IEC 62443-4-1: was ein Softwarelieferant an der Anlage belegen muss

Sobald eine Fachanwendung Messwerte aus der Fernwirktechnik übernimmt, steht IEC 62443-4-1 im Raum, eine Norm, die im ISMS bisher nicht vorkam. Für die Leitung Informationssicherheit eines Betreibers wird daraus eine Beschaffungsfrage. Welcher Normteil bindet den Softwarelieferanten, was ergänzt IEC 62443-4-2, und genügt dafür das ISO-27001-Zertifikat des Lieferanten, oder fehlen Unterlagen?
Ein Mann hält einen gelbgrünen Papiervogel in der offenen Hand, während weitere weiße Papiervögel aus dem Briefschlitz einer frei stehenden Holztür zu ihm fliegen und eine Hand auf der anderen Seite den nächsten hineinschiebt. Sinnbild für die Verbindung über die Zonengrenze nach IEC 62443-4-1, über die Daten nur in eine Richtung laufen.
© KI-generiert (TenMedia)

IEC 62443-4-1 an der Grenze zur Anlage

IEC 62443 ist eine internationale Normenreihe für die Sicherheit von Steuerungs- und Leittechnik, also der Rechner, die Pumpen, Schalter und Netze einer Anlage bedienen.

IEC 62443-4-1 ist der Teil dieser Normenreihe, der den Entwicklungsprozess eines Herstellers regelt. Er legt in acht Practices fest, wie Produkte für industrielle Automatisierungssysteme sicher entstehen, von der Anforderung bis zum Sicherheitsupdate, und bewertet diesen Prozess in vier Reifegradstufen. Er gilt für Hersteller von Komponenten und Software, nicht für den Betrieb der Anlage.

Nach einer Umfrage von BSI und TÜV-Verband vom Juni 2025 bewerten 91 Prozent der Unternehmen ihre Cybersicherheit als gut oder sehr gut. Zugleich sagen 27 Prozent, IT-Sicherheit spiele für sie eine kleine oder gar keine Rolle. Ein gutes Gefühl ersetzt keinen belegten Entwicklungsprozess.

Wann eine Fachanwendung an ein IACS grenzt

Die Norm spricht vom IACS, der Gesamtheit aus Steuerungen, Leitsystemen und Bedienrechnern. Eine Anwendung, die nur Berichte aus einer Zwischenschicht liest, bleibt davon getrennt. An die Grenze rückt sie, sobald sie Messwerte direkt aus der Leittechnik übernimmt. In gewachsenen Enterprise-Systemlandschaften kann das nebenbei geschehen, wenn eine Auswertung eine Schnittstelle zum Leitsystem bekommt. Mit der ersten Verbindung über die Zonengrenze wird die Anwendung Teil des Schutzkonzepts.

Was ein ISO-27001-Zertifikat hier nicht belegt

Naheliegend ist der Einwand, das ISO-27001-Zertifikat des Lieferanten genüge. Beide Normen prüfen aber verschiedene Gegenstände. ISO 27001 bewertet die Organisation, der Teil 4-1 der Normenreihe IEC 62443 den Prozess, in dem ein bestimmtes Produkt entsteht. Ein Zertifikat belegt, dass Regeln existieren, aber nicht, dass ein einzelnes Release eine Bedrohungsanalyse und einen Sicherheitstest durchlaufen hat. Daraus folgt die doppelte Ableitung, die die Softwareentwicklung für KRITIS an jeder Schnittstelle zur Anlage prägt.

Wo die Lücke im Nachweis liegt

Die Lücke sitzt bei Belegen, die an einem einzelnen Produkt hängen. Ein Audit des Managementsystems zieht Stichproben über alle Projekte und fragt sie deshalb nicht ab. Gemeint sind vor allem:

IEC 62443-4-1 drückt in einer Stufe aus, wie verlässlich ein Lieferant solche Belege erzeugt. Welche Stufe sich im Einkauf verlangen lässt, klärt der Abschnitt zum Maturity Level, weil die Antwort erst mit den acht Practices verständlich wird.

Verbindlich über Branche, Vertrag und Lieferkette

IEC 62443 ist eine Norm und kein Gesetz. Verbindlich wird sie auf zwei Wegen, über Vorgaben für den Sektor und über den Vertrag. Dieser Abschnitt ordnet ein, welcher Weg den Lieferanten erreicht, welche Rolle IEC 62443-2-4 dabei spielt und wo der Cyber Resilience Act eine andere Pflicht setzt.

Ist IEC 62443 verpflichtend für KRITIS-Betreiber?

Für KRITIS-Nachweise gibt es nach Darstellung des Portals openKRITIS bislang keine direkte Anwendung der Norm. In einigen Branchen ist IEC 62443 regulatorisch vorgeschrieben, dann steht die Pflicht in einer Vorgabe für den Sektor. Wie weit ein branchenspezifischer Sicherheitsstandard auf die Norm verweist, ist für jeden Sektor einzeln zu prüfen. Der zweite Weg ist der Vertrag, über den ein nachweispflichtiger Betreiber die Norm an seinen Lieferanten weitergibt. Die Frage ist damit eine Beschaffungsfrage und keine Rechtsfrage.

