Wer einen sicheren Entwicklungslebenszyklus nach IEC 62443-4-1 aufbauen will, muss nicht bei einem leeren Blatt anfangen. Am Markt gibt es fertige Vorlagenpakete, ein kostenloses Musterprozess-Dokument und unser eigenes Paket. Die Angebote unterscheiden sich weniger im Umfang als in der Frage, wie weit sie den Anwender allein lassen. Dieser Artikel zeigt, was jedes abdeckt und wo es aufhört. Zuschnitt und Lieferumfang der Pakete ändern sich; beschrieben ist die Struktur der Angebote, nicht ihr tagesaktueller Inhalt.
Exida: solide Prozessbasis ohne Schwachstellenmanagement
Exida bietet Vorlagenpakete für Betreiber und für OEMs an. Für Hersteller ist das OEM-Paket relevant.
Es besteht aus editierbaren Word-Dokumenten und deckt den Kern der Entwicklungsprozesse ab: Konfigurationsmanagement, Anforderungsspezifikation, Sicherheitsdesign, Bedrohungsmodellierung, Testplanung und die Prüfung des eigenen Prozesses. Dazu kommen ein Coding Standard und ein Benutzerhandbuch.
Zwei Bereiche fehlen. Für die Schwachstellenbehandlung liefert das Paket weder Prozesse noch Vorlagen, und das Lieferantenmanagement ist nur angerissen. Beides sind Themen, die in Audits und in der CRA-Nachweisführung als Erstes auffallen. Wer das Paket kauft, muss diese Lücken mit eigener Arbeit oder externer Unterstützung schließen.
Für Unternehmen, die bereits sicher entwickeln und ihre Prozesse nur strukturieren wollen, ist das eine brauchbare Ausgangsbasis. Einsteigern fehlen ausgefüllte Beispiele, an denen sie sehen, wie ein fertiges Artefakt aussieht.
Mittelstand-Digital Zentrum Hannover: kostenloser Überblick, keine Vorlagen
Das Mittelstand-Digital Zentrum Hannover stellt einen Musterprozess zur Unterstützung einer IT-sicheren Produktentwicklung bereit. Er zeichnet den Produkt-Entwicklungslebenszyklus nach IEC 62443-4-1 nach, ist online frei verfügbar und lässt sich als PDF herunterladen.
Für den Einstieg ist das die günstigste Option am Markt. Der Musterprozess benennt die relevanten Themenpunkte und zeigt ihre Reihenfolge im Lebenszyklus. Ein Entwicklungsleiter, der zum ersten Mal auf IEC 62443-4-1 stößt, versteht damit innerhalb einer Stunde, worum es geht.
Zur Umsetzung reicht er nicht. Der Musterprozess bleibt auf Konzeptebene, es gibt keine Dokumentvorlagen und keine ausgefüllten Beispiele. Die Übersetzung in unternehmensspezifische Prozesse und Dokumente bleibt vollständig beim Leser.
TÜV SÜD: Prüferreputation mit eingebauter Beratungsgrenze
Der TÜV SÜD bietet ein Vorlagenpaket zur Implementierung der IEC 62443-4-1 an, ergänzbar um Workshops.
Der Name hilft. Ein Paket von einer anerkannten Prüf- und Zertifizierungsorganisation ist im Haus leichter durchzusetzen, und die vorgegebenen Prozesse sind auf die Anforderungen der Norm abgestimmt.
Der Haken steckt in derselben Rolle. Als unabhängige Prüforganisation darf der TÜV SÜD bei der Umsetzung nicht umfassend beraten, weil das seine Unabhängigkeit im späteren Audit gefährden würde. Auch die begleitenden Workshops sind aus diesem Grund im Umfang begrenzt. Sie kaufen Vorlagen bei einer Stelle, die Ihnen beim Ausfüllen nur eingeschränkt helfen darf.
Dazu kommt, wie bei Exida, das Fehlen ausgefüllter Beispiele. Die Struktur steht, die Inhalte erarbeiten Sie selbst.
