IEC 62443 im Überblick: welcher Teil gilt für wen?

Dieser Leitfaden ordnet die Teile, zeigt ihr Zusammenspiel und hilft Ihnen, Ihre Rolle zu bestimmen. Dazu kommen eine Tabelle, ein erfundenes Beispiel und eine Checkliste.

Was die Normenreihe ist

Die Reihe entsteht gemeinsam bei ISA und IEC, die Teile erscheinen bei beiden Herausgebern unter eigener Nummer. Laut ISA hat die IEC die Reihe 2021 als horizontale Norm anerkannt, die branchenübergreifend anwendbar ist.

Sie behandelt organisatorische und technische Security über den gesamten Lebenszyklus einer Anlage. Der Kerngedanke: Betreiber, Integratoren und Hersteller tragen jeweils ihren Teil bei.

Die vier Gruppen der Reihe

• Allgemein (1-x). Begriffe, Konzepte und Modelle. Hier stehen die Grundlagen für alle anderen Teile.
• Richtlinien und Verfahren (2-x). Security-Programme von Betreibern und Dienstleistern sowie Patch-Management.
• System (3-x). Risikobewertung, Zonen und Conduits sowie technische Anforderungen an Systeme.
• Komponenten (4-x). Sichere Produktentwicklung und technische Anforderungen an Komponenten.

Die drei Rollen

• Betreiber (Asset Owner). Er verantwortet das Risiko, legt tolerierbares Risiko und Ziel-Security-Level fest und betreibt das Security-Programm.
• Integrator und Dienstleister. Sie planen, errichten, erweitern und warten die Automatisierungslösung und setzen die Systemanforderungen um.
• Hersteller (Product Supplier). Er entwickelt Steuerungen, Switches, Bediensoftware oder Leitsysteme nach einem sicheren Prozess und mit definierten Sicherheitsfähigkeiten.

Welcher Teil gilt für wen?

Die Tabelle zeigt die zentralen Teile. Die Zuordnung ist eine Orientierung, das BSI führt im ICS-Security-Kompendium eine ähnliche Übersicht.

TS steht für Technical Specification, TR für Technical Report. Prüfen Sie vor der Beschaffung den aktuellen Stand im IEC Webstore, denn die Reihe wird laufend weiterentwickelt.

Weitere Teile der Reihe

Daneben gibt es Teile, die Sie je nach Vorhaben brauchen:

• IEC 62443-2-2. Eine Methodik, um den Schutz laufender Automatisierungssysteme zu bewerten.
• IEC TR 62443-3-1. Ein Bericht zu Security-Technologien und Werkzeugen für IACS.

Wie die Teile zusammenspielen

1. Der Betreiber setzt das Ziel. Nach 3-2 bewertet er das Risiko, teilt die Anlage in Zonen und Conduits und legt je Zone ein SL-T fest.
2. Die Anforderungen gehen in die Ausschreibung. Die dokumentierten Anforderungen gibt der Betreiber Integratoren und Lieferanten mit.
3. Der Integrator baut die Lösung. Er arbeitet nach seinem Security-Programm aus 2-4 und setzt die Systemanforderungen aus 3-3 um.
4. Der Hersteller liefert die Fähigkeiten. Komponenten nach 4-2 aus einem Entwicklungsprozess nach 4-1 bringen die Funktionen mit, die das System braucht.
5. Der Betreiber hält das Niveau. Sein Security-Programm nach 2-1 regelt den Betrieb: Konfiguration, Netze, Zugriffe, Vorfälle und Verfügbarkeit.

So finden Sie Ihre Rolle

1. Je Anlage fragen. Rollen gelten nicht für das ganze Unternehmen, sondern für eine konkrete Anlage oder ein Produkt.
2. Leistungen auflisten. Betreiben Sie, errichten und warten Sie oder entwickeln Sie? Oft trifft mehr als eines zu.
3. Rollenmatrix anlegen. Halten Sie je Anlage fest, wer Hersteller, Integrator und Betreiber ist und wer Wartungsverträge hat.
4. Verträge prüfen. Sehen Sie nach, ob Liefer- und Wartungsverträge Security-Pflichten regeln, zum Beispiel die Meldung von Schwachstellen.

Beispiel: ein Maschinenbauer mit Service

Das Beispiel ist erfunden. Ein Maschinenbauer liefert eine Verpackungsmaschine mit Steuerung, Bedienpanel und Fernwartungsrouter. Die Steuerungssoftware schreibt er selbst, die Inbetriebnahme und den Service übernimmt er ebenfalls.

• Als Hersteller zählen für ihn 4-1 für die Entwicklung und 4-2 für die Maschinensteuerung als Komponente.
• Als Dienstleister zählt 2-4 für Inbetriebnahme, Fernwartung und Service.
• Für seine eigene Fertigung ist er selbst Betreiber. Dort gelten 2-1, 3-2 und 3-3.

Der Kunde der Maschine bleibt Betreiber seiner Anlage. Er entscheidet über SL-T und Risikoakzeptanz, der Maschinenbauer liefert Angaben und Vorschläge.

Pflicht oder freiwillig?

