IEC 62443: Der praktische Leitfaden für französische Industrieunternehmen im Jahr 2026

· 11 Minuten Lesezeit
11 min read
Eziwan-Team
Eziwan-Team
IoT-Infrastruktur

Die Norm IEC 62443 hat sich zum internationalen Maßstab für die Cybersicherheit industrieller Steuerungssysteme (ICS/SCADA/OT) entwickelt. Mit dem Inkrafttreten der NIS2-Richtlinie in Frankreich wird sie nun ausdrücklich als technischer Referenzrahmen für wesentliche und wichtige Einrichtungen genannt.

Dennoch gilt die Norm als komplex und umfangreich. Dieser praktische Leitfaden fasst das Wesentliche für französische Industrieunternehmen zusammen: Was die Norm konkret vorschreibt, wie man sie einhält und welche Prioritäten für 2026 gelten.

Was ist die Norm IEC 62443?​

Die Norm IEC 62443 (früher ISA-99) ist eine von der ISA (International Society of Automation) entwickelte und von der IEC veröffentlichte Normenfamilie. Sie befasst sich mit der Cybersicherheit von industriellen Automatisierungs- und Steuerungssystemen (IACS).

Der Aufbau der Norm​

Die Norm ist in vier Reihen gegliedert:

ReiheTitelZielgruppe
62443-1.xAllgemeines (Konzepte, Modelle, Terminologie)Alle
62443-2.xRichtlinien & VerfahrenIndustriebetreiber, CISO
62443-3.xSystem (Architektur, Sicherheitsstufen)Architekten, Integratoren
62443-4.xKomponenten (Produktsicherheit)Gerätehersteller

Für ein französisches Industrieunternehmen, das die Anforderungen von NIS2 erfüllen möchte, sind folgende Teile besonders relevant:

  • IEC 62443-2-1: Sicherheitsrichtlinien und -verfahren
  • IEC 62443-3-3: Sicherheitsanforderungen an Systeme
  • IEC 62443-4-2: Anforderungen an Komponenten (zur Bewertung Ihrer Anlagen)

Sicherheitsstufen (SL): Ein Überblick über die Sicherheitsstufen​

Der zentrale Begriff der Norm IEC 62443 ist der Security Level – die je nach Kritikalität des Systems erforderliche Schutzstufe.

Die 4 Stufen​

SicherheitsstufeBeschreibungGegen welche Bedrohung?
SL 0Kein spezifischer Schutz— (nicht vernetzte Systeme)
SL 1Schutz vor versehentlichen AngriffenMenschliches Versagen, nicht gezielte böswillige Handlungen
SL 2Schutz vor gezielten Angriffen mit geringen MittelnHacktivisten, Opportunisten
SL 3Schutz vor Angriffen mit ausgefeilten MittelnOrganisierte kriminelle Gruppen
SL 4Schutz vor staatlichen AngriffenStaatliche APTs

Für die große Mehrheit der französischen Industrieunternehmen: Die Stufe SL 2 ist das geeignete Ziel. SL 3 ist den Betreibern von Einrichtungen von entscheidender Bedeutung (OIV) mit sehr kritischen Systemen vorbehalten. SL 4 gilt fast ausschließlich für militärische und nukleare Infrastrukturen.

Wie lässt sich der für Ihr System erforderliche SL ermitteln?​

Der Vorgang erfolgt in drei Schritten:

1. Bereiche und Leitungen identifizieren (IEC 62443-3-2)

Beginnen Sie damit, Ihre OT-Systeme in Sicherheitszonen (Security Zones) zu unterteilen:

  • Produktionszone (SPS, Sensoren, lokale HMIs)
  • Überwachungszone (SCADA, Historian-Server)
  • OT-DMZ (IT/OT-Schnittstelle)
  • Fernzugriffszone

Identifizieren Sie anschließend die Conduits (Conduits) – die Kommunikationswege zwischen den Zonen (Fernzugriffs-VPN, SCADA-Verbindungen, IT/OT-Gateways).

