Was ist IEC 62443 und was bedeutet es für Produktionsbetriebe?

IEC 62443 ist eine internationale Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Sie legt fest, wie Produktionsbetriebe, Maschinenbauer und Systemintegratoren ihre Steuerungsumgebungen systematisch gegen Cyberangriffe absichern sollen. Für Produktionsbetriebe bedeutet die Norm konkret: strukturierte Risikoanalyse, technische Schutzmaßnahmen und klare Verantwortlichkeiten entlang der gesamten Lieferkette. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um IEC 62443 und zeigen, was die Umsetzung in der Praxis bedeutet.

Wen betrifft IEC 62443 in einem Produktionsbetrieb?

IEC 62443 betrifft grundsätzlich alle Unternehmen, die industrielle Steuerungssysteme betreiben, entwickeln oder integrieren. Das schließt Produktionsbetriebe als Anlagenbetreiber, Maschinenbauer als Komponentenhersteller und Systemintegratoren gleichermaßen ein. Wer Fertigungsanlagen mit SPSen, SCADA-Systemen oder vernetzten Feldgeräten betreibt, fällt in den Anwendungsbereich der Norm.

In der Praxis sind vor allem folgende Rollen direkt angesprochen:

Anlagenbetreiber: Produktionsunternehmen, die IACS in ihrer Fertigung einsetzen, tragen die Verantwortung für den sicheren Betrieb und müssen Sicherheitsanforderungen an ihre Zulieferer weitergeben.
Systemintegratoren: Unternehmen, die Steuerungssysteme planen, installieren und in Betrieb nehmen, müssen Sicherheitsanforderungen bereits in der Projektierungsphase berücksichtigen.
Komponentenhersteller: Hersteller von Steuerungskomponenten wie SPSen, HMIs oder Netzwerkgeräten sind gefordert, sichere Produkte nach den Vorgaben der Norm zu entwickeln.

Die Norm ist technologieneutral formuliert und gilt branchenübergreifend. Ob Automobilindustrie, Lebensmittelproduktion, Energieversorgung oder Pharmafertigung: Überall dort, wo Steuerungssysteme mit Netzwerken verbunden sind, ist OT-Sicherheit nach IEC 62443 ein relevantes Thema. Die wachsende Vernetzung von Produktionsanlagen mit IT-Systemen und cloudnahen Diensten macht die Norm zunehmend auch für mittelständische Betriebe relevant, die bisher wenig Berührung mit strukturierter industrieller Cybersicherheit hatten.

Wie ist IEC 62443 aufgebaut und welche Teile sind relevant?

IEC 62443 ist keine einzelne Norm, sondern eine Normenreihe, die in vier Hauptgruppen gegliedert ist: Allgemeines, Richtlinien und Verfahren, System- sowie Komponentenanforderungen. Jede Gruppe richtet sich an eine spezifische Zielgruppe und behandelt unterschiedliche Aspekte der IACS-Sicherheit.

Die vier Gruppen im Überblick

Gruppe 1 (Allgemeines): Grundlegende Konzepte, Terminologie und ein Überblick über das Gesamtwerk. Relevant für alle, die einen Einstieg in die Normenwelt suchen.
Gruppe 2 (Richtlinien und Verfahren): Anforderungen an das Sicherheitsmanagement für Betreiber und Integratoren, darunter Patch-Management, Incident Response und Lieferantenmanagement.
Gruppe 3 (Systemanforderungen): Technische Anforderungen auf Systemebene, insbesondere die Einteilung in Sicherheitszonen und Konduits sowie die Definition von Security Levels. Dieser Teil ist für Systemintegratoren und Betreiber besonders praxisrelevant.
Gruppe 4 (Komponentenanforderungen): Anforderungen an einzelne Automatisierungskomponenten wie SPSen oder HMIs. Relevant für Hersteller von Steuerungsgeräten.

Welche Teile für Produktionsbetriebe besonders wichtig sind

Für einen typischen Produktionsbetrieb als Anlagenbetreiber sind vor allem die Teile aus Gruppe 2 und Gruppe 3 handlungsleitend. IEC 62443-2-1 beschreibt, wie ein Sicherheitsmanagementsystem für IACS aufgebaut wird. IEC 62443-3-2 und 62443-3-3 definieren, wie Sicherheitsrisiken auf Systemebene bewertet und technische Schutzmaßnahmen abgeleitet werden. Diese Teile bilden die Grundlage für eine strukturierte Umsetzung im Betrieb.

Was sind die konkreten Anforderungen an industrielle Steuerungssysteme?

