Definition
Normenreihe zur Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme. Definiert Security Level (SL 1–4) und ein Zonenkonzept zur Segmentierung von OT-Netzen. Anforderungen an Hersteller (62443-4-1, 4-2: sichere Produktentwicklung), Integratoren (62443-2-4) und Betreiber (62443-2-1, 3-3). Wird zunehmend referenziert bei NIS-2-Umsetzung und Cyber Resilience Act für industrielle Komponenten.
In der Praxis
Die IEC 62443 wird in der Praxis gern auf eine Firewall-Frage reduziert — „wir haben doch eine Trennung zwischen Büro und Fertigung". Das greift zu kurz: Das Zonen- und Conduit-Konzept ist ein Architekturprinzip. Sie gruppieren Komponenten mit gleichem Schutzbedarf in Zonen, definieren die erlaubten Kommunikationswege (Conduits) dazwischen und legen je Zone ein Security-Level-Ziel fest — von SL 1 als Schutz gegen zufällige Verletzungen bis SL 4 gegen gezielte Angriffe mit erheblichen Mitteln. Der zweite Denkfehler: ein einheitliches SL für die ganze Anlage. Sinnvoll ist die risikodifferenzierte Festlegung je Zone, sonst wird es unbezahlbar oder unwirksam. Beachten Sie die Rollenlogik der Reihe: Hersteller sichern die Produktentwicklung ab (62443-4-1, 4-2), Integratoren die Integration (62443-2-4), Betreiber den Betrieb (62443-2-1, 3-3). Im Brownfield — Bestandsanlagen mit 20 Jahre alten Steuerungen — beginnen Sie mit einer ehrlichen Inventarisierung, nicht mit dem Zertifikat. Die Norm wird zunehmend als Referenzrahmen für die NIS-2-Umsetzung und für CRA-Konformität industrieller Komponenten herangezogen.
Verwandte Begriffe
Häufige Fragen zu IEC 62443
Was bedeuten die Security Level SL 1 bis SL 4 konkret?
Die Security Level beschreiben abgestufte Widerstandsfähigkeit gegen Angriffe. SL 1 schützt gegen zufällige oder unbeabsichtigte Verletzungen — etwa Fehlbedienung. SL 2 zielt auf einfache absichtliche Angriffe mit geringen Mitteln, etwa durch opportunistische Angreifer mit Standardwerkzeugen. SL 3 adressiert gezielte Angriffe mit moderaten Ressourcen, SL 4 Angriffe mit erweiterten Ressourcen, etwa staatlich motivierte Akteure. Wichtig ist die Anwendungslogik: Das Ziel-SL wird nicht pauschal fürs Unternehmen gewählt, sondern je Zone aus der Risikobeurteilung abgeleitet. Eine unkritische Lüftungssteuerung braucht kein SL 3, die Rezepturdatenbank Ihres Kernprozesses vielleicht schon. So bleibt die Absicherung wirtschaftlich vertretbar (IEC 62443, Reihe).
Wer muss bei IEC 62443 was umsetzen — Hersteller, Integrator oder Betreiber?
Die Normenreihe ist nach Rollen strukturiert, und das ist ihre Stärke. Hersteller von Komponenten und Steuerungen adressieren die Teile 62443-4-1 (sichere Entwicklungsprozesse) und 62443-4-2 (technische Anforderungen an Komponenten). Integratoren, die Anlagen aus Komponenten zusammenbauen, folgen 62443-2-4. Betreiber schließlich richten sich nach 62443-2-1 für das Sicherheitsprogramm im Betrieb und 62443-3-3 für die Systemanforderungen inklusive Security Levels. Als Norm ist die Reihe formal freiwillig — faktisch wird sie aber zum Maßstab: Das BSI und europäische Regelwerke wie der CRA referenzieren sie als Stand der Technik, und Maschinenverordnung sowie NIS-2-Umsetzung greifen die Logik auf. Wer heute Anlagen beschafft, sollte 62443-Konformität der Komponenten in die Spezifikation schreiben.
Wie führen wir das Zonen- und Conduit-Konzept in einer bestehenden Fertigung ein?
Beginnen Sie mit der Inventarisierung: Alle Steuerungen, Netzwerkkomponenten, Schnittstellen und Datenflüsse erfassen — in Bestandsanlagen ist das regelmäßig der aufwendigste Schritt, weil Dokumentation fehlt. Bilden Sie dann Zonen nach Kritikalität und Schutzbedarf: Was zusammen kommunizieren muss und dasselbe Risiko trägt, gehört in eine Zone. Definieren Sie die Conduits — die kontrollierten Übergänge zwischen den Zonen — mit Firewalls, DMZ-Strukturen und Freigabeprozessen, und legen Sie je Zone ein Ziel-Security-Level aus der Risikobeurteilung fest. Setzen Sie schrittweise um: erst die Trennung von Office- und Produktionsnetz, dann die kritischsten Zonen. Dokumentieren Sie Architektur und Begründungen — das ist Ihr Nachweis im Audit und bei behördlichen Prüfungen. Perfektion ist nicht das Ziel, nachvollziehbare Risikoreduktion ist es.