2. Bewertung der Kritikalität jedes Bereichs (CASC)

Bewerten Sie für jeden Bereich die Folgen einer Kompromittierung anhand der CASC-Kriterien:

  • Confidentialität: Müssen die Daten geheim bleiben?
  • Integrität: Könnte eine Änderung der Daten/Befehle Schaden verursachen?
  • Disponibilität: Würde ein Systemausfall erhebliche Nachteile verursachen?
  • Sicherheit: Könnte eine Fehlfunktion Menschenleben gefährden?

3. Festlegen des Ziel-SL pro Zone

Die bewertete Kritikalität bestimmt den angestrebten Sicherheitslevel (SL): Ein Bereich mit Sicherheitssteuerungen (SIL) in einer SEVESO-Anlage strebt SL 3 an, während für einen Überwachungsbereich einer Trinkwasserpumpstation in der Regel SL 2 angestrebt wird.

Die 7 Grundlagen (Foundational Requirements) der IEC 62443-3-3​

Die Norm IEC 62443-3-3 definiert sieben grundlegende Anforderungen (FR) für Systeme. Jede FR wird je nach Sicherheitsstufe (SL) in detaillierte Anforderungen unterteilt.

FR 1 — Identitäts- und Authentifizierungskontrolle​

Was das in der Praxis bedeutet:

  • Jeder Benutzer und jedes Gerät muss eindeutig identifiziert werden (keine gemeinsam genutzten Konten)
  • Die Standardpasswörter der OT-Geräte müssen geändert werden
  • Für SL 2: Zwei-Faktor-Authentifizierung (MFA) für den Fernzugriff

Eziwan-App: Jeder Techniker verfügt über einen individuellen OpenVPN/IPSec-VPN-Schlüssel. Die MFA-Authentifizierung ist auf der Cloud-Plattform verfügbar.

FR 2 – Nutzungskontrolle​

Was das bedeutet:

  • Jeder Benutzer hat nur Zugriff auf die Ressourcen, die für seine Aufgabe erforderlich sind (Prinzip der geringsten Berechtigungen)
  • Aktionen an kritischen Anlagen erfordern eine ausdrückliche Genehmigung

Anwendung: Mit dem RBAC-System von Eziwan lassen sich für jeden Techniker Zugriffsrechte nach Standort, Gerät und Zeitfenster festlegen.

FR 3 – Datenintegrität​

Was das bedeutet:

  • Die zwischen den Geräten übertragenen Daten dürfen während der Übertragung nicht verändert werden können
  • Die Integrität der SPS-Konfigurationen muss überprüfbar sein

Anwendung: Die gesamte Kommunikation über Eziwan wird mit OpenVPN verschlüsselt (Authentifizierung + Verschlüsselung). Die Konfigurationen sind digital signiert.

FR 4 – Datenschutz​

Was das bedeutet:

  • Sensible Daten (Rezepturen, Produktionsparameter, personenbezogene Daten) müssen sowohl während der Übertragung als auch im Ruhezustand verschlüsselt werden

Anwendung: AES-256-GCM-Verschlüsselung der gesamten Kommunikation, verschlüsselte Speicherung der Daten in der französischen Cloud-Infrastruktur.

FR 5 – Eingeschränkter Datenfluss​

Was das bedeutet:

  • Die Kommunikation zwischen Sicherheitszonen muss kontrolliert und auf das notwendige Minimum beschränkt werden
  • Keine direkte Kommunikation zwischen der IT-Bürozone und den OT-Steuerungen ohne DMZ

Eziwan-Anwendung: Zero-Inbound-Port-Architektur – das OT-Netzwerk ist zu keinem Zeitpunkt direkt exponiert. Der Datenverkehr wird über die Eziwan-Cloud geleitet, die als zentraler Kontrollpunkt fungiert.

FR 6 – Reaktion auf Ereignisse​

Das bedeutet:

  • Sicherheitsvorfälle müssen erkannt, protokolliert und bearbeitet werden
  • Gemäß NIS2: Meldepflicht innerhalb von 24 Stunden für kritische Einrichtungen

Anwendung: Umfassende Protokollierung aller Sicherheitsereignisse, konfigurierbare Warnmeldungen bei Verbindungsstörungen, Export der Protokolle für SIEM.

