IEC 62443

Die IEC 62443 ist die international maßgebliche Normenreihe für Cybersecurity in industriellen Automatisierungs- und Steuerungssystemen (IACS). Anders als generische IT-Sicherheitsstandards berücksichtigt sie die Besonderheiten von Operational Technology: lange Lebenszyklen, Echtzeitanforderungen, Verfügbarkeit als oberste Priorität und die Tatsache, dass ein Sicherheitsvorfall hier physische Folgen haben kann. Die Reihe adressiert mehrere Rollen — Betreiber, Integratoren und Produkthersteller — mit jeweils eigenen Anforderungen.

Zentrale Konzepte sind das Zonen- und Conduit-Modell sowie die Security Levels (SL 1 bis SL 4). Eine Anlage wird in Sicherheitszonen segmentiert, die über definierte, kontrollierte Übergänge (Conduits) kommunizieren. Jeder Zone wird ein Security Level zugewiesen, der den Schutzbedarf gegen unterschiedlich motivierte und ausgestattete Angreifer beschreibt. Dieses Modell ist die Grundlage dafür, wie OT-Netze segmentiert und CI/CD-Deployments in diese Netze hinein abgesichert werden.

Für Industrial DevOps ist die IEC 62443 deshalb hochrelevant: Eine Pipeline, die Software in OT-Zielsysteme deployt, muss die Zonensegmentierung respektieren statt sie aufzuweichen. Das gelingt etwa über OT-Proxy-Agents in der Fertigungs-DMZ, die Deployment-Befehle kontrolliert über Conduits weiterleiten, mit Zertifikats-Authentifizierung absichern und jede Aktion protokollieren. Zunehmend wird die Norm zur Voraussetzung für den Marktzugang industrieller Produkte.

Typische Stolpersteine: Die Norm wird als reines Netzwerk-Thema missverstanden, obwohl sie ebenso sichere Entwicklungsprozesse (IEC 62443-4-1) und Produkteigenschaften (4-2) adressiert. Oder Unternehmen streben pauschal einen hohen Security Level an, ohne eine Risikobetrachtung pro Zone vorzunehmen — was Aufwand erzeugt, ohne den Schutz dort zu verbessern, wo er wirklich nötig ist.