IEC 62443-4-2: Technische Sicherheitsanforderungen für industrielle Komponenten
Die IEC 62443-4-2 ist die internationale Norm für technische Cybersicherheitsanforderungen an Komponenten in industriellen Automatisierungs- und Steuerungssystemen. Während andere Teile der IEC 62443-Reihe sich mit Managementsystemen, Risikoanalysen oder Systemen beschäftigen, definiert die IEC 62443-4-2 konkret, welchen Sicherheitsanforderungen eine einzelne Komponente, sei es eine Steuerung, ein Sensor, ein Switch oder eine Software, gerecht werden muss. Mit der aktuellen Überarbeitung und weiteren Dokumenten der IEC 62443-Reihe wird die Norm noch praxisrelevanter für moderne industrielle Produkte.
Inhalt
- Einordnung in die IEC 62443-Normenreihe
- Die unverzichtbare Voraussetzung: IEC 62443-4-1
- Die sieben Foundational Requirements im Überblick
- Security Levels: Differenzierung nach Bedrohungsprofil
- Was ist eine Komponente im Sinne der Norm?
- IIoT-Komponenten und die IEC 62443-1-6
- Profile für spezifische Komponenten-Kategorien: IEC 62443-5-x
- Evaluationsmethodik: IEC TS 62443-6-2
- Der Änderungsentwurf zur EN IEC 62443-4-2 (prAA): Aktuelle Überarbeitung
- Verbindung zur EN 50742 und zur Maschinenverordnung
- Fazit und Ausblick
Einordnung in die IEC 62443-Normenreihe
Die IEC 62443-4-2 behandelt technische Anforderungen an Komponenten. Sie ist damit die Norm, die Hersteller von Produkten direkt betrifft. Während die IEC 62443-3-3 technische Anforderungen an Systeme stellt, also an die Integration mehrerer Komponenten zu einem industriellen Automatisierungs- und Steuerungssystem, konzentriert sich die IEC 62443-4-2 auf die einzelne Komponente unter Berücksichtigung des vom Hersteller definierten Einsatzkontexts.
Ein entscheidender Zusammenhang besteht zur IEC 62443-4-1, die Anforderungen an den sicheren Entwicklungsprozess definiert. Die IEC 62443-4-2 fordert explizit, dass Komponenten nach einem Entwicklungsprozess gemäß IEC 62443-4-1 erstellt werden müssen.
Die unverzichtbare Voraussetzung: IEC 62443-4-1
Die IEC 62443-4-2 kann nicht isoliert angewendet werden. Die Norm fordert explizit, dass Komponenten, die Konformität beanspruchen, nach einem Entwicklungsprozess erstellt worden sein müssen, welcher der IEC 62443-4-1 entspricht.
Diese Verknüpfung ist fundamental: Selbst wenn eine Komponente heute alle technischen Anforderungen der IEC 62443-4-2 erfüllt, aber nicht nach IEC 62443-4-1 entwickelt wurde, kann sie nicht als konform gelten. Das spiegelt die Erkenntnis wider, dass Produktsicherheit nicht nur aus technischen Features besteht, sondern aus dem gesamten Lebenszyklus, von der Anforderungsanalyse über die Entwicklung bis zum langfristigen Support.
Die sieben Foundational Requirements im Überblick
Das Herzstück der IEC 62443-4-2 bilden sieben grundlegende Sicherheitsanforderungen (Foundational Requirements), die verschiedene Aspekte der Komponentensicherheit systematisch abdecken. Jede dieser Anforderungen umfasst mehrere Komponentenanforderungen (Component Requirements), die abhängig vom angestrebten Security Level erfüllt werden müssen:
FR 1: Identification and Authentication Control (IAC)
Behandelt, wie eine Komponente Benutzer, Prozesse und andere Geräte identifiziert und authentifiziert. Dies umfasst die eindeutige Identifikation aller Entitäten, Anforderungen an Passwortmanagement, Multifaktor-Authentifizierung bei höheren Security Levels und den Schutz der Authentifizierungsmechanismen selbst.
FR 2: Use Control (UC)
Regelt die Autorisierung, also was eine authentifizierte Entität tun darf. Die Anforderungen umfassen Autorisierungs-Enforcement, Trennung von Pflichten, das Least-Privilege-Prinzip und besondere Kontrollen für privilegierte Zugriffe. Eine Komponente muss ein differenziertes Berechtigungsmodell unterstützen.
