Was ist das Zertifikat?

IEC 62443 ist eine Familie von Cybersicherheitsstandards für industrielle Automatisierungs- und Steuerungssysteme (IACS). Sie hat eine andere Prioritätenordnung als die IT-Sicherheit: In der Betriebstechnik stehen Verfügbarkeit und Prozesssicherheit vor Vertraulichkeit. Der Standard verteilt die Verantwortung auf drei Rollen — Anlageneigentümer, Systemintegrator und Produktlieferant — mit separaten Teilen für jede Rolle. Im Zentrum stehen das Zonen-/Leitungsmodell und das Konzept der Sicherheitsstufen (SL 1-4).

Für wen ist es erforderlich?

Hersteller von industriellen Steuerungssystemen (SPS, DCS, SCADA)
Integratoren von Automatisierungssystemen
Betreiber von Energie-, Wasser-, Chemie- und Produktionsanlagen
Betreiber kritischer Infrastrukturen
Anbieter von industriellen IoT- und Fernüberwachungslösungen

Ist es verpflichtend?

Der Standard selbst ist grundsätzlich nicht verbindlich. Vorschriften für kritische Infrastrukturen und Netzwerksicherheit (z. B. NIS2 in der EU) erlegen den Betreibern jedoch Sicherheitsverpflichtungen auf, und bei der Erfüllung dieser Verpflichtungen wird auf IEC 62443 verwiesen. Die Zertifizierung erfolgt rollenbasiert: Die Bewertung erfolgt gemäß IEC 62443-4-1/4-2 für ein Produkt, 62443-2-4 für einen Integrator und 62443-2-1 für einen Anlageneigentümer.

Geltungsbereich der Norm

62443-2-1 — Asset-Eigentümer: das IACS-Sicherheitsprogramm und -Managementsystem
62443-2-4 — Dienstanbieter: Anforderungen an Sicherheitsprogramme für Integratoren
62443-3-2 — Systemdesign: Risikobewertung, Zonen-/Leitungsmodellierung, Bestimmung des angestrebten Sicherheitsniveaus
62443-3-3 — Systemsicherheitsanforderungen: die sieben grundlegenden Anforderungen (FRs) und Sicherheitsstufen
62443-4-1 — Sicherer Produktentwicklungslebenszyklus: Bedrohungsmodellierung, sicheres Design und Codierung, Schwachstellentests, Patch-Management, Ende des Supports
62443-4-2 — Komponentensicherheitsanforderungen: technische Anforderungen für eingebettete Geräte, Hostgeräte, Netzwerkgeräte und Anwendungen
Grundlegende Anforderungen (FRs): Identifikations- und Authentifizierungskontrolle, Nutzungskontrolle, Systemintegrität, Datenvertraulichkeit, eingeschränkter Datenfluss, rechtzeitige Reaktion auf Ereignisse, Ressourcenverfügbarkeit
Sicherheitsstufen: SL 1 (gelegentlich/zufällig) — SL 4 (ein ressourcenstarker, gezielter Angreifer)

Zertifizierungsablauf

1Anwendungs- und ProduktbeschreibungEs werden Produktfamilie, Modellliste, technische Spezifikationen und Zielmarkt festgelegt. In diesem Schritt werden der anzuwendende Standard und die Zertifizierungsroute klar.
2Technische AktenprüfungDabei werden Konstruktionsunterlagen, Stücklisten, Zertifikate kritischer Komponenten und Gebrauchsanweisungen geprüft.
3ProdukttestsEs werden die von der jeweiligen Norm geforderten Prüfungen durchgeführt. Der Prüfbericht ist die grundlegende Grundlage für die Zertifizierungsentscheidung.
4FabrikauditWenn es das System erfordert, werden die Kontinuität der Fertigung und die werkseigene Produktionskontrolle (FPC) vor Ort überprüft.
5Ausstellung des Zertifikats und KennzeichnungSobald die Konformität überprüft ist, wird das Zertifikat ausgestellt. Es gelten die Kennzeichnungsvorschriften für das Produkt und die Verpackung.
6FolgeauditsJe nach Programm werden regelmäßige Werksaudits und/oder Nachuntersuchungen an vom Markt entnommenen Proben durchgeführt.

Gültigkeitsdauer

Die Gültigkeitsdauer variiert je nach System: Einige Produktzertifikate sind unbefristet und basieren auf regelmäßigen Werksaudits, während einige Systeme (z. B. Ländermarktzeichen) eine jährliche oder sendungsbezogene Verlängerung erfordern. Jede Designänderung am Produkt erfordert eine Überprüfung des Zertifikats.

Erforderliche Unterlagen

Die Liste der Produktmodelle und -varianten
Technische Zeichnungen, Diagramme und die Stückliste
Zertifikate für kritische Komponenten
Die Gebrauchsanweisung und ein Musteretikett
Vorhandene Testberichte, falls vorhanden
Angaben zum Produktionsstandort

Zertifizierungskosten

Es gibt keinen festen Listenpreis; die Kosten werden anhand der folgenden Variablen berechnet und im Angebot schriftlich mitgeteilt.

Die Anzahl der Modelle und Varianten in der Produktfamilie
Der Prüfumfang, den die geltende Norm erfordert
Ob ein Fabrikaudit erforderlich ist
Die Anzahl der Zielmärkte und ob jeder einzelne separate Tests erfordert
Ob vorhandene Prüfberichte akzeptiert werden können

Akkreditierung

Die Produktzertifizierung erfolgt nach ISO/IEC 17065; Die Prüfungen, die die Grundlage für die Zertifizierung bilden, werden in Laboren mit ISO/IEC 17025-Akkreditierung durchgeführt. Die beiden Bereiche sind getrennt. Die Anerkennung zwischen Akkreditierungsstellen erfolgt durch IAF- und ILAC-Vereinbarungen.

In welchem Geltungsbereich dieses Schema angeboten werden kann, hängt von Ihrem Produkt und Ihrer Tätigkeit ab; dies wird in der Angebotsphase schriftlich bestätigt.

Geltungsbereich und Berechtigungen

Häufige Fragen

Welcher Teil der IEC 62443 gilt für mich?

Es hängt von Ihrer Rolle ab. Wenn Sie ein Produkthersteller sind, gelten 4-1 (Entwicklungsprozess) und 4-2 (Komponentenanforderungen); wenn Sie ein Systemintegrator sind, 2-4 und 3-3; Wenn Sie ein Anlagenbetreiber sind, haben 2-1 und 3-2 Vorrang. Der Standard ist bewusst nach Rollen gegliedert.

Benötige ich IEC 62443, wenn ich bereits ISO/IEC 27001 habe?

Ja, wenn Sie über eine operative Technologieumgebung verfügen. ISO/IEC 27001 ist für die Unternehmens-IT konzipiert; IEC 62443 berücksichtigt die Einschränkungen von Echtzeitsteuerungssystemen (keine Toleranz für Ausfallzeiten, langlebige Geräte, nicht patchbare Geräte). Die beiden ergänzen sich.

Wer legt die Sicherheitsstufe fest?

Der Anlageneigentümer bestimmt das Zielsicherheitsniveau (SL-T) für jede Zone durch die Risikobewertung gemäß 62443-3-2. Der Produktlieferant gibt den Fähigkeitsgrad (SL-C) an, den seine Komponente bietet; die beiden müssen zusammenpassen.

Cybersicherheit industrieller Automatisierung (IEC 62443)-Zertifizierung