Kürzlich wurde der CRA von der ETSI EN 304-x Reihe mit Drafts zur Ausarbeitung harmonisierter vertikaler Standards ergänzt, darunter EN 304 623 für Boot-Manager und EN 304 626 für Betriebssysteme. Diese sollen die Anforderungen des CRA in Spezifikationen für produktbezogene Sicherheitsmaßnahmen detaillieren. Das offene Konsultationspilotprojekt ermöglicht frühe Experimente und Rückmeldungen aus der Industrie.

Für die Realisierung sicherer Boot-Manager und Betriebssysteme für eingebettete Industriegeräte ist Open-Source-Software wie Linux und U-Boot eine verbreitete Wahl. Um Systeme zu entwickeln, die für mittlere und hohe Risikoszenarien geeignet sind, müssen diese jedoch mit Isolierungstechnologien und hardwarebasierter Sicherheit integriert werden.

Die Konformität mit einer Normen wie IEC 62443 oder EN 304 626 ist jedoch mehr als die bloße Zusammenstellung von Sicherheitsfunktionen – sie erfordert einen durchgängigen, dokumentierten Security-by-Design-Ansatz und eine nachvollziehbare Risikominimierung.

Um die Eignung von Open-Source Komponenten für die Sicherheitskonformität in der Praxis zu demonstrieren, haben wir das Blueprint-System IGLOS Secure Beacon entwickelt und nach IEC 62443-4-2 zertifiziert. Mit den kommenden ETSI-Standards stehen detailliertere Anforderungen zur Verfügung, jedoch fehlt es bislang an praktischer Erfahrung bei der Anwendung des Standards. Wir demonstrieren daher hier unsere Bemühungen, die ETSI-Standards auf dasselbe Blueprint-System anzuwenden. Unser Ziel ist es nicht nur, die Standards zu interpretieren, sondern zu zeigen, wie sie mit Open-Source-Software in realen Produkten konkret umgesetzt werden können.

Dazu erfolgt eine Analyse der neuen ETSI-Standards für Boot-Manager und Betriebssysteme im Hinblick auf eine mögliche Umsetzung mit Linux. Darauf aufbauend vergleichen wir die spezielle, produktspezifische ETSI EN 304 623/626 mit der generischen, domänenspezifischen IEC 62443-4-x und zeigen wie sich die eigentlich sehr unterschiedlichen Normen in der Praxis doch relevant überschneiden. Abschließend wird im Rahmen eines kurzen Workshops die praktische Umsetzung der IEC 62443-4-2 anhand eines konkreten Beispiels erarbeitet und vertieft.

Programm 2026

CRA-Ready-Workshop: Threat Modelling und Risk Assessment in der Praxis

Kaffeepause & Networking

CRA-Anforderungen mit ETSI-Standards für Embedded Linux implementieren

Cyber Resilience Act Summit