FR 3: System Integrity (SI)
Behandelt den Schutz der Integrität der Komponente selbst, also ihrer Software, Konfiguration, Daten und Kommunikation. Zentrale Aspekte sind Kommunikationsintegrität, Schutz vor schädlichem Code, Integritätsverifizierung und Input-Validierung als fundamentale Sicherheitsmaßnahme gegen Injection-Angriffe.
FR 4: Data Confidentiality (DC)
Fordert den Schutz vertraulicher Informationen während der Übertragung und Speicherung. Bei höheren Security Levels ist Verschlüsselung verpflichtend, und wenn kryptografische Methoden eingesetzt werden, müssen diese den aktuellen Standards entsprechen.
FR 5: Restricted Data Flow (RDF)
Behandelt die Kontrolle der Kommunikation. Komponenten müssen Mechanismen zur Netzwerksegmentierung unterstützen, das Deny-by-Default-Prinzip umsetzen und bei Zonengrenzen besondere Sicherheitsmaßnahmen implementieren.
FR 6: Timely Response to Events (TRE)
Fordert die Fähigkeit, sicherheitsrelevante Ereignisse zu erkennen, aufzuzeichnen und darauf zu reagieren. Ein durchdachtes Logging-Konzept mit vertrauenswürdigen Zeitstempeln ist hier fundamental, ergänzt durch kontinuierliches Monitoring bei höheren Security Levels.
FR 7: Resource Availability (RA)
Behandelt den Schutz vor Bedrohungen der Verfügbarkeit wie Denial-of-Service-Angriffen und Ressourcenerschöpfung. Mechanismen wie Rate-Limiting, Ressourcenmanagement und die Fähigkeit zur Backup-Erstellung sind zentral.
Diese sieben Anforderungen bilden zusammen ein ganzheitliches Sicherheitskonzept, das alle wesentlichen Aspekte der Komponentensicherheit abdeckt.
Security Levels: Differenzierung nach Bedrohungsprofil
Ein zentrales Konzept der IEC 62443-4-2 ist die Differenzierung nach Security Levels. Diese beschreiben nicht die Qualität eines Produkts im Sinne von "gut" oder "schlecht", sondern gegen welche Angreiferprofile es Schutz bietet:
Security Level 1
Schützt gegen zufällige oder beiläufige Verletzungen. Ein gezielt handelnder Angreifer wird nicht vorausgesetzt.
Security Level 2
Bietet Schutz gegen absichtliche Verletzungen mit geringen Mitteln. Der Angreifer nutzt verfügbare Tools, hat aber keine tiefgehenden Kenntnisse des spezifischen Zielsystems.
Security Level 3
Schützt gegen gezielte Angriffe mit moderaten Ressourcen. Der Angreifer verfügt über spezifische Fähigkeiten für IACS-Systeme und klare Motivation.
Security Level 4
Bietet Schutz gegen Angreifer mit umfangreichen Ressourcen, spezifischen Fähigkeiten für das Zielsystem und hoher Motivation, etwa staatlich unterstützte Akteure oder gut ausgestattete Organisationen.
Wichtig hierbei: Nicht jede Komponente muss SL 4 erreichen. Die Wahl des angemessenen Security Levels ist eine risikoorientierte Entscheidung, die vom vorgesehenen Einsatzkontext abhängt.
Was ist eine Komponente im Sinne der Norm?
Die IEC 62443-4-2 definiert vier Komponentenklassen, die den breiten Anwendungsbereich der Norm verdeutlichen:
Software Applications
Software Applications sind Softwareprodukte, die in industriellen Umgebungen eingesetzt werden. Dazu gehören SCADA-Systeme, Historian-Datenbanken, MES-Anwendungen, Engineering-Tools oder Asset-Management-Software. Entscheidend ist nicht, ob die Software auf dedizierter Hardware oder auf Standard-PCs läuft, sondern dass sie eine Funktion im industriellen Kontext übernimmt.