IEC 62443 ist eine Normenreihe, kein Gesetz. Verbindlich wird sie, wenn ein Vertrag oder eine Ausschreibung sie verlangt.

Bei NIS2, dem Cyber Resilience Act oder der Maschinenverordnung kann sie als technische Grundlage dienen. Die gesetzlichen Pflichten ersetzt sie nicht.

Für ein bestehendes ISMS gilt: IEC 62443-2-1 orientiert sich laut BSI an ISO/IEC 27001. Vieles lässt sich also nutzen, die anlagenspezifischen Teile kommen dazu.

Typische Missverständnisse

• „Wir sind nach IEC 62443 zertifiziert.“ Ohne Angabe von Teil, Gegenstand und Rolle sagt das wenig.
• „62443 ist nur etwas für Hersteller.“ Die Reihe richtet sich ebenso an Betreiber und Dienstleister.
• „Das macht die IT.“ Ohne Produktion, Instandhaltung und Automatisierung funktioniert das Vorhaben nicht.
• „Wir sind nur eine Rolle.“ Maschinenbauer und große Betreiber mit eigener Automatisierung haben oft mehrere.

Checkliste

• Für jede Anlage sind Betreiber, Integrator und Hersteller benannt
• Die eigenen Rollen sind je Anlage oder Produkt dokumentiert
• Die relevanten Teile sind identifiziert und liegen lizenziert vor
• Der aktuelle Stand der Teile ist geprüft
• Verträge sind auf Security-Pflichten gesichtet
• Die Schnittstelle zwischen OT-Security und IT-Security ist geregelt
• SL-T, SL-C und SL-A sind im Team einheitlich verstanden

IEC 62443 in Complass

Normteile, Rollen und Nachweise in Listen und E-Mails zusammenzuhalten, kostet viel Abstimmung. In Complass gibt es IEC 62443 als ein Angebot mit einem Modul je Rolle:

• Betreiber. Neun Phasen von der Abgrenzung des Systems über Zonen, Conduits und SL-T zum Security-Programm, dazu die Kataloge zu 3-3.
• Integratoren und Dienstleister. Neun Phasen vom Leistungsumfang bis zu Übergabe und Audit, dazu der Katalog zu 2-4 mit Status und Nachweis.
• Hersteller. Neun Phasen vom Produktziel bis zu den Komponentenanforderungen, dazu die Kataloge zu 4-1 und 4-2. Den Katalog 4-2 filtern Sie nach Komponententyp.
• Einmal umsetzen. Die Regelwerke-Übersicht zeigt, welche Maßnahme mehrere Regelwerke gleichzeitig abdeckt, zum Beispiel neben IEC 62443 auch NIS2 oder ISO 27001.
• Lieferanten einbeziehen. Integratoren und Dienstleister bewerten Sie mit einem Fragebogen zu IEC 62443-2-4.
• Audit vorbereiten. Für IEC 62443-2-1 gibt es eine fertige Anforderungsliste für Audits.

Die Normtexte sind nicht enthalten, weil Normen urheberrechtlich geschützt sind. Complass erklärt die Anforderungen in eigenen Worten und verweist auf die Nummern.

Häufige Fragen

Welchen Teil sollte ein Betreiber zuerst lesen?

IEC 62443-3-2 ist ein guter Einstieg, weil dort Risikobewertung, Zonen und Ziel-Security-Level entstehen. Parallel bauen Sie das Security-Programm nach 2-1 auf, und 3-3 liefert die technischen Anforderungen.

Kann sich ein Betreiber nach IEC 62443 zertifizieren lassen?

Zertifiziert werden meist Komponenten nach 4-2, Entwicklungsprozesse nach 4-1 oder Prozesse von Integratoren und Dienstleistern nach 2-4. Für Betreiber zählt vor allem ein nachvollziehbares, risikobasiertes Security-Programm.

Sind ISA/IEC 62443 und IEC 62443 dasselbe?

Im Kern ja. ISA und IEC veröffentlichen die Teile unter eigenen Nummern und in der Regel mit gleichem Inhalt. Neue Ausgaben können aber zeitversetzt erscheinen, und einzelne Teile liegen bei beiden in unterschiedlichen Ausgaben vor. Prüfen Sie deshalb den Stand Ihrer Ausgabe.

Reicht ISO 27001 für die Produktion?

ISO 27001 ist eine gute Basis für das Managementsystem. Zonen, Conduits und Systemanforderungen für Anlagen beschreibt IEC 62443, beide ergänzen sich.

In einer Demo zeigen wir Ihnen die Module für Ihre Rolle.

Demo anfragen 14 Tage testen

Weiterlesen

• Whitepaper „IEC 62443 für Betreiber, Integratoren und Hersteller“
• IEC 62443 in Complass: von System under Consideration bis Security-Programm
• IEC 62443 für Integratoren und Dienstleister
• IEC 62443 für Hersteller
• Leitfaden: IEC 62443-3-2: Risikobewertung Schritt für Schritt
• Leitfaden: Security Level in IEC 62443 verständlich erklärt

Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich ist der Wortlaut Ihrer lizenzierten Ausgabe der Norm.