Cyber Resilience Act: Was Pharmahersteller fordern – und das für Maschinenbauer bedeutet

Den Auftakt zum Thema Cybersicherheit machte Dominik Klages, Head of Risk Management bei Sanofi. Er erläuterte, warum Cybersecurity für einen globalen Pharmakonzern inzwischen geschäftskritisch ist und welche Erwartungen daraus an Maschinenlieferanten entstehen. Im Anschluss knüpfte Christian Meyer, Solution Architect Cybersecurity bei Siemens, unmittelbar daran an und zeigte, wie Verpackungsmaschinenhersteller die regulatorischen Anforderungen des CRA praktisch umsetzen können.

Gemeinsam ergaben beide Vorträge ein klares Bild: Cybersecurity ist kein Zusatzthema mehr, sondern Voraussetzung für Marktzugang, Lieferantenfreigabe und langfristige Wettbewerbsfähigkeit.

Warum Cybersecurity für Pharmaunternehmen existenziell geworden ist

Klages führte die Zuhörer zunächst gedanklich auf den Frankfurter Sanofi-Campus, einen der bedeutendsten Pharmastandorte Europas. Hier arbeiten mehr als 6.000 Menschen entlang der gesamten Wertschöpfungskette, von Forschung und Entwicklung über Wirkstoffproduktion bis hin zu Abfüllung und Versand. Allein in Deutschland erwirtschaftet das Unternehmen rund 5 Mrd. Euro Umsatz.

Doch die Größe des Standorts ist nicht der Grund für die intensive Beschäftigung mit Cybersecurity. Der eigentliche Treiber ist die zunehmende Digitalisierung der Pharmaindustrie. Künstliche Intelligenz spielt dabei bereits heute in nahezu allen Unternehmensbereichen eine wichtige Rolle: In der Forschung unterstützt sie etwa das virtuelle Moleküldesign, die Analyse von Wirksamkeiten und die Bewertung möglicher Nebenwirkungen. „Die einfachen Felder sind mittlerweile abgegrast“, erklärte Klages. Neue Medikamente seien deutlich komplexer als frühere Entwicklungen. Ohne KI sei moderne Pharmaforschung kaum noch konkurrenzfähig.

„Mach ein Dashboard, Digger!“

Malcolm Werchota, ehemals Global AI Evangelist bei Novartis und mittlerweile freier Consultant, lieferte in seiner Keynote auf der Packaging Machinery Conference 2026 eine teils provokante und immer praxisnahe Anleitung für den echten KI-Durchbruch in Unternehmen.

Redaktion .

Gleichzeitig wächst damit jedoch auch die Angriffsfläche. Immer mehr Systeme werden vernetzt, immer mehr Daten ausgetauscht und immer mehr Schwachstellen exponiert. Nach Einschätzung von Klages profitieren aktuell sogar die Angreifer stärker von KI als die Verteidiger. Denn es sei einfacher, mit KI Sicherheitslücken zu finden und auszunutzen, als unbekannte Schwachstellen zu entdecken und zu beheben.

Die Folge: Unternehmen müssen sich auf Angriffe vorbereiten, deren genaue Form sie noch gar nicht kennen.

„Es ist nicht die Frage, ob wir mal Opfer einer Cyberattacke werden, sondern nur die Frage wann“, kommentierte Klages. Seine Aufgabe bestehe darin, diesen Zeitpunkt „möglichst weit in die Zukunft“ zu verschieben.

Das Grundproblem: IT und OT ticken unterschiedlich

Eine zentrale Herausforderung sieht Sanofi in den unterschiedlichen Lebenszyklen von IT und Produktionstechnik: Während moderne IT-Systeme immer kürzere Releasezyklen aufweisen, werden Produktionsanlagen oft für Jahrzehnte ausgelegt. Eine Verpackungsmaschine soll möglichst dauerhaft und zuverlässig laufen. Jeder Stillstand kostet Geld.

