IEC 62443 2026: Der ultimative Leitfaden zur industriellen Cybersicherheit

# IEC 62443: Was ich nach 5 Jahren Industriepraxis wirklich darüber denke Ehrlich gesagt: Als ich vor fünf Jahren das erste Mal von IEC 62443 hörte, dachte ich mir „wieder so eine Norm". Ich hatte gerade drei Monate damit verbracht, eine Produktionslinie nach ISO 27001 zu zertifizieren – und jetzt sollte ich mich mit irgendwelchen Security Levels für SPSen herumschlagen? Das war naiv. Ein Jahr später stand ich in einer Chemieanlage in Nordrhein-Westfalen, und der Kunde fragte mich: „Was kostet mich ein Ausfall der Steuerung – und wie verhindere ich das?" Da wurde mir klar: IEC 62443 ist nicht *noch eine Norm*. Es ist die Antwort auf eine Frage, die ISO 27001 gar nicht stellt. ## Warum IEC 62443 anders tickt als ISO 27001 Der größte Fehler, den ich am Anfang gemacht habe? Ich habe versucht, ISO-27001-Prozesse einfach auf die Fabrikhalle zu übertragen. Das Ergebnis war ein Desaster. ISO 27001 ist perfekt fürs Büro. Für Passwortrichtlinien, Firewalls und Patch-Management. Aber sie ist blutleer, wenn es um den konkreten Schutz einer SPS geht, die eine Turbine auf 10.000 Umdrehungen regelt. IEC 62443 dreht den Spieß um. Sie sagt nicht „mach mal irgendeine Risikoanalyse". Sie sagt: **Hier sind drei klar definierte Rollen** – und jede hat andere Pflichten.

• Betreiber (Asset Owner): Kennen ihr System am besten – definieren Security Level und betreiben
• Integratoren (System Integrator): Bauen das System gemäß den Vorgaben
• Hersteller (Product Supplier): Liefern Komponenten, die den Security Level unterstützen

Ich hab das selbst falsch gemacht. Bei einem Projekt für einen Lebensmittelhersteller dachte ich, wir könnten einfach alle drei Rollen intern abdecken. Nach acht Monaten und 200.000 € Beraterkosten hatten wir immer noch keine klare Aufteilung. Der Auditor hat uns damals gesagt: „Sie können nicht gleichzeitig Täter, Richter und Henker sein." Das war hart – aber richtig. ### Der Weg zu passenden Sicherheitsanforderungen Bevor man überhaupt über Cybersecurity nachdenkt, muss man das **System im Kontext betrachten** – das nennt die Norm „System Under Consideration" (SUC). Klingt bürokratisch, ist aber pragmatisch. Meine Erfahrung: Die meisten Unternehmen definieren ihr SUC viel zu groß. Sie wollen die ganze Fabrik auf einmal schützen. Das ist ein Rezept für Frust. Fangen Sie mit einer einzigen Produktionslinie an, oder noch besser: mit dem kritischsten Prozess. In der Chemieanlage, von der ich sprach, war das die Dosierung eines giftigen Katalysators. Ein Cyberangriff hätte nicht nur Produktionsausfall bedeutet, sondern Menschenleben gefährdet. Das SUC war klein – aber der Security Level musste hoch sein. ## IEC 62443: Was die Zonen und Conduits wirklich bringen Nachdem ich 30+ Projekte begleitet habe, kann ich sagen: Zonen und Conduits sind das Herzstück der Norm. Und sie sind das, was die meisten falsch verstehen. Eine **Zone** ist ein logischer oder physischer Bereich, in dem Geräte ähnliche Sicherheitsanforderungen haben. Ein **Conduit** ist die Verbindung zwischen Zonen. Hier ein Beispiel aus der Praxis: In einer Brauerei hatten wir früher alles in einem Netzwerk – von der Klimaanlage bis zur Abfüllanlage. Nach IEC 62443 haben wir drei Zonen definiert:

1. Zone 1: Büro-IT (keine Prozessrelevanz) – SL 1
2. Zone 2: Abfüllsteuerung (kritisch für Produktion) – SL 2
3. Zone 3: Gärsteuerung (sicherheitskritisch, da Explosionsschutz) – SL 3

Der Conduit zwischen Zone 1 und 2? Eine Firewall mit strikten Regeln. Zwischen Zone 2 und 3? Ein physikalisch getrennter Daten-Diode. Kein Angreifer aus dem Büro kann so direkt auf die Gärsteuerung zugreifen. Und das ist der entscheidende Punkt: **IEC 62443 zwingt Sie, das Netzwerk so zu strukturieren, dass ein Angriff nicht einfach durchrauschen kann.** Das klingt trivial – aber ich habe Industrienetze gesehen, die aussahen wie Spaghetti. ### Security Levels – und warum SL 4 fast niemand braucht Die Norm definiert vier Security Levels:

1. SL 1: Schutz gegen zufällige oder unbeabsichtigte Vorfälle
2. SL 2: Schutz gegen einfache, aber absichtliche Angriffe (geringe Ressourcen)
3. SL 3: Schutz gegen komplexe Angriffe mit moderaten Ressourcen
4. SL 4: Schutz gegen hochkomplexe Angriffe mit vielen Ressourcen (Staatsakteure)

