Was ist IEC 62443?

IEC 62443 ist eine internationale Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Dazu gehören etwa Produktionsanlagen, Prozessleitsysteme, Gebäudeautomation oder Energieinfrastruktur. Sie verbindet organisatorische Sicherheitsprogramme, sichere Produktentwicklung und technische Anforderungen an Systeme und Komponenten.

Für wen ist IEC 62443 gedacht?

Die Verantwortung verteilt sich über den gesamten Lebenszyklus. Betreiber legen Risiken und Schutzbedarf ihrer Anlage fest. Integratoren entwerfen und betreiben eine passende Architektur. Hersteller entwickeln Komponenten mit definierten Sicherheitsfunktionen und einem belastbaren Entwicklungsprozess. Wartungsdienstleister müssen dieselben Grenzen bei Fernzugriff, Änderungen und Störungsbehebung einhalten. Deshalb genügt es nicht, nur ein einzelnes Produkt als „62443-konform“ zu bezeichnen.

Wie ist die Normenreihe aufgebaut?

Eine Organisation wählt die für Rolle und Projekt einschlägigen Teile aus. Die Reihe ist kein einzelner Anforderungskatalog, den jedes Unternehmen identisch abarbeitet. Auch Ausgabestand und nationale Übernahme eines Teils sollten im Vertrag eindeutig genannt werden.

Was sind Zonen und Conduits?

Eine Zone fasst physische oder logische Assets mit gemeinsamen Sicherheitsanforderungen zusammen. Ein Conduit beschreibt und schützt die notwendige Kommunikation zwischen Zonen. Eine Anlage kann beispielsweise separate Zonen für Safety-Systeme, Steuerungen, Bedienplätze, Engineering und Unternehmens-IT besitzen. Firewalls, Netzwerksegmentierung, sichere Fernzugänge und überwachte Protokollübergänge setzen die Grenzen um.

Die Einteilung folgt einer Risikoanalyse und den realen Kommunikationsbeziehungen. Ein VLAN oder die klassische Purdue-Grafik allein ist noch kein Nachweis, dass eine Zonengrenze wirksam ist.

Was bedeuten Security Levels?

Security Levels beschreiben die erforderliche oder vorhandene Widerstandsfähigkeit gegen Angreifer mit steigender Motivation, Fähigkeit und Ressourcenausstattung. Unterschieden werden unter anderem Zielniveau (SL-T), tatsächlich erreichte Fähigkeit (SL-A) und technische Fähigkeit eines Systems oder einer Komponente (SL-C). Ein pauschales „System ist SL 3“ ist ohne Scope, betrachtete grundlegende Anforderung und Bewertungsart zu ungenau.

Das Zielniveau entsteht aus dem Risiko und darf nicht allein aus einer Branchenkonvention übernommen werden. Zudem sind Security Levels keine Garantie gegen jeden Angreifer und keine numerische Risikobewertung.

Welche Anforderungen stellt IEC 62443?

Die technischen Systemanforderungen sind sieben grundlegenden Bereichen zugeordnet: Identifikation und Authentifizierung, Nutzungskontrolle, Systemintegrität, Vertraulichkeit, eingeschränkter Datenfluss, zeitnahe Reaktion auf Ereignisse sowie Ressourcenverfügbarkeit. Dazu kommen Prozesse für Risikobewertung, Patch- und Änderungsmanagement, Lieferanten, Fernwartung und Incident Response.

Für Hersteller fordert IEC 62443-4-1 einen sicheren Entwicklungslebenszyklus – von Anforderungen und Bedrohungsmodellierung über sichere Implementierung und Verifikation bis zum Umgang mit gemeldeten Schwachstellen und Sicherheitsupdates. IEC 62443-4-2 beschreibt Sicherheitsfähigkeiten industrieller Komponenten. Ein sicher entwickeltes Produkt ersetzt jedoch nicht die sichere Integration und den Betrieb im Gesamtsystem.

Wie wird IEC 62443 praktisch eingeführt?

1. Anlage, Assets, Verantwortlichkeiten und betrachteten Lebenszyklus eindeutig abgrenzen.
2. Risiken und mögliche Folgen für Safety, Verfügbarkeit, Umwelt und Geschäft bewerten.
3. Zonen, Conduits und Ziel-Security-Levels festlegen.
4. Technische sowie organisatorische Anforderungen in Beschaffung und Architektur übersetzen.
5. Abweichungen und kompensierende Maßnahmen dokumentieren; Änderungen kontrollieren.
6. Kontrollen durch Konfigurationsprüfung, Szenariotests und geeignete Penetrationstests verifizieren.

Tests in OT-Umgebungen benötigen besondere Vorbereitung. Verfügbarkeit, Safety-Funktionen, alte Protokolle und enge Wartungsfenster können Methoden ausschließen, die in gewöhnlicher IT vertretbar wären.

Was leistet eine Zertifizierung?

Zertifizierungen können sich auf einen Entwicklungsprozess, ein Produkt, eine Lösung oder ein Betreiberprogramm beziehen. Sie sind daher nur aussagekräftig, wenn Standardteil, Ausgabe, Scope, Security Level und Zertifizierungsstelle erkennbar sind. Eine Komponentenzertifizierung beweist weder die sichere Konfiguration beim Kunden noch die Sicherheit der gesamten Anlage. Käufer sollten neben dem Zertifikat auch Updatezeiträume, Schwachstellenprozess, sichere Voreinstellungen und Integrationsanforderungen prüfen.