3 Minuten mit …
… Florian Wahl

Was ist Deine Aufgabe bei Pilz?

Als Produkt- und Tech­no­lo­gie­ma­nager bei Pilz besteht meine Aufgabe unter anderem darin, neue Tech­no­lo­gien früh­zeitig zu iden­ti­fi­zieren und deren Poten­zial für das Unter­nehmen zu bewerten. Impulse kommen dabei aus Berei­chen mit direktem Marktzugang/Kundenkontakt, aber auch Anre­gungen aus anderen Abtei­lungen fließen ein. Ziel ist es, aus diesen Trends Forschungs­pro­jekte oder Produkt­ideen zu entwi­ckeln. Ein zuneh­mend wich­tiger Aspekt dabei ist die Berück­sich­ti­gung regu­la­to­ri­scher Anfor­de­rungen – insbe­son­dere des Cyber Resi­li­ence Acts (CRA).

Welchen Einfluss hat der Cyber Resi­li­ence Act (CRA) auf Deine Arbeit?

Der CRA betrifft nicht alle unsere Produkte glei­cher­maßen. Viele unserer klas­si­schen Sicher­heits­schalt­ge­räte, wie beispiels­weise PNOZ X, sind davon gar nicht betroffen – unsere Kunden können diese weiterhin wie gewohnt einsetzen. Komple­xere Systeme wie die sichere konfi­gu­rier­bare Klein­steue­rung PNOZ­multi oder das Auto­ma­ti­sie­rungs­system PSS 4000 hingegen müssen wir inten­siver prüfen und anpassen, damit sie CRA-konform werden. Eine wich­tige Aufgabe ist dabei zunächst, den Aufwand für alle Produkte realis­tisch einzu­schätzen. Ich sehe mich hier als Vermittler zwischen Produkt­ma­nage­ment und den Teams, die schließ­lich die tech­ni­sche Umset­zung stemmen.

Wie geht Pilz mit den neuen Anfor­de­rungen um?

Unser Ziel ist klar: Wir wollen unsere Produkte am Markt halten und sie CRA-konform gestalten. Wir begegnen den neuen Anfor­de­rungen beispiels­weise mit einem struk­tu­rierten und voraus­schau­enden Sicher­heits­ma­nage­ment. Für Bestands­pro­dukte wird eine Gap-Analyse durch­ge­führt, um Anfor­de­rungen aus dem CRA zu iden­ti­fi­zieren und entspre­chend umzu­setzen.

Auf orga­ni­sa­to­ri­scher Seite arbeiten wir daran, das Product Security Inci­dent Response Team (PSIRT) fit für die Melde­an­for­de­rungen zu machen, die nun zum bishe­rigen Schwach­stel­len­ma­nage­ment hinzu­kommen. Schwach­stellen werden bewertet und das Team gibt den Kunden Hand­lungs­emp­feh­lungen in Form von Security Advi­sories, mithilfe derer die erkannten Schwach­stellen zu beheben sind.

Was rätst Du Kunden im Umgang mit neuen Regu­la­rien wie dem CRA?

Wenn die Möglich­keit besteht, sich in Verbänden wie dem VDMA oder ZVEI zu enga­gieren, ist das sehr zu empfehlen. Diese Netz­werke leben von der aktiven Betei­li­gung ihrer Mitglieder. Dort findet ein inten­siver Dialog mit Markt­be­glei­tern und Kunden statt. Gerade in Zeiten wach­sender regu­la­to­ri­scher Komple­xität sind solche Netz­werke essen­ziell. Sie ermög­li­chen es, Verän­de­rungen früh­zeitig zu erkennen und sich aktiv in die Gestal­tung einzu­bringen. Wichtig ist es, konti­nu­ier­lich am Ball zu bleiben und Infor­ma­tionen möglichst nah an der Quelle zu beziehen – so wie es auch bei Pilz prak­ti­ziert wird.