ISO 8102-20: Security für Aufzüge, Fahrtreppen und Fahrsteige
Die zunehmende Vernetzung und Digitalisierung machen auch Anlagen wie Aufzüge, Fahrtreppen und Fahrsteige anfällig für Cyberangriffe. Um diesen Herausforderungen zu begegnen, wurde die Norm ISO 8102-20 entwickelt. Sie legt branchenspezifische Cybersicherheitsanforderungen fest, die den gesamten Lebenszyklus solcher Systeme abdecken. Die Norm basiert auf der IEC 62443 und bietet eine maßgeschneiderte Grundlage, um Sicherheitsrisiken in diesem speziellen Bereich zu minimieren.
Anwendungsbereich
Die Norm beschreibt Anforderungen an die Cybersicherheit in den folgenden Lebenszyklusphasen des sogenannten „Equipment under Control“ (EUC):
- Entwicklung (inklusive sicherer Entwicklungsprozesse)
- Herstellung
- Installation
- Betrieb und Wartung
- Außerbetriebnahme
Sie gilt für neue Aufzüge, Fahrtreppen und Fahrsteige, die nach der Normenreihe ISO 8100 oder vergleichbaren Normen konstruiert sind und sich mit externen Systemen wie Gebäudenetzwerken, Cloud-Diensten oder Servicewerkzeugen verbinden lassen, auch wenn die Verbindung nur zeitweise über vor Ort gebrachte Geräte besteht. Für EUC, die vor der Veröffentlichung der Norm im August 2022 installiert wurden, gilt sie nicht.
Die Norm richtet sich primär an Produktlieferanten und Systemintegratoren, während die Verantwortung des Betreibers ("Asset Owner") indirekt durch geeignete Dokumentation und Empfehlungen unterstützt wird.
Struktur und Inhalte
Die ISO 8102-20 legt folgende zentrale Aspekte fest:
Secure Development Lifecycle
Die Anforderungen der IEC 62443-4-1:2018 an den sicheren Entwicklungsprozess gelten unmittelbar, vom Sicherheitsmanagement über Bedrohungsmodell, sichere Entwicklung und Tests bis zu den Sicherheitsrichtlinien für den Betrieb. Die Norm ergänzt sie um branchenspezifische Vorgaben: Schulungen müssen auch Fachwissen zur funktionalen Sicherheit der Anlage vermitteln, und das Bedrohungsmodell muss den gesamten Lebenszyklus der EUC abdecken.
Sicherheitsanforderungen für Produkte und Systeme
Die Norm ordnet die Funktionen der EUC vier Bereichen zu: sicherheitsbezogene Steuerungsfunktionen mit SIL-Einstufung, essenzielle Funktionen, Alarmfunktionen und sonstige Funktionen. Für die ersten drei Bereiche legt sie je einen Mindest-Sicherheitslevel für jede der sieben grundlegenden Anforderungen (FR) der IEC 62443 fest; die Werte reichen von SL 1 bei Alarmfunktionen bis SL 3 bei der Identifizierung und Authentifizierung sicherheitsbezogener Funktionen. Die Maßnahmen werden aus IEC 62443-3-3 und IEC 62443-4-2 ausgewählt. Bei Alarmfunktionen hat die Verfügbarkeit Vorrang vor der Vertraulichkeit.
Verifizierung und Validierung
Die Prüfanforderungen der IEC 62443-4-1 gelten unmittelbar: Tests der Sicherheitsanforderungen, Prüfung der Maßnahmen gegen die ermittelten Bedrohungen, Schwachstellentests, Penetrationstests und die Unabhängigkeit der Prüfer.
Umgang mit Schwachstellen und Sicherheitsaktualisierungen
Prozesse zur Entgegennahme, Prüfung, Bewertung, Behebung und Offenlegung sicherheitsrelevanter Probleme sowie zur Prüfung, Dokumentation und zeitnahen Auslieferung von Sicherheitsaktualisierungen, jeweils nach IEC 62443-4-1.
Bereitstellung von Informationen
Die Benutzerinformation richtet sich an Betreiber, Wartungsunternehmen und weitere Beteiligte. Sie beschreibt, wie die Sicherheit der EUC integriert, konfiguriert und aufrechterhalten wird, nennt den Ziel-Sicherheitslevel, erläutert alle Sicherheitseinstellungen mit ihren Standardwerten und enthält Vorgaben zu Härtung, sicherem Betrieb, Benutzerkonten, Meldung von Schwachstellen und sicherer Außerbetriebnahme.
Einordnung und Bezug zur IEC 62443
Die ISO 8102-20 ergänzt die IEC 62443, indem sie branchenspezifische Anforderungen für EUC definiert. Die Norm verweist direkt auf die IEC 62443-4-1 (sicherer Entwicklungsprozess) und die IEC 62443-4-2 (technische Sicherheitsanforderungen). Sie verwendet zudem das Sicherheitslevel-Modell der IEC 62443-3-3 und bietet spezifische Anforderungen für Alarm-, Sicherheits- und essentielle Funktionen.
Ein zentraler Unterschied besteht in der Anwendungsfokussierung: Während die IEC 62443 allgemein auf industrielle Automatisierungs- und Steuerungssysteme (IACS) abzielt, adressiert die ISO 8102-20 die spezifischen Risiken und Anforderungen von Aufzügen und Fahrtreppen, etwa hinsichtlich ihrer Konnektivität zu Gebäudenetzwerken und Cloud-Diensten.
Die enge Verzahnung mit der IEC 62443 gewährleistet eine hohe Kompatibilität und ermöglicht Herstellern, bestehende Zertifizierungsprozesse zu nutzen.
Fazit
Die ISO 8102-20 ist ein wertvolles Werkzeug für Hersteller und Integratoren, um die Cybersicherheit von Aufzügen, Fahrtreppen und Fahrsteigen systematisch zu adressieren. Ihre Orientierung an der IEC 62443 sichert eine konsistente Umsetzung bewährter Sicherheitsstandards, während ihre branchenspezifischen Anforderungen helfen, die Einhaltung aktueller und zukünftiger Cyberregulierungen zu erleichtern.
ISO 8102-20 steht nicht isoliert, sondern im Kontext weiterer Anforderungen wie IEC 62443, Maschinenverordnung, CRA oder RED. Wenn Sie klären möchten, welche Rolle die Norm für Ihre Produkte, Entwicklungsprozesse oder Zulassungen spielt, lässt sich das in einem unverbindlichen Gespräch strukturiert einordnen.
