IEC 62443 Gap-Analyse: Wie reif ist Ihr CSMS?

Ein Cyber Security Management System ist das Managementsystem für die Sicherheit industrieller Anlagen. Es regelt Verantwortung, Risikobeurteilung, Maßnahmen, Überwachung und Verbesserung. Die aktuelle Ausgabe der Norm nennt es Sicherheitsprogramm; in der Praxis ist CSMS der geläufige Begriff.

Nein, kein Gesetz schreibt die Norm namentlich vor. Das BSI-Gesetz, der Cyber Resilience Act und die Maschinenverordnung verlangen aber Maßnahmen nach dem Stand der Technik und die Berücksichtigung einschlägiger Normen. In der Industrie ist IEC 62443 dafür der anerkannte Maßstab, und viele Kunden fordern sie vertraglich.

Das hängt von Ihrer Rolle ab. Betreiber orientieren sich am Teil für das Sicherheitsprogramm und an der Risikobeurteilung. Integratoren und Dienstleister an den Teilen für Dienstleister und Systeme. Hersteller an den Teilen für die Entwicklung und für Komponenten. Viele Unternehmen haben mehrere Rollen.

Der Security Level beschreibt, wie stark eine Anlage oder Komponente gegen Angreifer geschützt sein soll. Der Reifegrad beschreibt, wie verlässlich die Prozesse dahinter sind. Ein hoher Security Level ohne reife Prozesse hält im Betrieb nicht lange.

Beide ergänzen sich. ISO/IEC 27001 beschreibt das Managementsystem für die Informationssicherheit der gesamten Organisation. IEC 62443 ergänzt, was die Betriebstechnik zusätzlich braucht: Verfügbarkeit, Sicherheit von Mensch und Umwelt, lange Lebenszyklen und Altanlagen. Sinnvoll ist ein gemeinsames System mit eigenen Regeln für die Produktion, wo sie nötig sind.

Es ist eine gute Grundlage, weil Organisation, Risikomanagement und viele Verfahren schon vorhanden sind. Häufig endet der Geltungsbereich aber am Übergang zur Produktion, und typische Themen der Betriebstechnik fehlen: Zonen und Verbindungen, Fernwartung durch Maschinenlieferanten, Altanlagen ohne Updates und der Wiederanlauf einer Anlage. Der Selbsttest zeigt, wo Ihr ISMS die Produktion bereits abdeckt und wo nicht.

Das ergibt sich aus der Risikobeurteilung und nicht aus einer Faustregel. Sie teilen die Anlage in Zonen ein, bewerten je Zone den möglichen Schaden und legen fest, gegen welche Art von Angreifer sie geschützt sein soll. Verschiedene Zonen derselben Anlage können unterschiedliche Stufen haben. Das vermeidet überzogene Maßnahmen an unkritischen Stellen und Lücken an kritischen.

Die Norm rechnet damit, dass Anlagen viele Jahre laufen. Sie verlangt keine Technik, die eine alte Steuerung nicht leisten kann, sondern geregelte Ersatzmaßnahmen: stärkere Abschottung im Netz, eingeschränkte und überwachte Zugänge, engere Überwachung und einen geübten Wiederanlauf. Entscheidend ist, dass das Risiko bewertet, die Ersatzmaßnahme dokumentiert und von der Leitung freigegeben ist.

Ja, als Grundlage. Die Teile für Hersteller decken viele Themen ab, die der Cyber Resilience Act verlangt, etwa sichere Entwicklung, Umgang mit Schwachstellen und Updates. Eine automatische Konformität folgt daraus nicht. Die europäischen Normen, die das leisten sollen, sind noch in Arbeit.

Ja, aber immer bezogen auf eine Rolle. Zertifiziert werden der Entwicklungsprozess eines Herstellers, einzelne Produkte, ganze Systeme, das Sicherheitsprogramm von Integratoren und Dienstleistern und inzwischen auch Anlagen im Betrieb. Angeboten wird das unter anderem im internationalen Prüfschema der IEC und im Programm ISASecure. VamiSec ist keine Zertifizierungsstelle; wir bereiten Sie auf die Prüfung vor.

Der Schnellcheck für Betreiber umfasst 22 kritische Prüfaspekte und dauert etwa 15 Minuten. Das vollständige Modul für Betreiber hat 55 Prüfaspekte in 10 Themenfeldern; mit allen drei Rollen sind es 118. Sie können jederzeit unterbrechen; Ihr Stand bleibt im Browser gespeichert.

Alle Angaben bleiben in Ihrem Browser. Es findet keine Übertragung an VamiSec oder Dritte statt. Sie können Ihren Stand als Datei sichern, als Tabelle exportieren oder als Bericht drucken.

Nein. Der Selbsttest ist eine Selbsteinschätzung und weder Audit noch Konformitätsbewertung, weil niemand Ihre Angaben prüft und Nachweise sichtet. Er zeigt den Handlungsbedarf und eignet sich als Gesprächsgrundlage für Geschäftsleitung, Produktion und IT. Für eine belastbare Aussage braucht es eine Gap-Analyse vor Ort mit Interviews, Dokumentenprüfung und einem Blick in die Anlage. Für eine formale Prüfung gilt der lizenzierte Normtext.