FR 7 – Verfügbarkeit von Ressourcen​

Das bedeutet:

  • Das System muss auch bei Angriffsversuchen verfügbar bleiben (Schutz vor DoS-Angriffen)
  • Es müssen Sicherungs- und Wiederherstellungsmechanismen vorhanden sein

Anwendung: Dual-SIM-Failover, Multi-AZ-Cloud-Infrastruktur, automatische Backups der Gateway-Konfigurationen.

Der 6-stufige Prozess zur Einhaltung der Norm IEC 62443​

Hier ist ein pragmatischer Ansatz für französische Industrieunternehmen, die die NIS2-Richtlinie unter Bezugnahme auf die Norm IEC 62443 einhalten müssen.

Schritt 1: Bestandsaufnahme der OT-Ressourcen (3–5 Tage)​

Listen Sie alle Ihre OT-Systeme auf:

  • Steuerungen (SPS, DCS, RTU)
  • HMI- und Bedienstationen
  • SCADA-Server und Historian-Server
  • OT-Netzwerkgeräte (Switches, Router, Firewalls)
  • Gateways und Konnektivitätsgeräte

Für jedes Gerät: Firmware-/Softwareversion, Netzwerkkonnektivität, Datum des letzten Sicherheitsupdates, bestehende Fernzugriffsmöglichkeiten.

Schritt 2: Kartierung der Bereiche und Leitungen (2–3 Tage)​

Zeichnen Sie das aktuelle OT-Netzwerkschema mit den Sicherheitszonen und den Kommunikationsflüssen auf. Ermitteln Sie:

  • die vorhandenen IT/OT-Schnittstellen
  • die Fernzugriffe (VPN, RDP, TeamViewer)
  • die Geräte mit Ports, die im Internet zugänglich sind (suchen Sie Ihre IP-Adressen auf Shodan)

Schritt 3: Vereinfachte Risikoanalyse (1 Woche)​

Bewerten Sie für jeden Bereich:

  • Kritikalität (Auswirkungen einer Kompromittierung: Produktion, Sicherheit, Umwelt)
  • Bedrohung (Wer könnte Interesse daran haben, Ihren Sektor anzugreifen?)
  • Verwundbarkeit (aktueller Sicherheitsstatus des Bereichs)

Legen Sie Prioritäten für die Bereiche fest, die zuerst behandelt werden sollen: hohe Kritikalität + hohe Anfälligkeit = Priorität 1.

Schritt 4: Festlegung des SL-Zielwerts nach Zone​

Auf der Grundlage der Risikoanalyse:

  • Standard-Produktionsbereiche → SL 2
  • Bereiche mit SIL-Sicherheitssteuerungen → SL 3
  • OT-Bürobereiche (Ingenieurarbeitsplätze) → SL 1 bis SL 2

Schritt 5: Sanierungsplan (über einen Zeitraum von 6–18 Monaten)​

Legen Sie für jeden Bereich, dessen aktueller Stand unter dem Ziel-SL liegt, Korrekturmaßnahmen fest:

Vorrangige Maßnahmen SL 2:

  1. Alle Standardpasswörter auf OT-Geräten entfernen
  2. Unsichere Fernzugriffe (offenes RDP, TeamViewer) durch ein Zero-Trust-VPN ersetzen
  3. MFA-Authentifizierung für alle Fernzugriffe einrichten
  4. Namensgebundene Konten erstellen (keine gemeinsam genutzten generischen Konten)
  5. Die Zugriffsprotokollierung auf allen Geräten aktivieren, die dies unterstützen
  6. Das OT-Netzwerk vom IT-Büro-Netzwerk trennen (DMZ oder VLAN mit ACL)

Wichtige Maßnahmen SL 2: 7. Aktualisierung der Firmware der OT-Geräte (Gateways, industrielle Switches) 8. Dokumentation der Verfahren zur Reaktion auf Vorfälle 9. Schulung der Wartungsteams zu den Risiken der OT-Cybersicherheit

