Die Norm IEC 63074 “Aspekte zur Cybersicherheit in Verbindung mit der funktionalen Sicherheit von sicherheitsrelevanten Steuerungssystemen”, die sich mit Sicherheitsaspekten im Zusammenhang mit funktionaler Sicherheit in Maschinen befasst, hat eine wesentliche Veränderung erfahren. Ursprünglich als Technischer Bericht (IEC TR 63074:2019) veröffentlicht, wurde sie in eine Technische Spezifikation (IEC TS 63074:2023) überführt.
Diese Änderung bedeutet einen Übergang von einer reinen Informationsquelle zu einer verbindlichen Spezifikation, die klare Anforderungen für Hersteller, Integratoren und Anwender sicherheitsbezogener Steuerungssysteme (SCS) in der industriellen Automatisierung vorgibt.
Vom Technischen Bericht (TR) zur Technischen Spezifikation (TS)
Ein Technischer Bericht (TR) bietet allgemeine Richtlinien und Hintergrundinformationen, enthält aber keine verbindlichen Anforderungen. Eine Technische Spezifikation (TS) hingegen definiert konkrete Anforderungen und Best Practices, die für die Einhaltung und Implementierung relevant sind.
Die Entscheidung, IEC 63074 in eine Technische Spezifikation umzuwandeln, wurde durch die wachsende Bedeutung von Cybersicherheit in der funktionalen Sicherheit motiviert. Da industrielle Automatisierungssysteme zunehmend vernetzt sind, stellen Cyberangriffe eine ernsthafte Bedrohung für sicherheitsrelevante Steuerungssysteme dar.
Durch die Umwandlung in eine TS stellt die IEC sicher, dass die Integration von Sicherheit und Cybersicherheit systematischer erfolgt, mit klaren Vorgaben zur Risikobewertung, Sicherheitsmaßnahmen und Verifizierungsprozessen.
Neuerungen in der IEC TS 63074
Die neue Technische Spezifikation bringt mehrere wesentliche Änderungen mit sich, die in der Technischen Berichts-Version nicht enthalten waren.
Eine der wichtigsten Neuerungen ist Abschnitt 6, der sich mit Cybersicherheitsrisiken in Sicherheitssystemen für Maschinensicherheit befasst. Dieser Abschnitt:
- Definiert Sicherheitsrisiken im Zusammenhang mit funktionaler Sicherheit.
- Beschreibt mögliche Cyber-Bedrohungen und Angriffsvektoren.
- Führt Schutzmaßnahmen ein, darunter:
- Multi-Faktor-Authentifizierung
- Netzwerksegmentierung
- Datenverschlüsselung
- Schutz vor Manipulationen
Die TS führt einen detaillierten Risikobewertungsprozess ein und definiert Reaktionsstrategien auf Sicherheitsrisiken, um Bedrohungen zu minimieren. Dies beinhaltet:
- Auslöser für Sicherheitsrisikobewertungen (Anhang B) – Ereignisse, die eine Neubewertung der Sicherheitsrisiken erforderlich machen.
- Ansätze zur Bedrohungsmodellierung (Anhang A) – Identifizierung möglicher Angriffspunkte und Schwachstellen.
- Abmilderungsstrategien, einschließlich Schutzmaßnahmen für Software, Fernzugriffskontrolle und Systemintegritätsprüfungen.
Anders als der TR, der allgemeine Empfehlungen gab, enthält die TS spezifische Sicherheitsmaßnahmen, um die sichere Nutzung sicherheitsbezogener Steuerungssysteme (SCS) zu gewährleisten. Dazu gehören:
- Authentifizierungs- und Zugriffskontrollmaßnahmen, um unbefugte Änderungen zu verhindern.
- Maßnahmen zur Wahrung der Datenvertraulichkeit, um sicherheitskritische Daten vor Cyberangriffen zu schützen.
