News
ISO 9001-Revision: So bereiten Sie Ihr Unternehmen erfolgreich vor | Kostenloses Whitepaper
IEC62443 im Energiesektor
Die Digitalisierung und zunehmende Vernetzung von Energieinfrastrukturen schaffen neue Möglichkeiten für einen effizienten und flexiblen Betrieb – gleichzeitig steigen die Anforderungen an die Cybersicherheit von Operational Technology (OT). Die internationale Normenreihe IEC 62443 bietet einen risikobasierten Rahmen, um industrielle Automatisierungs- und Steuerungssysteme (IACS) systematisch abzusichern.
OT-Cybersecurity wird für den Energiesektor immer wichtiger
Digitale Technologien sind heute ein zentraler Bestandteil moderner Energieinfrastrukturen. Erzeugungsanlagen, Netze, Speicher und weitere technische Systeme werden zunehmend vernetzt und automatisiert. Dabei wachsen IT- und OT-Umgebungen stärker zusammen.
Diese Entwicklung erhöht jedoch auch die Anforderungen an die Cybersicherheit. Während klassische IT-Systeme primär Informationen verarbeiten, steuert Operational Technology physische Prozesse, Anlagen und Maschinen. Ein Cybervorfall in einer OT-Umgebung kann deshalb nicht nur Daten und Systeme beeinträchtigen, sondern auch die Verfügbarkeit und Kontinuität betrieblicher Prozesse.
Gerade im Energiesektor ist die Verfügbarkeit von Anlagen und Systemen von besonderer Bedeutung. Gleichzeitig treffen häufig Systeme mit langen Lebenszyklen auf neue digitale und vernetzte Technologien. Sicherheitsmaßnahmen müssen deshalb sowohl Cyberrisiken als auch die technischen und betrieblichen Rahmenbedingungen der jeweiligen OT-Umgebung berücksichtigen.
Die zentrale Frage lautet daher: Wie können Energieunternehmen ihre OT-Umgebungen strukturiert und risikobasiert gegen Cyberbedrohungen absichern?
Warum klassische IT-Security allein für OT-Umgebungen nicht ausreicht
IT und OT sind zunehmend miteinander verbunden, unterscheiden sich jedoch in ihren Anforderungen.
In OT-Umgebungen stehen neben Vertraulichkeit und Integrität insbesondere die Verfügbarkeit, Zuverlässigkeit und sichere Funktionsweise industrieller Prozesse im Mittelpunkt. Hinzu kommen lange Lebenszyklen, heterogene Systemlandschaften und Komponenten, die nicht jederzeit aktualisiert, ersetzt oder außer Betrieb genommen werden können.
Eine wirksame OT-Cybersecurity-Strategie muss deshalb technische, organisatorische und prozessuale Maßnahmen miteinander verbinden. Gleichzeitig muss berücksichtigt werden, welche Risiken für das konkrete System bestehen und welches Schutzniveau tatsächlich erforderlich ist.
Genau an diesem Punkt setzt die Normenreihe IEC 62443 an.
Was ist IEC 62443?
Die IEC 62443 ist eine internationale Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme – Industrial Automation and Control Systems (IACS).
Sie definiert Anforderungen und Prozesse für unterschiedliche Akteure entlang des Lebenszyklus industrieller Systeme. Dazu gehören insbesondere Betreiber bzw. Asset Owner, Systemintegratoren, Service Provider und Produkthersteller.Die verschiedenen Teile der IEC 62443 adressieren unterschiedliche Ebenen der industriellen Cybersicherheit
Dazu gehören unter anderem:
Damit betrachtet IEC 62443 Cybersicherheit nicht als einzelne technische Maßnahme, sondern über verschiedene Rollen und Phasen des Lebenszyklus industrieller Systeme hinweg.
Risikobasierte OT-Security mit Zones, Conduits und Security Levels
Ein zentraler Bestandteil der IEC 62443 ist der risikobasierte Ansatz.
