IT made easy!
Wir setzen IEC 62443 bei Dir praxisnah um - von der Risiko-Inventur über Zonen und Conduits bis zu definierten Security Levels, mit Verständnis für Office-IT UND OT, ohne Deine Produktion zu bremsen.
Für Maschinenbau, Fertigung & Automotive-Zulieferer 3-200 MA · Betreiber UND Hersteller · Zonen & Conduits · SL 1-4
+49 221 292 763 30 · info@seraph-it.de
BAFA-gelisteter Berater Unternehmen, die auf Seraph IT vertrauen
Leistungsumfang
Alle OT-Geräte erfassen - SPS, HMI, RTU, IPCs, Sensoren, Switches - inklusive Kommunikationsbeziehungen. Auf OT-Systemen wird passiv gescannt, nie aktiv. Output: Asset-Liste mit Kommunikations-Matrix und priorisiertem Risiko-Bild.
Zonen und Conduits definieren, die DMZ zwischen IT und OT festlegen und je Zone das Ziel-Security-Level bestimmen. Ergebnis ist ein schriftliches Zonen-Modell als IEC-62443-Dokumentation.
Netzsegmentierung & Firewalls, die OT-Protokolle (Modbus, OPC UA, S7) wirklich verstehen, Zugangsschutz für Fernwartung (2FA, Jump-Server, Audit-Log) und passives OT-Netz-Monitoring mit Whitelist-Ansatz.
Systeme härten, soweit die Anlage es zulässt, Konfigurations-Backups für SPS und RTU einrichten. Parallel entsteht die durchgängige IEC-62443-Dokumentation - genau das, was ein NIS2- oder KRITIS-Audit sehen will.
OT-Security scheitert oft an der Lücke zwischen IT-Abteilung und Werkleitung. Wir verstehen beide Welten - Zonen, Conduits, SPS-Generationen, Wartungszugänge - und übersetzen dazwischen.
NIS2 und das KRITIS-Dachgesetz fordern „Stand der Technik" für OT, schreiben aber keine Norm vor. IEC 62443 ist der anerkannte Weg, diese Pflicht in der Produktion nachweisbar zu erfüllen.
So arbeiten wir
Alle OT-Geräte und ihre Kommunikationsbeziehungen erfassen (passiv gescannt), dann Risikobewertung nach IEC 62443-3-2.
Zonen und Conduits definieren, DMZ zwischen IT und OT festlegen und je Zone das Ziel-Security-Level bestimmen - als schriftliche IEC-62443-Dokumentation.
OT-taugliche Netzsegmentierung & Firewalls, abgesicherte Fernwartung und passives OT-Monitoring umsetzen.
Systeme härten, soweit die Anlage es zulässt, und die durchgängige IEC-62443-Dokumentation für NIS2/KRITIS-Audits erstellen.
OT-Security scheitert oft an der Lücke zwischen IT und Werkleitung. Wir betreuen Office-IT und Produktion aus einer Hand und wählen ein Schutzniveau, das zu Deinem Betrieb passt, statt SL4-Overkill.
IEC 62443 ist die weltweit anerkannte Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Sie adressiert Betreiber, Systemintegratoren und Hersteller gleichermaßen.
Anders als ISO 27001 (die das Management von Informationssicherheit allgemein regelt) ist IEC 62443 speziell auf die Welt der Produktions- und Steuerungstechnik zugeschnitten - auf SPS, RTU, HMI, SCADA und industrielle Netze. Die Reihe ist modular aufgebaut und verteilt die Verantwortung über die gesamte Lieferkette.
Wer IEC 62443 braucht:
Die Normen-Struktur im Überblick:
| Norm | Inhalt | Für wen |
|---|---|---|
| IEC 62443-1-1 | Grundlagen, Terminologie, Konzepte | Alle |
| IEC 62443-2-1 | Security-Management für Anlagenbetreiber | Betreiber |
| IEC 62443-2-4 | Anforderungen an Dienstleister (das sind wir!) | MSP/Integratoren |
| IEC 62443-3-2 | Risikobewertung, Zonen-/Conduit-Modell | Betreiber + Integratoren |
| IEC 62443-3-3 | System-Security-Requirements, SL 1-4 | Systemintegratoren |
| IEC 62443-4-1 | Secure Development Lifecycle | Hersteller |
| IEC 62443-4-2 | Komponenten-Anforderungen | Hersteller |
Wir arbeiten als Dienstleister nach IEC 62443-2-4 und setzen die für Dich relevanten Teile der Reihe um.
