Aufbau und Zuständigkeiten der Normenreihe IEC 62443
Sytance · Aktualisiert
IEC 62443 verteilt Zuständigkeiten auf die Organisationen, die industrielle Systeme entwickeln, integrieren, warten und betreiben. Welcher Teil passt, hängt von der Rolle und davon ab, ob eine Bewertung einen Prozess, ein System oder eine Komponente betrifft.
Aufteilung der Rollen
Die Hauptrollen sind Asset-Eigentümer, Integrationsdienstleister, Wartungsdienstleister und Produktlieferant. ISAGCA erläutert, dass eine Rolle nicht zwingend einer Organisation entspricht. Eine Organisation kann mehrere Rollen innehaben und eine Rolle kann auf mehrere Organisationen verteilt sein.
Asset-Eigentümer
Verantwortlich für das IACS und üblicherweise dessen Betreiber sowie Betreiber der kontrollierten Anlagen.
Integrationsdienstleister
Entwirft, installiert, konfiguriert und testet eine Automatisierungslösung, nimmt sie in Betrieb und übergibt sie.
Wartungsdienstleister
Unterstützt und wartet eine Automatisierungslösung nach oder im Zusammenhang mit der Übergabe.
Produktlieferant
Entwickelt und unterstützt Hardware- oder Softwareprodukte, darunter Steuerungssysteme, eingebettete Geräte, Hostgeräte, Netzwerkgeräte und Softwareanwendungen.
Wichtige Teile
Die Nummer des Normteils gibt üblicherweise die Ebene der Aussage an. Teil 2 behandelt hauptsächlich Programme und Dienstleistungsprozesse, Teil 3 Systemanalyse und Systemanforderungen, Teil 4 Produktentwicklung und Komponentenfähigkeiten und Material zu Teil 6 die Bewertungsmethodik.
IEC 62443-2-1:2024 behandelt das Sicherheitsprogramm des Asset-Eigentümers für ein betriebenes IACS. Laut IEC umfasst der Asset-Eigentümer in diesem Zusammenhang auch den Betreiber. Gegenstand sind Richtlinien und Verfahren zur IACS-Sicherheit, nicht integrierte technische Funktionen, die jedes Altsystem bereits besitzen muss.
Dieser Teil ist oft relevant, wenn gefragt wird, wie ein Betriebsstandort Rollen, Risikomethoden, Patchbeschränkungen, kompensierende Maßnahmen, Lieferantenzuständigkeiten und langlebige Systeme verwaltet.
IEC 62443-2-4:2023 behandelt sicherheitsbezogene Prozesse, die IACS-Dienstleister dem Asset-Eigentümer bei Integration und Wartung einer Automatisierungslösung anbieten können. Laut IEC beziehen sich diese Fähigkeiten auf Richtlinien, Verfahren, Praxis und Personal.
Dieser Teil behandelt Prozesse von Systemintegratoren und Wartungsdienstleistern. Produktfähigkeiten und das Betriebsprogramm des Asset-Eigentümers werden nach anderen Teilen bewertet.
IEC 62443-3-2:2020 legt Anforderungen fest für die Definition des betrachteten Systems, seine Aufteilung in Zonen und Conduits, die Risikobewertung für jede Zone und jeden Conduit, die Festlegung von SL-T und die Dokumentation von Sicherheitsanforderungen.
IEC 62443-3-3:2013 enthält detaillierte Anforderungen an Steuerungssysteme, die den sieben grundlegenden Anforderungen zugeordnet sind. Sie wird zusammen mit den Zonen und Conduits des betrachteten Systems verwendet, wenn angestrebte Sicherheitsstufen für ein bestimmtes Asset festgelegt werden.
IEC 62443-4-1:2018 gilt für Entwickler und Instandhalter von Produkten für IACS. Laut IEC umfasst der Lebenszyklus die Festlegung von Sicherheitsanforderungen, sicheren Entwurf und sichere Implementierung, Verifizierung und Validierung, Fehlermanagement, Patchmanagement und das Produktlebensende.
IEC 62443-4-2:2019 gilt für IACS-Komponenten. Sie legt Komponentenanforderungen und Sicherheitsfähigkeitsstufen für Komponenten anhand der sieben grundlegenden Anforderungen aus IEC TS 62443-1-1 fest.
IEC TS 62443-6-1:2024 ist eine Bewertungsmethodik für IEC 62443-2-4. Laut IEC unterstützt sie wiederholbare und reproduzierbare Bewertungsergebnisse bei Konformitätsbewertungen durch erste, zweite oder dritte Parteien. Sie ersetzt nicht die Anforderungen von 2-4.
Quellenstatus
Diese Übersicht folgt öffentlichen Beschreibungen von IEC, ISA und ISAGCA. Für eine detaillierte Bewertung sind der vollständige Text der geltenden Norm und der angegebene Zertifizierungsumfang erforderlich.
- Die Ausgabe ist wichtig: IEC führt IEC 62443-2-1 als Ausgabe 2024 und IEC 62443-2-4 als Ausgabe 2023. In manchen vorhandenen Zertifizierungsunterlagen wird weiterhin auf die Ausgabe 2015 und AMD1:2017 verwiesen.
- Der Bewertungsumfang ist wichtig: Prozessfähigkeit, Produktfähigkeit, Systemfähigkeit, Dienstleisterfähigkeit und die Anwendung von Fähigkeiten sind unterschiedliche Aussagen.
- Die rechtliche Wirkung ist wichtig: Eine IEC- oder ISA-Veröffentlichung ist nicht dasselbe wie eine im Amtsblatt zitierte harmonisierte Norm, die eine Konformitätsvermutung nach dem CRA begründet.