IEC 62443 – Security for Industrial Automation and Control Systems
Am 6. Oktober 2026 fand im Haus der Ingenieure in Wien die jährliche OVE-Konferenz zum Thema Sicherheit industrieller Automatisierungssysteme statt. Im Mittelpunkt der diesjährigen Veranstaltung standen der Cyber Resilience Act (CRA) und die damit verbundenen regulatorischen Anforderungen sowie die Frage, wie die Normenreihe IEC 62443 Unternehmen bei deren Umsetzung unterstützen kann.
Das Vortragsprogramm spannte einen Bogen von aktuellen Entwicklungen in der Normung und den Anforderungen des CRA über praktische Erfahrungen mit Zertifizierungsprozessen und der CE-Konformitätsbewertung bis hin zur Cybersicherheit in industriellen Lieferketten. Weitere Schwerpunkte bildeten die physische Sicherheit von OT-Umgebungen (Operational Technology) sowie das Zusammenspiel von Unternehmens-IT, OT und Produktsicherheit. Die vortragenden Expertinnen und Experten teilten dabei ihre Erfahrungen aus der Praxis und gaben wertvolle Einblicke in aktuelle Herausforderungen und konkrete Lösungsansätze.
Auch in diesem Jahr wurde die Konferenz in einem hybriden Format durchgeführt, um Interessierten sowohl vor Ort als auch online die Teilnahme zu ermöglichen. Gleichzeitig bot die Veranstaltung Gelegenheit für Fragen, fachliche Diskussionen und den persönlichen Austausch zwischen den Teilnehmenden und Vortragenden.
Die freigegebenen Aufzeichnungen der Vorträge sowie die zugehörigen Präsentationsunterlagen stehen unter folgendem Link zur Verfügung:
Aktuelle Entwicklungen bei der IEC 62443 – Thomas Bleier, B-SEC better secure GmbH & Co KG
Zu Beginn der Veranstaltung gab es auch in diesem Jahr einen Überblick über den aktuellen Entwicklungsstand und die laufenden Aktivitäten rund um die Normenreihe IEC 62443. Ein wesentlicher Fortschritt ist die mittlerweile gemeinsame Weiterentwicklung der Normen durch Expertinnen und Experten der ISA und IEC, während diese Aufgabe zuvor überwiegend von der ISA wahrgenommen wurde.
Im Jahr 2025 wurden zwei weitere Teile der Normenreihe veröffentlicht. Die IEC 62443-1-6 befasst sich mit der Anwendung der Normenreihe im Bereich des Industrial Internet of Things (IIoT), während die IEC 62443-2-2 einen strukturierten Ansatz zur Bewertung des Sicherheitsniveaus industrieller Systeme bereitstellt, der auch den Reifegrad der implementierten Maßnahmen berücksichtigt.
Ein weiterer wichtiger Entwicklungsschritt ist die Arbeit an den europäischen Versionen von Teilen der IEC 62443 sowie den daraus abgeleiteten Profilen für verschiedene Produktkategorien. Diese sollen künftig konkrete Leitlinien für die unterschiedlichen Produktkategorien des CRA bieten, können aber auch unabhängig von dessen regulatorischem Anwendungsbereich eingesetzt werden. Sie stellen gleichzeitig die erste breite Anwendung der in der IEC 62443-1-5 definierten Vorgangsweise zur Ableitung von Profilen für bestimmte Produktkategorien dar.
