IEC 62443-4-2: Anforderungen an sichere Komponenten (2024)

Was ist IEC 62443-4-2?

IEC 62443-4-2 ist eine internationale Norm, die technische Sicherheitsanforderungen für einzelne Komponenten industrieller Automatisierungs- und Steuerungssysteme (IACS) definiert. Sie gehört zur IEC-62443-Normenfamilie und richtet sich an Hersteller von Komponenten wie SPS, HMI, Netzwerkgeräten und SCADA-Software.

Die Norm wurde 2019 von der International Electrotechnical Commission (IEC) veröffentlicht. In Deutschland ist sie als DIN EN IEC 62443-4-2 (VDE 0802-4-2) seit Dezember 2019 verfügbar. Die Ausgabe von 2019 ist die aktuelle Version (Stand: November 2026). Sie ergänzt IEC 62443-3-3, die Sicherheitsanforderungen auf Systemebene beschreibt, und IEC 62443-4-1, die den sicheren Entwicklungsprozess regelt.

Die Anforderungen der IEC 62443-4-2 leiten sich von den Systemanforderungen der IEC 62443-3-3 ab. Während IEC 62443-3-3 sich an Integratoren und Betreiber richtet, adressiert IEC 62443-4-2 die Komponentenebene und damit die Hersteller.

Welche Komponenten sind betroffen?

IEC 62443-4-2 gilt für alle Komponenten, die in industriellen Automatisierungs- und Steuerungssystemen eingesetzt werden. Die Norm unterscheidet vier Hauptkategorien:

Eingebettete Geräte umfassen speicherprogrammierbare Steuerungen (SPS/PLCs), Sensoren, Aktoren und Feldgeräte. Diese Geräte führen Steuerungs- und Regelungsaufgaben direkt in der Produktion aus.

Host-Geräte sind Bedien- und Beobachtungsstationen (HMI), SCADA-Stationen, Engineering-Workstations und Historian-Server. Sie dienen der Visualisierung, Programmierung und Datenerfassung.

Netzwerkkomponenten wie industrielle Router, Switches, Firewalls und Gateways verbinden die Geräte und grenzen Netzsegmente ab. Sie sind zentral für die Netzwerksicherheit.

Anwendungsprogramme umfassen SCADA-Software, MES-Module, Datenbank-Management-Systeme und andere Software, die auf Host-Geräten läuft.

*Die tatsächlich erforderliche Sicherheitsstufe hängt vom Einsatzszenario und Schutzbedarf ab.

Die sieben Sicherheitsbereiche (Foundational Requirements)

IEC 62443-4-2 strukturiert die Sicherheitsanforderungen in sieben fundamentale Bereiche, die als Foundational Requirements (FR) bezeichnet werden. Jeder Bereich deckt einen spezifischen Aspekt der Komponentensicherheit ab.

IAC: Identifizierung und Authentisierung

IAC stellt sicher, dass nur autorisierte Nutzer und Systeme auf eine Komponente zugreifen können. Die Norm fordert eindeutige Identifikatoren für Nutzer und Geräte sowie sichere Authentisierungsmechanismen. In der Praxis bedeutet dies: Passwortschutz mit Mindestanforderungen, Unterstützung für Zertifikate oder Multi-Faktor-Authentisierung je nach Sicherheitsstufe.

UC: Verwendungskontrolle

UC regelt, welche Aktionen ein authentifizierter Nutzer ausführen darf. Die Komponente muss Zugriffsrechte durchsetzen und dokumentieren. Typische Umsetzungen sind rollenbasierte Zugriffskontrolle (RBAC) und die Trennung von Lese- und Schreibrechten. Ein Bediener darf beispielsweise Prozesswerte sehen, aber keine Konfiguration ändern.

SI: Systemintegrität

SI schützt Software, Firmware und Konfiguration vor unautorisierten Änderungen. Die Norm fordert Mechanismen wie Code-Signierung, Integritätsprüfung beim Start und Schutz vor Malware. Secure Boot und kryptografische Prüfsummen sind gängige Verfahren.