IEC 62443-3-2 beschreibt Anforderungen an die Durchführung eines Security Risk Assessments für das betrachtete industrielle System. Dabei wird das zu betrachtende System definiert und in Zones and Conduits strukturiert.
In Zones werden Systeme oder Komponenten mit gemeinsamen Sicherheitsanforderungen zusammengefasst. Conduits beschreiben und kontrollieren die Kommunikation zwischen diesen Zonen.
Auf Basis der identifizierten Risiken und Bedrohungsszenarien werden Target Security Levels (SL-T) definiert. Auf dieser Grundlage können geeignete Sicherheitsanforderungen und Schutzmaßnahmen definiert werden.
Der Vorteil dieses Ansatzes: Sicherheitsmaßnahmen werden nicht pauschal auf sämtliche Systeme übertragen, sondern orientieren sich am tatsächlichen Risiko und am erforderlichen Schutzniveau der jeweiligen OT-Umgebung.
Welche Bedeutung hat IEC 62443 für Energieunternehmen?
Die IEC 62443 ist branchenübergreifend anwendbar und ausdrücklich auch für industrielle Anwendungen in der Energieerzeugung und -verteilung relevant.
Gerade Energieinfrastrukturen können aus komplexen und heterogenen Systemlandschaften bestehen: Bestehende Anlagen und Komponenten mit langen Lebenszyklen werden mit moderner Automatisierung, Remote-Zugängen und vernetzten Technologien kombiniert.
IEC 62443 bietet einen strukturierten Rahmen, um solche OT-Umgebungen aus Cybersecurity-Perspektive zu betrachten. Abhängig von der Rolle eines Unternehmens und dem betrachteten System kann die Normenreihe beispielsweise dabei unterstützen,
Dabei ist entscheidend: Nicht jeder Teil der IEC 62443 ist für jedes Unternehmen gleichermaßen relevant. Welche Anforderungen anzuwenden sind, hängt unter anderem davon ab, ob ein Unternehmen als Betreiber, Systemintegrator, Service Provider oder Produkthersteller agiert und ob ein Produkt, ein System oder ein Prozess betrachtet wird.
IEC 62443 im regulatorischen Umfeld: Welche Rolle spielt NIS2?
Neben den technischen Herausforderungen hat sich auch der regulatorische Rahmen für Cybersecurity deutlich weiterentwickelt.
Die regulatorischen Anforderungen im Zusammenhang mit der NIS2-Richtlinie und deren nationaler Umsetzung entwickeln sich kontinuierlich weiter. Unternehmen sollten daher die jeweils aktuellen nationalen Umsetzungsregelungen berücksichtigen.
Der Energiesektor gehört zu den gesetzlich erfassten Sektoren. Abhängig von Einrichtungsart und weiteren gesetzlichen Kriterien können beispielsweise Unternehmen aus der Stromversorgung, Fernwärme, Fernkälte sowie weiteren Bereichen der Energiewirtschaft in den Anwendungsbereich fallen.
Für betroffene Unternehmen bestehen unter anderem Anforderungen an geeignete, verhältnismäßige und wirksame technische sowie organisatorische Risikomanagementmaßnahmen. Darüber hinaus können Registrierungs-, Nachweis- und Meldepflichten relevant sein.
Die IEC 62443 ersetzt diese gesetzlichen Anforderungen nicht. Eine IEC-62443-Zertifizierung oder Konformität mit der Normenreihe führt nicht automatisch zur NIS2-Konformität oder zur Erfüllung sämtlicher regulatorischer Anforderungen.
Die Normenreihe kann jedoch einen strukturierten technischen und organisatorischen Rahmen für die Absicherung industrieller Automatisierungs- und Steuerungssysteme bieten. Insbesondere für die Identifikation, Bewertung und Behandlung von OT-bezogenen Cyberrisiken kann IEC 62443 als etablierter Orientierungs- und Umsetzungsrahmen dienen.