Embedded Devices
Embedded Devices sind Geräte mit fest integrierter Software und spezialisierter Funktionalität. Klassische Beispiele sind speicherprogrammierbare Steuerungen, Frequenzumrichter, intelligente Sensoren mit Netzwerkkommunikation, Aktoren mit eigener Logik oder Edge-Gateways. Diese Komponenten laufen typischerweise mit Embedded-Betriebssystemen oder Firmware.
Host Devices
Host Devices sind computer-basierte Systeme, die industrielle Funktionen übernehmen. Dazu zählen industrielle PCs, Human-Machine-Interface-Terminals, Bediengeräte, Datenserver in der Automatisierung oder Engineering-Workstations. Diese Geräte laufen meist mit Standard-Betriebssystemen wie Windows oder Linux, sind aber für den industriellen Einsatz konfiguriert.
Network Devices
Network Devices umfassen alle Komponenten für die Netzwerkkommunikation: industrielle Switches, Router, Gateways zwischen verschiedenen Netzwerkebenen, industrielle Firewalls, VPN-Gateways oder Protocol-Converter. Auch hier gilt: Entscheidend ist die Funktion im industriellen Kontext.
Auch moderne Produktkategorien fallen in diesen Anwendungsbereich: IIoT-Gateways, industrielle Edge-Computing-Plattformen, Cloud-Konnektoren für industrielle Daten oder Condition-Monitoring-Sensoren mit eigener Intelligenz sind allesamt Komponenten im Sinne der Norm.
IIoT-Komponenten und die IEC 62443-1-6
Eine fundamentale Herausforderung für die Anwendung der IEC 62443-4-2 auf moderne Komponenten stellt das Industrial Internet of Things dar. Die neue IEC PAS 62443-1-6 "Application of the 62443 series to the Industrial Internet of Things (IIoT)" behandelt diese Thematik und bietet wichtige Orientierung für Hersteller von IIoT-Komponenten.
IIoT-Komponenten unterscheiden sich in mehreren Aspekten von traditionellen industriellen Komponenten: Sie kommunizieren häufig direkt mit Cloud-Services, integrieren Funktionen, die traditionell auf mehrere separate Geräte verteilt waren, und nutzen ubiquitäre Netzwerkkonnektivität als Grundprinzip.
Profile für spezifische Komponenten-Kategorien: IEC 62443-5-x
Die technischen Anforderungen der IEC 62443-4-2 gelten für alle Arten von Komponenten. Für spezifische Industriezweige oder Anwendungsbereiche werden jedoch zusätzlich sogenannte Security Profiles entwickelt, die unter der Bezeichnung IEC 62443-5-x standardisiert werden. Das Schema für diese Profile ist in der IEC TS 62443-1-5 "Scheme for IEC 62443 security profiles" definiert.
Ein Security Profile präzisiert für eine bestimmte Komponentenkategorie mehrere Aspekte:
- Welche Foundational Requirements sind besonders relevant?
- Welche Component Requirements sind für diese Produktkategorie typischerweise erforderlich?
- Welche Security Levels sind in welchen Einsatzszenarien angemessen?
- Welche system- oder produktspezifischen Besonderheiten müssen bei der Umsetzung beachtet werden?
Profile bieten damit sowohl Herstellern als auch Betreibern Orientierung: Hersteller verstehen besser, welche Anforderungen für ihre spezifische Produktkategorie gelten und wie andere Hersteller ähnlicher Produkte die Norm auslegen. Betreiber können gezielter Produkte auswählen, die ihren Anforderungen entsprechen, und haben klarere Vergleichskriterien.
Evaluationsmethodik: IEC TS 62443-6-2
Die Technical Specification IEC TS 62443-6-2 "Security evaluation methodology for IEC 62443-4-2" definiert, wie Prüflabore und Zertifizierungsstellen verifizieren können, dass eine Komponente die Anforderungen der IEC 62443-4-2 tatsächlich erfüllt.
Die IEC TS 62443-6-2 ist deshalb von zentraler Bedeutung, weil ohne eine einheitliche Evaluationsmethodik unterschiedliche Zertifizierungsstellen möglicherweise unterschiedliche Maßstäbe anlegen würden. Die Methodik schafft Einheitlichkeit und Vergleichbarkeit von Zertifikaten.
