Sähköä ja älyä liikkuvaan kalustoon
Kyberturvallisuus: miksi alkuperäisten laitevalmistajien on toimittava nyt
Kyberkestävyyssäädös (CRA) muuttaa perustavanlaatuisesti liikkuvien työkoneiden vaatimustenmukaisuutta koskevia vaatimuksia. ”Turvallisuus, tietoturva ja tekoäly” -blogisarjamme kolmannessa osassa kerromme, miten valmistajat voivat turvata liikkuvat työkoneensa ja pitää kustannukset hallinnassa.
Haaste on todellinen: 11. joulukuuta 2027 alkaen kyberkestävyyssäädöksen (CRA) vaatimusten noudattaminen on pakollista kaikkien uusien EU:n markkinoille saatettavien digitaalisia elementtejä sisältävien tuotteiden osalta. Vaatimustenmukaisuuden arvioinnin määräajat lyhenevät jo 11.6.2026 alkaen, ja tietoturvahäiriöitä koskevien raportointivelvoitteiden määräajat puolestaan 11.9.2026 alkaen. Työkoneiden valmistajien on varmistettava kyberturvallisuus tuotteen koko elinkaaren ajan – kehitystyöstä ja käytöstä aina käytöstäpoistoon saakka. Tätä varten alkuperäiset laitevalmistajat yhdistävät kyberturvallisuuden ja toiminnallisen turvallisuuden, mutta niillä on myös velvollisuus muuntaa kaikki yhä sarjatuotannossa olevat perinteiset järjestelmät. ”Turvallisuus, tietoturva ja tekoäly” -blogisarjamme kolmannessa osassa keskitytään kyberturvallisuuteen ja siihen, miten alkuperäiset laitevalmistajat voivat muuttaa vaatimustenmukaisuutta koskevat vaatimukset kilpailueduiksi.
Mitä kyberkestävyyssäädös tarkoittaa liikkuvien työkoneiden osalta?
Kyberkestävyyssäädöksen vaatimusten mukaan kyberturvallisuus on otettava huomioon sisäänrakennetun tietoturvan periaatetta noudattaen kehitystyön alusta alkaen koko tuotteen elinkaaren ajan. Tämä sisältää seuraavat kohdat:
- Riskianalyysit ja uhka-arviot (TARA)
- Tietoturvatoimenpiteiden todentaminen / todisteet tietoturvatoimenpiteistä
- Tietoturvallisuuden valvonta ja tietoturvahäiriöiden hallinta käytön aikana
Liikkuvien työkoneiden osalta tämä on monimutkainen tehtävä, koska ne ovat erittäin verkotettuja, toimivat ankarissa ympäristöissä ja niissä käytetään toisinaan avoimia arkkitehtuureja – kaikki tekijöitä, jotka lisäävät hyökkäyspinta-alaa. Kyberkestävyyssäädöksen noudattamatta jättämisestä voi seurata korkeita sakkoja (jopa 2 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta), merkittäviä vakuutus-, vastuu- ja mainevahinkoja sekä markkinoille pääsyn menettäminen (esimerkiksi puuttuvan CE-sertifikaatin vuoksi). Se tarkoittaa, että EU:n sisämarkkinoille voidaan tämän jälkeen saattaa ainoastaan CRA-vaatimusten mukaisia koneita. Keskeinen kysymys onkin, miten rajoitetuin resurssein toimivat alkuperäiset laitevalmistajat voivat noudattaa tietoturvallisuusvaatimuksia ilman, että kustannukset kasvavat räjähdysmäisesti tai että niitä estetään myymästä koneitaan EU:ssa?
Taatun tietoturvastandardin saavuttaminen yhdessä
Bosch Rexroth tarjoaa BODAS-ratkaisujen avulla kokonaisvaltaisen ekosysteemin, joka tukee laitevalmistajia monimutkaisten sääntelyvaatimusten täytäntöönpanossa. Sen perustana ovat autoteollisuudessa toimiviksi todetut Boschin tietoturvallisuusprosessit ja -teknologiat, jotka Bosch Rexroth on siirtänyt liikkuviin työkoneisiin hyödyntäen laajaa off-highway-kokemustaan. Ratkaiseva tekijä on, että koko BODAS-ratkaisuvalikoima, joka sisältää modulaarisia ratkaisuja, tuotteita ja tukea, perustuu ISO 21434 -standardiin ja kattaa koko elinkaaren – tietoturvallisuuden suunnittelusta ja toteutuksesta käytöstäpoistoon, mukaan lukien haavoittuvuuksien ja häiriöiden hallinta.
