Im Seminar zur Niederspannungsrichtlinie erhalten Sie Antworten auf diese und weitere Fragen:

• Welche Anforderungen müssen Hersteller von elektrischen Geräten im Sinne der Niederspannungsrichtlinie 2014/35/EU erfüllen?
• Welche Nachweisdokumente müssen erstellt werden?
• Warum muss seit der neuen Niederspannungsrichtlinie 2014/35/EU nun auch eine "geeignete Risikoanalyse und -bewertung" durchgeführt werden, und wie läuft das in der Praxis ab?

Seminarprogramm

Beantwortung grundsätzlicher Fragen

• Welche elektrischen Erzeugnisse fallen unter die Niederspannungsrichtlinie? 
• Warum die Niederspannungsrichtlinie auch für Eigenbau-Geräte relevant ist. - Wichtige Schnittstelle zum Arbeitsschutz! 
• Warum insbesondere die RoHS-Richtlinie 2011/65/EU zusätzlich zur Niederspannungsrichtlinie beachtet werden sollte. 
• In welchen Fällen neben der Niederspannungsrichtlinie weitere EU-Richtlinien parallel gelten können. 
• Abgrenzung zwischen den Produkten Maschinenrichtlinie und Niederspannungsrichtlinie. 
• Welche Gefahren bestehen im Falle der Nichteinhaltung der Niederspannungsrichtlinie? 

Umsetzung in der Praxis 

• Das Ziel nicht aus den Augen verlieren: Konstruktion und Herstellung von sicheren elektrischen Betriebsmitteln. 
• WER im Konformitätsbewertungsverfahren WANN WAS machen muss. 
• Warum die Grenzen des Betriebsmittels möglichst frühzeitig festgelegt werden sollten. 
• Wer im Unternehmen darf / soll / muss die Konformitätserklärung unterschreiben? 

Risikobeurteilung nach Niederspannungsrichtlinie 

• Gegenüberstellung von CENELEC Guide 32 und EN ISO 12100. 
• Warum auch nichtelektrische Gefährdungen (mechanische, thermische, ergonomische, ...) beachtet werden müssen. 
• Beispiele aus dem Schaltschrankbau 
• Welche Zusammenhänge bestehen zwischen der CE-Kennzeichnung und dem Normenwesen? 
• Basisüberblick über die wichtigsten Normen für den Schaltschrankbau: EN 60204-1, EN 61439-1+2 
• Beispiele aus EN 61010-1 (Sicherheitsbestimmungen für elektrische Mess-, Regel-, und Laborgeräte) 
• Überblick über weitere harmonisierte europäische Normen zu anderen elektrischen Betriebsmitteln
• Wie die gesetzlich geforderten Dokumentationen gewinnbringend erstellt werden können und wie sie in zukünftigen Projekten zur Kostenreduktion beitragen können.

Für Diskussionen, individuelle Fragen und Übungen sind Zeiten reserviert.

Seminarprogramm

Beantwortung grundsätzlicher Fragen

• Welche elektrischen Erzeugnisse fallen unter die Niederspannungsrichtlinie? 
• Warum die Niederspannungsrichtlinie auch für Eigenbau-Geräte relevant ist. - Wichtige Schnittstelle zum Arbeitsschutz! 
• Warum insbesondere die RoHS-Richtlinie 2011/65/EU zusätzlich zur Niederspannungsrichtlinie beachtet werden sollte. 
• In welchen Fällen neben der Niederspannungsrichtlinie weitere EU-Richtlinien parallel gelten können. 
• Abgrenzung zwischen den Produkten Maschinenrichtlinie und Niederspannungsrichtlinie. 
• Welche Gefahren bestehen im Falle der Nichteinhaltung der Niederspannungsrichtlinie? 

Umsetzung in der Praxis 

• Das Ziel nicht aus den Augen verlieren: Konstruktion und Herstellung von sicheren elektrischen Betriebsmitteln. 
• WER im Konformitätsbewertungsverfahren WANN WAS machen muss. 
• Warum die Grenzen des Betriebsmittels möglichst frühzeitig festgelegt werden sollten. 
• Wer im Unternehmen darf / soll / muss die Konformitätserklärung unterschreiben? 

Risikobeurteilung nach Niederspannungsrichtlinie 

• Gegenüberstellung von CENELEC Guide 32 und EN ISO 12100. 
• Warum auch nichtelektrische Gefährdungen (mechanische, thermische, ergonomische, ...) beachtet werden müssen. 
• Beispiele aus dem Schaltschrankbau 
• Welche Zusammenhänge bestehen zwischen der CE-Kennzeichnung und dem Normenwesen? 
• Basisüberblick über die wichtigsten Normen für den Schaltschrankbau: EN 60204-1, EN 61439-1+2 
• Beispiele aus EN 61010-1 (Sicherheitsbestimmungen für elektrische Mess-, Regel-, und Laborgeräte) 
• Überblick über weitere harmonisierte europäische Normen zu anderen elektrischen Betriebsmitteln
• Wie die gesetzlich geforderten Dokumentationen gewinnbringend erstellt werden können und wie sie in zukünftigen Projekten zur Kostenreduktion beitragen können.

