Cybersecurity ist integraler Bestandteil vernetzter Aufzugssysteme

Wo Interconnectivity, cloudbasierte Anwendungen und digitale Services zum System gehören, müssen Schutzmaßnahmen, klare Zuständigkeiten und belastbare Sicherheitsprozesse strukturell verankert sein.

Grundlage dieses Ansatzes sind international anerkannte Standards der Informations- und Cybersicherheit:

• ISO 27001 für digitale Services
• IEC 62443-4-1 für sichere Entwicklungsprozesse
• IEC 62443-4-2 für technische Cybersecurity-Anforderungen im industriellen Umfeld
• UK Cyber Essentials Plus
• ISO 8102-20, der branchenspezifische Standard für Cybersicherheit bei Aufzügen, Rolltreppen und Fahrsteigen, an dessen Entwicklung KONE von Beginn an eine Schlüsselrolle gespielt hat

Dahinter steht ein systematischer und risikobasierter Umgang mit digitalen Sicherheitsanforderungen: sichere Entwicklungsprozesse, strukturierte Verfahren zum Schwachstellenmanagement, regelmäßige Schwachstellenscans, Penetrationstests für priorisierte Lösungen sowie ein rund um die Uhr besetztes Security Operations Center (SOC). Cybersecurity ist damit keine Einzelmaßnahme, sondern eine kontinuierliche Aufgabe über Entwicklung, Betrieb und Weiterentwicklung digitaler Lösungen hinweg.

„Wo Interconnectivity, cloudbasierte Anwendungen und digitale Services Teil moderner Aufzugssysteme sind, muss Cybersecurity strukturell verankert sein, in Prozessen, Standards und ihrer kontinuierlichen Weiterentwicklung."
Andreas Backer, Produktmanager für digitale Lösungen

Cyber Resilience Act: KONE bereitet sich auf neue EU-Anforderungen vor

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die harmonisierte Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über deren gesamten Lebenszyklus einführt. KONE sieht im CRA eine enge Übereinstimmung mit den eigenen Cybersicherheitsgrundsätzen und bereitet sich auf die vollständige Compliance vor.

Dazu hat KONE ein unternehmensweites CRA-Programm eingerichtet, das Produktentwicklung, Lieferantenkette, Cybersicherheit, Beschaffung und Lebenszyklusmanagement aufeinander abstimmt. Ziel ist die vollständige Compliance zu den regulatorischen Fristen: 11. September 2026 und 11. Dezember 2027.

Der Anlagensicherheitsreport 2025 des TÜV bestätigt diese Entwicklung

Der aktuelle Anlagensicherheitsreport 2025 der zugelassenen Überwachungsstellen zeigt, dass diese Perspektive inzwischen auch regulatorisch und prüfpraktisch klar verankert ist. Mögliche Cyberbedrohungen müssen seit Juli 2023 im Rahmen der Gefährdungsbeurteilung berücksichtigt werden. Seit April 2024 muss zudem dokumentiert werden, welche Maßnahmen zum Schutz digitaler Schnittstellen und Komponenten umgesetzt wurden. Fehlt eine plausible Dokumentation, gilt dies als Mangel.

Der Report benennt sechs grundlegende Themenfelder der Cybersicherheit für Aufzugsanlagen: Segmentierung und Fernzugriff, Zugangs- und Zugriffsschutz, Härtung von Komponenten, Unabhängigkeit sicherheitsrelevanter Mess-, Steuer- und Regelungseinrichtungen sowie Überwachung und Notfallmanagement.

Im Jahr 2024 haben die Zugelassenen Überwachungsstellen 689.462 Aufzugsanlagen geprüft.

Das Ergebnis:

• 31,5 % der Anlagen waren mängelfrei
• 59,1 % wiesen geringfügige Mängel auf
• 8,9 % sicherheitserhebliche Mängel
• 0,5 % gefährliche Mängel

Der Report führt diese Verschiebung ausdrücklich auch auf neue Bewertungskriterien im Bereich Cybersicherheit und die zugehörigen Nachweispflichten zurück. „Der Report bestätigt, dass Aufzugssicherheit längst mehr umfasst als Mechanik, Elektrik und Prüfung. Mit der zunehmenden Vernetzung werden auch digitale Schnittstellen, Schutzmaßnahmen und belastbare Dokumentation zu einem festen Bestandteil moderner Anlagensicherheit." Andreas Backer, Produktmanager für digitale Lösungen

Vernetzte Aufzüge brauchen Schutz, Prozesse und Nachweisfähigkeit

Für Betreiber, Hersteller und Servicepartner endet Sicherheit nicht an der physischen Anlage. Wer vernetzte Anlagen betreibt, muss Schutzmaßnahmen, Zuständigkeiten und Dokumentation nachweisen können. Genau dort steigen mit der Digitalisierung die Anforderungen an Transparenz und organisatorische Klarheit.

KONE hat dafür ein umfassendes Cybersecurity-Governance-Framework implementiert, das unter anderem folgende Bereiche abdeckt:

• Identitäts- und Zugriffsmanagement (IAM) mit eindeutiger Benutzeridentifikation und Lebenszyklusverwaltung
• Bedrohungs- und Schwachstellenmanagement mit zentralisiertem System (CVMS) und regelmäßigen Scans
• 24/7-Security Operations Center (SOC) mit SIEM-gestützter Ereignisüberwachung und Incident Response
• Sicherheit in Lieferantenbeziehungen mit globalem Segmentierungsmodell und verbindlichen Sicherheitsanforderungen
• Business Continuity mit definierten Recovery Time und Recovery Point Objectives für kritische Systeme
• Sichere Softwareentwicklung nach IEC 62443-4-1, zertifiziert durch den TÜV Rheinland

Cybersecurity war für KONE nie ein Add-on. Sie ist strukturell verankert, zertifiziert und wird kontinuierlich weiterentwickelt.

„Je stärker technische Anlagen digital vernetzt sind, desto wichtiger werden belastbare Schutzmaßnahmen, klare Prozesse und eine saubere Dokumentation. Genau darin liegt heute ein wesentlicher Teil moderner Aufzugssicherheit."
Andreas Backer, Produktmanager für digitale Lösungen

Cybersecurity bei KONE
https://www.kone.de/unternehmen/ueber-kone/cybersecurity/