IEC 62443 segmentiert Deine Anlage in Sicherheitszonen, lässt Verbindungen nur über kontrollierte Conduits zu und ordnet jeder Zone ein Schutzniveau (Security Level) zu. So bleibt ein Angriff lokal begrenzt.
Deine OT-Landschaft wird in Zonen aufgeteilt - etwa Office-Zone, DMZ, Produktions-Zone und eine besonders kritische Sicherheits-/Safety-Zone. Geräte mit ähnlichem Schutzbedarf liegen in derselben Zone. Verbindungen zwischen Zonen laufen ausschließlich über definierte Conduits mit kontrollierter, gefilterter Kommunikation.
Der praktische Effekt: Ransomware, die in der Office-Zone startet, springt nicht ungehindert in die Produktions-Zone. Ein kompromittierter Wartungs-Laptop sieht nur seine Zone - nicht die ganze Fertigung. Segmentierung ist die wirksamste Einzelmaßnahme in der OT-Security, und IEC 62443 macht sie methodisch und dokumentierbar.
Jede Zone bekommt ein Ziel-Schutzniveau zugewiesen - abhängig vom Risiko und vom realistischen Angreifer-Typ:
IEC 62443 bündelt alle technischen Anforderungen in sieben Foundational Requirements - sie bilden das Raster, gegen das die Security Levels gemessen werden:
Diese sieben FR sind der rote Faden durch jedes Zonenkonzept - wir nutzen sie als Checkliste, damit keine Schutzdimension durchrutscht.
In der Produktion stehen Verfügbarkeit und Anlagen-Safety an erster Stelle - genau umgekehrt zur Büro-IT. Deshalb braucht OT einen eigenen Standard und ein eigenes Vorgehen.
| Aspekt | IT (Büro) | OT (Produktion) |
|---|---|---|
| Schutzziel | Vertraulichkeit > Integrität > Verfügbarkeit | Verfügbarkeit & Safety > Integrität > Vertraulichkeit |
| Patch-Zyklus | Tage bis Wochen | Monate bis Jahre (Stillstand teuer!) |
| Lebensdauer | 3-5 Jahre | 15-30 Jahre (alte SPS-Generationen) |
| Protokolle | TCP/IP, HTTPS, REST | Modbus, OPC UA, Profinet, S7, DNP3 |
| Update-Verträglichkeit | Hoch | Niedrig (Anlage muss ggf. neu zertifiziert werden) |
| Risikofolgen | Datenverlust, Ausfallzeit | Personen-Sicherheit, Umwelt, Produktionsstopp |
Daraus folgen drei harte Realitäten, die IEC 62443 ernst nimmt:
Genau hier setzt IEC 62443 an: Wo nicht gepatcht werden kann, schützt das Zonen-/Conduit-Modell durch kontrollierte Segmentierung. → Mehr zu OT-Security & Produktionssicherheit
NIS2 und das KRITIS-Dachgesetz fordern „Stand der Technik” für OT - schreiben aber keine konkrete Norm vor. IEC 62443 ist der anerkannte Weg, diese Pflicht in der Produktion nachweisbar zu erfüllen.