DC: Vertraulichkeit von Daten

DC verlangt, dass sensible Daten wie Passwörter, Rezepturen oder Produktionsdaten verschlüsselt gespeichert und übertragen werden. Die Anforderungen steigen mit der Sicherheitsstufe: SL 1 fordert Schutz von Authentisierungsdaten, SL 3 und SL 4 verlangen Verschlüsselung auch für Prozessdaten.

RDF: Beschränkter Datenfluss

RDF begrenzt die Kommunikation auf definierte Wege und Protokolle. Die Komponente muss unerwünschte Datenflüsse blockieren können. In der Praxis werden Firewall-Regeln, Protokollfilterung und Netzwerksegmentierung eingesetzt. Eine SPS kommuniziert nur mit autorisierten HMI-Stationen, nicht mit beliebigen Geräten.

TRE: Rechtzeitige Reaktion auf Ereignisse

TRE fordert, dass sicherheitsrelevante Ereignisse erkannt, protokolliert und gemeldet werden. Die Komponente muss Logging-Funktionen bieten und Alarme bei Angriffen oder Fehlkonfigurationen auslösen. Audit-Trails ermöglichen die Nachverfolgung von Zugriffen und Änderungen.

RA: Ressourcenverfügbarkeit

RA stellt sicher, dass die Komponente auch unter Last oder bei Angriffen verfügbar bleibt. Die Norm fordert Schutz vor Denial-of-Service-Angriffen (DoS), Ressourcen-Monitoring und Priorisierung kritischer Funktionen. Eine SPS muss auch bei hoher Netzwerklast die Steuerungsaufgaben erfüllen.

Die sieben Foundational Requirements entsprechen den Systemanforderungen aus IEC 62443-3-3. Hersteller müssen für jede Anforderung dokumentieren, wie ihre Komponente sie erfüllt.

Sicherheitsstufen (Security Levels) SL 1 bis SL 4

IEC 62443-4-2 stuft Komponenten in vier Sicherheitsstufen ein, die sich nach der Robustheit gegen Angriffe richten. Jede Stufe beschreibt ein Bedrohungsszenario und typische Angreifer.

Hersteller wählen die Sicherheitsstufe für ihre Komponente und dokumentieren, welche Anforderungen sie erfüllt. Die Norm unterscheidet zwischen Component Security Level (CSL) und Target Security Level (TSL).

Der Component Security Level (CSL) gibt an, welche Sicherheitsstufe die Komponente tatsächlich erreicht. Der Hersteller weist dies durch Tests und Dokumentation nach.

Der Target Security Level (TSL) beschreibt die Sicherheitsstufe, die ein System erreichen soll. Integratoren und Betreiber legen den TSL fest und wählen Komponenten mit passendem CSL aus.

Eine Komponente mit CSL 2 kann in einem System mit TSL 2 eingesetzt werden. Für TSL 3 ist eine Komponente mit CSL 3 erforderlich. Die Sicherheitsstufe des Systems ergibt sich aus der schwächsten Komponente.

In der Praxis werden SL 1 und SL 2 für unkritische Anwendungen eingesetzt, SL 3 für Produktionsumgebungen mit erhöhtem Schutzbedarf und SL 4 für kritische Infrastrukturen wie Energieversorgung oder Wasserwerke.

Ist IEC 62443-4-2 verpflichtend?

IEC 62443-4-2 ist rechtlich nicht verpflichtend. Die Norm ist eine freiwillige technische Regel, keine gesetzliche Vorschrift. Hersteller und Betreiber sind nicht per Gesetz verpflichtet, sie umzusetzen.

