Normen zur industriellen Cybersicherheit nach IEC 62443
Sytance · Aktualisiert
IEC 62443 ist eine Reihe von Cybersicherheitsnormen für industrielle Automatisierungs- und Steuerungssysteme (IACS). Verschiedene Teile behandeln die Betreiberorganisation, Dienstleister, den Systementwurf, die sichere Produktentwicklung und die Fähigkeiten von Komponenten.
Normen für industrielle Steuerungssysteme
Die Normenreihe behandelt industrielle Automatisierungs- und Steuerungssysteme über ihren gesamten Lebenszyklus. Sie ist weder nur eine Gerätenorm noch ausschließlich eine Grundlage für Netzwerksicherheit. Für denselben Standort können Nachweise zum Sicherheitsprogramm des Asset-Eigentümers, zu erbrachten Dienstleistungen, zum Systementwurf und zu gelieferten Produkten erforderlich sein.
Rollen und Anwendungsbereich
Ein häufiger Fehler ist die pauschale Aussage, ein Produkt, Dienst oder eine Anlage sei IEC-62443-konform. Eine Konformitätserklärung muss die Rolle, den Normteil, die Ausgabe und den Bewertungsumfang benennen.
Asset-Eigentümer
Verantwortet die Betriebsumgebung, Richtlinien, Risikoentscheidungen und viele standortbezogene Kontrollen.
Systementwickler
Legt die Systemgrenze, Zonen, Conduits, Anforderungen und angestrebten Sicherheitsstufen fest.
Produktlieferant
Stellt Nachweise zur sicheren Entwicklung und zu den Fähigkeiten der gelieferten Komponenten bereit.
Dienstleister
Weist innerhalb eines festgelegten Profils Fähigkeiten für Integration, Wartung und damit verbundene Dienstleistungen nach.
Wichtige Teile in der Praxis
Die sechs folgenden Teile sind gängige Ausgangspunkte. Ihre Anforderungen gelten für unterschiedliche Zuständigkeiten und Phasen des IACS-Lebenszyklus.
IEC 62443-2-1
Sicherheitsprogramm des Asset-Eigentümers für ein betriebenes IACS.
IEC 62443-2-4
Fähigkeiten des Dienstleisters für Integration und Wartung.
IEC 62443-3-2
Systemrisikobewertung, Zonen, Conduits und angestrebte Sicherheitsstufen.
IEC 62443-3-3
Sicherheitsanforderungen und Sicherheitsstufen für Systeme.
IEC 62443-4-1
Lebenszyklus der sicheren Produktentwicklung für Produktlieferanten.
IEC 62443-4-2
Technische Anforderungen an die Sicherheitsfähigkeiten von IACS-Komponenten.
Zonen, Conduits und Sicherheitsstufen
Die Systembewertung beginnt üblicherweise mit der Festlegung des betrachteten Systems sowie seiner Zonen und Conduits, gefolgt von der Risikobewertung. Sicherheitsstufen drücken anschließend die angestrebten oder erreichten Fähigkeiten innerhalb eines festgelegten Umfangs aus; sie sollten nicht als unverbindliches Marketingetikett für Produkte verwendet werden.
Zertifizierung und Produktsicherheitsrecht
Zertifizierungssysteme und Produktgesetze verwenden IEC 62443 auf unterschiedliche Weise. Ein Zertifikat kann Prozess-, Komponenten-, System- oder Dienstleistungsfähigkeiten innerhalb des angegebenen Geltungsbereichs belegen. Die Konformität mit dem Produktsicherheitsrecht hängt weiterhin vom Gesetz, Produkt, der Anforderung, der Normausgabe und dem anerkannten Normenweg ab.