verursachen. 

HINWEIS: Diese Verordnung wirkt sich unmittelbar auf die Maschinensicherheit und auf den CE-Kennzeichnungsprozess aus.

Inkrafttreten: 20. Januar 2027

• Strukturierter Fahrplan zur Ausrichtung der Produkte auf IEC 62443-4-2 Security Level 2 (SL2) , gestartet im Januar 2026.
• Verbesserung der Funktionen für Authentifizierung, Auditierung und Dokumentation zur Unterstützung der Anforderungen RESS 1.1.9 und RESS 1.2.1. 
• Leitfaden/Checkliste für die Implementierung von ASEM-Produkten im Einklang mit den Anforderungen der neuen Vorschriften (derzeit in Vorbereitung). 

Cybersicherheit wird Teil der technischen Dokumentation. ASEM stellt Komponenten bereit, die den CE-Kennzeichnungsprozess von Maschinen unterstützen.

Betrifft die Cybersicherheit digitaler Produkte.

Hersteller, Importeure und Händler von Hardware und Software mit direkter oder indirekter Verbindung zu Geräten oder Netzwerken.

Der Cyber Resilience Act (CRA) ist eine europäische Verordnung, die: 

• Verbindliche Cybersicherheitsanforderungen einführt. 
• Für Hardware und Software mit digitalen Elementen gilt. 
• Voraussetzung für die Erlangung und Aufrechterhaltung der CE-Kennzeichnung ist. 

Der CRA verlangt vom Hersteller: 

• Die Entwicklung von Produkten nach einem Secure Development Lifecycle (SDL). 
• Die Bereitstellung von Sicherheitsupdates für mindestens 5 Jahre nach dem Inverkehrbringen des Produkts. 
• Die Gewährleistung der Softwareintegrität. • Die Gewährleistung sicherer Software-Updates. 
• Den Schutz vor unbefugten Zugriffen. 
• Die Bereitstellung sicherheitsrelevanter Informationen (z. B. SBOM - Software Bill of Materials ). 

Der CRA ist somit sowohl eine Produktverordnung als auch eine Prozessverordnung . Cybersicherheit wird zu einer kontinuierlichen Verpflichtung und nicht zu einer einmaligen Konformitätsprüfung.

Verpflichtende Meldung ausgenutzter Schwachstellen und/oder Sicherheitsvorfälle: 11. September 2026. 

Inkrafttreten: 11. Dezember 2027.

• Entwickelt Hardware und Software nach Secure-by-Design-Prinzipien. 
• Wendet den Rockwell Secure Development Lifecycle (IEC 62443-4-1) auf die für den CRA relevanten ASEM-Produkte an. 
• Integriert Mechanismen für sichere Updates, den Schutz der Softwareintegrität, Schwachstellenmanagement sowie eine SBOM (Software Bill of Materials). 

ASEM stellt Produkte bereit, die Kunden bei der Erfüllung der CRA-Anforderungen unterstützen. Cybersicherheit wird zu einer Produktanforderung, und ASEM liefert die richtigen Bausteine, um diese erfolgreich umzusetzen.

Betrifft die Cybersicherheit von internetfähigen Funkanlagen.

Hersteller, Importeure und Händler von Funkanlagen mit WLAN-, Mobilfunk- oder anderen Funkkommunikationstechnologien, die auf dem EU-Markt in Verkehr gebracht werden.

Die harmonisierten Normen der Funkanlagenrichtlinie (RED) wurden aktualisiert und umfassen nun Cybersicherheitsanforderungen für Kategorien und Klassen von mit dem Internet verbundenen Funkanlagen . Mit dem Inkrafttreten der RED-Cybersicherheitsanforderungen (Artikel 3.3) müssen alle Produkte mit Wi-Fi- oder Mobilfunkfunktionen die neuen Sicherheitsanforderungen erfüllen, um die CE-Kennzeichnung zu erhalten und aufrechtzuerhalten.

Inkrafttreten: 1. August 2025 .

ASEM hat eine umfassende Bewertung der Produkte mit Funkschnittstellen (Wi-Fi/Mobilfunk) durchgeführt, um den geeigneten RED-Cyber-Security-Konformitätsweg festzulegen. Dabei wurden die Produkte identifiziert, die zertifiziert werden sollen, sowie jene, die im Hinblick auf die neuen CE-Anforderungen auslaufen werden.