Wer produziert und unter NIS2 fällt, muss seine OT-Risiken systematisch behandeln. Wer KRITIS-Betreiber ist, hat zusätzlich Melde- und Auditpflichten. In beiden Fällen ist die Frage des Auditors: „Wie habt Ihr Eure OT abgesichert - und könnt Ihr es belegen?” IEC 62443 liefert die Antwort als strukturierter, international anerkannter Rahmen.
| Pflicht | NIS2 | KRITIS-Dachgesetz | IEC 62443 |
|---|---|---|---|
| OT-Risikoanalyse | ✓ Pflicht | ✓ Pflicht | ✓ Methode liefert sie |
| Netzsegmentierung | „Stand der Technik” | „Stand der Technik” | ✓ Zonen/Conduits |
| Vorfallmeldung | innerhalb 24 h (BSI) | innerhalb 24 h (BBK) | - |
| Audit-Nachweis OT | ✓ gefordert | ✓ gefordert | ✓ liefert Doku |
| Produktions-Scope | ✓ | ✓ | ✓ Kern-Scope |
So passt der Compliance-Stack zusammen: ISO 27001 als ISMS-Fundament für die Organisation, IEC 62443 für die OT-Tiefe, NIS2/KRITIS als gesetzlicher Rahmen darüber.
→ NIS2-Umsetzung · KRITIS-Dachgesetz · Maschinenbau-Branchenpage
OT-Security scheitert oft an der Lücke zwischen IT-Abteilung und Werkleitung. Wir verstehen beide Welten und übersetzen dazwischen.
Viele Anbieter kommen entweder aus der reinen IT (verstehen die Anlage nicht) oder aus dem Maschinenbau (verstehen die Cybersecurity nicht). Wir sitzen genau auf der Brücke: Wir betreuen die Office-IT von Mittelständlern und sprechen gleichzeitig die Sprache der Produktion - Zonen, Conduits, SPS-Generationen, Wartungszugänge.
FAQ
ISO 27001 ist der allgemeine ISMS-Standard für Informationssicherheit auf Organisationsebene. IEC 62443 ist speziell auf die industrielle Steuerungs- und Produktionstechnik (OT/IACS) zugeschnitten - mit Zonen, Conduits und den Security Levels SL 1-4. In der Praxis ergänzen sie sich: ISO 27001 als Dach, IEC 62443 für die OT-Tiefe.
Für beide. Die Teile 2-x richten sich an Betreiber und Dienstleister, die Teile 3-x an Systemintegratoren und die Teile 4-x (4-1 Secure Development, 4-2 Komponenten) an Maschinen- und Komponentenhersteller. Gerade Maschinenbauer profitieren doppelt: Sie sichern die eigene Produktion ab und können „Security by Design" gegenüber ihren Kunden nachweisen.
Beide Gesetze schreiben keine konkrete Norm vor, fordern aber „Stand der Technik" für die OT-Absicherung. IEC 62443 ist der international anerkannte Weg, diese Pflicht in der Produktion nachweisbar umzusetzen - und liefert genau die Doku, die ein Audit sehen will. Pflicht-Standard im engen Sinn ist es nicht, faktisch aber der naheliegendste Umsetzungsweg.
Deine OT-Landschaft wird in Zonen mit ähnlichem Schutzbedarf aufgeteilt; Verbindungen laufen nur über kontrollierte Conduits. Jede Zone bekommt ein Ziel-Schutzniveau (Security Level SL 1-4) zugewiesen. So bleibt ein Angriff lokal begrenzt - Ransomware aus der Office-Zone springt nicht ungehindert in die Produktion.
Nein. Wir scannen OT-Systeme passiv statt aktiv, setzen Maßnahmen im Wartungsfenster um und testen auf Schattensystemen. Wo nicht gepatcht werden kann, schützt das Zonen-/Conduit-Modell durch kontrollierte Segmentierung - Verfügbarkeit und Safety stehen an erster Stelle.
Als BAFA-gelisteter Berater sind bis zu 50 % der Beratungskosten förderbar. Den Antrag übernehmen wir. Was konkret förderfähig ist, klären wir im Erstgespräch.
SL-T ist das Ziel-Schutzniveau, das Du einer Zone aus der Risikobewertung heraus zuweist. SL-C beschreibt, wozu eine Komponente oder ein System technisch überhaupt in der Lage ist. SL-A ist das, was im Betrieb tatsächlich erreicht wird. Die Lücke zwischen SL-T und SL-A ist genau Dein Maßnahmenplan, und der Punkt, den ein Auditor sehen will.