Schritt 6: Bewertung und kontinuierliche Verbesserung​

Die Einhaltung der Norm IEC 62443 ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Planen Sie Folgendes:

  • Jährliche Überprüfung des Bestandsverzeichnisses und der Kartierung
  • Jährlicher (oder halbjährlicher) Penetrationstest der Fernzugriffe
  • Aktualisierung des Abhilfemaßnahmenplans nach jedem Vorfall oder jeder Änderung der Infrastruktur

IEC 62443 und NIS2: Was französische Einrichtungen tun müssen​

Die NIS2-Richtlinie (in Frankreich durch das Gesetz vom 8. Oktober 2024 umgesetzt) erwähnt die Norm IEC 62443 zwar nicht ausdrücklich, doch entsprechen die darin vorgeschriebenen Maßnahmen direkt dieser Norm.

Die betroffenen Stellen​

Systemrelevante Bereiche: Energie (Strom, Gas, Erdöl), Verkehr (Luftverkehr, Schienenverkehr, Seeverkehr, Straßenverkehr), Bankwesen, Finanzinfrastruktur, Wasser (Wasserversorgung, Abwasserentsorgung), Gesundheitswesen, digitale Infrastruktur.

Wichtige Branchen: Postdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, industrielle Fertigung (Medizinprodukte, Elektronik, Maschinenbau), digitale Dienstleister.

Erforderliche Maßnahmen zur Cybersicherheit (Art. 21 NIS2)​

  1. Sicherheitsrichtlinie für Informationssysteme (IEC 62443-2-1)
  2. Vorfallmanagement: Erkennung, Reaktion, Benachrichtigung innerhalb von 24 Stunden (IEC 62443-2-1, FR 6)
  3. Geschäftskontinuität: Datensicherungen, Notfallpläne (IEC 62443-3-3 FR 7)
  4. Sicherheit der Lieferkette: Sicherheit von Subunternehmern mit OT-Zugriff (IEC 62443-2-4)
  5. Sicherheit bei der Beschaffung: Sicherheitsbewertung vor der Inbetriebnahme von OT-Geräten (IEC 62443-4-2)
  6. Schulung und Sensibilisierung: alle Mitarbeiter mit Zugang zu OT-Systemen
  7. Kryptografie und Verschlüsselung: verschlüsselte Kommunikation, Schutz sensibler Daten
  8. Zugangskontrolle: starke Authentifizierung, RBAC, Protokollierung (IEC 62443-3-3 FR 1, FR 2)
  9. Personalsicherheit: Hintergrundüberprüfungen, Verfahren beim Ausscheiden
  10. Risikobewertung: formeller, dokumentierter Prozess (IEC 62443-3-2)

Die 5 Fehler, die man bei einem IEC 62443-Projekt vermeiden sollte​

Fehler 1: Zuerst die Unterlagen prüfen, bevor man die Bestandsaufnahme durchführt​

Viele Unternehmen geben Sicherheitsrichtlinien in Auftrag, bevor sie eine tatsächliche Bestandsaufnahme durchgeführt haben. Das Ergebnis: theoretische Dokumente, die keinen Bezug zur Praxis haben. Beginnen Sie immer mit der Bestandsaufnahme und der Kartierung.

Fehler 2: Die Norm IEC 62443 als IT-Projekt behandeln​

Die OT-Sicherheit unterliegt besonderen Einschränkungen: Die Anlagen dürfen für Updates nicht vom Netz genommen werden, die Protokolle sind veraltet (Modbus aus dem Jahr 1979) und die Teams bestehen aus Automatikern – nicht aus Informatikern. Beziehen Sie die Produktionsteams von Anfang an mit ein.

Fehler 3: Ohne triftigen Grund SL 3 oder SL 4 anstreben​

SL 3 und SL 4 stellen sehr strenge Anforderungen (starke Authentifizierung auf den Steuerungen, Verschlüsselung aller industriellen Protokolle einschließlich Modbus), die oft den Austausch von OT-Geräten erfordern. Für die meisten Industrieunternehmen ist SL 2 das realistische und ausreichende Ziel.