Die Methodik definiert für jede Anforderung und jedes Requirement Enhancement der IEC 62443-4-2, welche Prüfschritte durchzuführen sind, welche Nachweise vom Hersteller vorzulegen sind und welche Tests durchgeführt werden müssen. Sie unterscheidet dabei zwischen verschiedenen Prüfansätzen: Dokumentenprüfung für organisatorische und prozessuale Aspekte, Code-Review für sicherheitskritische Softwarekomponenten, Konfigurationsprüfung für die Standardkonfiguration der Komponente und funktionale Security-Tests.
Der Änderungsentwurf zur EN IEC 62443-4-2 (prAA): Aktuelle Überarbeitung
Ein wichtiger aktueller Entwicklungsschritt ist der CENELEC-Änderungsentwurf EN IEC 62443-4-2:2019/prAA zur europäischen Fassung der Norm, der im Oktober 2025 veröffentlicht wurde. Dieser Entwurf bringt Präzisierungen und Ergänzungen, die aus der praktischen Anwendung der Norm entstanden sind. Aus ihm stammen auch die Security Test Grades, die wir im Beitrag zum Security Testing nach IEC 62443 beschreiben.
Das prAA adressiert unter anderem Klarstellungen bei der Auslegung bestimmter Anforderungen, die sich in der Zertifizierungspraxis als mehrdeutig erwiesen hatten. Es präzisiert Anforderungen an die Dokumentation und ergänzt Hinweise zur Umsetzung bestimmter Security Requirements. Auch die Verbindung zu anderen Normen und regulatorischen Rahmenwerken wird transparenter gemacht.
Verbindung zur EN 50742 und zur Maschinenverordnung
Eine wichtige Querverbindung besteht zur EN 50742, die im Kontext der neuen EU-Maschinenverordnung entwickelt wurde. Diese Norm behandelt Cybersicherheitsanforderungen für Maschinen und enthält im Anhang ein Mapping, das zeigt, wie die Anforderungen der IEC 62443-4-2 (und der IEC 62443-3-3 auf Systemebene) mit den Cybersicherheitsanforderungen der Maschinenverordnung zusammenhängen.
Das Mapping ist deshalb relevant, weil viele Komponenten sowohl eigenständige Produkte sind als auch in Maschinen verbaut werden. Eine Steuerungskomponente, ein Antrieb oder ein Sicherheitssystem kann einzeln in Verkehr gebracht werden und unterliegt dann den Anforderungen an Komponenten. Wird diese Komponente aber in eine Maschine integriert, muss der Maschinenhersteller sicherstellen, dass auch die Maschinenverordnung eingehalten wird.
Für Komponentenhersteller, die ihre Produkte an Maschinenbauer liefern, bedeutet das: Eine Konformität mit IEC 62443-4-2 erleichtert den Maschinenbauern die Einhaltung der Maschinenverordnung.
Fazit und Ausblick
Die IEC 62443-4-2 ist der zentrale internationale Standard für die technische Cybersicherheit industrieller Komponenten. Mit den sieben Foundational Requirements bietet sie ein umfassendes, systematisches Framework, das alle wesentlichen Aspekte der Komponentensicherheit abdeckt, von Authentifizierung und Autorisierung über Integrität und Vertraulichkeit bis zu Verfügbarkeit und Ereignisbehandlung.
Die Norm ist lebendig und entwickelt sich weiter: Der Änderungsentwurf (prAA) bringt Präzisierungen aus der Praxis. Die IEC 62443-1-6 zeigt, wie die Norm auf moderne IIoT-Architekturen angewendet werden kann. Die IEC TS 62443-6-2 schafft eine standardisierte Evaluationsmethodik für vergleichbare Zertifizierungen. Die Profile unter IEC 62443-5-x präzisieren Anforderungen für spezifische Produktkategorien. Die Verbindung zur EN 50742 zeigt Synergien mit der Maschinenverordnung.
Für Hersteller industrieller Komponenten führt kein Weg an der IEC 62443-4-2 vorbei. Die Norm wird zunehmend zur Marktanforderung, getrieben durch Betreiber, Regulierung und Wettbewerb. Wer frühzeitig handelt und sowohl die technischen Anforderungen als auch den sicheren Entwicklungsprozess nach IEC 62443-4-1 umsetzt, verschafft sich Wettbewerbsvorteile.