Über die Risikobewertung nach IEC 62443-3-2: Zonen und Conduits bilden, je Zone das Risiko ohne Schutzmaßnahmen bewerten, das tolerierbare Risiko definieren und daraus SL-T ableiten. Bewertet wird dabei nicht nur Datenverlust, sondern Personen-Sicherheit, Umweltauswirkung und Produktionsausfall. So ist die SL-Wahl begründbar statt Bauchgefühl, und genau das macht im Audit den Unterschied.
Ja, für Komponenten und Entwicklungsprozesse gibt es Zertifizierungen nach den Teilen 4-2 und 4-1, ausgestellt von akkreditierten Stellen. Sie erleichtern den Nachweis in der Beschaffung, ersetzen aber weder Dein Zonenkonzept noch den sicheren Betrieb: Ein zertifiziertes Gerät in einem flachen Netz bleibt angreifbar. Seraph IT ist keine Zertifizierungsstelle, wir setzen um, dokumentieren und begleiten die Prüfung.
Security Level beschreiben die technische Schutzwirkung von Zonen, Systemen und Komponenten gegenüber einem bestimmten Angreifer-Typ. Reifegrade beschreiben, wie belastbar die zugehörigen Prozesse sind, von ad hoc über dokumentiert bis geprüft und laufend verbessert. Für einen Nachweis brauchst Du beides: wirksame Technik und einen Prozess, der sie über Jahre am Leben hält.
Die Treiber sind die Zahl der Anlagen und Zonen, der Zustand Deiner Netz- und Asset-Dokumentation und die Abstimmung mit den Maschinen-Herstellern. Realistisch sind Inventur und Zonenkonzept eine Sache von Wochen, während sich die technische Umsetzung entlang der verfügbaren Wartungsfenster über Monate zieht. Einen belastbaren Zeitrahmen nennen wir nach der Inventur, nicht davor.
Die Reihe ist für industrielle Automatisierungs- und Steuerungssysteme allgemein geschrieben. Zonen, Conduits, Security Level und die sieben Foundational Requirements funktionieren genauso für Gebäudeleittechnik, Energie- und Wasserversorgung oder Logistik- und Lageranlagen. Für einzelne Sektoren gibt es ergänzende Regelwerke, das Grundmodell bleibt aber dasselbe.
Entscheidend ist, ob eine Firewall die eingesetzten Protokolle wie Modbus, OPC UA oder S7 wirklich versteht und ob sie an der richtigen Stelle im Netz sitzt. Häufig lässt sich mit vorhandener Hardware, sauberer VLAN-Struktur und einem aufgeräumten Regelwerk schon viel erreichen; eigene Segment-Firewalls braucht es dort, wo ein Conduit tatsächlich gefiltert werden muss. Wir sagen Dir zuerst, was Deine Bestandstechnik hergibt, bevor wir Neues vorschlagen.
Indem das Modell in den Änderungsprozess wandert: Jede neue Maschine, jede neue Schnittstelle und jeder neue Fernwartungszugang wird einer Zone zugeordnet und bekommt seinen Conduit, bevor sie ans Netz geht. Dazu ein fester Review-Turnus mit Abgleich gegen das Asset-Inventar. Ohne diesen Schritt ist auch ein sauberes Zonenmodell nach einem Jahr nur noch Papier.
Der CRA ist EU-Recht mit Fristen und verpflichtet Hersteller von Produkten mit digitalen Elementen; IEC 62443 ist eine Norm, die Steuerungs- und Maschinenherstellern mit den Teilen 4-1 und 4-2 ein Modell für sicheren Entwicklungsprozess und Komponenten-Anforderungen liefert. Deckungsgleich sind sie nicht, aber wer nach 62443-4-1 entwickelt, hat für die CRA-Nachweise einen erheblichen Vorsprung. Wer beides braucht, sollte es gemeinsam planen statt nacheinander.
Bereit?
Kostenfreies Erstgespräch - ehrlich, ohne Verkaufsdruck. Wir melden uns schnellstmöglich.
Wir messen anonym mit Plausible (cookielos, ohne Einwilligung). Zusätzlich möchten wir Google Analytics nutzen, um die Seite zu verbessern - das setzt Cookies und läuft nur mit Deiner Einwilligung. Details in der Datenschutzerklärung.