IEC 62443 verständlich erklärt – Der wichtigste Standard für Industrial Cybersecurity

IEC 62443 ist die wichtigste Referenz für Industrial Cybersecurity in produzierenden Unternehmen, Energieversorgern und anderen Betreibern automatisierter Anlagen. Wer OT-Security ernst nimmt, stößt früher oder später auf diese Normenfamilie — oft ohne klares Bild, welche Teile für Hersteller, welche für Betreiber relevant sind und wie sie sich von klassischer IT-Security unterscheidet.

Grundlage und offizielle Übersicht:

• ISA/IEC 62443 Series of Standards (ISA)

Dieser Artikel erklärt IEC 62443 als Standard — nicht als Recruiting-Thema. Wer sucht, welche Profile am Markt knapp sind, findet die Vertiefung in IEC 62443 im Recruiting.

Was IEC 62443 ist — und was nicht

IEC 62443 (international; in Nordamerika oft ISA-62443) ist eine Serie von Normen für Industrial Automation and Control Systems (IACS). Sie deckt den gesamten Lebenszyklus ab: sichere Produktentwicklung, Systemintegration, Betrieb, Wartung und Außerbetriebnahme.

Wichtig: IEC 62443 ist kein Zertifikat, das man einmal erwirbt und dann „compliant“ ist. Sie ist ein Struktur- und Nachweisrahmen, der je nach Rolle unterschiedliche Dokumente und Maßnahmen verlangt.

Was IEC 62443 nicht leistet:

• Sie ersetzt keine Risikoanalyse im konkreten Werk.
• Sie ersetzt keine Betriebsfreigaben zwischen Safety und Security.
• Sie ersetzt keine Priorisierung, wenn Budget und Wartungsfenster knapp sind.

Genau deshalb lohnt ein Blick auf das OT-Security-Lagebild für Industrie und KRITIS: Der Standard gibt Orientierung, die Umsetzung bleibt betriebsnah.

Die Normenfamilie in Kurzform

Die Serie ist in mehrere Teile gegliedert. Für die Praxis reichen oft diese Gruppen:

Grundlagen und Konzepte (Teil 1)

• IEC 62443-1-1: Begriffe, Konzepte und Modelle — Einstieg für alle Rollen.
• IEC 62443-2-1: Anforderungen an ein IACS-Security-Management-System (CSMS) beim Asset Owner.

Organisation und Betrieb (Teil 2)

• IEC 62443-2-4: Anforderungen an Dienstleister und Integratoren im laufenden Betrieb.

Systemdesign (Teil 3)

• IEC 62443-3-2: Risikoanalyse und Zoneneinteilung auf Systemebene.
• IEC 62443-3-3: System-Security-Anforderungen und Security Requirements (SRs) — das Herzstück für Integratoren und Betreiber.

Produktsicherheit (Teil 4)

• IEC 62443-4-1: Sicherer Entwicklungsprozess (SDLC) für Hersteller.
• IEC 62443-4-2: Technische Security-Anforderungen an Komponenten (PLC, HMI, Gateway etc.).

Zonen und Conduits: Segmentierung mit OT-Logik

Das Zonen-und-Conduits-Modell (IEC 62443-3-2) ist das zentrale Architekturprinzip. Eine Zone ist eine Gruppe von IACS-Komponenten mit gemeinsamen Security-Anforderungen und ähnlichem Risikoprofil — z. B. eine Produktionszelle, ein Leitsystem oder ein Demilitarisierungsbereich.

Ein Conduit ist die kontrollierte Verbindung zwischen Zonen: physisch oder logisch, mit definierten Regeln für Datenfluss, Protokolle und Freigaben.

Warum das anders ist als klassische IT-Segmentierung:

• Zonen folgen oft Prozess- und Safety-Grenzen, nicht VLAN-Bequemlichkeit.
• Conduits müssen industrielle Protokolle (Modbus, OPC UA, PROFINET etc.) berücksichtigen.
• Änderungen an Zonen erfordern Betriebs- und Engineering-Freigaben — nicht nur Firewall-Regeln.

Typische Fehler in der Praxis:

1. Zonen auf dem Papier, aber flache Netzwerke im Betrieb.
2. Conduits ohne Monitoring oder ohne dokumentierte Ausnahmen.
3. Fremdintegratoren-Zugänge, die Zonengrenzen faktisch aufheben.

Security Levels: SL-T und SL-A

Security Levels (SL 1 bis SL 4) beschreiben das geforderte Schutzniveau gegen Bedrohungen unterschiedlicher Sophistication — von gelegentlichen Angriffen (SL 1) bis hochmotivierten Gegnern mit Ressourcen (SL 4).

Zwei Begriffe sind entscheidend:

• SL-T (Target): das für eine Zone oder ein System definierte Zielniveau.
• SL-A (Achieved): das nach Implementierung und Nachweis erreichte Niveau.

Die Differenz zwischen SL-T und SL-A ist kein theoretisches Detail. Sie ist die Basis für Investitionsentscheidungen, Audit-Gespräche und Priorisierung in engen Wartungsfenstern.

Optional: SL-Stufen grob einordnen

SL 1: Schutz gegen unbeabsichtigte oder einfache Angriffe — Basismaßnahmen.

SL 2: Schutz gegen gezielte Angriffe mit begrenzten Mitteln — typisch für viele Standardproduktionsumgebungen.

SL 3: Schutz gegen gezielte Angriffe mit moderaten Ressourcen — häufig in KRITIS-nahen Kontexten.

