Audit
OT-Security GAP-Analyse: Wo stehen Sie bei IEC 62443?
Ob Sie Anlagen betreiben, Automatisierungslösungen integrieren oder Komponenten entwickeln: IEC 62443 stellt an jede Rolle andere Anforderungen. Wir prüfen genau den Teil der Normenreihe, der für Sie gilt, und zeigen, was bis zur Umsetzung fehlt.
Kostenlos und unverbindlich. Ihr Angebot erhalten Sie innerhalb von 48 Stunden.
Welchen Teil der IEC 62443 wir prüfen
Wir prüfen den Teil der Normenreihe, der zu Ihrer Rolle passt:
- Betreiber (Asset Owner): IEC 62443‑2‑1, Ihr Sicherheitsprogramm für den Anlagenbetrieb
- Integratoren und Dienstleister: IEC 62443‑2‑4, Anforderungen an Integration und Wartung
- Softwareentwicklung: IEC 62443‑4‑1, Ihr sicherer Entwicklungsprozess
- Produkte und Komponenten: IEC 62443‑4‑2, technische Anforderungen je Security Level
- Auf Wunsch: IEC 62443‑3‑3 für Systeme, die Sie liefern oder betreiben
Ihr Ergebnis: Erfüllungsgrad und IEC 62443 Action Plan
Sie wissen, was bis zur Umsetzung oder Zertifizierung fehlt:
- Erfüllungsgrad je Anforderung des geprüften Normteils
- Lücken mit Bewertung nach Risiko und Aufwand
- Priorisierter Action Plan, abgestimmt auf Anlagenbetrieb oder Produktentwicklung
- Grundlage für die Umsetzung mit unserer OT-Security Beratung und für das Zertifizierungsaudit
So läuft Ihre IEC 62443 GAP-Analyse ab
Wir starten bei Ihrer Rolle und prüfen dann Anforderung für Anforderung:
- Erstgespräch: Rolle, Anlagen oder Produkte, Ziele.
- Ihr Angebot mit Umfang und Vorgehen
- Einordnung: relevante Normteile, Geltungsbereich und Zielniveau.
- Analyse: Interviews, Dokumentenprüfung und bei Betreibern eine Begehung der Anlagen.
- Bericht und Action Plan: mit Empfehlungen, etwa für Risikoanalysen, OT-Pentests oder Secure Coding Trainings.
Warum Securitects
- Nah an der Norm: Unser Team wirkt als Expertenmitglied in der OVE-Arbeitsgruppe zur IEC 62443 mit
- Der richtige Normteil für jede Rolle: Betreiber, Integratoren und Hersteller bewerten wir gegen die Anforderungen, die für sie gelten
- Erfahrung als NIS-Prüfer kritischer Anlagen: in den Sektoren Energieversorgung, Trink- und Abwasser, öffentlichem Verkehr
- Aus der Produktentwicklung: jahrelange Erfahrung in Konzeption und Entwicklung sicherer Produkte, für die Analyse nach IEC 62443‑4‑1 und 4‑2
Häufige Fragen zur IEC 62443 GAP-Analyse
Das hängt von Ihrer Rolle ab. Betreiber von Anlagen orientieren sich an IEC 62443‑2‑1, Integratoren und Wartungsdienstleister an IEC 62443‑2‑4. Hersteller prüfen ihren Entwicklungsprozess nach IEC 62443‑4‑1 und ihre Komponenten nach IEC 62443‑4‑2. Viele Unternehmen haben mehrere Rollen, etwa ein Maschinenbauer, der Steuerungen entwickelt und beim Kunden in Betrieb nimmt. Das klären wir im Erstgespräch.
Das Sicherheitsprogramm für Ihre Anlagen: Organisation und Verantwortlichkeiten, Konfigurationsmanagement, Netzsegmentierung, Fernzugriff, Benutzer- und Zugriffsverwaltung, Schutz vor Schadsoftware, Patch- und Backup-Management sowie die Behandlung von Sicherheitsvorfällen.
IEC 62443‑4‑1 beschreibt acht Praktiken für einen sicheren Entwicklungsprozess, von Sicherheitsanforderungen und Secure Design über Implementierung und Tests bis zum Schwachstellen- und Update-Management. IEC 62443‑4‑2 legt die technischen Sicherheitsanforderungen an Komponenten fest, also an Software-Anwendungen, Embedded Devices, Host- und Netzwerkgeräte, abgestuft nach Security Levels.
Der Cyber Resilience Act verlangt von Herstellern Cybersicherheit über den gesamten Produktlebenszyklus. IEC 62443‑4‑1 und 4‑2 decken für industrielle Komponenten viele dieser Anforderungen ab, etwa sichere Entwicklung, Schwachstellenbehandlung und Sicherheitsupdates. Eine GAP-Analyse nach 4‑1 und 4‑2 ist daher eine gute Vorbereitung. Ob Ihr Produkt alle CRA-Anforderungen erfüllt, zeigt unser CRA Readiness Assessment.
Die GAP-Analyse ist der erste Schritt und zeigt, wo Sie stehen. In der IEC 62443 Beratung setzen wir danach die Maßnahmen mit Ihnen um, von Risikoanalyse und Zonenmodell über Richtlinien bis zu OT-Pentests.
Nein. Die GAP-Analyse stützt sich auf Interviews, Dokumente und Begehungen, wir greifen nicht in Ihre Steuerungssysteme ein. Technische Prüfungen wie OT-Pentests planen wir gesondert und stimmen sie mit Ihrem Anlagenbetrieb ab.
Ja. Sie zeigt, was bis zum Audit einer unabhängigen Zertifizierungsstelle fehlt, etwa für den Entwicklungsprozess nach IEC 62443‑4‑1, Komponenten nach 4‑2 oder Dienstleister nach 2‑4. Die GAP-Analyse ist eine Vorprüfung, wir zertifizieren nicht selbst.
Den Aufwand bestimmen vor allem die Zahl der geprüften Normteile, bei Betreibern die Zahl der Standorte und Anlagen, bei Herstellern die Zahl der Produkte und die angestrebten Security Levels. Auch der Stand Ihrer Dokumentation spielt eine Rolle. Produkte auf einer gemeinsamen Plattform lassen sich oft gebündelt bewerten.
Starten Sie Ihre IEC 62443 GAP-Analyse
Im kostenlosen Erstgespräch klären wir, welcher Teil der Normenreihe für Sie gilt.