Klages brachte diesen Zielkonflikt auf den Punkt: Auf der einen Seite stehen IT-Verantwortliche, die regelmäßig Updates, Sicherheitsmaßnahmen und Systemhärtungen fordern. Auf der anderen Seite stehen Produktionsleiter, deren oberstes Ziel maximale Verfügbarkeit ist. „Der Ingenieur und der Produktionsleiter wollen, dass ihre Maschinen laufen“, erklärte Klages. „Und zwar am besten 20 Jahre durchgehend.“

Diese Gegensätze verschärfen sich durch regulatorische Anforderungen. Die Pharmaindustrie muss heute jeden Herstellungsschritt lückenlos dokumentieren und zurückverfolgen können. Gleichzeitig entstehen neue Konzepte wie der sogenannte Parametric Release. Ziel ist es, Produktqualität künftig direkt aus den Produktionsdaten abzuleiten, anstatt aufwendige Laboranalysen durchzuführen. Das wiederum erfordert einen umfassenden Datenaustausch zwischen Maschinen, Anlagen und Unternehmenssystemen.

Hier entsteht ein weiterer Widerspruch: Einerseits sollen Daten möglichst frei fließen, andererseits müssen Produktionssysteme möglichst stark abgeschottet werden.

„Datenaustausch auf der einen Seite und Abschottung geht eigentlich nicht zusammen“, fasste Klages zusammen. Dennoch versuche die Industrie, beide Ziele gleichzeitig zu erreichen.

Anforderungen an Maschinenlieferanten steigen massiv

Für Maschinenbauer bedeutet diese Entwicklung, dass sie längst nicht mehr ausschließlich Mechanik- oder Automatisierungslieferanten sind, sondern auch Softwarelieferanten. Dabei gehe es nicht nur um selbst entwickelte Software. Auch eingesetzte Steuerungen, HMIs und weitere Drittanbieterkomponenten machen Maschinenhersteller faktisch zu Anbietern digitaler Produkte.

Die Lebenszyklen von OT-Systemen und IT-Infrastrukturen müssen folglich besser aufeinander abgestimmt werden. Und Software darf nicht so eng mit einzelnen Betriebssystemversionen gekoppelt sein, dass ein Sicherheitsupdate die gesamte Anlage gefährdet.

Klages schilderte exemplarisch den Fall eines Lieferanten für optische Inspektionssysteme. Dessen Echtzeitsoftware sei so eng an eine bestimmte Windows-Konfiguration gekoppelt, dass bereits reguläre Windows-Updates Produktionsprobleme verursachen können. Hier fordert Sanofi mehr Virtualisierung, Containerisierung und generell eine stärkere Entkopplung von Hardware, Betriebssystem und Anwendung.

Ein weiteres Streitthema ist Sicherheitssoftware auf Anlagenrechnern. Moderne Endpoint-Detection-and-Response-Lösungen benötigen Rechenleistung und greifen tief ins System ein. Viele hochoptimierte Automatisierungssysteme reagieren darauf empfindlich. Die Folge sind häufig Schuldzuweisungen zwischen Betreiber und Lieferant.

Der Anlagenbauer argumentiere, die Maschine habe bei ihm einwandfrei funktioniert. Der Betreiber halte dagegen, dass sie unter realen Betriebsbedingungen Probleme verursacht.

Die Lösung sieht Klages im offenen Austausch technischer Informationen. Hersteller müssten bereit sein, tiefere Einblicke in ihre Systeme zu geben. Gleichzeitig müsten Betreiber bereit sein, gewonnene Erkenntnisse wieder zurückzuspielen.

„Die Cybersecurity Community lebt von Austausch“, betonte Klages. „Redet miteinander.“

Datensilos aufbrechen – aber wie?

Wie lassen sich Datensilos trotz komplexer Realität aufbrechen? Bayer-Manager Matthias Markus sprach auf der Packaging Machinery Conference 2026 darüber, wie Krisen Innovation treiben, warum es ok ist, wenn 80 % der Ideen scheitern – und wieso nur gemeinsame Standards den Durchbruch für die datengetriebene Produktion bringen.

