IEC 62443 Zonen und Conduits sind das Modell, mit dem Sie ein Produktionsnetz in Bereiche mit gleichem Schutzbedarf aufteilen und die Verbindungen zwischen diesen Bereichen kontrollieren. Eine Zone fasst Steuerungen, Panels und Rechner zusammen, die ähnliche Sicherheitsanforderungen haben. Ein Conduit ist der definierte Kommunikationsweg zwischen zwei oder mehr Zonen, typischerweise über eine Firewall. Jede Zone erhält ein Ziel-Security-Level, das sich aus einer Risikobeurteilung ergibt.
Die DKE beschreibt die IEC 62443-3-2 genau so: Per Risikoanalyse wird das betrachtete System in Zonen und Conduits aufgeteilt, und diesen wird ein Ziel-Security-Level zugeordnet. Die IEC 62443-3-3 legt dann die technischen Systemanforderungen fest, die zum jeweiligen Security Level gehören.
IEC 62443 Zonen und Conduits: die Begriffe
Der Quick Start Guide der ISA Global Cybersecurity Alliance definiert eine Zone als Gruppierung logischer oder physischer Assets nach Risiko oder anderen Kriterien wie Kritikalität, Funktion, Ort oder verantwortlicher Organisation. Ein Conduit gruppiert Kommunikationskanäle mit gemeinsamen Sicherheitsanforderungen, die Zonen verbinden. Für die Security Level nennt der Leitfaden diese Abstufung:
| Security Level | Schutz gegen | Beispiel |
|---|---|---|
| SL 1 | zufällige oder unbeabsichtigte Verletzung | Bediener steckt versehentlich falschen Laptop ein |
| SL 2 | vorsätzliche Angriffe mit einfachen Mitteln und allgemeinem Wissen | Schadsoftware über USB-Stick |
| SL 3 | anspruchsvolle Angriffe mit IACS-spezifischem Wissen | gezielter Angriff auf Steuerungen |
| SL 4 | anspruchsvolle Angriffe mit erweiterten Ressourcen und hoher Motivation | staatlich unterstützte Angreifer |
Außerdem unterscheidet die Norm drei Arten von Security Level: SL-T ist das Ziel aus der Risikobeurteilung, SL-C die Fähigkeit eines Systems oder einer Komponente, SL-A das tatsächlich erreichte Niveau nach der Inbetriebnahme. Die Kunst besteht darin, SL-C und SL-A an SL-T heranzuführen.
Die sieben Grundanforderungen
Alle technischen Anforderungen der IEC 62443-3-3 und 4-2 sind sieben Grundanforderungen zugeordnet, den Foundational Requirements. Sie sind eine gute Gliederung für jede Gap-Analyse:
- FR 1 Identifikation und Authentifizierung: Wer greift zu?
- FR 2 Nutzungskontrolle: Was darf er tun?
- FR 3 Systemintegrität: Ist die Software unverändert?
- FR 4 Vertraulichkeit der Daten: Wer kann mitlesen?
- FR 5 Eingeschränkter Datenfluss: Welche Verbindungen sind erlaubt? Hier liegen Zonen und Conduits.
- FR 6 Zeitnahe Reaktion auf Ereignisse: Wird ein Vorfall erkannt und protokolliert?
- FR 7 Verfügbarkeit der Ressourcen: Bleibt die Anlage auch bei Störungen funktionsfähig?
Ein Beispiel: Zonenmodell für eine Fertigungslinie
Nehmen Sie eine Montagelinie mit vier Stationen, einer Linien-SPS, Panels an jeder Station, einem Linienrechner für Auftragsdaten und Fernwartung durch zwei Maschinenbauer. Ein pragmatisches Modell könnte so aussehen:
| Zone | Inhalt | Ziel-SL |
|---|---|---|
| Zelle 1 bis 4 | Stationssteuerungen, Antriebe, Panels | SL 2 |
| Linie | Linien-SPS, Linien-HMI | SL 2 |
| Produktions-DMZ | Linienrechner, Historian, Fernwartungs-Gateway | SL 2 bis 3 |
| Office-IT | ERP, MES-Clients, Arbeitsplätze | nach ISMS |
Conduits verbinden Zellen und Linie über einen verwalteten Switch mit Regeln, die Linie mit der DMZ über eine Firewall und die DMZ mit der Office-IT über eine zweite Firewall. Der Fernzugang endet in der DMZ und wird von dort nur nach Freigabe auf die Linie durchgeschaltet. Das ICS-Security-Kompendium des BSI empfiehlt in seinem Netzwerkbeispiel genau eine solche Übergangszone zwischen Office und Produktion und rät, Verbindungen möglichst von der Zone mit höherem Schutzbedarf aus aufzubauen.
