IEC 62443-4-1: sichere Produktentwicklung
Sytance · Aktualisiert
IEC 62443-4-1:2018 ist der Teil für Produktlieferanten zur sicheren Entwicklung. Er behandelt den Lebenszyklusprozess zur Entwicklung, Wartung und Außerbetriebnahme von Produkten für IACS-Umgebungen.
Lebenszyklus der sicheren Entwicklung
IEC beschreibt IEC 62443-4-1 als Norm mit Anforderungen an den Lebenszyklus der sicheren Entwicklung von Produkten für industrielle Automatisierungs- und Steuerungssysteme. Sie gilt für neue oder bestehende Prozesse zur Entwicklung, Wartung und Außerbetriebnahme von Hardware, Software oder Firmware. Sie gilt für den Entwickler und Instandhalter des Produkts, nicht für Integratoren oder Nutzer in diesen Rollen.
IEC beschreibt den Lebenszyklus als einschließlich der Festlegung von Sicherheitsanforderungen und der sicheren Gestaltung. Die Nachweise sollten den Sicherheitsbedarf des Produkts mit Entwurfsentscheidungen, Annahmen und vorgesehenem Verwendungszweck verknüpfen.
Zum Lebenszyklus gehören auch sichere Implementierung, Programmierrichtlinien, Verifizierung und Validierung. Eine Bewertung nach 4-1 betrifft daher einen wiederholbaren Entwicklungsprozess und nicht einen einmaligen Schwachstellenscan.
Öffentliche IEC-Materialien nennen Fehlermanagement, Patchmanagement und das Lebensende des Produkts. Diese Bereiche verbinden den Entwicklungslebenszyklus mit dem Umgang mit Schwachstellen und der Unterstützung nach der Veröffentlichung.
Der Lieferant muss darlegen, wie Sicherheitsaktivitäten über den gesamten Produktlebenszyklus hinweg konsistent durchgeführt werden. Richtlinien, Testergebnisse und Fehleraufzeichnungen unterstützen die Bewertung, wenn sie zeigen, wie der Prozess auf das Produkt angewendet wurde.
Prozessbewertung und technische Bewertung
Nachweise zu IEC 62443-4-1 sind in vielen Kontexten für Produktlieferanten und Zertifizierungen erforderlich, belegen aber nicht jede Aussage zu IEC 62443. Sie zeigen weder allein, dass eine Komponente die technischen Anforderungen von IEC 62443-4-2 erfüllt, noch dass ein Steuerungssystem IEC 62443-3-3 entspricht oder eine installierte Anlage über geeignete Zonen, Conduits und angestrebte Sicherheitsstufen verfügt.
Komponentenfähigkeiten
Für Aussagen zu Komponentenfähigkeiten sind der einschlägige Geltungsbereich von IEC 62443-4-2, der Komponententyp, die Schnittstellen und die Aussage zu SL-C (Komponente) erforderlich.
Systemrisiken
Das Systemrisiko hängt vom betrachteten System, den Zonen, Conduits, betrieblichen Annahmen und angestrebten Sicherheitsstufen ab.
Anwendung im Produktsicherheitsrecht
IEC 62443-4-1 kann Nachweise für das Produktsicherheitsrecht unterstützen, wenn die rechtliche Anforderung sichere Konzeption und Entwicklung, den Umgang mit Schwachstellen, Unterstützung oder Lebenszykluskontrolle betrifft. Sie ersetzt das Gesetz jedoch nicht. Die Akte muss das Gesetz, das Produkt, den vorgesehenen Verwendungszweck, den Sicherheitskontext, die einschlägige Anforderung und die Art nennen, in der die Nachweise nach 4-1 diese Anforderung unterstützen.
- CRA: Die Webinarunterlagen von CEN-CENELEC vom 9. September 2025 beschreiben EN IEC 62443-4-1:2018/A11:2026 als Teil der CRA-Angleichungsarbeiten. Der vorliegende IEC-Teil von 2018 allein begründet jedoch keine Konformitätsvermutung nach dem CRA, da seine Fundstelle nicht im Amtsblatt zitiert ist.
- Maschinenverordnung: 4-1 kann Prozessnachweise zur Entwicklung für den Schutz vor Manipulation unterstützen; die Sicherheitsanforderung der Maschinenverordnung bleibt jedoch maßgeblich.
- Zertifizierung: Der Geltungsbereich des Zertifikats bestimmt, ob es sich um eine Bewertung von Prozessfähigkeiten, die Anwendung von Fähigkeiten oder eine unterstützende Referenz für eine Aussage zu Komponentenfähigkeiten handelt.