SL 4: Schutz gegen hochmotivierte Angreifer — selten flächendeckend, eher für besonders kritische Teilbereiche.

Nicht jede Zone braucht SL 4. Überengineering kostet Geld und erschwert Wartung; Unterengineering erzeugt Audit- und Betriebsrisiken. Die Kunst liegt in einer risikobasierten Zonenzuordnung, nicht in maximalen SL-Vorgaben überall.

Rollen und Verantwortung über den Lebenszyklus

IEC 62443 verteilt Verantwortung klar auf Rollen — ein zentraler Unterschied zu monolithischen IT-Programmen:

Asset Owner (Betreiber)

Verantwortlich für das Gesamtsystem im Betrieb: CSMS, Risikoakzeptanz, Freigaben, Nachweise gegenüber Aufsicht und Kunden.

System Integrator

Plant und baut IACS-Lösungen: Zoneneinteilung, Conduit-Design, Umsetzung der Security Requirements aus Teil 3-3.

Product Supplier (Hersteller)

Liefert sichere Komponenten und dokumentiert Entwicklungsprozesse nach Teil 4 — inklusive Schwachstellenmanagement über den Produktlebenszyklus.

Maintenance Provider

Sichert, dass Wartung, Patches und Fernzugriffe die definierten SL und Zonen nicht untergraben.

Diese Rollentrennung erklärt, warum „IEC-62443-Kompetenz“ in Stellenanzeigen oft zu unscharf ist: Verschiedene Rollen brauchen verschiedene Teile der Norm.

IEC 62443 vs. ISO 27001 — der OT-Unterschied

Viele Unternehmen haben ISO/IEC 27001 für IT etabliert und fragen, ob das für OT reicht. Kurz: ISO 27001 ist wertvoll, adressiert aber nicht systematisch IACS-Spezifika.

Aspekt	ISO 27001 (IT-Fokus)	IEC 62443 (IACS-Fokus)
Priorität	Vertraulichkeit, Integrität, Verfügbarkeit — oft CIA-gewichtet	Verfügbarkeit und Prozesssicherheit oft gleichrangig
Architektur	Allgemeine Controls	Zonen, Conduits, SL-Modell
Produktlebenszyklus	Indirekt über Lieferanten	Explizit Teil 4 für Hersteller
Patch-Logik	Häufig zeitnah	An Wartungsfenster und Safety gebunden

In regulierten Kontexten — etwa unter NIS2 — werden beide Welten zusammengeführt: ISO-27001-nahes ISMS für Organisation, IEC-62443-Logik für OT-Anlagen.

Praxis für Hersteller

Hersteller industrieller Komponenten und Maschinen stehen 2026 unter doppeltem Druck:

1. IEC 62443-4-1/-4-2 als Kunden- und Ausschreibungsreferenz.
2. Cyber Resilience Act (CRA) für digitale Produkte mit Sicherheitsanforderungen über den Lebenszyklus.

Konkret bedeutet das:

• Secure Development Lifecycle dokumentieren und auditierbar machen.
• Schwachstellenmanagement und Update-Pfade definieren — bevor Kunden nach SBOM und Meldefristen fragen.
• Security Requirements (SRs) der Komponenten gegen Kundenanforderungen aus Teil 3-3 mappen.

Hersteller, die IEC 62443 nur als Marketinglabel nutzen, ohne 4-1-Prozess und 4-2-Nachweise, verlieren bei Integratoren und KRITIS-Betreibern schnell an Glaubwürdigkeit.

Praxis für Betreiber und Asset Owner

Betreiber profitieren von IEC 62443 als gemeinsame Sprache mit Integratoren, Herstellern und Prüfern:

Schritt 1: CSMS etablieren (Teil 2-1)

Policies, Verantwortlichkeiten, Risikomanagement — an OT-Realität angepasst, nicht IT-Policies kopiert.

Schritt 2: Zonenmodell aktualisieren (Teil 3-2)

Bestehende Anlagen inventarisieren, Zonen und Conduits definieren, SL-T je Zone festlegen.

Schritt 3: Security Requirements umsetzen (Teil 3-3)

Technische und organisatorische Maßnahmen aus den SRs priorisieren — Segmentierung, Identitäten, Logging, Backup, Fernzugriff.

Schritt 4: Nachweise führen

SL-A dokumentieren, Lücken transparent machen, Maßnahmenplan für Aufsicht und internes Risikomanagement.

Regulatorisch verstärkt NIS2 die Geschäftsführungspflicht — IEC-62443-Nähe erleichtert die Argumentation, dass OT-Risiken strukturiert adressiert werden.

Verwandte Vertiefungen

• OT Security: Lagebild, Risiken und Recruiting-Realität in Industrie und KRITIS
• NIS2 in Unternehmen: Bin ich betroffen und was ist genau zu tun?
• IEC 62443 im Recruiting: Warum Industrial-Cybersecurity-Profile 2026 besonders knapp sind

Fazit

IEC 62443 ist der strukturierte Kompass für Industrial Cybersecurity — von der sicheren Komponente bis zum segmentierten Werkbetrieb. Wer Zonen, Conduits, Security Levels und Rollen versteht, kann Hersteller- und Betreiberanforderungen sauber trennen und mit ISO-27001-Programmen sinnvoll verzahnen.

Der Standard ersetzt keine Priorisierung und keine Betriebsfreigabe. Er macht aber sichtbar, wo Schutz lückenhaft ist — und das ist 2026 unter NIS2, CRA und steigender OT-Bedrohungslage keine theoretische Frage mehr.