CRA-bezogene Standardisierung für OT: EN IEC 62443 – Kai Wollenweber, Siemens AG, CENELEC TC65X
Kai Wollenweber beleuchtete die aktuellen Entwicklungen der europäischen Normungsarbeit zur Umsetzung des Standardisierungsmandats zum CRA im Bereich der OT. Im Mittelpunkt standen der Standardisierungsauftrag M/606 und die damit verbundene Entwicklung horizontaler und produktspezifischer Normen. Besondere Bedeutung kommt dabei der EN 40000-1-3 zu, die sich mit dem Vulnerability Handling befasst und die Anforderungen aus Anhang I, Teil II des CRA konkretisiert. Sie beschreibt Prozesse zur Identifikation, Bewertung, Behebung und koordinierten Offenlegung von Schwachstellen sowie zur Bereitstellung von Sicherheitsupdates über den gesamten Produktlebenszyklus. Damit stellt sie eine wichtige Grundlage für Hersteller dar, um die regulatorischen Anforderungen an das Schwachstellenmanagement systematisch umzusetzen. Nach ihrer Harmonisierung und Veröffentlichung im EU-Amtsblatt soll die Norm zudem eine Konformitätsvermutung hinsichtlich der von ihr abgedeckten CRA-Anforderungen ermöglichen.
Ein weiterer Schwerpunkt des Vortrags lag auf den geplanten Erweiterungen der IEC 62443-4-1 und IEC 62443-4-2, darunter zusätzliche Sicherheitsanforderungen, eine präzisere Beschreibung der vorgesehenen Einsatzumgebung sowie klar definierte Kriterien zur Anwendbarkeit einzelner Anforderungen. Eine wesentliche Neuerung in diesen europäischen Versionen der Norm betrifft die Definition der Security Levels: Während diese bisher vor allem den Schutz gegenüber bestimmten Angreifertypen beschrieben haben, sollen sie künftig als Zusammenstellung von Sicherheitsmaßnahmen verstanden werden, die einen bestimmten Grad der Risikoreduktion unterstützen. Darüber hinaus wurde die erweiterte Evaluierungsmethodik der IEC TS 62443-6-2 thematisiert. Abschließend gab Wollenweber einen Ausblick auf die entstehenden produktspezifischen Sicherheitsprofile der EN 50770-Reihe, die künftig die CRA-Konformitätsbewertung für diese Produktkategorien unterstützen sollen.
Cyber Resilience Act aus rechtlicher Sicht: Anwendungsbereich und Meldepflichten – Michael Jesse, NexTech.Law
Michael Jesse thematisierte den Cyber Resilience Act aus juristischer und Compliance-Perspektive. Ausgehend von Cyberangriffen und ihren möglichen Auswirkungen auf Unternehmen stellte er zwei praktische Fragen in den Mittelpunkt: Fällt das eigene Produkt unter die Verordnung, und wann entsteht eine Meldepflicht? Im ersten Teil erläuterte er die Kriterien für die Prüfung des Anwendungsbereichs. Anhand von Beispielen zeigte er, welche Bedeutung Produkteigenschaften, Datenverbindungen und die Bereitstellung auf dem Markt haben und wie gesetzliche Ausnahmen zu berücksichtigen sind.
Der zweite Teil widmete sich den seit dem 11. September 2026 geltenden Meldepflichten der Hersteller für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit ihrer Produkte auswirken. Jesse erläuterte die Meldeauslöser, die gestuften Fristen und den Ablauf über die Single Reporting Platform von der European Union Agency for Cybersecurity (ENISA). Dabei hob er hervor, dass Unternehmen klare Zuständigkeiten und vorbereitete Informationswege benötigen, um Meldungen rechtzeitig und mit den erforderlichen Angaben einzureichen.
CRA für OT-Produkte – Zuordnung zur IEC 62443, auditrelevante Lücken und Konformitätsbewertung nach Modul H – Markus Steinmetz, Steinmetz Security
Markus Steinmetz betrachtete den Cyber Resilience Act aus Sicht der Konformitätsbewertung und des Audits. Ausgangspunkt war eine Frage, die viele Hersteller derzeit beschäftigt: Reicht eine Zertifizierung nach IEC 62443-4-1 und -4-2 aus, um die Anforderungen des CRA zu erfüllen?