- Reaktionsmechanismen für Sicherheitsverletzungen, z. B. Protokollierung von Sicherheitsvorfällen und Benachrichtigung von Systemadministratoren.
Die TS-Version führt ein neues Beispiel (Abschnitt C.3) ein, das beschreibt, wie Informationen zwischen:
- Geräteherstellern
- Maschinenherstellern
- Systemintegratoren
- Endanwendern von Maschinen
ausgetauscht werden sollten.
Dies stellt sicher, dass Sicherheitsupdates, Patches und Schwachstelleninformationen effizient weitergegeben werden.
Wichtige Unterschiede zwischen IEC TR 63074 und IEC TS 63074
Die folgende Tabelle fasst die wichtigsten Unterschiede zusammen:
| Aspekt | Technischer Bericht (TR 63074:2019) | Technische Spezifikation (TS 63074:2023) |
|---|---|---|
| Zweck | Informative Anleitung zu Sicherheitsrisiken in der funktionalen Sicherheit | Verbindlichere technische Spezifikation mit konkreten Anforderungen |
| Struktur | Konzeptuelle Diskussion über Sicherheitsrisiken | Strukturiertere Vorgaben mit spezifischen Schutzmaßnahmen |
| Cybersicherheit | Kurz erwähnte Cyberrisiken | Eigener Abschnitt (Kapitel 6) zu Cybersicherheit und funktionaler Sicherheit |
| Risikobewertung | Allgemeine Diskussion über Sicherheitsrisiken | Detailliertere Vorgehensweise zur Bewertung und Reaktion auf Sicherheitsrisiken |
| Schutzmaßnahmen | Allgemeine Empfehlungen | Konkretere Schutzmaßnahmen (Authentifizierung, Verschlüsselung, Zugriffskontrolle) |
| Anhänge | Konzeptuelle Erklärungen | Enthält Bedrohungsmodellierung, Risikobewertungsauslöser und Anwendungsfälle |
| Einhaltung von IEC-Normen | Begrenzte Bezugnahme auf IEC 62443 | Direkte Angleichung an IEC 62443, ISO 27001 |
| Anwendungsfälle | Beschreibende Szenarien | Detaillierte Beispiele für Entwurfs- und Betriebsphasen |
Bedeutung der Aktualisierung
Die neue TS-Version bietet Herstellern von Maschinen klare Vorgaben, wie Sicherheitsmaßnahmen für sicherheitsbezogene Steuerungssysteme (SCS) entwickelt und implementiert werden. Sie stellt zudem sicher, dass Unternehmen die IEC 62443-Normenreihe für Cybersicherheit einhalten und Sicherheit systematisch in die funktionale Sicherheit integrieren.
Systemintegratoren erhalten nun einen strukturierten Ansatz zur Bewertung von Sicherheitsrisiken in der Maschinenautomation. Die definierten Schutzmaßnahmen gewährleisten, dass Sicherheitsfunktionen nicht beeinträchtigt werden.
Mit zunehmender Vernetzung sind insbesondere auch Betreiber von Maschinen verstärkt Cyberangriffen ausgesetzt. Die neue TS stellt sicher, dass Betreiber klare Sicherheitsrichtlinien erhalten, einschließlich der Überprüfung von Sicherheitsmaßnahmen, der Handhabung von Sicherheitsupdates und Patches sowie dem Schutz der industriellen Automatisierung vor Cyberbedrohungen.
Fazit
Die Umstellung von IEC TR 63074 (Technischer Bericht) auf IEC TS 63074 (Technische Spezifikation) ist ein bedeutender Fortschritt für die Sicherheit funktionaler Steuerungssysteme in der Industrie.
Durch die klaren Sicherheitsvorgaben liefert die neue Technische Spezifikation einen strukturierten und praxisnahen Rahmen für den Schutz sicherheitsrelevanter Steuerungssysteme (SCS) gegen Cyberbedrohungen.
Kommentar hinzufügen