Anforderungen an Dienstleister nach IEC 62443-2-4

Anwendungsbereich für Dienstleister

IACS-Dienstleister führen Integrations- und Wartungsarbeiten oder beides durch. Der Dienstleister kann ein externer Anbieter oder ein internes Team sein. Dieser Normteil ist nützlich, weil Entscheidungen bei Integration und Wartung die Sicherheitsannahmen, auf die sich der Asset-Eigentümer verlässt, stärken oder beeinträchtigen können.

Fähigkeiten für Integration und Wartung

IEC beschreibt die Fähigkeiten nach 2-4 als Richtlinien-, Verfahrens-, Praxis- und Personalaspekte. Diese Abgrenzung ist wichtig. Eine Aussage zu den Fähigkeiten eines Dienstleisters sollte zeigen, wie der Anbieter sicherheitsbezogene Arbeiten für den Asset-Eigentümer durchführt, und nicht nur, dass er ein sicheres Produkt verkauft.

• Sicherheitsplanung und Zuständigkeiten für die vertraglich vereinbarte Dienstleistung;
• sichere Engineering-, Konfigurations-, Test- und Übergabeaktivitäten während der Integration;
• Verfahren für Fernzugriff, Konten, Ereignisse, Backups, Schadsoftware, Patches und Schwachstellen, die für die Dienstleistung relevant sind;
• Abstimmung mit den Sicherheitsrichtlinien und -verfahren des Asset-Eigentümers für das IACS;
• Kompetenz des Personals und Projektbesetzung für die erbrachte Dienstleistung.

Anpassung von Anforderungen durch Profile

IEC 62443-2-4:2023 erlaubt Profile, da nicht jede Anforderung zu jeder Industriegruppe, Organisation oder Dienstleistungsumgebung passt. Ein Profil kann den Anforderungssatz eingrenzen, schränkt aber zugleich die Aussage ein. Ein profilbasiertes Zertifikat oder eine entsprechende Bewertung ist zusammen mit Profil, Dienstleistungsumfang, Ausgabe, Reifegrad und ausgeschlossenen Aktivitäten zu lesen.

Abgrenzung zu anderen Rollen

IEC 62443-2-4 steht zwischen Asset-Eigentümer und Produktlieferant. Der Dienstleister kann Produktinformationen, Systemanforderungen und Richtlinien des Asset-Eigentümers verwenden; der Anforderungssatz für den Dienstleister betrifft jedoch dessen Prozesse.

• Sie ersetzt IEC 62443-2-1 für das Sicherheitsprogramm des Asset-Eigentümers für das IACS nicht.
• Sie ersetzt IEC 62443-3-2 für die Systemrisikobewertung, Zonen, Conduits, SL-T und dokumentierte Anforderungen nicht.
• Sie ersetzt IEC 62443-3-3 für Sicherheitsanforderungen an Steuerungssysteme nicht.
• Sie ersetzt IEC 62443-4-1 oder IEC 62443-4-2 für Aussagen zum Produktlieferanten-Lebenszyklus und zu Komponentenfähigkeiten nicht.

Nachweise und Zertifikatsumfang

Eine Bewertung nach 2-4 benennt die Dienstleistung, die Abstimmung mit dem Asset-Eigentümer, die Grenzen der Automatisierungslösung, das geltende Profil und die Ausgabe sowie die ausgeführten Tätigkeiten. ISASecure-Unterlagen zu ACSSA behandeln eine geeignete Zertifizierung nach 2-4 als Nachweis, der zu einer IACS-Bewertung beitragen kann; für das zu bewertende IACS können dennoch zusätzliche Nachweise erforderlich sein.