Im ersten Teil stellte er die Anforderungen aus Anhang I des CRA der IEC 62443 gegenüber. Das Ergebnis: Die Normenreihe deckt zentrale Themen wie Security by Design, Zugriffsschutz, Vertraulichkeit und Integrität sowie Sicherheitstests vollständig ab. Lücken bestehen dagegen bei der SBOM (Software Bill of Materials), den seit 11. September 2026 geltenden Meldepflichten nach Art. 14, der Dokumentation von Bestimmungszweck und Produkteinstufung sowie beim verbindlichen Supportzeitraum. Wie sich diese Lücken schließen lassen, zeigte er anhand der BSI-Richtlinien TR-03183-2 zur SBOM und TR-03183-3 zum Umgang mit Schwachstellenmeldungen.
Der zweite Teil widmete sich der Konformitätsbewertung nach Modul H. Auf Basis der BSI TR-03183-H erläuterte Markus Steinmetz, wie ein bestehendes ISMS nach ISO/IEC 27001 um Qualitätssicherungselemente aus ISO 9001 und um harmonisierte Normen erweitert werden kann, um als Nachweis gegenüber einer benannten Stelle zu dienen. Besonderes Gewicht legte er auf die veränderte Risikoperspektive: Bewertet werden nicht mehr die Risiken für das Unternehmen, sondern die Risiken für Nutzer:innen und betroffene Dritte.
Abschließend berichtete er von typischen Befunden aus Audits und Projekten, etwa fehlenden SBOM-Prozessen, nicht geübten Meldewegen oder ISMS, deren Geltungsbereich an der IT endet. Anhand konkreter Prüfstichproben und eines Fahrplans bis Dezember 2027 zeigte er, wie Hersteller und Prüfstellen sich gezielt auf die volle Anwendung des CRA vorbereiten können.
Wenn Zutritt zur Schwachstelle wird: Physical Security in OT – Christoph Seidel, Nviso Security
Christoph Seidel verdeutlichte in seinem Vortrag die zentrale Bedeutung der physischen Sicherheit in industriellen OT-Umgebungen und deren Rolle innerhalb des Defence-in-Depth-Konzepts. Während in der klassischen IT häufig der Schutz vor digitalen Angriffen im Vordergrund steht, kann in OT-Systemen bereits der physische Zugang zu Anlagen oder Schaltschränken erhebliche Sicherheitsrisiken mit sich bringen. Angreifer:innen könnten dadurch nicht nur Steuerungslogiken manipulieren, sondern auch sicherheitskritische Funktionen beeinträchtigen. Anhand eines konkreten Unternehmensbeispiels veranschaulichte Seidel, wie öffentlich zugängliche Informationen (Open Source Intelligence, OSINT), gezielte Informationsbeschaffung und Social Engineering genutzt werden können, um physischen Zutritt zu erlangen. Dabei zeigte er auf, wie insbesondere externe Dienstleister sowie Schwachstellen in Zutrittskontrollen und Verifikationsprozessen ausgenutzt werden können. Durch glaubwürdige Vorwände und gezielt erzeugten Zeitdruck lassen sich bestehende Sicherheitsmaßnahmen unter Umständen umgehen. Der Vortrag unterstrich, dass ein wirksames Sicherheitskonzept nur durch das Zusammenspiel physischer, organisatorischer und technischer Schutzmaßnahmen erreicht werden kann.
