IEC 62443 – Diese Grundlagen sollten Sie als Betreiber einer Automationslösung kennen

Wer vor der Herausforderung steht, OT-Security in der Praxis umzusetzen, kommt an der Normenreihe IEC 62443 nicht vorbei. Sie bietet einen Leitfaden, um gesetzliche Anforderungen wie z.B. die europäische NIS2-Richtlinie, den Cyber Resilience Act (CRA) oder die nationale TRBS 1115-1 zu erfüllen. Eine Orientierung an der IEC 62443 ist eine Möglichkeit, den geforderten Stand der Technik für die industrielle Automatisierung praxistauglich umzusetzen. In diesem Artikel bieten wir Ihnen einen verständlichen IEC 62443 Einstieg mit einem Überblick über die wichtigsten Säulen, Konzepte und Rollen. So gelingt Ihnen der Schritt zu einer sicheren Produktion.

Was ist der Anwendungsbereich der IEC 62443?

Die IEC 62443 ist eine Serie von Dokumenten, die sich mit der IT-Sicherheit sogenannter „Industrial Automation and Control Systems (IACS)“ befassen. Der Begriff IACS steht dabei für alle Bestandteile wie Systeme, Komponenten und Prozesse, die für den sicheren Betrieb einer automatisierten Produktionsanlage erforderlich sind. Neben den erwähnten Bestandteilen zählen ebenso Softwarekomponenten, Anwendungen und organisatorische Teile dazu.

Durch ihre spezifische Ausrichtung auf den Industriebereich setzt sich die IEC 62443 auch deutlich von der ISO 27001 ab, die sich eher mit klassischen IT-Systemen beschäftigt. Während dort die Vertraulichkeit von Daten dominiert, steht in der OT die Verfügbarkeit der physischen Prozesse im Vordergrund.

Ganzheitlicher Schutz: Das Konzept der IEC 62443

Die IEC 62443 setzt ein IT-Sicherheitskonzept auf, das auf dem Defense-in-Depth-Ansatz basiert. Darin sind Schutzmaßnahmen beschrieben, die auf verschiedenen Ebenen eines Netzes oder auch Systems implementiert werden.

Weiterhin identifiziert die Norm drei Instanzen, die im Rahmen industrieller Betriebsprozesse Einfluss nehmen. Dies sind die Geräte- und Maschinenhersteller, die Systemintegratoren und die Betreiber der Anlagen. Diese Instanzen haben nach der Norm verschiedene Rollen inne und werden in eigenen Abschnitten behandelt. Insbesondere geht es dort auch um die Zusammenarbeit der Instanzen untereinander. Damit liefert die IEC 62443 einen ganzheitlichen Ansatz für mehr Sicherheit und berücksichtigt gleichzeitig die verschiedenen Player.

Mit der IEC 62443 können Unternehmen die potenziellen Schwachstellen ihrer Steuerungs- und Leittechnik überprüfen und sinnvolle Schutzmaßnahmen entwickeln.

Struktur der IEC 62443 – die vier Bereiche im Überblick

Die Norm ist in vier zusammenhängende Abschnitte untergliedert. Diese beinhalten wiederum Dokumente zu einzelnen Schwerpunktthemen. Die offizielle Nummerierung folgt diesem Muster:

62443 – [Abschnitt-Nr.] – [Dokument-Nr. in Abschnitt ]

Damit handelt es sich bei 62443-2-1 um das erste Dokument aus dem zweiten Abschnitt. Wichtiger als die Nummerierung ist jedoch, dass die Norm noch in ständiger Bewegung ist. Somit sind aktuell noch nicht alle Dokumente final verabschiedet und andere liegen nur als Entwurf vor oder sind noch in Planung. Wenn es um direkte Verweise geht, dann sollte immer auf ISA.org referenziert werden. Dort ist der aktuelle Zustand der einzelnen Dokumente ersichtlich.