In der Praxis wird die Norm jedoch faktisch erforderlich. Die KRITIS-Verordnung verlangt von Betreibern kritischer Infrastrukturen, den Stand der Technik einzuhalten. IEC 62443 wird weithin als Stand der Technik für industrielle IT-Sicherheit angesehen. Betreiber, die KRITIS-Anforderungen erfüllen müssen, fordern daher von ihren Lieferanten Komponenten nach IEC 62443-4-2.

Die NIS-2-Richtlinie der EU verschärft die Anforderungen an Cybersicherheit für Unternehmen in kritischen und wichtigen Sektoren. Die Richtlinie musste bis Oktober 2024 in nationales Recht umgesetzt werden. Auch hier gilt IEC 62443 als Referenz für technische Maßnahmen. Unternehmen, die unter NIS-2 fallen, werden Komponenten nach IEC 62443-4-2 beschaffen.

In der Rechtsprechung kann die Nichteinhaltung anerkannter Normen unter Umständen als Indiz für einen Mangel gewertet werden. Dies hängt vom Einzelfall ab. Für rechtsverbindliche Auskünfte zu Ihrer konkreten Situation wenden Sie sich an Fachanwälte für IT-Recht.

In Ausschreibungen und Lieferantenverträgen wird IEC 62443-4-2 zunehmend gefordert. Öffentliche Auftraggeber und Großunternehmen verlangen Nachweise über die Sicherheitsstufe von Komponenten. Ohne Zertifizierung oder Konformitätserklärung sinken die Chancen im Wettbewerb.

Für technische Orientierungshilfen zum Stand der Technik können Sie das Bundesamt für Sicherheit in der Informationstechnik (BSI) konsultieren.

Was ist eine IEC 62443-4-2-Zertifizierung?

Eine IEC 62443-4-2-Zertifizierung bestätigt, dass eine Komponente die Anforderungen der Norm für eine bestimmte Sicherheitsstufe erfüllt. Die Zertifizierung ist nicht die Norm selbst, sondern ein Nachweis der Konformität.

Die Norm IEC 62443-4-2 beschreibt die Anforderungen. Die Norm IEC 62443-4-1 regelt den sicheren Entwicklungsprozess, der Voraussetzung für die Zertifizierung ist. Von nationalen Akkreditierungsstellen (z.B. DAkkS in Deutschland) akkreditierte Prüfstellen führen die Zertifizierung durch.

Der Ablauf umfasst mehrere Schritte: Der Hersteller reicht Dokumentation ein, die beschreibt, wie die Komponente die Anforderungen erfüllt. Die Prüfstelle führt Tests durch, um die Angaben zu verifizieren. Dazu gehören Penetrationstests, Code-Reviews und Funktionsprüfungen. Bei erfolgreicher Prüfung erhält der Hersteller ein Zertifikat, das die erreichte Sicherheitsstufe bestätigt.

Zertifikate haben eine begrenzte Gültigkeit, die je nach Zertifizierungsstelle variiert (häufig drei Jahre). Während dieser Zeit führt die Prüfstelle Überwachungsaudits durch. Bei größeren Änderungen an der Komponente ist eine Rezertifizierung erforderlich.

Kosten und Aufwand hängen von der Komplexität der Komponente und der angestrebten Sicherheitsstufe ab. Höhere Sicherheitsstufen erfordern umfangreichere Tests und Dokumentation. Hersteller sollten mehrere Monate Vorlaufzeit und externe Beratung einplanen.

Alternativ zur Zertifizierung können Hersteller eine Konformitätserklärung (Self-Assessment) abgeben. Diese ist weniger aufwendig, hat aber geringere Akzeptanz bei Kunden und in Ausschreibungen.

Umsetzung in der Praxis

Für Hersteller beginnt die Umsetzung mit der Integration von Sicherheit in den Entwicklungsprozess (Secure Development Lifecycle). IEC 62443-4-1 beschreibt die Anforderungen an diesen Prozess. Hersteller müssen Bedrohungsanalysen durchführen, Sicherheitsanforderungen definieren und in der Entwicklung umsetzen.