IEC 62443 stellt an industrielle Steuerungssysteme Anforderungen in sieben grundlegenden Kategorien, den sogenannten Foundational Requirements. Diese umfassen Zugangskontrolle, Nutzungskontrolle, Datenintegrität, Datensicherheit, eingeschränkten Datenfluss, zeitnahe Reaktion auf Ereignisse sowie Ressourcenverfügbarkeit.

In der Praxis bedeutet das für Steuerungsumgebungen konkret:

Zonenbildung und Segmentierung: Produktionsanlagen werden in Sicherheitszonen unterteilt, die durch definierte Übergangspunkte (Konduits) miteinander kommunizieren. Dadurch wird verhindert, dass ein Angriff sich ungehindert im gesamten Netzwerk ausbreitet.
Authentifizierung und Zugangskontrolle: Nur autorisierte Personen und Systeme dürfen auf Steuerungskomponenten zugreifen. Das gilt für physischen Zugang ebenso wie für Fernzugriffe auf SPSen oder SCADA-Systeme.
Sichere Kommunikation: Der Datenaustausch zwischen Steuerungen, Engineering-Systemen und HMI-Stationen muss verschlüsselt und authentifiziert erfolgen, um Manipulation und Abhören zu verhindern.
Patch- und Änderungsmanagement: Software-Updates und Konfigurationsänderungen müssen kontrolliert und dokumentiert durchgeführt werden, ohne den laufenden Betrieb zu gefährden.
Incident Response: Betreiber benötigen Prozesse, um Sicherheitsvorfälle zu erkennen, zu melden und zu beheben.

Die Norm definiert außerdem vier Security Levels (SL 1 bis SL 4), die den Grad der erforderlichen Schutzmaßnahmen beschreiben. SL 1 schützt gegen unbeabsichtigte Fehler, SL 4 gegen staatlich gestützte Angreifer mit hohen Ressourcen. Für die meisten Produktionsbetriebe ist SL 2 der relevante Zielwert, der Schutz gegen absichtliche Angriffe mit einfachen Mitteln bietet.

Was ist der Unterschied zwischen IEC 62443 und ISO 27001?

Der wesentliche Unterschied liegt im Anwendungsbereich: ISO 27001 ist eine allgemeine Norm für Informationssicherheits-Managementsysteme und richtet sich primär an IT-Umgebungen. IEC 62443 ist speziell auf industrielle Automatisierungs- und Steuerungssysteme ausgerichtet und berücksichtigt die besonderen Anforderungen der OT-Welt, insbesondere die Priorität von Verfügbarkeit und Echtzeitbetrieb.

In der IT gilt traditionell die Priorität: Vertraulichkeit zuerst, dann Integrität, dann Verfügbarkeit. In der OT ist das genau umgekehrt: Eine Produktionsanlage muss zuverlässig laufen, Ausfallzeiten sind oft nicht akzeptabel. IEC 62443 trägt diesem Umstand Rechnung und erlaubt keine Sicherheitsmaßnahmen, die den deterministischen Betrieb von Steuerungssystemen gefährden würden.

Beide Normen schließen sich nicht aus, sondern ergänzen sich. Unternehmen, die bereits nach ISO 27001 zertifiziert sind, haben eine gute Basis für organisatorische Prozesse, müssen aber für ihre OT-Umgebungen zusätzlich die spezifischen Anforderungen der IEC 62443 umsetzen. In der Praxis empfiehlt sich eine integrierte Betrachtung, bei der IT- und OT-Sicherheit gemeinsam geplant werden, ohne die Unterschiede in den Betriebsanforderungen zu ignorieren.

Wann ist eine Zertifizierung nach IEC 62443 sinnvoll?

Eine formelle Zertifizierung nach IEC 62443 ist dann sinnvoll, wenn Kunden oder Auftraggeber sie vertraglich fordern, wenn regulatorische Anforderungen sie nahelegen oder wenn das Unternehmen seine Sicherheitskompetenz gegenüber dem Markt nachweisbar machen möchte. Für viele Produktionsbetriebe ist die Umsetzung der Norm zunächst wichtiger als die Zertifizierung selbst.

Konkrete Situationen, in denen eine Zertifizierung besonders relevant wird:

Kritische Infrastrukturen: Betreiber von Anlagen, die unter die KRITIS-Verordnung fallen, stehen unter erhöhtem regulatorischem Druck und profitieren von einem zertifizierten Nachweis ihrer Sicherheitsmaßnahmen.
Lieferkettenanforderungen: Große Industriekunden verlangen zunehmend von ihren Zulieferern und Systemintegratoren den Nachweis, dass Steuerungssysteme nach IEC 62443 gesichert wurden.
Maschinenbauer und Systemintegratoren: Wer Anlagen in den Markt bringt oder integriert, kann durch eine Zertifizierung nach IEC 62443-2-4 (für Integratoren) oder IEC 62443-4-1 (für Produktentwicklungsprozesse) einen klaren Wettbewerbsvorteil schaffen.
NIS2-Richtlinie: Die europäische NIS2-Richtlinie, die 2026 zunehmend greift, erhöht die Anforderungen an Cybersicherheit für eine breite Gruppe von Unternehmen und macht strukturierte OT-Sicherheit zu einem Compliance-Thema.