Redaktion .

Die Bedeutung von Zertifizierungen

Besonders deutlich wurde der Sanofi-Referent bei den Themen Zertifizierung und Nachweisführung. NIS2, KRITIS-Anforderungen sowie branchenspezifische Vorschriften zwingen Pharmaunternehmen dazu, die Cybersecurity ihrer Lieferanten systematisch zu bewerten. Gefordert werden insbesondere Standards wie ISO 27001 oder IEC 62443. Dabei gehe es nicht zwingend darum, dass ein Hersteller technisch schlechter sei. Entscheidend sei häufig die mangelnde Nachweisfähigkeit.

„Wir haben so viele wirklich tolle Maschinenbauer, die bauen ein super Produkt, das wir liebend gern kaufen würden. Wir können es aber nicht, weil Zertifizierungen fehlen“, erklärte Klages. Das könne sogar dazu führen, dass ein Unternehmen die „zweitbeste“ Maschine kaufe, wenn deren Hersteller die geforderten Nachweise erbringen könne.

CRA: Ohne Cybersecurity kein CE-Kennzeichen mehr

Christian Meyer von Siemens griff genau an dieser Stelle an und erklärte die regulatorische Seite. Er verwies zunächst auf ein aktuelles Beispiel aus der Praxis: Erst wenige Tage vor der Konferenz war bekannt geworden, dass Novo Nordisk Opfer eines Cyberangriffs geworden war. Dabei seien laut Meyer mehr als ein Terabyte an Daten entwendet worden. Die Angreifer hätten anschließend 25 Mio. US-Dollar Lösegeld gefordert. Derartige Vorfälle verdeutlichten, warum die Gesetzgebung massiv nachrüstet.

Neben NIS2 und der neuen Maschinenverordnung wird insbesondere der Cyber Resilience Act zum maßgeblichen Regelwerk.

Während NIS2 die Sicherheit des Unternehmens adressiert und die Maschinenverordnung Cybersecurity-Aspekte mit funktionaler Sicherheit verknüpft, konzentriert sich der CRA auf die Sicherheit von Produkten.

Der Anwendungsbereich ist dabei breit gefasst. Betroffen sind alle Produkte mit digitalen Elementen, die über Software verfügen und mit denen ein Nutzer in irgendeiner Form interagieren kann. Eine Ausnahme bilden lediglich Ersatzteile.

Besonders wichtig ist der Zeitplan. Bereits seit Ende 2024 ist der CRA formal in Kraft. Ab September 2026 greifen Meldepflichten für Schwachstellen. Spätestens ab Dezember 2027 müssen alle Anforderungen vollständig erfüllt sein.

Dann gilt: Ohne CRA-Compliance kein CE-Kennzeichen mehr.

Was Hersteller künftig konkret leisten müssen

Meyer strukturierte die CRA-Anforderungen in drei Bereiche: Sicherheitsfunktionen, Lebenszyklusprozesse und Schwachstellenmanagement.

Zu den Sicherheitsfunktionen gehören Maßnahmen wie die Begrenzung der Angriffsfläche. Praktisch kann das beispielsweise durch Firewalls erfolgen, die nur tatsächlich benötigte Verbindungen zulassen. Mindestens ebenso wichtig sind jedoch die organisatorischen Prozesse. Hersteller müssen bereits während der Entwicklung ein kontinuierliches Risikomanagement etablieren und dieses über den gesamten Produktlebenszyklus fortführen. „Das ist der Dreh- und Angelpunkt einer jeden Risikomaßnahme“, betonte Meyer. Wer Risiken identifiziert, bewertet und dokumentiert, erfüllt damit zugleich zentrale Anforderungen aus NIS2 und CRA.

Darüber hinaus verpflichtet der CRA Hersteller zum Umgang mit Schwachstellen. Werden Sicherheitslücken entdeckt, müssen sie veröffentlicht werden. Dazu genügt prinzipiell bereits eine entsprechende Veröffentlichung auf der Unternehmenswebsite.