IEC 62443-2-4: die Pflichten des Dienstleisters

IEC 62443-2-4 regelt das Sicherheitsprogramm von Integratoren und Wartungsdienstleistern an einer Anlage. Ein Lieferant, der eine Fachanwendung an die Anlage anbindet und über Jahre betreut, steht gegenüber dem Betreiber genau in dieser Rolle. In den Lieferantenanforderungen der IT-Compliance ist deshalb festzuhalten, ob ein Nachweis nach IEC 62443-4-1 für das Produkt verlangt wird, einer nach IEC 62443-2-4 für die Dienstleistung, oder beides.

Abgrenzung zum Cyber Resilience Act

Der Cyber Resilience Act ist eine EU-Verordnung für Hersteller von Produkten mit digitalen Elementen. Seine Meldepflichten gelten seit dem 11. September 2026, voll anwendbar ist er ab dem 11. Dezember 2027. Verordnung und Normenreihe berühren sich beim Entwicklungsprozess und beim Update-Management, ersetzen einander aber nicht. Die Verordnung ist Rechtspflicht, die Norm ein Nachweisrahmen.

Was verlangt IEC 62443-4-1 von einem Softwarelieferanten?

IEC 62443-4-1 verlangt keinen bestimmten Code, sondern einen belegbaren Prozess. Die Norm gliedert ihn in acht Practices, die von der Anforderung bis zur Dokumentation reichen, und stuft ihre Umsetzung in vier Reifegraden ein. Für die Prüfung durch den Betreiber zählen beide Angaben, weil erst die Stufe zeigt, wie verlässlich ein Lieferant die Practices anwendet.

Die acht Practices des sicheren Entwicklungsprozesses

Der deutsche Titel der Norm lautet Anforderungen an den Lebenszyklus für eine sichere Produktentwicklung. Es geht um Anforderungen an den sicheren Entwicklungsprozess für industrielle Komponenten, und jede Practice verlangt eigene Nachweise:

Die letzten drei Practices reichen über die Auslieferung hinaus. Bei einer Anlage wiegt das schwer, denn nach Angaben der DKE laufen OT-Systeme rund 30 Jahre, IT-Systeme rund drei.

Maturity Level: woran sich Reife ablesen lässt

Die Norm bewertet jede Practice nach einem Maturity Level von 1 bis 4. Auf Stufe 1, Initial, laufen Prozesse ad hoc und oft undokumentiert. Stufe 2, Managed, verlangt dokumentierte Prozesse, die durchgängig angewendet werden. Auf Stufe 3, Defined, gelten sie einheitlich in der ganzen Organisation, auf Stufe 4, Improving, werden sie anhand von Kennzahlen verbessert. Für den Betreiber heißt Stufe 2, dass sich der Prozess prüfen lässt, weil es ihn schriftlich gibt. Ab Stufe 3 hängt er nicht mehr an einzelnen Personen.

Was Maturity Level 2 im Nachweis aussagt

In mehreren öffentlichen Zertifizierungsmeldungen von Herstellern steht IEC 62443-4-1 Maturity Level 2. Die Stufe besagt, dass ein dokumentierter Prozess bei jedem Produkt angewendet wird, nicht aber, dass er über alle Produktlinien vereinheitlicht ist. Prüfen lässt sie sich auch ohne Zertifikat, an Verfahrensbeschreibungen und Testprotokollen der letzten Releases.

Keine Verwechslung mit anderen Reifegradmodellen

Rund um KRITIS-Software kursieren mehrere Reifegradskalen ohne gemeinsamen Maßstab. Der BSI-Reifegrad von 1 bis 5 bewertet Prozesse eines Managementsystems, und für die SBOM-Pflege für KRITIS gibt es ein eigenes vierstufiges Modell. Der Maturity Level bezieht sich dagegen immer auf die Practices dieses einen Normteils. Eine Stufe 3 im einen Modell sagt nichts über Stufe 3 im anderen.

IEC 62443-4-2 und die Rollenteilung der Normenreihe

Was beinhaltet die IEC 62443 für die einzelnen Beteiligten? Die Normenreihe verteilt die Sicherheit einer Anlage auf mehrere Rollen, jeder Teil spricht eine an. IEC 62443-4-2 ergänzt den Prozess aus IEC 62443 Teil 4-1 um die Funktionen, die eine Komponente mitbringen muss.