In fünf Jahren habe ich genau **einen** Kunden gesehen, der wirklich SL 4 brauchte – ein Betreiber eines Kernkraftwerks. Alle anderen, inklusive großer Chemiekonzerne, kamen mit SL 2 oder SL 3 aus. Der Fehler, den viele machen: Sie setzen den Security Level zu hoch an. Das treibt Kosten und Komplexität. Mein Rat: Starten Sie mit SL 2 für die meisten Zonen, und erhöhen Sie nur dort, wo die Risikoanalyse es wirklich verlangt. ## Die Zertifizierung: Was sie kostet und ob sie sich lohnt Teilweise schockierende Zahlen: Ein vollständiges Zertifizierungsprojekt für einen mittelständischen Maschinenbauer kann zwischen 50.000 und 150.000 € kosten – inklusive Vorbereitung, Audits und Nachbesserungen. Bei einem Großkonzern mit mehreren Standorten kann es in die Millionen gehen. Lohnt sich das? Ja – aber nicht immer. Ich habe Unternehmen erlebt, die die Zertifizierung gemacht haben, weil ein Kunde sie forderte. Die haben 80.000 € ausgegeben, und das einzige Ergebnis war ein Zertifikat an der Wand. Keine echte Verbesserung der Sicherheit. Auf der anderen Seite: Ein Hersteller von Ventilsteuerungen, der die Norm als Blaupause für seine Produktentwicklung nutzte, hat seine Schwachstellen um **75 % reduziert** – und konnte sich als „IEC 62443-ready" positionieren. Das brachte ihm einen Großauftrag von einem Energieversorger. Meine Faustregel: Machen Sie die Zertifizierung nur, wenn Sie sie brauchen (Kundenanforderung, KRITIS-Pflicht). Aber nutzen Sie die Methodik *immer* – auch ohne Zertifikat. ### Welche Cybersecurity-Zertifizierung ist die beste? Die kurze Antwort: Es kommt darauf an. Aber IEC 62443 hat einen Vorteil, den andere Normen nicht haben: Sie ist spezifisch für Industrieanlagen und wird vom **Cyber Resilience Act (CRA)** als harmonisierte Norm anerkannt. Der CRA, der ab 2025/2026 schrittweise in Kraft tritt, verlangt Cybersecurity-Anforderungen für Produkte mit digitalen Elementen. Wenn Sie also vernetzte Industriekomponenten in der EU verkaufen wollen, führt an IEC 62443 kein Weg vorbei. ISO 27001 ist weiterhin wichtig – aber für die Büro-IT. Für die Produktion brauchen Sie IEC 62443. Und für funktionale Sicherheit (SIL) brauchen Sie IEC 61508. Die drei Normen ergänzen sich, ersetzen sich aber nicht. ## Was ich anders machen würde – und was ich gelernt habe Ich habe drei Jahre gebraucht, um zu verstehen, dass IEC 62443 kein Projekt ist, sondern ein Prozess. Der größte Fehler war, die Norm „einmal" umzusetzen und dann zu glauben, man sei fertig. Ein konkretes Beispiel: Ein Kunde hatte alle Zonen definiert, Firewalls installiert, Zugriffsrechte vergeben – und dann kam ein neuer Roboter in die Halle. Jemand hat ihn einfach ans bestehende Netzwerk angeschlossen, ohne die Zone zu aktualisieren. Drei Monate später war das System kompromittiert. Deshalb: **Das Security-Level-Management muss in den täglichen Betrieb integriert werden.** Ändern Sie die Architektur? Machen Sie eine neue Risikoanalyse. Kommt ein neues Gerät? Prüfen Sie, ob es in die bestehende Zone passt. Das klingt nach viel Arbeit. Ist es auch. Aber es ist weniger Arbeit, als nach einem Vorfall alles neu aufzubauen. ### Was die vier Säulen der IT-Sicherheit mit IEC 62443 zu tun haben Traditionell spricht man von **Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität**. IEC 62443 legt den Fokus anders: Sie priorisiert **Verfügbarkeit und Integrität** über Vertraulichkeit. Das ist ein radikaler Unterschied zur klassischen IT, wo Vertraulichkeit oft an erster Stelle steht. In einer Fabrik ist die Verfügbarkeit der Steuerung entscheidend – und die Integrität der Produktdaten. Ein Ausfall kostet schnell 100.000 € pro Stunde. Ich habe das einmal falsch eingeschätzt. Bei einem Papierhersteller wollte ich ein VPN für die Fernwartung – starke Verschlüsselung, hohe Vertraulichkeit. Das VPN hat aber die Latenz so erhöht, dass die Maschine unrund lief. Wir mussten auf eine dedizierte Leitung umsteigen, ohne Verschlüsselung, aber mit physikalischer Trennung. Besser für die Verfügbarkeit. ## Fazit: Was bleibt Fünf Jahre mit IEC 62443 haben mir eines gezeigt: Diese Norm ist kein Bürokratiemonster. Sie ist ein Werkzeug, das funktioniert, wenn man es richtig einsetzt. Sie zwingt Sie, Ihr System zu verstehen, Risiken konkret zu benennen und Schutzmaßnahmen zu priorisieren. Aber sie ist kein Allheilmittel. Ohne das Engagement der Belegschaft, ohne regelmäßige Schulungen und ohne die Bereitschaft, Security-Level bei Bedarf anzupassen, bleibt sie Papier. Die Frage, die ich mir heute stelle, ist nicht mehr „Brauche ich IEC 62443?". Sondern: **„Habe ich wirklich verstanden, was ich schütze – und wie riskant mein Betrieb ist?"** Diese Antwort finden Sie nicht in einer Norm. Aber sie ist die Voraussetzung dafür, dass die Norm Ihnen nützt.