In diesem Seminar erfahren Sie praxisnah, welche Pflichten der Cyber Resilience Act (CRA) für Hersteller von Maschinen, Anlagen und elektrischen Geräten mit sich bringt und wie Sie diese effizient und rechtssicher erfüllen. Unsere Experten vermitteln Ihnen kompakt alle relevanten Inhalte – von den regulatorischen CE-Anforderungen bis zu den technischen IT-Sicherheitsmaßnahmen.

Sie lernen u. a., welche Produkte unter den CRA fallen, wie Sie eine Security-Risikoanalyse durchführen, „Security by Design“ in Ihre Entwicklungsprozesse integrieren, ein effektives Schwachstellenmanagement etablieren und welche Dokumentationspflichten Sie beachten müssen. So sind Sie optimal vorbereitet, um die neuen gesetzlichen Vorgaben zielgerichtet in der Praxis umzusetzen und die Cybersecurity Ihrer Produkte auf den geforderten Stand der Technik zu bringen.

Seminarprogramm

Die Teilnehmenden erhalten einen umfassenden Überblick über die gesetzlichen Anforderungen des CRA und deren praktische Umsetzung. Schwerpunkte des Seminars sind unter anderem:

• CE-Kennzeichnung nach dem Cyber Resilience Act    
• Welche Produkte fallen in den Anwendungsbereich des CRA, welche Klassifizierungen gibt es und welche Auswirkungen hat dies auf die Konformitätsbewertungsverfahren?
• Warum ist es wichtig, den konkreten Einsatzzweck bzw. das Produkt zu definieren (Kernfunktion)?
• Welche Ausnahmen gibt es? (Prototypen, unfertige Software, Ersatzteile, …).
• Klärung Begrifflichkeiten im Zusammenhang mit CRA: Inbetriebnahme, Inverkehrbringung.
• Wichtige Stichtage und Übergangsfristen des CRA.
• CE-Kennzeichnung: Wo und wie muss ein CE-Zeichen am (digitalen) Produkt angebracht werden?
• Wie die Anforderungen der Funkanlagenrichtlinie (RED) und der neuen Maschinenverordnung mit den Anforderungen des CRA zusammenhängen.
• Sind Sondermaschinen als maßgeschneiderte Produkte einzuordnen?
• Inwiefern greift der Cyber Resilience Act beim "Eigenbau" bzw. bei "wesentlich veränderten Maschinen"?
• Was ist der Status bezüglich harmonisierten Normen, welche anderen Standards & Normen können in der Zwischenzeit ein guter Ratgeber sein?
• Sehr umfassende Normenreihe IEC 62443 – Welche Teile sind für Maschinenbauer relevant?
• Zusammenhang zwischen Maschinenverordnung ("Schutz gegen Korrumpierung") und CRA?

 Wie sieht eine Security-Risikoanalyse aus?    

• Was ist eine Bedrohungsanalyse? Inwieweit unterscheidet sie sich zu anderen Risikoanalysen?
• Gibt es Vorschriften, wie eine Analyse für den CRA auszusehen hat?
• An welchen Normen & Richtlinien kann ich mich orientieren (BSI, IEC, …)?
• Wie sieht der Prozess einer Risikoanalyse nach IEC 62443-4-1 aus, was sind übliche Risiken für Maschinen, welche Schwachstellen treten in der Praxis häufig auf?
• Warum der CRA keine absolute Security fordert und welches Restrisiko akzeptabel ist?
• Warum auch organisatorische Maßnahmen (wie Zugangsbeschränkungen zu Produktionsanlagen) ausreichend sein können, um ein akzeptables Security-Niveau zu erreichen?
• Warum ist es wichtig den Security Kontext und erwartete Maßnahmen in der Umgebung zu definieren?
• Wie sind „unsichere“ Industrieprotokolle zu behandeln?
• Welche Überschneidungen gibt es zu Safety-Risikobeurteilungen nach EN ISO 12100?
• Übung: Gemeinsame Bedrohungsanalyse in Kleingruppen (bei WEB-Durchführung in Breakout-Rooms).

