← Zurück

KNOWLEDGE HUB

ISA/IEC 62443: Der Standard, der Ordnung in die industrielle Cybersicherheit bringt

Die umfassendste Normenreihe zur Absicherung industrieller Steuerungssysteme — Herkunft, Aufbau und warum ich sie als technisches Rückgrat nutze.

Was es ist

ISA/IEC 62443 ist eine Familie internationaler Normen für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Sie entstand aus der Arbeit des ISA99-Komitees und wird heute gemeinsam von ISA und IEC gepflegt – daher der Doppelname.

Anders als ein generisches Informationssicherheits-Framework wurde 62443 von Grund auf für die OT-Welt entwickelt: Verfügbarkeit vor Vertraulichkeit, Lebenszyklen von 15–20 Jahren und Geräte, die sich nicht einfach wie ein Büroserver „neu starten und patchen” lassen.

Warum es wichtig ist

Es ist bis heute der Standard, auf den sich Regulierungsbehörden, Systemintegratoren und Hersteller am häufigsten berufen, wenn sie eine gemeinsame Sprache für OT-Sicherheit brauchen. Wer mit internationalen Lieferanten arbeitet, stößt früher oder später in einem Vertrag, einer Ausschreibung oder einem Audit auf 62443.

Wie es aufgebaut ist

• Reihe 1 — Allgemeines: Terminologie und Modelle, die für die gesamte Normenfamilie gelten.
• Reihe 2 — Richtlinien und Verfahren: was der Anlagenbetreiber tun muss (Sicherheitsprogramm, Patch-Management, Reaktion auf Vorfälle).
• Reihe 3 — System: wie eine sichere Architektur gestaltet wird — hier stecken die Konzepte Zones & Conduits sowie die Security Levels SL 0 bis SL 4.
• Reihe 4 — Komponente/Produkt: Anforderungen an Hersteller von SPS, HMI oder Industrie-Switch.

Bewährte Praktiken

• Beginne mit der Segmentierung (Zones & Conduits), nicht mit Werkzeugen — die Architektur ist die Grundlage, kein Produkt.
• Definiere das Ziel-Sicherheitsniveau (SL-T) je Zone anhand des tatsächlichen Risikos, nicht dasselbe Niveau für die gesamte Anlage.
• Nutze 62443-2-1, um das Managementprogramm aufzubauen, nicht nur den technischen Teil — OT-Sicherheit, die überdauert, hat einen Prozess, nicht nur Technik.

Häufige Fehler

• 62443 als einmalige Checkliste statt als fortlaufendes Programm behandeln.
• IT-Kontrollen (z. B. aggressive Patch-Richtlinien) kopieren, ohne sie an die Verfügbarkeitsanforderungen von OT anzupassen.
• Nur die Dokumente zertifizieren, ohne zu prüfen, ob die tatsächliche Netzwerkarchitektur mit dem Dokumentierten übereinstimmt.