Kurz erklärt
IEC 62443 ist die internationale Normenreihe für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Sie beschreibt, wie Produktionsanlagen, SPS, SCADA und Fernwartung gegen Cyberangriffe geschützt werden.
Anders als reine IT-Normen setzt IEC 62443 Verfügbarkeit und Personensicherheit an erste Stelle. Sie teilt Anlagen in Zonen ein, regelt die Kommunikation über Conduits und legt pro Zone ein Security Level fest.
Die Norm gilt als anerkannter Stand der Technik für OT-Sicherheit. Sie hilft bei NIS2, bei Kundenanforderungen aus der Lieferkette und bei der Umsetzung des Cyber Resilience Act.
Drei Rollen, eine Norm
Betreibt die Anlage und verantwortet das Security-Programm, die Risikobewertung und den sicheren Betrieb.
Plant, baut und wartet Anlagen. Muss sichere Integration und Wartung nachweisen können.
Entwickelt SPS, Geräte und Software. Braucht einen sicheren Entwicklungsprozess und sichere Produkte.
Aufbau der Normenreihe
Die Reihe ist in vier Gruppen gegliedert. Für Betreiber sind vor allem Teil 2 und Teil 3 wichtig, für Hersteller Teil 4.
Zonen & Conduits
Eine Zone ist eine Gruppe von Systemen mit gleichem Schutzbedarf, etwa eine Fertigungslinie oder die Leitebene.
Ein Conduit ist der einzige erlaubte Kommunikationsweg zwischen zwei Zonen. Er wird mit Firewalls, Regeln und Protokollierung kontrolliert.
So bleibt ein Vorfall in der Büro-IT dort, wo er entstanden ist, und erreicht nicht die Steuerung Ihrer Anlage.
Security Level
Ein Security Level beschreibt, gegen welchen Angreifer eine Zone geschützt sein soll. Mehr ist nicht automatisch besser: Das Ziel-Level (SL-T) folgt aus der Risikobewertung, das erreichte Level (SL-A) wird geprüft.
Regulatorischer Rahmen
IEC 62443 ist selbst kein Gesetz. Sie ist aber die gemeinsame Sprache, mit der sich mehrere EU-Vorgaben für die Produktion praktisch erfüllen lassen.
Betroffene Einrichtungen müssen Risikomanagementmaßnahmen umsetzen. Das gilt auch für die OT in der Produktion, nicht nur für die Büro-IT.
NIS2-BeratungDer CRA regelt die Sicherheit von Produkten mit digitalen Elementen. IEC 62443-4-1/-4-2 gelten als wichtige Grundlage für die CRA-Umsetzung bei Industrieprodukten.
CRA-BeratungAb dem 20. Januar 2027 gilt die neue Maschinenverordnung. Sie verlangt unter anderem Schutz gegen Manipulation und sichere Steuerungen – also auch Cybersicherheit.
OT-Security in der Industrie (Blog)Unser Vorgehen
Wir arbeiten produktionsschonend. Aktive Scans im laufenden Betrieb gibt es nur nach ausdrücklicher Abstimmung mit Produktion und Instandhaltung.
Ziele, Verantwortliche, kritische Prozesse und regulatorischer Rahmen (NIS2, Kundenanforderungen, CRA) werden geklärt.
Produktionsschonende Erfassung von SPS, HMI, SCADA, Netzwerken, Fernwartungszugängen und Schnittstellen zur IT.
Gruppierung der Anlagen in Zonen mit gleichem Schutzbedarf und Definition der erlaubten Kommunikationswege.
Bedrohungen, Schwachstellen und Auswirkungen je Zone bewerten – mit Blick auf Verfügbarkeit, Qualität und Personensicherheit.
Ziel-Security-Level je Zone, Abgleich mit dem Ist-Zustand und ein priorisierter Plan, der zu Wartungsfenstern passt.
Segmentierung, sichere Fernwartung, Härtung, Monitoring und Dokumentation – auf Wunsch mit unserer Begleitung.
Zonen technisch trennen, Conduits mit Firewalls und klaren Regeln absichern, industrielle DMZ zwischen IT und OT.
Herstellerzugänge über einen kontrollierten Weg mit MFA, Freigabe und Protokollierung statt dauerhaft offener VPN-Tunnel.
Unnötige Dienste und Ports schließen, Standardpasswörter ersetzen, Konten und Rechte aufräumen – auch bei Altsystemen.