Johdonmukainen, läpinäkyvä, tulevaisuuden vaatimukset täyttävä: autoteollisuudessa toimiviksi todetut Boschin ratkaisut ja prosessit varmistavat luotettavasti kyberkestävyyssäädöksen vaatimusten täyttymisen myös liikkuvien työkoneiden osalta. (Grafiikka: Bosch Rexroth AG)
1. Metodologinen perusta: tietoturvallisuuden suunnitteluprosessi
Alkuperäisten laitevalmistajien on osana sisäänrakennetun tietoturvan periaatetta (Security-by-Design) osoitettava kyberturvallisuus tuotteen koko elinkaaren ajan – suunnittelusta ja tuotannosta käyttöön saakka (esim. CE-sertifiointia varten). Ilman selkeää tietoturvallisuusprosessia tämä on tuskin mahdollista.
Ratkaisumalli: Bosch Rexroth kumppaninaan alkuperäiset laitevalmistajat hyötyvät autoteollisuudessa toimivaksi todetusta Boschin tietoturvallisuuden suunnitteluprosessista, jota käytetään myös BODAS-ekosysteemin perustana. Se sisältää selkeät ohjeet kehitystyötä, tuotantoa ja käyttöä varten, käytettävien tuotteiden (ohjaimet, telematiikkayksiköt tai avustustoiminnot) dokumentoidun vaatimustenmukaisuuden sekä turvallisuuden integroinnin yhdenmukaiseen elinkaarimalliin.
2. Prosessin toteutus: riskien tunnistaminen, arviointi ja niiltä suojautuminen
Määritelty tietoturvaprosessi viedään käytäntöön toteutusvaiheessa. Riskien arviointi on ratkaisevassa asemassa sekä tässä vaiheessa että tuotteen myöhemmän elinkaaren aikana. Uhka-analyysien ja riskien arviointien (TARA) puitteissa hyökkäyspinta-alat tunnistetaan ja arvioidaan järjestelmällisesti. Lisäksi alkuperäisten laitevalmistajien on määriteltävä konkreettisia toimenpiteitä, joilla tunnistetut tietoturvallisuusriskit saatetaan hyväksyttävälle tasolle. Lisäksi kunkin käytetyn ohjelmistokomponentin osalta edellytetään läpinäkyvää näyttöä ohjelmistojen materiaaliluettelon (SBOM) avulla. Kaikkien tietoturvaominaisuuksien on edustettava uusinta tekniikan tasoa, ja niiden on oltava päivitettävissä, jotta ne pysyvät standardien kehityksen tasalla.
Ratkaisumalli: Bosch Rexroth vähentää alkuperäisten laitevalmistajien työmäärää noudattamalla jatkuvasti TARA- ja SBOM-velvoitteita kaikissa BODAS-ohjelmistoissaan. Tämän ansiosta alkuperäiset laitevalmistajat voivat helposti täyttää omat todisteluvelvollisuutensa ja ryhtyä tehokkaisiin toimenpiteisiin tietoturvahäiriöiden hallitsemiseksi ja näiden toimenpiteiden dokumentoimiseksi. BODAS-ekosysteemiin kuuluvat vakiona huipputason tietoturvaominaisuudet, kuten turvakäynnistys, turvallinen lokitus, salaus tai digitaaliset allekirjoitukset, ja niitä kehitetään jatkuvasti edelleen. Lisäksi Bosch Rexroth auttaa alkuperäisiä laitevalmistajia saavuttamaan kyberkestävyyssäädöksen mukaisen tietoturvallisuuden entistä tehokkaammin tarjoamalla käyttövalmiita API-rajapintoja ja työkaluketjuja sekä tukea kyberkestävyyssäädöksen vaatimusten mukaisiin ohjelmistoihin siirtymisessä.
3. Tietoturvallisuuden valvonta – tietoturvallisuuden varmistaminen toiminnassa
Toteutus valmis, tehtävä suoritettu? Ei suinkaan. Toimituksen jälkeenkin tietoturvallisuus on jatkuva velvoite. Valmistajat ovat velvollisia valvomaan järjestelmiään, havaitsemaan ja arvioimaan tietoturvahäiriöitä sekä raportoimaan niistä asiakkailleen ja viranomaisille. Tietoturvan valvonnassa – joka on tuotteen koko elinkaaren kattavan tietoturvaprosessin pisin vaihe – alkuperäisten laitevalmistajien on jatkuvasti tarkkailtava mahdollisia haavoittuvuuksia. Koska niitä voi ilmetä milloin tahansa, myös saumaton haavoittuvuuksien hallinta on pakollista. Jos tietoturvaloukkaus tapahtuu, tietoturva-aukot on suljettava nopeasti – ilman koneen käyttökatkosta.
