IEC 62443: Cybersicherheit für industrielle Automatisierung
Der maßgebliche Standard für die Absicherung von Produktionsanlagen, Steuerungssystemen und OT-Netzen. Serienaufbau, Security Level und das Zonen-Konzept – verständlich erklärt.
Zonen
Eine Zone gruppiert Anlagen (Assets) mit ähnlichem Schutzbedarf und ähnlicher Funktion – z.B. das Prozessleitsystem, die Fertigungssteuerung oder das Büronetz. Jede Zone erhält ein eigenes Ziel-Security-Level auf Basis der erwarteten Bedrohung.
Conduits
Ein Conduit ist ein kontrollierter Kommunikationspfad zwischen Zonen. Über Conduits werden Datenflüsse gebündelt, überwacht und abgesichert – etwa durch Firewalls oder Datendioden. So bleibt der Übergang zwischen Zonen die einzige, kontrollierte Schnittstelle.
Analogie: Zonen und Conduits funktionieren wie Brandabschnitte in einem Gebäude. Bricht in einer Zone ein „Feuer" (Cyberangriff) aus, verhindern die kontrollierten Übergänge, dass es auf die gesamte Anlage übergreift – die Grundlage jeder resilienten OT-Architektur.
Quellen: Normenreihe IEC 62443 (International Electrotechnical Commission / ISA) – u.a. IEC 62443-2-1, -3-3, -4-1, -4-2; Verordnung (EU) 2024/2847 (CRA); NIS2UmsuCG; KRITIS-Dachgesetz. Keine Rechtsberatung.
Die IEC 62443 ist die internationale Normenreihe für die Cybersicherheit von industriellen Automatisierungs- und Steuerungssystemen (IACS / OT). Sie richtet sich an drei Rollen entlang der gesamten Lieferkette: Betreiber der Anlagen (Asset Owner), Systemintegratoren und Produkthersteller. Anders als klassische IT-Sicherheitsstandards berücksichtigt sie die Besonderheiten der Betriebstechnik – etwa lange Lebenszyklen, Verfügbarkeitsanforderungen und physische Prozesssteuerung.
Die IEC 62443 gliedert sich in vier Gruppen: Teil 1 behandelt allgemeine Konzepte, Terminologie und Metriken. Teil 2 richtet sich an Betreiber und beschreibt Richtlinien und Prozesse für ein Sicherheitsprogramm. Teil 3 adressiert die Systemebene, inklusive Sicherheitsanforderungen an Systeme (IEC 62443-3-3) und das Zonen-Konzept. Teil 4 betrifft die Komponentenebene, mit Anforderungen an den sicheren Produktentwicklungsprozess (IEC 62443-4-1) und an einzelne Produkte (IEC 62443-4-2).
Die IEC 62443 definiert vier Security Level, die den Schutz gegen zunehmend fähige Angreifer beschreiben. SL 1 schützt gegen unbeabsichtigten oder zufälligen Missbrauch. SL 2 schützt gegen vorsätzlichen Missbrauch mit einfachen Mitteln. SL 3 schützt gegen Angreifer mit ausgefeilten Mitteln und moderaten Ressourcen. SL 4 schützt gegen hochgerüstete Angreifer mit erheblichen Ressourcen. Jeder Zone wird auf Basis der erwarteten Bedrohung ein Ziel-Security-Level zugewiesen.
Zonen und Conduits sind das zentrale Architekturprinzip der IEC 62443. Eine Zone ist eine Gruppierung von Anlagen (Assets) mit ähnlichem Schutzbedarf und ähnlicher Funktion. Ein Conduit ist ein kontrollierter Kommunikationspfad zwischen Zonen. Durch die Segmentierung in Zonen und die Absicherung der Conduits wird verhindert, dass sich ein Angriff ungehindert durch die gesamte Anlage ausbreitet – vergleichbar mit Brandabschnitten in einem Gebäude.
Der Cyber Resilience Act (CRA) verlangt Security by Design für Produkte mit digitalen Elementen, definiert aber selbst keine technischen Detailanforderungen. Die IEC 62443 – insbesondere der Teil 4-1 zum sicheren Produktentwicklungsprozess und der Teil 4-2 zu Komponentenanforderungen – liefert genau diese konkreten Vorgaben für den OT-Bereich. Hersteller industrieller Produkte können die IEC 62443 daher nutzen, um CRA-Anforderungen nachweisbar umzusetzen.
Die IEC 62443 ist zunächst eine freiwillige Norm, keine unmittelbare gesetzliche Pflicht. In der Praxis wird sie jedoch häufig vertraglich gefordert oder als anerkannter Stand der Technik herangezogen – etwa zur Erfüllung der Anforderungen aus NIS2, dem KRITIS-Dachgesetz oder dem Cyber Resilience Act. Für Betreiber und Hersteller im industriellen Umfeld ist sie damit faktisch der maßgebliche Referenzrahmen für OT-Sicherheit.