Für Hersteller von Produkten mit digitalen Elementen kann zusätzlich der EU Cyber Resilience Act (CRA) relevant sein. Welche regulatorischen Anforderungen im Einzelfall gelten, hängt jedoch vom jeweiligen Produkt, der Rolle des Unternehmens und dem konkreten Anwendungsbereich ab und sollte gesondert bewertet werden.
Wie können Energieunternehmen mit IEC 62443 starten?
Der Einstieg in IEC 62443 bedeutet nicht automatisch, dass unmittelbar eine Zertifizierung durchgeführt werden muss.
Am Anfang steht vielmehr die Frage, wo das Unternehmen bzw. die betrachtete OT-Umgebung heute steht und welche Teile der Normenreihe tatsächlich relevant sind. Ein strukturierter Einstieg kann beispielsweise folgende Schritte umfassen:
-
1. Scope definieren:
Welche Systeme, Produkte oder OT-Umgebungen sollen betrachtet werden?
-
2. Rolle bestimmen:
Handelt das Unternehmen als Asset Owner, Systemintegrator, Service Provider oder Produkthersteller?
-
3. Risiken bewerten:
Welche Cyberbedrohungen und Auswirkungen sind für das betrachtete System relevant?
-
4. Relevante IEC-62443-Anforderungen bestimmen:
Welche Teile der Normenreihe sind für den konkreten Anwendungsfall erforderlich?
-
5. Gap Assessment durchführen:
Welche Anforderungen werden bereits erfüllt und wo bestehen Lücken?
-
6. Maßnahmen priorisieren:
Welche technischen und organisatorischen Maßnahmen sind zur Reduzierung der identifizierten Risiken erforderlich?
-
7. Zertifizierungsbedarf bewerten:
Ist ein unabhängiger Konformitätsnachweis für das Unternehmen, System oder Produkt sinnvoll bzw. erforderlich?
IEC 62443 Beratung: Anforderungen richtig einordnen
Die IEC 62443 besteht aus mehreren miteinander verbundenen Normteilen. Welche davon relevant sind und welches Sicherheitsniveau angemessen ist, hängt vom jeweiligen Anwendungsfall ab.
Eine strukturierte IEC 62443 Beratung kann Unternehmen dabei unterstützen, ihren Status quo zu bewerten und einen geeigneten Umsetzungsweg zu definieren.
Bureau Veritas unterstützt Unternehmen unter anderem bei:
- der Einordnung der relevanten IEC-62443-Anforderungen,
- der Definition eines Umsetzungsplans,
- der Bewertung von Prozess- und Produktlücken,
- der Entwicklung und Umsetzung von Prozessen, Richtlinien und Verfahren,
- Threat Modeling und Risk Assessments für Produkte,
- Vulnerability Assessments und Penetration Tests für Produkte,
- sowie Trainings und Workshops zu IEC 62443 und OT-Security.
IEC 62443 Zertifizierung: Cybersecurity unabhängig nachweisen
Je nach Rolle und Anwendungsfall können unterschiedliche Teile der IEC 62443 für eine Zertifizierung relevant sein.
Bureau Veritas bietet Zertifizierungsleistungen unter anderem für folgende Normteile an:
-
IEC 62443-2-4
Security Program Requirements für IACS Service Provider.
-
IEC 62443-3-3
System Security Requirements and Security Levels.
-
IEC 62443-4-1
Secure Product Development Lifecycle Requirements.
-
IEC 62443-4-2
Technical Security Requirements for IACS Components.
Eine unabhängige Bewertung und Zertifizierung kann Unternehmen dabei unterstützen, die Erfüllung definierter IEC-62443-Anforderungen gegenüber Kunden und Geschäftspartnern nachvollziehbar nachzuweisen.