Die drei Angebote im Vergleich
| Anbieter | Was enthalten ist | Was offen bleibt | Passt für |
|---|---|---|---|
| Exida (OEM-Paket) | Word-Vorlagen für Entwicklungsprozess, Anforderungen, Design, Test und Prozessprüfung | Schwachstellenbehandlung, Lieferantenmanagement, ausgefüllte Beispiele | Hersteller mit vorhandener Security-Erfahrung |
| Mittelstand-Digital Zentrum Hannover | Musterprozess über den Entwicklungslebenszyklus, PDF, kostenlos | Vorlagen, Beispiele, Umsetzungsdetails | Einstieg und interne Aufklärung |
| TÜV SÜD | Vorlagenpaket entlang der Norm, optionale Workshops | Ausgefüllte Beispiele, Beratung zur Umsetzung | Hersteller mit Zertifizierungsabsicht |
Unser Vorlagenpaket
Die Vorlagen für den sicheren Entwicklungsprozess nach IEC 62443-4-1 sind bei uns heute Teil des CRA-Vorlagenpakets, als Modul „Entwicklungsprozess und SDLC“. Enthalten sind Prozessbeschreibungen mit Rollen, Inputs, Outputs und Nachweisen, dazu Vorlagen für Security Requirements, Secure Design, Verifikation und Test sowie für Risikobewertung und Bedrohungsmodellierung. Das Modul ist einzeln beziehbar, ohne das Gesamtpaket.
Zwei Abgrenzungen gehören dazu: Das Paket ersetzt kein bestehendes Qualitätsmanagementsystem, und die Normen selbst müssen erworben werden. Ein Grundverständnis der IEC 62443-4-1 setzen die Vorlagen voraus.
Warum IEC 62443-4-1-Vorlagen heute CRA-fähig sein müssen
Für Hersteller stehen zwei Termine im Kalender. Ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Ab dem 11. Dezember 2027 gilt der Cyber Resilience Act vollständig, samt Nachweisführung und Konformitätsbewertung.
Die drei oben beschriebenen Angebote sind auf die IEC 62443-4-1 zugeschnitten. Eine Zuordnung ihrer Artefakte zu CRA-Anforderungen führt keine der Inhaltsbeschreibungen auf.
Das macht sie nicht wertlos, aber es verschiebt Arbeit nach hinten. Ein Prozesshandbuch, das ein Auditor nach IEC 62443-4-1 akzeptiert, beantwortet noch nicht die Frage einer Konformitätsbewertungsstelle, welches Dokument welche CRA-Anforderung belegt. Diese Zuordnung nachträglich zu bauen, ist teurer, als sie von Anfang an mitzuführen. Wer jetzt Vorlagen einkauft, sollte deshalb prüfen, ob sie den Sprung in die CRA-Nachweisführung mitmachen. Welche Dokumente dafür nötig sind, steht auf der Seite CRA-Vorlagen für Hersteller.
Woran Sie ein brauchbares Vorlagenpaket erkennen
Vier Fragen trennen Vorlagen, die Arbeit sparen, von Vorlagen, die Arbeit erzeugen:
- Gibt es ausgefüllte Beispiele? Ein leeres Formular mit Überschriften kostet fast so viel Zeit wie das leere Blatt. Ein durchgearbeitetes Beispielartefakt zeigt Detailtiefe und Sprachniveau.
- Sind Rollen, Inputs, Outputs und Schnittstellen benannt? Die meisten Reibungsverluste entstehen zwischen Entwicklung, QM, Produktmanagement und Einkauf, nicht innerhalb eines Prozessschritts.
- Gibt es eine Zuordnung von Anforderung zu Nachweis? Ohne sie merken Sie erst in der Prüfung, welches Dokument fehlt.
- Sind die Dokumente editierbar und an Ihre Prozesslandschaft anpassbar? Ein PDF können Sie lesen, aber nicht in Ihr Managementsystem übernehmen.
Ein Paket, das alle vier Punkte erfüllt, ersetzt keine eigene Umsetzung. Es verkürzt den Weg von der Normanforderung zur belastbaren Dokumentation, und genau dafür sind Vorlagen da.