Die vier Abschnitte beinhalten die folgenden Themen:

1. General (Allgemein)
   Hier werden die grundsätzlichen Begriffe, Konzepte und Modelle beschrieben.
2. Policies & Procedures (Richtlinien und Prozesse)
   Beschreibt neben technischen Vorgaben vor allem ein System zum Management industrieller IT-Sicherheit (CSMS) für Betreiber. Hier existiert ein enger Bezug zur ISO 27000-Reihe. Das Grundziel ist hier die kontinuierliche Verbesserung durch Risikobewertung sowie klare Vorgaben für Prozesse und für die Organisation.
3. System (Sicherheitsanforderungen)
   Hier werden verschiedene Vorgaben für Sicherheitsfunktionen von Steuerungs- und Automationssystemen beschrieben. Der Schwerpunkt liegt auf der Fertigungs- und Prozessautomation.
4. Component / Product (Komponenten)
   Die Dokumente dieses Abschnitts beschreiben die Anforderungen an Prozesse der Produktentwicklung von Komponenten einer Automationslösung (z.B. durch Hersteller).

Security-Level und Maturity-Level: Technik und Prozess vereint

Die Verfasser der IEC 62443 folgen dem Ansatz, dass IT-Sicherheit mehr ist als rein technische Vorkehrungen. So können technische Vorkehrungen von den Mitarbeitern oder fehlerhaften Betriebsprozessen umgangen und dadurch geschwächt werden. Es findet daher eine Unterscheidung statt:

• Security Levels (SL)
  Hiermit werden Systeme, Netze und Komponenten hinsichtlich ihrer funktional technischen IT-Security bewertet.
• Maturity Levels (ML)
  Diese behandeln die prozessuale Einhaltung und den Reifegrad der organisatorischen Richtlinien und des Verhaltens der Mitarbeitenden.

Erst durch die Kombination aus diesen beiden Betrachtungsweisen ergibt sich ein umfassendes Sicherheitskonzept, das weitaus mehr Schutzpotenzial bietet als die rein technische Betrachtung.

Defense in Depth: Mehrstufiger Schutz

Der IEC 62443 liegt das „Defense-in-Depth“-Prinzip zugrunde. Dieses im Militär verbreitete Prinzip soll sicherstellen, dass ein Angreifer, oder auch ein anderweitig ausgelöster Störfall, sich nicht durch das Aushebeln einer einzelnen Maßnahme ungehindert ausbreiten und Schaden anrichten kann.

Für die durchdachte Umsetzung dieses Sicherheitskonzepts ist eine Verbesserung der Sicherheitsfunktionen aller beteiligten Systeme, Produkte und Lösungen notwendig. Aber auch Richtlinien, Prozesse und letztendlich das Betriebspersonal müssen angemessen betrachtet werden.

Nach dem Zwiebelprinzip werden verschiedene Schutzschichten etabliert. Wird dann eine Schicht umgangen, bietet die nächste Schicht weiterhin Schutz. Dies ist insbesondere bei industriellen Netzen sinnvoll: Die beteiligten Systeme müssen permanent verfügbar sein, sind aber aufgrund fehlender Updates nicht auf einem aktuellen Sicherheitsstand.

Näheres finden Sie in unserem Blog-Artikel „Zones & Conduits: Das Schutzkonzept aus der IEC 62443 einfach erklärt“.

Fazit

Die IEC 62443 ist eine Serie von Standards, die auf bereits etablierte Konzepte (wie der ISO 27001) aufsetzt. Sie berücksichtigt die verschiedenen Gegebenheiten im Produktions- und Automationsumfeld und richtet sich ausschließlich und umfassend an die IT-Sicherheit in der Automation.

• Speziell für die OT entwickelt: Sie fokussiert sich im Gegensatz zu IT-Normen voll auf die verfügbarkeit industrieller Steuerungssysteme.
• Ganzheitlicher Ansatz: Sie nimmt Hersteller, Systemintegratoren und Betreiber gleichermaßen in die Pflicht und regelt deren Zusammenspiel
• Technik und Prozess: Durch das Ineinandergreifen von Security Levels und Maturity Levels wird sichergestellt, dass Technik und Organisation Hand in Hand gehen.
• Sicherheit durch Mehrstufigkeit: Die praktische Umsetzung des Defense-in-Depth-Prinzips verhindert durch gestaffelte Sicherheitsmaßnahmen, dass sich lokale Störungen oder Cyberangriffe unkontrolliert im gesamten Netzwerk ausbreiten.