→ Mehr über die IEC 62443 Zertifizierung von Bureau Veritas erfahren
Häufig gestellte Fragen zu IEC 62443 und OT-Cybersecurity
-
1. Was ist IEC 62443?
IEC 62443 ist eine internationale Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Sie umfasst Anforderungen und Prozesse für unterschiedliche Rollen – darunter Asset Owner, Systemintegratoren, Service Provider und Produkthersteller – und betrachtet Cybersecurity über verschiedene Phasen des Lebenszyklus industrieller Systeme.
-
2.Warum ist IEC 62443 für den Energiesektor relevant?
Energieerzeugung und -verteilung gehören zu den industriellen Anwendungsbereichen von IACS. IEC 62443 bietet einen risikobasierten Ansatz zur Bewertung und Absicherung solcher Systeme und kann damit als strukturierter Rahmen für OT-Cybersecurity in Energieumgebungen eingesetzt werden.
-
3. Was ist der Unterschied zwischen IT-Security und OT-Security?
IT-Security schützt primär Informations- und IT-Systeme. OT-Security adressiert Systeme, die physische Prozesse, Anlagen und Maschinen überwachen oder steuern. In OT-Umgebungen haben daher insbesondere Verfügbarkeit, Zuverlässigkeit und die sichere Funktion industrieller Prozesse eine hohe Bedeutung. Durch die zunehmende Vernetzung müssen IT- und OT-Security jedoch gemeinsam betrachtet werden.
-
4. Ist IEC 62443 für NIS2 verpflichtend?
Nein. NIS2 schreibt keine generelle IEC-62443-Zertifizierung vor. Für Unternehmen, die unter die gesetzlichen NIS2-Anforderungen fallen, bestehen jedoch Anforderungen an das Cyber-Risikomanagement. IEC 62443 kann einen strukturierten Ansatz für die Absicherung von OT- und IACS-Umgebungen bieten, ersetzt aber keine individuelle Prüfung der gesetzlichen NIS2-Anforderungen.
-
5. Ist eine IEC 62443 Zertifizierung verpflichtend?
Eine allgemeine gesetzliche Pflicht zur IEC-62443-Zertifizierung besteht nicht. Ob eine Zertifizierung erforderlich oder sinnvoll ist, hängt unter anderem vom Produkt, System, Markt, Kundenanforderungen, Vertragsbedingungen und regulatorischen Kontext ab.
-
6. Welche IEC-62443-Norm ist für mein Unternehmen relevant?
Das hängt insbesondere von der Rolle und dem Gegenstand der Bewertung ab. Für Asset Owner, Service Provider, Systeme, Komponenten und Produktentwicklungsprozesse adressiert die Normenreihe unterschiedliche Anforderungen. Eine Gap-Analyse kann helfen, den relevanten Scope und die anzuwendenden Normteile zu bestimmen.
OT-Cybersecurity strukturiert angehen
Die zunehmende Vernetzung industrieller Systeme macht OT-Cybersecurity zu einer langfristigen Aufgabe für die Energiewirtschaft. Einzelne technische Sicherheitsmaßnahmen reichen dabei nicht aus. Entscheidend ist ein risikobasierter Ansatz, der Systeme, Prozesse und Verantwortlichkeiten über den gesamten Lebenszyklus hinweg berücksichtigt.
IEC 62443 stellt dafür einen international etablierten Rahmen bereit. Unternehmen können damit Cyberrisiken in ihren industriellen Systemen strukturiert bewerten, geeignete Sicherheitsanforderungen definieren und – abhängig vom jeweiligen Ziel – die Voraussetzungen für einen unabhängigen Konformitätsnachweis schaffen.
Sie möchten wissen, welche IEC-62443-Anforderungen für Ihr Unternehmen, Ihre Systeme oder Produkte relevant sind? Bureau Veritas unterstützt Sie von der ersten Bestandsaufnahme und Gap-Analyse über die Umsetzung bis zur unabhängigen Zertifizierung.