Fehler 4: Die Sicherheit bei Zugriffen durch Dritte vernachlässigen​

Die häufigsten OT-Vorfälle betreffen den Fernzugriff von Wartungsdienstleistern. Die Sicherheit beim Zugriff durch Dritte sollte vorrangig behandelt werden (auf den Namen lautende Konten, MFA, Nachverfolgbarkeit), bevor man sich den eher technischen Aspekten zuwendet.

Fehler 5: Zu glauben, dass die Einhaltung der NIS2-Vorschriften gleichbedeutend mit der Einhaltung der Norm IEC 62443 ist​

NIS2 schreibt Sicherheitsmaßnahmen vor, zertifiziert jedoch nicht nach IEC 62443. Die Zertifizierung nach IEC 62443 (durch eine akkreditierte Stelle) ist von der NIS2-Konformität zu unterscheiden. Für die meisten Industrieunternehmen reicht eine dokumentierte Konformität mit der Norm IEC 62443 ohne formelle Zertifizierung aus, um die Anforderungen von NIS2 zu erfüllen.

FAQ​

Ist eine Zertifizierung nach IEC 62443 zwingend erforderlich, um die NIS2-Konformität zu gewährleisten? Nein. Die NIS2-Richtlinie schreibt technische und organisatorische Sicherheitsmaßnahmen vor, verlangt jedoch keine formelle Zertifizierung nach IEC 62443 (die von akkreditierten Stellen wie dem TÜV, Bureau Veritas usw. ausgestellt wird). Allerdings ist der Nachweis, dass Ihre Vorgehensweisen mit der Norm IEC 62443 im Einklang stehen, eine hervorragende Möglichkeit, gegenüber der ANSSI Ihre NIS2-Konformität nachzuweisen.

Mit welchem Teil der IEC 62443 sollte ein industrielles PMI beginnen? Für ein PMI sollten Sie mit der IEC 62443-2-1 (Richtlinien und Verfahren) und der IEC 62443-3-3 beginnen (Systemanforderungen für die Sicherheitsstufen 1 und 2). Dies sind die Teile, die am unmittelbarsten anwendbar sind und von Auftraggebern am häufigsten verlangt werden. Die Teile 4.x (Komponenten) sind eher für Gerätehersteller von Interesse.

Was ist eine Sicherheitszone (Security Zone) gemäß IEC 62443? Eine Sicherheitszone ist eine Gruppe von Systemen mit derselben geforderten Sicherheitsstufe, die durch Leitungen (kontrollierte Kommunikationskanäle) von anderen Zonen getrennt sind. Beispiel: Zone 1 = Produktionssteuerungen (SL2), Zone 2 = SCADA (SL2), Zone 3 = IT (SL1). Die Kommunikation zwischen den Zonen muss zwingend über eine Firewall oder eine kontrollierte DMZ erfolgen.

Wie bestimme ich das für meine Anlage angestrebte Sicherheitsniveau (SL)? Das angestrebte SL hängt von den Folgen eines Vorfalls ab: SL1 bei begrenztem Risiko (vorübergehende Unterbrechung eines nicht kritischen Prozesses), SL2 bei erheblichem Risiko (Auswirkungen auf die Produktion oder die Sicherheit von Personen), SL3 bei kritischen Systemen (Energie, Wasser, Gesundheit). Die meisten industriellen KMU streben für ihre SCADA-Systeme SL2 und für ihre Unterstützungssysteme SL1 an.

Behandelt die Norm IEC 62443 die Sicherheit von VPN-Fernzugriffen? Ja. Die IEC 62443-3-3 befasst sich ausdrücklich mit der Authentifizierung (SR 1.1, SR 1.2), der Verschlüsselung der Kommunikation (SR 4.1), der Sitzungsverwaltung (SR 1.3) und der Nachverfolgbarkeit (SR 2.8). Ein OpenVPN/IPSec-VPN mit Zertifikatsauthentifizierung und Protokollierung erfüllt in diesen Punkten die Anforderungen der Sicherheitsstufen 1 und 2.

Weitere Ressourcen​

Weitere Ressourcen​