Ratkaisumalli: Alkuperäiset laitevalmistajat voivat luottaa täysin BODAS-ekosysteemin tuotteiden tietoturvallisuuteen myös käyttövaiheessa. BOSCHin tietoturvahäiriöiden valvontajärjestelmään on koottu yhteen tietoturvapoikkeamien arvioinnin ja raportoinnin toimivaksi todetut infrastruktuurit ja jäsennellyt prosessit. Se täyttää kaikki kyberkestävyyssäädöksen vaatimukset heti käyttövalmiina – sisältäen tietoturvahäiriöiden hallinnan, haavoittuvuuksien käsittelyn sekä ympärivuorokautisen valvonnan. BOSCHin tietoturvahäiriöiden valvontatiimi valvoo kaikkia Rexroth-järjestelmiä jatkuvasti ympäri vuorokauden, analysoi hälytykset ja vertaa tuloksia julkisiin haavoittuvuustietokantoihin. Langattomien BODAS Over-the-Air (OTA) -palvelujen avulla alkuperäiset laitevalmistajat voivat siirtää korjaustiedostoja ja päivityksiä yksittäisiin koneisiin ja määritettyihin kaluston osiin tehokkaasti, turvallisesti ja jäljitettävästi tarpeen mukaan. Merkittävä lisäarvo on, että valmistajasta riippumaton Flashing over the Air (FOTA) toimii myös kolmannen osapuolen IoT-ratkaisutoimittajien (BODAS OTA Partner) kanssa.
Aloitetaan yhdessä – tehokkaasti ja turvallisesti
Tietoturvallisuuden osalta kannattaa toimia varhaisessa vaiheessa. Kun koko ajoneuvokantaa koskeva sääntelyllinen tietoturvallisuus toteutetaan asianmukaisesti alusta lähtien, tämä auttaa varmistamaan pääsyn EU:n sisämarkkinoille ja siten myös selkeän kilpailuedun saavuttamisen. Hyvä uutinen on, että alkuperäisten laitevalmistajien ei tarvitse selviytyä monimutkaisista vaatimuksista yksin. Yhdessä Bosch Rexrothin, vaatimustenmukaisen BODAS-ekosysteemin ja autoteollisuudessa toimiviksi todettujen Boschin prosessien kanssa ne voivat hallita ISO 21434 -standardin mukaisen tietoturvallisuuden elinkaaren jokaista projektivaihetta huomattavasti pienemmällä vaivalla – tietoturvallisuuden suunnittelusta ja toteutuksesta valvontaan ja tietoturvahäiriöiden hallintaan saakka.
Tämä on kuitenkin vain yksi näkökohta, sillä liikkuvien työkoneiden valmistajat voivat yhdessä Bosch Rexrothin ja BODAS-ekosysteemin kanssa luoda perustan täysin tulevaisuuden vaatimukset huomioon ottavalle kalustolle. Toimivaksi todetulla ja modulaarisella BODAS-alustalla on paljon tarjottavaa: se on avoin uusien toimintojen integroinnille tarpeen mukaan, skaalautuva kaikkien konesarjojen tehokkaaseen suojaamiseen ja helposti saatavilla, jotta markkinoilla voidaan menestyä innovatiivisilla koneilla nopeasti, tehokkaasti ja turvallisesti.
Näetkö sinäkin vaatimustenmukaisuuden luottamusta, markkina-asemaa ja tulevaisuuden turvallisuutta edistävänä tekijänä? Tutustu myBODAS-yhteisön asiantuntijoihin ja jäseniin ja hanki itsellesi osaamiseen liittyvää etumatkaa tai ota meihin suoraan yhteyttä turvallisuus- ja tietoturvakonsultointiin liittyvissä asioissa.
» BODAS-tuotteiden premium-tuki ja -konsultointi
Kaikki blogisarjan ”Turvallisuus, tietoturva ja tekoäly liikkuvissa työkoneissa” artikkelit:
01. Kyberturvallisuus, toiminnallinen turvallisuus ja tekoäly: Mikä on nykyään tärkeää työkoneiden valmistajille
02. Toiminnallinen turvallisuus: Miten alkuperäiset laitevalmistajat hallitsevat EU:n koneasetuksen, kyberkestävyyssäädöksen ja tekoälysäädöksen vaatimukset
03. Kyberturvallisuus: Miksi alkuperäisten laitevalmistajien on toimittava nyt
Yves Dasse on Boschin kyberturvallisuuden asiantuntija ja ohjelmistokehityksen huippuosaaja Bosch Rexrothin Mobile Solutions -liiketoimintayksikössä. Hänellä on laaja kokemus työkoneiden ja autoteollisuuden järjestelmien kehittämisestä.
Wanjing Su on ohjelmistoryhmän johtaja Bosch Rexrothin Mobile Solutions -liiketoimintayksikössä. Hänellä on laaja kokemus toiminnallisesta turvallisuudesta, sulautetuista ohjelmistoista ja työkaluohjelmistojen kehittämisestä työkoneita varten.
Martin Sykora on Bosch Rexrothin mobile-elektroniikan myyntipäällikkö. Hän on työskennellyt Bosch-konsernissa yli 22 vuotta ja yli 19 vuotta mobile-elektroniikan alalla. Tehtävässään Martin ja hänen tiiminsä toimivat globaalina yhteyshenkilönä niille mobiletuotteiden asiakkaille, jotka etsivät BODAS-pohjaisia ratkaisuja liikkuvien työkoneiden digitaalisen muutoksen tueksi.