Hinzu kommen neue Dokumentationspflichten. Kernstück ist die sogenannte Software Bill of Materials (SBOM), also eine detaillierte Liste aller eingesetzten Softwarekomponenten. „Wenn ich nicht weiß, was da drin steckt, kann ich auch keine Schwachstellen veröffentlichen“, erklärte Meyer.

IEC 62443 als Schlüssel zur CRA-Compliance

Als technisches Fundament empfiehlt Siemens die Normenreihe IEC 62443, die Meyer als „Goldstandard“ für industrielle Cybersecurity bezeichnete. Die Norm deckt sowohl sichere Entwicklungsprozesse als auch technische Sicherheitsfunktionen und sichere Systemarchitekturen ab. Nach Einschätzung von Siemens lassen sich damit rund 80 % der CRA-Anforderungen direkt adressieren. Die verbleibenden Anforderungen betreffen vor allem regulatorische Melde- und Dokumentationspflichten.

Anhand von Siemens-Produkten wie Simatic-Steuerungen, Scalance-Netzwerkkomponenten und WinCC-Leitsystemen zeigte Meyer, wie Zertifizierungen nach IEC 62443 bereits heute umgesetzt werden. Besonders wichtig sei dabei die risikobasierte Herangehensweise. Nicht jede Anlage benötigt das gleiche Sicherheitsniveau. Der erforderliche Schutz hängt von Einsatzort, Funktion und Bedrohungslage ab.

Zwei Referenten, eine Botschaft: redet miteinander

In der abschließenden Diskussion zeigte sich, dass viele Unternehmen noch am Anfang ihrer CRA-Reise stehen. Auf die Frage, wer bereits eine Risikoanalyse für seine Maschinen durchgeführt habe, meldete sich nur etwa ein Viertel der Teilnehmer.

Für Meyer ist das allerdings kein Grund zur Panik: „Ich muss am Stichtag nicht ein bestimmtes Level erreicht haben“, erklärte er. Entscheidend sei vielmehr, dass Unternehmen anfangen, Risiken zu bewerten, Maßnahmen abzuleiten und Entscheidungen nachvollziehbar zu dokumentieren.

Genau hier trafen sich die Aussagen beider Referenten: Sowohl Klages als auch Meyer betonten immer wieder die Bedeutung von Kommunikation zwischen Maschinenbauern und Betreibern. Viele Anforderungen ließen sich nur gemeinsam lösen. Oft seien vermeintliche Sicherheitsforderungen bei genauer Analyse gar nicht begründbar. Ebenso gebe es technische Einschränkungen auf Herstellerseite, die Betreiber zunächst nicht nachvollziehen könnten.

Meyers Fazit fiel entsprechend pragmatisch aus: „Miteinander reden. Workshop machen. Kompromiss finden.“

Und Klages formulierte die zentrale Botschaft aus Sicht eines Pharmaunternehmens: „Die Cybersecurity Community lebt von Austausch.“

Der Cyber Resilience Act zwingt beide Seiten nun dazu, diesen Austausch deutlich zu intensivieren. Für Verpackungsmaschinenhersteller bedeutet das zusätzliche Arbeit, neue Prozesse und mehr Dokumentation. Gleichzeitig eröffnet sich jedoch die Chance, sich als vertrauenswürdiger Partner in hochregulierten Branchen wie Pharma, Chemie oder Food zu positionieren. Wer Cybersecurity beherrscht und nachweisen kann, wird künftig nicht nur regulatorische Hürden überwinden, sondern auch einen entscheidenden Wettbewerbsvorteil besitzen.

Das war die Packaging Machinery Conference 2026

Am 16. und 17. Juni fand in Nürnberg die Packaging Machinery Conference (PMC) 2026 statt. Experten des deutschen Verpackungsmaschinenbaus sprachen über Perspektiven, Strategien und Lösungen für die Zukunft. Der Live-Ticker zum Nachlesen.

Peter Hammer