Für Betriebe, die noch am Anfang stehen, ist eine Gap-Analyse der sinnvolle erste Schritt, bevor eine Zertifizierung angestrebt wird. So lässt sich der tatsächliche Handlungsbedarf realistisch einschätzen.

Wie können Produktionsbetriebe mit der Umsetzung starten?

Der praktische Einstieg in die Umsetzung von IEC 62443 beginnt mit einer strukturierten Bestandsaufnahme der vorhandenen Steuerungsumgebung und einer Risikoanalyse. Ohne ein klares Bild davon, welche Systeme vorhanden sind und wie sie miteinander kommunizieren, lassen sich keine sinnvollen Schutzmaßnahmen ableiten.

Ein bewährter Einstiegspfad umfasst folgende Schritte:

Asset-Inventarisierung: Alle IACS-Komponenten erfassen, inklusive SPSen, HMIs, Netzwerkkomponenten, Engineering-Stationen und Verbindungen zur IT-Ebene.
Zonenmodell entwickeln: Auf Basis der Bestandsaufnahme Sicherheitszonen und Konduits definieren, die den Informationsfluss kontrollieren und das Angriffspotenzial reduzieren.
Risikoanalyse und Gefährdungsbeurteilung: Bedrohungen und Schwachstellen für jede Zone identifizieren und den erforderlichen Security Level ableiten. Tools wie SISTEMA, die im Bereich der Industrial Safety eingesetzt werden, können dabei methodische Unterstützung bieten.
Maßnahmen priorisieren und umsetzen: Technische und organisatorische Schutzmaßnahmen nach Risikoprioritäten einführen, angefangen bei Zugangskontrolle und Netzwerksegmentierung.
Prozesse dokumentieren und kontinuierlich verbessern: Sicherheitsmaßnahmen dokumentieren, Verantwortlichkeiten festlegen und einen Prozess für regelmäßige Überprüfung etablieren.

Ein wichtiger Aspekt ist die enge Verzahnung von IT- und OT-Sicherheit von Beginn an. Moderne Automatisierungstechnik ist heute so stark vernetzt, dass eine isolierte Betrachtung der Produktionsebene nicht mehr ausreicht. Wer IoT-Anbindungen, Fernzugriffe oder cloudnahe Dienste in der Fertigung einsetzt, muss diese Verbindungen explizit in sein Sicherheitskonzept einbeziehen.

Wie KSV Produktionsbetriebe bei IEC 62443 unterstützt

Als erfahrener Systemintegrator für industrielle Steuerungs- und Automatisierungstechnik unterstützen wir Produktionsbetriebe dabei, OT-Sicherheit nach IEC 62443 strukturiert und praxisnah umzusetzen. Wir bringen das technische Know-how aus über 40 Jahren Erfahrung in der Planung, Fertigung und Programmierung industrieller Steuerungssysteme mit und kennen die besonderen Anforderungen an Verfügbarkeit und Betriebssicherheit in der Produktion aus erster Hand.

Konkret unterstützen wir bei:

Sicherheitskonzepten und Gefährdungsbeurteilungen für Steuerungsumgebungen nach den einschlägigen Regelwerken der Industrial Safety und Industrial Security
Zonenmodellierung und Netzwerksegmentierung für bestehende und neue Produktionsanlagen, ohne den laufenden Betrieb zu unterbrechen
Sicheren Kommunikationsarchitekturen für SPSen, SCADA-Systeme und HMI-Stationen, inklusive Authentifizierung und Verschlüsselung
Programmierung und Integration sicherheitskonformer Steuerungslösungen auf Basis marktgängiger Plattformen wie Siemens S7-1500 und S7-1200
Montage, Inbetriebnahme und Dokumentation aller elektrotechnischen und steuerungstechnischen Komponenten aus einer Hand

Ob Sie am Anfang einer Bestandsaufnahme stehen oder konkrete Maßnahmen zur Umsetzung von IEC 62443 planen: Sprechen Sie uns an. Wir analysieren Ihre Situation und entwickeln gemeinsam mit Ihnen ein Sicherheitskonzept, das zu Ihren Produktionsprozessen passt.