Kommunikation in der OT sichtbar machen und Abweichungen erkennen, bevor sie zum Stillstand führen.
Pakete
Der Umfang ist immer individuell. Das Erstgespräch ist kostenlos. Danach erhalten Sie ein schriftliches Festpreisangebot, das zu Größe und Ausgangslage Ihrer Anlagen passt.
Bestandsaufnahme der OT-Umgebung, Zonen- und Conduit-Modell, Risikobewertung nach IEC 62443-3-2, Ziel-Security-Level.
Netzsegmentierung, Fernwartungskonzept, Härtung und Dokumentation – abhängig von Anzahl der Anlagen und Standorte.
Qualifikation
Die Beratung übernimmt Christoph Hennings, Geschäftsführer von Keep IT Fair. Er ist von TÜV Austria als „OT Security Manager“ zertifiziert und verbindet IEC 62443 mit langjähriger Praxis in IT-Betrieb und IT-Sicherheit für den Mittelstand.
Vor Ort in Norddeutschland
OT-Sicherheit klärt man nicht nur am Bildschirm. Workshops und Begehungen führen wir vor Ort durch – in Hamburg, Norderstedt und ganz Schleswig-Holstein. Auswertung und Dokumentation erfolgen remote.
Wir beraten zur Umsetzung von IEC 62443 und bereiten Sie auf Prüfungen vor. Eine Zertifizierung nach IEC 62443 selbst erfolgt durch akkreditierte Prüfstellen.
Passt dazu
FAQ
IEC 62443 ist eine internationale Normenreihe für die IT-Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Sie beschreibt Anforderungen für drei Rollen: Betreiber (Asset Owner), Integratoren und Dienstleister sowie Hersteller von Komponenten. Kernideen sind Zonen und Conduits, risikobasierte Security Level und ein gelebtes Security-Programm.
Die Norm selbst ist nicht gesetzlich vorgeschrieben. Sie gilt aber als anerkannter Stand der Technik für OT-Sicherheit. Wer unter NIS2 fällt, muss angemessene Risikomanagementmaßnahmen nachweisen – auch für die Produktion. IEC 62443 liefert dafür eine nachvollziehbare und prüffähige Struktur.
ISO 27001 beschreibt ein Managementsystem für Informationssicherheit im gesamten Unternehmen. IEC 62443 ist auf Produktionsanlagen zugeschnitten: Verfügbarkeit und Personensicherheit stehen vorn, Systeme laufen oft jahrzehntelang, und es gibt konkrete technische Anforderungen an Systeme und Komponenten. Beide Normen ergänzen sich gut.
Security Level beschreiben, gegen welche Angreifer eine Zone geschützt sein soll: SL 1 gegen zufällige Fehlbedienung, SL 2 gegen absichtliche Angriffe mit einfachen Mitteln, SL 3 gegen gezielte Angriffe mit OT-Wissen und moderaten Ressourcen, SL 4 gegen sehr gut ausgestattete Angreifer. Für jede Zone wird ein Ziel-Level (SL-T) festgelegt.
Wir starten mit einem Workshop und einer Bestandsaufnahme der Anlagen, teilen die Umgebung in Zonen und Conduits ein und bewerten die Risiken nach IEC 62443-3-2. Ergebnis sind Ziel-Security-Level je Zone und ein priorisierter Maßnahmenplan. Die Erfassung erfolgt produktionsschonend, ohne aktive Scans im laufenden Betrieb, sofern nicht ausdrücklich abgestimmt.
Der Aufwand hängt vor allem von der Anzahl der Anlagen und Standorte, der Größe und Dokumentationslage der OT-Umgebung sowie davon ab, ob nur ein Assessment oder auch die Umsetzungsbegleitung gewünscht ist. Deshalb nennen wir keine Pauschalpreise: Nach dem kostenlosen Erstgespräch erhalten Sie ein schriftliches Festpreisangebot.
Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen zu Security by Design und Schwachstellenmanagement. IEC 62443-4-1 und -4-2 gelten als wichtige Grundlage für die CRA-Umsetzung bei Industrieprodukten, weil sie sicheren Entwicklungsprozess und technische Komponentenanforderungen bereits detailliert beschreiben.
Christoph Hennings, Geschäftsführer von Keep IT Fair, ist von TÜV Austria als „OT Security Manager“ zertifiziert. Wir beraten Betreiber und Hersteller in Hamburg, Norderstedt und Schleswig-Holstein vor Ort und remote.