{"id":8857,"date":"2021-09-17T12:57:53","date_gmt":"2021-09-17T10:57:53","guid":{"rendered":"http:\/\/blog.phoenixcontact.com\/services\/?p=8857"},"modified":"2023-10-26T10:13:24","modified_gmt":"2023-10-26T08:13:24","slug":"steigern-sie-ihr-security-level","status":"publish","type":"post","link":"https:\/\/blog.phoenixcontact.com\/services\/steigern-sie-ihr-security-level","title":{"rendered":"Steigern Sie Ihr Security-Level mit der IEC 62443"},"content":{"rendered":"\n
\"\"<\/a><\/figure>\n\n\n\n
<\/div>\n\n\n\n

Lange Zeit wurden die Bereiche Information Technology (IT) und Operation Technology (OT) getrennt betrachtet. Auch in Unternehmen sind diese Themen unterschiedlichen Fachbereichen zugeordnet. Der steigende Automatisierungsgrad der Produktion und die zunehmende Digitalisierung aller Gesch\u00e4ftsbereiche sorgen daf\u00fcr, dass diese beiden Bereiche st\u00e4rker zusammenwachsen. Das verbindende Element ist die Cyber Security. Die Normenreihe ISO 27000 legt dabei die Schutzziele f\u00fcr die IT fest. Hierbei wird haupts\u00e4chlich Wert auf die Vertraulichkeit der Informationen gelegt. F\u00fcr den Bereich OT hingegen geht es ma\u00dfgeblich um die Verf\u00fcgbarkeit von Systemen. Die Norm IEC 62443 beschreibt alle relevanten Anforderungen an die OT zur Vermeidung von Sicherheitsrisiken f\u00fcr Betreibende, Integratoren und Ger\u00e4teherstellung.<\/p>\n\n\n\n

Somit stellen beide Normen die Konkretisierung der Anforderungen des IT-Sicherheitsgesetzes<\/a> dar. Das IT-Sicherheitsgesetz<\/a> definiert, dass Unternehmen und Organisationen ein gewisses Mindestma\u00df an IT-Sicherheit einhalten und nachweisen m\u00fcssen. Dazu sind entsprechende organisatorische und technische Ma\u00dfnahmen zu treffen. Welche Ma\u00dfnahmen geeignet sind, um die IT-Sicherheit zu erf\u00fcllen, legen wiederum die oben genannten Normen f\u00fcr die Bereiche IT und OT fest. Sie definieren den Stand der Technik und geben eine standardisierte Vorgehensweise zur Erf\u00fcllung des IT-Sicherheitsgesetzes<\/a> vor.<\/p>\n\n\n\n

<\/div>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
<\/div>\n\n\n\n

Die IEC 62443 auf einen Blick<\/strong><\/h2>\n\n\n\n

Die Norm IEC 62443 besteht aus vier Kategorien, die jeweils fortlaufend nummeriert sind (IEC 62443-1 bis IEC 62443-4): In der ersten Kategorie werden die allgemeinen verwendeten Begriffe, Abk\u00fcrzungen und Konzepte erl\u00e4utert. Die IEC 62443-2 beschreibt das Sicherheitsmanagement mit allen wichtigen Anforderungen, z. B. Patch-Management. Dieser Teil betrifft haupts\u00e4chlich Anlagenbetreibende und in gewissen Teilen auch Dienstleistungsanbietende. Kategorie 3 stellt die funktionalen Anforderungen an ein System dar und erl\u00e4utert zugrundeliegende Technologien, z. B. Authentifizierungsverfahren. Zus\u00e4tzlich ist hier definiert, wie die Sicherheit einer Anlage bewertet werden kann. Dieser Teil ist besonders f\u00fcr den Anlagenbau, aber auch f\u00fcr Komponentenherstellung relevant. In der letzten Kategorie (IEC 62443-4) werden die Anforderungen an Komponenten und deren Entwicklung beschrieben. Zielgruppe ist hier die Komponentenherstellung.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

> Nehmen Sie direkt Kontakt auf<\/a><\/p>\n\n\n\n

<\/div>\n\n\n\n

Warum sollte die IEC 62443 umgesetzt werden<\/strong><\/strong><\/h2>\n\n\n\n

Neben dem aktiven Schutz ihres Unternehmens vor einer steigenden Anzahl von Cyber-Angriffen weisen Sie als Betreibende, Integratoren und Ger\u00e4teherstellende von industrieller Automatisierungsl\u00f6sungen durch die Anwendung der IEC 62443 nach, dass Sie die aktuellen IT-Security-Standards und somit die Anforderungen des IT-Sicherheitsgesetzes<\/a> <\/span>wirksam umsetzen.<\/p>\n\n\n\n

Zudem wurde im Juni 2019 durch die EU der \u201eCyber Security Act\u201c beschlossen. Dieser empfiehlt eine entsprechende freiwillige Cyber-Security-Zertifizierung f\u00fcr Unternehmen. Regelm\u00e4\u00dfig wird durch die EU-Kommission gepr\u00fcft, ob der Empfehlung eine Verpflichtung folgen wird.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Umsetzung der IEC 62443 als Betreibende<\/strong><\/h2>\n\n\n\n

Am Beginn einer sicheren Automatisierungsl\u00f6sung steht die Definition der zu sch\u00fctzenden Werte. F\u00fcr diese werden eine Bedrohungs- und Risikoanalyse durchgef\u00fchrt. Diese Analysen bilden die Basis f\u00fcr die Ableitung von Ma\u00dfnahmen zur Risikominderung und daraus resultierenden Anforderungen an das System und die eingesetzten Komponenten. Das Schutzniveau einer Anlage ergibt sich jedoch nicht nur aus den technischen F\u00e4higkeiten, sondern auch aus den gelebten Prozessen sowie dem Know-how des Personals. Eine sichere Anlage bedingt deren permanente \u00dcberwachung und Pflege. Dazu geh\u00f6rt eine genaue Kenntnis der Installation und ihrer Eigenschaften \u2013 also ein Netzwerkplan und ein Inventar s\u00e4mtlicher Komponenten \u2013 ebenso wie eine Verwaltung der Benutzenden, der Rechte sowie der Zugangsdaten. Dabei gibt es nicht die Standardl\u00f6sung f\u00fcr alle Anwendungsf\u00e4lle. Eine sichere Automatisierungsl\u00f6sung ist immer individuell an die Gegebenheiten anzupassen. Die implementierten Ma\u00dfnahmen m\u00fcssen zudem zyklisch \u00fcberpr\u00fcft und entsprechend dem aktuellen Stand der Technik angepasst werden.<\/p>\n\n\n\n

<\/div>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
<\/div>\n\n\n\n

Umsetzung der IEC 62443 bei Phoenix Contact<\/strong><\/h2>\n\n\n\n

Phoenix Contact bietet 360\u00b0-Security von einzelnen Produkten \u00fcber Dienstleistungen bis hin zu ganzen L\u00f6sungen. Cyber Security ist dabei im Lebenszyklus unserer Produkte und L\u00f6sungen fest verankert: in Form eines sicheren Produktentwicklungsprozesses, im Sinne moderner Security-Funktionen, bei der Beratung von Kundinnen und Kunden, bei der Erstellung sicherer Netzwerkkonzepte und auch durch ein professionelles Management von Sicherheitsl\u00fccken (PSIRT).<\/a> Die folgenden Bereich sind vom T\u00dcV S\u00fcd zertifiziert:<\/p>\n\n\n\n