 Qualitätssicherung und sichere Softwareentwicklung    

• Klärung relevanter Begrifflichkeiten (Hash, Signierung, Verschlüsselung).
• Warum es wichtig ist Rollen & Verantwortlichkeiten zu definieren?
• Welche Anforderungen an eine sichere Entwicklungsumgebung gibt es?
• Was muss ich bei der Auswahl von Komponenten / Bibliotheken beachten?
• Welche Secure Design Best Practices soll ich bei meiner Architektur beachten? (Defense in Depth, Least Functionality, Least Privilege, Secure by Default).
• Grundlagen von Secure Coding Ansätzen (unabhängig von Programmiersprachen).
• Security Tests (Fuzz Testing, Port-Scans, Schwachstellenscans,…).
• Beispiele sicherer Coding-Prinzipien: Sichere Eingabevalidierung & Output-Encoding, Sichere Eingabevalidierung & Output-Encoding, Session-Management, Sichere Fehler- und Ausnahmebehandlung, Was Sie speziell bei der Programmierung von SPS Programmen berücksichtigen sollten (Secure PLC Coding).
• Sind Sondermaschinen als maßgeschneiderte Produkte einzuordnen?
• Inwiefern greift der Cyber Resilience Act beim "Eigenbau" bzw. bei "wesentlich veränderten Maschinen"?
• Was ist der Status bezüglich harmonisierten Normen, welche anderen Standards & Normen können in der Zwischenzeit ein guter Ratgeber sein?
• Wie ist eine IEC 62443 Normenreihe für Maschinenbauer auszulegen?
• Zusammenhang zwischen Maschinenverordnung ("Schutz gegen Korrumpierung") und CRA?

Schwachstellenmanagement und Software-Bill-of-Material als zentrale Anforderungen des CRA    

• Klärung relevanter Begrifflichkeiten (Schwachstelle, Vorfall, CVE, CWE, CVSS, EPSS).
• Schwachstellen im Kontext vom CRA: Bereitstellung ohne bekannte ausnutzbare Schwachstellen, Meldepflichten zu aktiv ausgenützten Schwachstellen, i.e.: die wichtige Unterscheidung zwischen aktiv ausgenutzten Schwachstellen und (potenziell) ausnutzbaren Schwachstellen.
• Welche Strukturen in einem Unternehmen geschaffen werden sollten, warum ein "Single-Point-of-Contact" besonders wichtig ist und wie Sie diesen sehr einfach etablieren?
• Was ist eine SBOM und wie erstelle ich sie und wie mir die SBOM helfen kann potenzielle Schwachstellen zu finden?
• Wie kann ich Schwachstellen priorisieren und bewerten, welche Tools gibt und wie können sie mir helfen?
• Welche Updatepflichten gibt es. wie lange sind Sicherheitsaktualisierungen bereitzustellen?
• Behebung von Schwachstellen: Sicherheitsupdates unter Wahrung der Maschinenverfügbarkeit.

Beispiele zur Umsetzung der technischen Anforderungen nach Anhang I des CRA    

• Wie stelle ich die Integrität sicher, wie schütze ich die sensiblen Inhalte?
• Was heißt Secure by default?
• Wie sieht ein sicheren Update-Mechanismus aus?
• Warum USB-Schnittstellen o.ä. z.B. in (abgesperrten) Schaltschränken sein sollten?
• Wie Sie Fernwartungs-Zugänge sicher gestalten und absichern?

 Dokumentation und Formale Pflichten / Zusammenfassung   

• Warum auch im Security-Kontext die voraussichtliche Nutzung und Fehlnutzung zu dokumentieren ist.
• Welche Inhalte in der technischen Dokumentation nach Anhang VII des CRA enthalten sein müssen.
• Warum eine klare Benennung der Betreiberpflichten in den Nutzeranleitungen besonders wichtig ist, um das geplante Schutzniveau zu erreichen.
• Konformitätserklärung: Inhalt und Formvorschriften sowie Zusammenwirken mit anderen CE-Vorschriften.
• Welche Dokumente müssen/dürfen in welcher Sprache sein?
• Welche Aufbewahrungsfristen gelten? Achtung: Ggf. längere Aufbewahrungsfristen aufgrund anderer Gesetze!
• Icon eines Fadenkreuzes mit einer Person darin

Speziell geeignet für

• CE-Verantwortliche in Unternehmen des Maschinen- und Anlagenbaus (z. B. CE-Koordinatoren, CE-Beauftragte, Compliance Manager), die die neuen Cybersecurity-Vorgaben in ihre Prozesse integrieren müssen.
• Konstrukteure, Entwicklungsingenieure und Softwareentwickler, die vernetzte Maschinen oder Geräte entwickeln und die Anforderungen des CRA praktisch umsetzen wollen.
• Produktmanager und Projektleiter technischer Produkte, die für die Einhaltung der IT-Sicherheitsanforderungen im Entwicklungsprozess verantwortlich sind.
• Technische Leiter und Sicherheitsverantwortliche im Maschinenbau, die sich einen Überblick über die neuen Pflichten und den sicheren Entwicklungsprozess verschaffen möchten.