IEC 62443 in der Anlage, nicht im Ordner

Zonen und Conduits aus der Kommunikation, die wirklich läuft. Mit Ziel-Schutzniveau je Zone und einer Reihenfolge, die zu Wartungsfenstern passt.

Erstgespräch vereinbaren Schreiben Sie uns

Vertraut von

Die Ausgangslage

Ein Zonenkonzept ist eine Aussage über die Anlage

Ein Zonenmodell lässt sich am Schreibtisch zeichnen, aber es gilt erst, wenn es zu den Verbindungen passt, die tatsächlich offen sind. Die Probe darauf ist eine einzige Frage: Welche Wege führen heute zwischen Büronetz und Leitebene und stehen sie alle im Konzept.

Die Norm ist an der Stelle unbequem konkret. Ein Zonenmodell nach 62443-3-2 ist eine Aussage über die Architektur: Welche Anlagenteile teilen ein Schutzniveau, wo verläuft die Grenze und was darf über den Übergang. Das lässt sich nicht schreiben, ohne die Anlage zu kennen.

Deshalb beginnen wir mit der Kommunikation, die wirklich läuft. Nicht mit dem Netzplan, der gelten sollte.

Der Kern

Zonen und Übergänge, wie sie wirklich verlaufen

Zwischen Büro-IT und Leitebene liegt in vielen Anlagen eine gewachsene Verbindung: eine Fernwartung, die niemand abgeschaltet hat, ein Historian mit zwei Netzkarten, eine Freigabe für einen Integrator von vor drei Jahren. Auf dem Papier ist die Ebene 3.5 eine Linie, in der Anlage ist sie eine Liste von Ausnahmen.

Wir nehmen die tatsächliche Kommunikation auf, passiv und im laufenden Betrieb und stellen sie dem Sollzustand gegenüber. Daraus entsteht das Zonen- und Conduit-Modell nach 62443-3-2, mit einem Ziel-Schutzniveau je Zone und einer Aufstellung der Übergänge, die es tatsächlich gibt.

Was dabei regelmäßig auffällt, ist nicht die fehlende Firewall, sondern der Weg, der an ihr vorbeiführt.

Die drei Teile, die zählen

Welcher Teil der 62443 für wen gilt

Die Normenreihe ist umfangreich, aber für einen Betreiber sind drei Teile entscheidend. Der Rest richtet sich an Hersteller und Integratoren.

62443-2-1: das Programm

Was der Betreiber organisatorisch aufbauen muss. Zuständigkeiten, Änderungs- und Patchverfahren, Umgang mit Lieferanten. Der Teil, der am ehesten an ein ISMS erinnert und sich mit NIS-2 überschneidet.

62443-3-2: die Zonen

Risikoanalyse und die Aufteilung der Anlage in Zonen und Conduits, jeweils mit einem Ziel-Schutzniveau. Das ist der Teil, der Architektur bedeutet und nicht nur Dokumentation.

62443-3-3: die Anforderungen

Was ein System können muss, um ein Schutzniveau zu erreichen. Hier zeigt sich, ob eine Steuerung von 2009 das Ziel überhaupt tragen kann oder ob die Kompensation in der Zone darum herum liegen muss.

Vorgehen

Von der Aufnahme zum Zonenmodell

Vier Schritte, ohne Eingriff in den Prozess.

Passive Aufnahme

Mitschnitt an den Übergabepunkten, Auswertung der Protokolle, die tatsächlich laufen: IEC 60870-5-104, IEC 61850 mit MMS und GOOSE, Modbus, DNP3, OPC UA. Kein aktiver Scan im Produktivnetz.

Anlagen- und Kommunikationsbild

Welche Geräte sprechen mit wem, in welche Richtung, wie oft. Erst daraus wird sichtbar, welche Grenzen es schon gibt und welche nur behauptet sind.

Zonen und Conduits

Aufteilung nach Schutzbedarf und Funktion, Ziel-Schutzniveau je Zone und für jeden Übergang die Frage, was er tragen muss und was er heute zulässt.

Maßnahmen mit Reihenfolge

Getrennt nach sofort, nächstes Wartungsfenster und Investitionsplanung. Eine Anlage lässt sich nicht in einem Quartal umbauen, aber sie lässt sich in einer sinnvollen Reihenfolge sicherer machen.

Wo das herkommt

Aus Anlagen, nicht aus der Normenlektüre

Unsere Zonenmodelle entstehen aus derselben Arbeit wie unsere Penetrationstests und unser OT-Monitoring: aus Umspannwerken, Leitstellen, Kraftwerksumfeldern und Stellwerkslandschaften. Was wir dort an Übergängen finden, fließt zurück in die Frage, welche Zonengrenze in der Praxis hält.

Dazu kommt die eigene Forschung. In unserem Labor stehen echte Steuerungen und in den Demonstratoren YekTrain, YekCar und YekCity prüfen wir Angriffe und Erkennung an Aufbauten, die niemandem den Betrieb kosten.

Häufige Fragen

Häufige Fragen zur OT-Compliance

Zertifiziert werden Produkte und Prozesse, nicht die Anlage als Ganzes. Für Betreiber ist der übliche Weg ein nachgewiesenes Programm nach 62443-2-1 und ein begründetes Zonenmodell nach 3-2. Wir bereiten beides vor, prüfen aber nicht selbst, was wir beraten haben.

NIS-2 sagt, dass Sie Risiken beherrschen müssen, die 62443 sagt, wie das in einer Automatisierungsumgebung aussieht. Für KRITIS-Betreiber ist die 62443 der praktikabelste Weg, den Stand der Technik zu belegen.

Nein. Die Aufnahme läuft passiv über Spiegelports und Mitschnitte. Aktive Tests machen wir nur an Ersatz- oder Laboraufbauten oder in abgestimmten Fenstern, mit vorher festgelegten Abbruchkriterien.

Das ist der Normalfall und kein Ausschlussgrund. Wenn ein Gerät ein Schutzniveau nicht selbst tragen kann, muss die Zone es tragen. Genau dafür gibt es das Modell: Es erlaubt, alte Technik zu betreiben und trotzdem zu begründen, warum das vertretbar ist.

Nachweise