Die Dokumentation ist zentral. Hersteller müssen für jede Foundational Requirement nachweisen, wie die Komponente sie erfüllt. Dazu gehören Architekturdiagramme, Testberichte und Bedienungsanleitungen. Die Dokumentation muss auch beschreiben, wie die Komponente sicher konfiguriert und betrieben wird.

Tests umfassen Funktionsprüfungen, Penetrationstests und Schwachstellenanalysen. Hersteller sollten externe Prüfstellen frühzeitig einbinden, um Nachbesserungen zu vermeiden.

Für Anwender beginnt die Umsetzung bei der Beschaffung. Definieren Sie den Target Security Level (TSL) für Ihr System und fordern Sie von Lieferanten Komponenten mit passendem Component Security Level (CSL). Prüfen Sie Zertifikate oder Konformitätserklärungen.

Die Integration in das Systemkonzept erfolgt nach IEC 62443-3-3. Die Sicherheit des Gesamtsystems hängt nicht nur von den Komponenten ab, sondern auch von Netzwerkarchitektur, Zugriffskontrolle und Betriebsprozessen. Eine zertifizierte Komponente ist kein Ersatz für ein durchdachtes Sicherheitskonzept.

Typische Stolpersteine sind unvollständige Dokumentation, fehlende Updates und Schwachstellen in Legacy-Komponenten. Hersteller unterschätzen oft den Aufwand für die Zertifizierung. Anwender setzen zertifizierte Komponenten unsicher ein, weil Härtungsanleitungen nicht befolgt werden.

Das Zusammenspiel mit IEC 62443-4-1 ist wichtig: IEC 62443-4-1 regelt den Entwicklungsprozess, IEC 62443-4-2 die Produktanforderungen. Eine Komponente kann nur dann dauerhaft sicher sein, wenn der Hersteller einen sicheren Entwicklungsprozess etabliert hat und Schwachstellen zeitnah behebt.

Abgrenzung zu anderen Teilen der IEC 62443

Die IEC-62443-Normenfamilie besteht aus mehreren Teilen, die unterschiedliche Aspekte der industriellen IT-Sicherheit abdecken. Die klare Abgrenzung hilft bei der Anwendung.

IEC 62443-3-3 beschreibt Sicherheitsanforderungen auf Systemebene. Sie richtet sich an Integratoren und Betreiber, die aus Komponenten ein Gesamtsystem aufbauen. Die Anforderungen entsprechen denen der IEC 62443-4-2, beziehen sich aber auf das System, nicht auf einzelne Komponenten. Ein System kann nur dann eine Sicherheitsstufe erreichen, wenn alle Komponenten diese Stufe erfüllen.

IEC 62443-4-1 regelt den sicheren Entwicklungsprozess für Komponenten. Sie fordert von Herstellern, Sicherheit von Anfang an in die Entwicklung einzubeziehen. Dazu gehören Bedrohungsmodellierung, sichere Codierungsrichtlinien, Tests und Schwachstellenmanagement. Eine Zertifizierung nach IEC 62443-4-1 bestätigt, dass der Hersteller einen sicheren Entwicklungsprozess etabliert hat. Sie ist Voraussetzung für die Zertifizierung von Komponenten nach IEC 62443-4-2.

IEC 62443-2-4 richtet sich an Betreiber und fordert ein IACS-Sicherheitsprogramm. Sie beschreibt organisatorische Anforderungen wie Risikoanalyse, Sicherheitsrichtlinien, Schulungen und Incident Response. Betreiber können ihre Organisation nach IEC 62443-2-4 zertifizieren lassen.

In der Praxis greifen die Teile ineinander: Hersteller entwickeln Komponenten nach IEC 62443-4-1 und erfüllen die Anforderungen der IEC 62443-4-2. Integratoren bauen daraus Systeme nach IEC 62443-3-3. Betreiber setzen diese Systeme im Rahmen eines Sicherheitsprogramms nach IEC 62443-2-4 ein.