IEC 62443

Was ist IEC 62443?

IEC 62443 ist eine internationale Normenreihe für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS).

Die einzelnen Teile behandeln unterschiedliche Gegenstände: Begriffe und Modelle, Sicherheitsprogramme für Betreiber, Risikobeurteilung und Systemgestaltung, System- und Komponentenanforderungen sowie sichere Produktentwicklung. Deshalb bezeichnet IEC 62443 keine einzelne, für jede Organisation identische Anforderung.

Für wen ist IEC 62443 relevant?

Der Adressatenkreis hängt vom ausgewählten Teil ab. IEC 62443-2-1:2024 betrifft Policies und Verfahren eines Sicherheitsprogramms für Betreiber eines IACS in Betrieb. IEC 62443-4-1:2018 richtet sich an Entwickler und Maintainer von Produkten für IACS; die dortigen Anforderungen gelten ausdrücklich nicht für Integratoren oder Nutzer dieser Produkte. Rolle, Gegenstand und Lebenszyklusphase müssen daher vor der Auswahl eines Teils feststehen.

Was ist bei der Anwendung von IEC 62443-3-2 entscheidend?

Wird Teil 3-2:2020 auf das Systemdesign angewendet, ist zunächst das betrachtete System abzugrenzen. Anschließend wird es in Zonen und Conduits gegliedert, das Risiko für jede Zone und jeden Conduit beurteilt und jeweils ein Ziel-Sicherheitslevel festgelegt. Die daraus abgeleiteten Sicherheitsanforderungen sind zu dokumentieren. Die bloße Bezeichnung IEC 62443 löst dagegen keine allgemeine Pflicht zur Anwendung der gesamten Reihe aus; eine Verbindlichkeit aus Verträgen oder anderen externen Vorgaben muss separat belegt werden.

Wie sind die Security Levels einzuordnen?

Technische Einordnung: Teil 3-2 verwendet Ziel-Sicherheitslevel für Zonen und Conduits eines betrachteten Systems. Teil 4-2:2019 ordnet Komponentenanforderungen dagegen Capability Security Levels zu. Diese Komponentenfähigkeiten dürfen nicht mit dem Ziel-Sicherheitslevel oder den erreichten Sicherheitsleveln eines Systems gleichgesetzt werden.

Teil 4-2 strukturiert Komponentenanforderungen in sieben grundlegenden Bereichen: Identifikation und Authentisierung, Nutzungskontrolle, Systemintegrität, Datenvertraulichkeit, eingeschränkter Datenfluss, rechtzeitige Ereignisreaktion und Ressourcenverfügbarkeit.

Welche Grenzen gelten für Legacy-Systeme?

IEC 62443-2-1:2024 berücksichtigt, dass Altsysteme nicht mehr unterstützte Hard- oder Software enthalten und native technische Fähigkeiten fehlen können. Dann können kompensierende Sicherheitsmaßnahmen Bestandteil der Policies und Verfahren sein. Das Sicherheitsprogramm deckt bei solchen Systemen häufig nur eine Teilmenge der in Teil 2-1 definierten Anforderungen ab. Daraus folgt jedoch keine vollständige Befreiung von Sicherheitsmaßnahmen.

Was regelt IEC TS 62443-6-2 nicht?

IEC TS 62443-6-2:2025 legt weder ein vollständiges Zertifizierungsschema oder Zertifizierungsprogramm noch bestimmte Werkzeuge für Vulnerability- oder Penetrationstests fest. Die Spezifikation setzt den sicheren Entwicklungslebenszyklus nach Teil 4-1 für ihre Evaluierungsmethodik voraus, bewertet diesen Entwicklungsprozess aber nicht selbst. Normenfamilie, einzelner Teil und Zertifizierungsprogramm sind daher getrennt zu behandeln.

Gibt es allgemeine Fristen oder Schwellenwerte?

Die öffentlichen IEC-Produktbeschreibungen belegen weder eine allgemeine reihenweite Umsetzungsfrist noch einen allgemeinen numerischen Schwellenwert. Ohne Prüfung sämtlicher Volltexte ist nicht ausgeschlossen, dass einzelne Teile projekt-, prozess- oder anforderungsbezogene Termine oder Schwellen enthalten. Vorgaben aus Verträgen, Zertifizierungsprogrammen oder konkreten Projekten bleiben ebenfalls unberührt.

Häufige Fehlannahmen

• „IEC 62443 ist eine einzelne Norm.“ Tatsächlich handelt es sich um eine Reihe mit unterschiedlichen Themen und Adressaten.
• „Jede OT-Organisation muss die gesamte Reihe anwenden.“ Die Reihe selbst begründet keine solche pauschale Anwendungspflicht; Auswahl und Reichweite sind teil-, rollen- und kontextbezogen.
• „Alle Security Levels bedeuten dasselbe.“ Capability Levels von Komponenten sind von Ziel- und erreichten Sicherheitsleveln eines Systems zu unterscheiden.
• „Legacy-Systeme sind vollständig ausgenommen.“ Teil 2-1 lässt bei fehlenden nativen Fähigkeiten kompensierende Maßnahmen zu, gewährt aber keine vollständige Befreiung.
• „IEC TS 62443-6-2 ist bereits ein vollständiges Zertifizierungsprogramm.“ Die Spezifikation legt ein solches Programm gerade nicht fest.

Was die Geschäftsleitung tun sollte

Praxisempfehlung, keine allgemeine Rechtspflicht:

1. Die eigene Rolle, das betroffene IACS oder Produkt, die Lebenszyklusphase und die einschlägigen Teile der Reihe bestimmen.
2. Bei Einführung, Betrieb, Änderung oder Absicherung eines IACS ein risikobasiertes Sicherheitsprogramm mit Policies und Verfahren veranlassen.
3. Für Systemdesigns das betrachtete System abgrenzen sowie Zonen, Conduits, Risiken, Ziel-Sicherheitslevel und abgeleitete Anforderungen nachvollziehbar dokumentieren lassen.
4. Bei nicht mehr unterstützten Legacy-Komponenten fehlende technische Fähigkeiten erfassen und kompensierende Maßnahmen samt Begründung dokumentieren.
5. Bei Produktentwicklung prüfen, ob die Anforderungen an den sicheren Entwicklungslebenszyklus oder an Komponentenfähigkeiten einschlägig sind, ohne unterschiedliche Normteile gleichzusetzen.

Für die Geschäftsleitung

IEC 62443 bietet einen rollen- und risikobezogenen Rahmen für IACS-Sicherheit, aber keine pauschale Vorgabe für jede Organisation. Die zentrale Entscheidung lautet, welche Rolle, welches System oder Produkt und welcher Teil der Reihe tatsächlich relevant sind. Als Nachweis sollten insbesondere Systemgrenze, Auswahl der Normteile, Risikobeurteilung, Zonen und Conduits, festgelegte Ziel-Sicherheitslevel für Zonen und Conduits, Sicherheitsanforderungen sowie begründete kompensierende Maßnahmen dokumentiert werden.

Quellen

Offizielle Primärquellen der IEC:

• IEC 62443-1-1:2009 – Terminology, concepts and models
• IEC 62443-2-1:2024 – Security program requirements for IACS asset owners
• IEC 62443-3-2:2020 – Security risk assessment for system design
• IEC 62443-4-1:2018 – Secure product development lifecycle requirements
• IEC 62443-4-2:2019 – Technical security requirements for IACS components
• IEC TS 62443-6-2:2025 – Security evaluation methodology for IEC 62443-4-2