IEC 62443
IEC 62443 ist die internationale Normenreihe für die Cybersecurity industrieller Automatisierungs- und Steuerungssysteme (Operational Technology, OT). Kernkonzepte sind die Segmentierung in Zonen und Conduits sowie die vier Security Level SL1 bis SL4, die den Schutzbedarf gegen unterschiedlich starke Angreifer abstufen. Wo ISO/SAE 21434 das Fahrzeug adressiert, deckt IEC 62443 Industriesteuerungen, Automatisierungssysteme, Energieversorgung und kritische Infrastruktur ab.
Für wen gilt IEC 62443?
Die Normenreihe richtet sich an alle Rollen im industriellen Umfeld: den Komponentenhersteller, der Geräte und Software liefert, den Systemintegrator, der daraus Anlagen baut, und den Asset Owner, der die Anlage betreibt. Für jede Rolle definieren eigene Normteile die passenden Anforderungen — von organisatorischen Managementsystemen bis zu technischen Produkteigenschaften.
Zonen und Conduits
Das Grundprinzip der IEC 62443 ist Segmentierung: Assets mit ähnlichem Schutzbedarf werden zu Zonen gruppiert, die Kommunikation zwischen Zonen läuft über kontrollierte Conduits. So entsteht eine verteidigbare Architektur statt eines flachen Netzes, oft orientiert am Purdue-Modell der Fertigungsebenen. Jede Zone und jeder Conduit erhält ein eigenes Schutzniveau, abgeleitet aus dem Risiko — nicht pauschal verordnet.
Security Level SL1 bis SL4
| Security Level | Schutz gegen |
|---|---|
| SL1 | zufälligen oder versehentlichen Missbrauch |
| SL2 | vorsätzliche Angriffe mit einfachen Mitteln |
| SL3 | organisierte Angreifer mit moderaten Ressourcen |
| SL4 | Angreifer auf staatlichem Niveau mit hohem Aufwand |
Wichtig: Der Security Level ist kein Einzelwert, sondern ein Vektor über sieben Foundational Requirements — etwa Zugriffskontrolle, Datenintegrität und Verfügbarkeit. Dieselbe Zone kann für verschiedene Anforderungen unterschiedliche Stufen erhalten.
Die wichtigsten Normteile
- IEC 62443-2-1: Anforderungen an das Security-Managementsystem des Asset Owners.
- IEC 62443-3-3: System-Security-Anforderungen und Security Level.
- IEC 62443-4-1: Anforderungen an einen sicheren Produktentwicklungs-Lifecycle.
- IEC 62443-4-2: technische Anforderungen an einzelne Komponenten.
IEC 62443 in der Praxis: Eine Methodik für mehrere Nachweiswelten
Viele Hersteller stehen heute vor mehreren Normen gleichzeitig: Ein Zulieferer, der Steuergeräte für Fahrzeuge und für Industrieanlagen baut, muss ISO/SAE 21434 und IEC 62443 parallel bedienen — und der EU Cyber Resilience Act liegt als horizontale Verordnung über beiden. Die gute Nachricht: Die methodische Basis ist verwandt. Alle drei arbeiten risikobasiert, verlangen Security über den Lifecycle und stützen sich auf eine strukturierte Bedrohungsanalyse. Wer seine Risikobewertung einmal sauber und wiederverwendbar aufsetzt, führt die Nachweise aus einem Modell, statt drei getrennte Dokumentationswelten zu pflegen.