Betreiber, Integrator, Hersteller: wer was liefert

Die Normenreihe folgt dem Prinzip der gestaffelten Verteidigung, Defense-in-Depth genannt, bei dem jede Rolle eine eigene Schutzschicht beiträgt. Keine ersetzt die Schicht einer anderen. Die Teile verteilen sich so:

☞ IEC 62443-2-1: Sicherheitsprogramm des Betreibers
☞ IEC 62443-2-4: Anforderungen an Dienstleister
☞ IEC 62443-3-2: Zonen, Conduits und Ziel-Schutzniveau
☞ IEC 62443-3-3: Systemanforderungen der Anlage
☞ IEC 62443-4-1: Entwicklungsprozess des Herstellers
☞ IEC 62443-4-2: technische Anforderungen an Komponenten

Nach IEC 62443-3-2 ordnet der Betreiber jeder Zone einen Security Level von 1 bis 4 zu, vom Schutz gegen zufällige Verstöße bis zum Schutz gegen gezielte Angriffe mit hohen Mitteln. Ob eine Zone den geforderten IEC 62443 Security Level erreicht, zeigt sich erst im Zusammenbau nach IEC 62443-3-3. Eine IEC-62443-Zertifizierung gibt es deshalb je Rolle, für Betreiber nach IEC 62443-2-1, für Dienstleister nach Teil 2-4, für Hersteller nach IEC 62443-4-1.

Fachanwendung zwischen IEC 62443-4-2 und IEC 62443-2-4

Eine Fachanwendung an der Zonengrenze ist Produkt und Dienstleistung zugleich. Als Produkt misst IEC 62443-4-2 sie an Fähigkeiten wie Authentifizierung, Rechteprüfung, Protokollierung und abgesicherten Updates. Technisch setzt die Anwendungshärtung diese Anforderungen um, etwa durch abgeschaltete Dienste und sichere Voreinstellungen. Als Leistung greift der Dienstleisterteil, sobald der Lieferant die Anwendung einrichtet oder aus der Ferne wartet. Welcher Nachweis verlangt wird, gehört vor der Vergabe in die Anforderungen.

Datenübergabe aus dem Leitsystem an eine Anwendung

Typisch ist die Übergabe von Messwerten aus dem Leitsystem an eine auswertende Anwendung. Die Norm fasst jede Verbindung zwischen zwei Zonen als Conduit, über den nur ausdrücklich vorgesehene Datenflüsse laufen. Bei einer reinen Auswertung fließen die Daten in eine Richtung, und die Anwendung hat keinen Schreibweg zurück. Die Schnittstelle kommt dann mit dieser Einbahnstraße aus, jeder Rückkanal ist eine eigene Anforderung.

Wo die Zuständigkeit der Anwendung endet

Die Grenze verläuft dort, wo die Steuerung beginnt. Was die Anlage selbst regelt, bleibt beim Betreiber und seinen Anlagenherstellern. Nicht zur Fachanwendung gehören:

TenMedia entwickelt Fachanwendungen und Schnittstellen, die an solche Grenzen anschließen, und bleibt dabei auf der Seite der Anwendung. Grundlage ist ein durch den TÜV SÜD nach ISO 27001 zertifiziertes Managementsystem für die Entwicklung von Individualsoftware. Ein Beispiel für eine Datenübergabe über eine Systemgrenze, dort ohne Anlagenbezug, ist die Schnittstellenentwicklung für eine Hochschule.

FAQs

Was bedeutet IACS, und wann gehört eine Fachanwendung selbst dazu? keyboard_arrow_down keyboard_arrow_up
IACS steht für Industrial Automation and Control Systems, also Steuerungen, Leitsysteme und Bedienrechner einer Anlage. Eine Fachanwendung zählt nicht schon deshalb dazu, weil sie Anlagendaten auswertet. Sie wird Teil davon, wenn sie innerhalb einer Anlagenzone läuft oder Befehle an die Steuerung sendet.
Lohnt sich eine Zertifizierung nach IEC 62443-4-1 für einen Softwarelieferanten, der keine Anlagen baut? keyboard_arrow_down keyboard_arrow_up
Das hängt davon ab, ob die Kunden den Nachweis als Eignungskriterium führen. Ist in ihrer Branche IEC 62443 regulatorisch vorgeschrieben oder im Vertrag verankert, öffnet das Zertifikat den Zugang. Sonst lassen sich offengelegte Unterlagen je Practice auch ohne Zertifizierungsverfahren prüfen.
Welche Reifegradstufe nach IEC 62443-4-1 sollte ein Softwarelieferant belegen können? keyboard_arrow_down keyboard_arrow_up
Für eine Fachanwendung, die Daten an der Grenze zur Anlage übernimmt, lässt sich IEC 62443-4-1 Maturity Level 2 als Mindeststand ansetzen, weil ab dieser Stufe jeder Prozessschritt dokumentiert und prüfbar ist. Liegt kein Zertifikat vor, zählen die Unterlagen je Practice selbst, etwa Bedrohungsanalysen, Testprotokolle und das Update-Verfahren der letzten Releases. TenMedia legt als Softwarelieferant diese Unterlagen aus einem nach ISO 27001 durch den TÜV SÜD zertifizierten Entwicklungsprozess offen und benennt dabei ausdrücklich, welche Practices sie abdecken und welche nicht. Ein eigenes Zertifikat nach IEC 62443-4-1 besitzt TenMedia nicht.