Cybersecurity: Normen und Standards für sichere & innovative Informationssysteme
DKE Deutsche Kommission Elektrotechnik Elektronik Informationstechnik in DIN und VDE
Dieses Video wird von YouTube bereitgestellt. Beim Abspielen werden Inhalte von Google geladen, und es können Cookies gesetzt werden.
Auf YouTube ansehenSo gehen Sie vor
- System abgrenzen: Welche Anlagen, Netze und Schnittstellen gehören dazu?
- Inventar und Kommunikationsbeziehungen erfassen, siehe OT-Asset-Inventar.
- Übergeordnete Risikobeurteilung: Was passiert, wenn diese Anlage manipuliert wird oder ausfällt?
- Zonen und Conduits festlegen, Ziel-Security-Level zuordnen.
- Detaillierte Risikobeurteilung je Zone, Abgleich mit den Anforderungen der IEC 62443-3-3.
- Maßnahmenplan erstellen und in Stillständen umsetzen, beginnend bei den Übergängen.
- Anforderungen, Annahmen und Restrisiken dokumentieren und vom Betreiber freigeben lassen.
Was mit Altanlagen passiert
Nicht jede Anlage erreicht das Ziel-Security-Level aus eigener Kraft. Eine Steuerung ohne Benutzerverwaltung kann FR 1 nicht erfüllen, egal wie gut sie konfiguriert ist. Die Norm sieht dafür kompensierende Maßnahmen vor: Die Zone erhält einen stärkeren Conduit, etwa eine Firewall mit sehr restriktiven Regeln und Protokollierung, und der physische Zugang zum Schaltschrank wird kontrolliert. Dokumentieren Sie solche Fälle offen als Restrisiko und verknüpfen Sie sie mit dem Migrationsplan.
Wichtig ist auch, die Zonen nicht nur auf dem Papier zu definieren. Prüfen Sie nach der Umsetzung mit einem passiven Mitschnitt des Netzverkehrs, ob tatsächlich nur die erlaubten Verbindungen bestehen. Abweichungen zeigen fast immer vergessene Kommunikationsbeziehungen, etwa einen Datenbankzugriff aus dem Büro.
Rollen: Betreiber, Integrator, Hersteller
Die IEC 62443 verteilt die Verantwortung auf drei Rollen. Der Betreiber ist für das Sicherheitsprogramm und die Risikobeurteilung zuständig, der Integrator für die sichere Umsetzung im Projekt nach IEC 62443-2-4, der Komponentenhersteller für sichere Produkte nach IEC 62443-4-1 und 4-2. Das BSI-Kompendium ordnet die Teilnormen den Rollen in einer Tabelle zu. Für Maschinenbauer ist das wichtig, weil sie oft zwei Rollen gleichzeitig haben: Hersteller der Maschine und Integrator beim Kunden.
Phoenix Contact weist in seinem Fachbeitrag darauf hin, dass es in der OT anders als bei der ISO 27000 maßgeblich um die Verfügbarkeit von Systemen geht. Das ist der Grund, warum Zonenkonzepte so sorgfältig mit der Produktion abgestimmt werden müssen. Eine Firewallregel, die einen PROFINET-Datenaustausch blockiert, legt die Linie still.
Wartens erstellt Netzwerk-Zonierungskonzepte und Gap-Analysen auf Basis der IEC 62443 für NIS2-pflichtige Hersteller und unterstützt ISO-27001-Beratungen mit OT-Fachwissen. Den regulatorischen Rahmen erklärt der Beitrag NIS2 und OT-Sicherheit. Unser Angebot finden Sie unter Automatisierungs-Engineering.
Nächster Schritt: Schicken Sie uns einen Netzplan oder eine Anlagenliste eines Produktionsbereichs. Wir zeigen einen ersten Zonenentwurf und nennen Umfang und Festpreis für das vollständige Konzept. Kontakt.