IEC 62443-4-1-Zertifizierung für Maschinenbauer: ein Erfahrungsbericht – Florian Gerstmayer, Limes Security GmbH & Michael Riegler, Engel Austria GmbH
Florian Gerstmayer und Michael Riegler berichteten über die praktischen Erfahrungen bei der Umsetzung und Zertifizierung sicherer Entwicklungsprozesse nach IEC 62443-4-1 beim Maschinenhersteller ENGEL Austria. Insbesondere im Hinblick auf den CRA wurde zunächst das ENGEL Edge Device als Ausgangspunkt (Golden Candidate) gewählt, um die etablierten Sicherheitsprozesse künftig auch auf weitere Produkte und Lösungen, darunter die E-Connect-Plattform, auszuweiten. Im Mittelpunkt standen dabei die Herausforderungen bei der Umsetzung eines derart umfangreichen Projekts, insbesondere die bereichsübergreifende Kommunikation, die Verfügbarkeit von Ressourcen, die Festlegung von Prioritäten sowie die klare Zuordnung von Rollen und Verantwortlichkeiten. Ein wesentlicher Schwerpunkt lag auf der nachvollziehbaren Integration von Sicherheitsanforderungen in den Entwicklungsprozess, von der Identifikation und Bewertung von Schwachstellen bis hin zur dokumentierten Umsetzung entsprechender Maßnahmen.
Die Vortragenden teilten außerdem ihre Erfahrungen mit dem Zertifizierungsprozess durch die Zertifizierungsstelle und der Umsetzung des angestrebten Reifegrads Maturity Level 2 (ML2). Dabei wurde deutlich, dass eine erfolgreiche Zertifizierung nicht den Abschluss der Sicherheitsaktivitäten darstellt, sondern eine kontinuierliche Weiterentwicklung und Verbesserung der etablierten Prozesse erfordert. Der Erfahrungsbericht zeigte, wie sich auch im klassischen Maschinenbau strukturierte Cybersecurity-Prozesse nachhaltig in die Produktentwicklung integrieren lassen.
IEC 62443 in der Lieferkette – Stephan Hutterer, CyberUp GmbH
Stephan Hutterer beleuchtete die Bedeutung der Cybersecurity innerhalb industrieller Lieferketten und die damit verbundenen Herausforderungen bei der Bewertung und Auswahl von Lieferanten. Insbesondere durch regulatorische Anforderungen wie die NIS2-Richtlinie gewinnt die Sicherheit entlang der gesamten Lieferkette zunehmend an Bedeutung. Dabei spielen unter anderem bestehende Zertifizierungen wie ISO 27001, Vertrauenskennzeichnungen, vertragliche Vereinbarungen sowie Regelungen zum Patch- und Schwachstellenmanagement eine wichtige Rolle. Hutterer zeigte auf, wie die IEC 62443 zur systematischen Definition, Bewertung und Überprüfung von Sicherheitsanforderungen im Beschaffungsprozess eingesetzt werden kann. Mithilfe eines strukturierten Security Requirements Engineering, beispielsweise durch tabellarisch dokumentierte Anforderungskataloge, lassen sich Sicherheitsanforderungen nachvollziehbar an Lieferanten kommunizieren und deren Erfüllung überprüfen. Bei Abweichungen sind entsprechende Risikobewertungen durchzuführen und gegebenenfalls Maßnahmen zur Risikobehandlung oder eine bewusste Risikoakzeptanz festzulegen.
Ein weiterer Schwerpunkt war die risikobasierte Klassifizierung von Komponenten, etwa von Steuerungen (PLCs) oder Bediengeräten (HMIs), um abhängig von ihrer Kritikalität unterschiedliche Nachweise und Sicherheitsinformationen, beispielsweise eine SBOM, einzufordern. Auch der Umgang mit dem Lebenszyklus einzelner Komponenten wurde thematisiert, da das End of Life (EoL) einer Komponente nicht zwangsläufig das Ende des Lebenszyklus des gesamten Produkts bedeutet. Abschließend wurde deutlich, dass die IEC 62443 zwar nicht den vollständigen Beschaffungsprozess abdeckt, jedoch eine wertvolle Grundlage bietet, um Sicherheitsanforderungen an Lieferanten einheitlich zu definieren, zu bewerten und deren Einhaltung systematisch zu überprüfen.
CE-Kennzeichnung unter dem CRA – Erich Kronfuß, Anapur AG
Erich Kronfuß erläuterte in seinem Vortrag die Anforderungen an die CE-Kennzeichnung von Produkten mit digitalen Elementen im Rahmen des CRA. Im Mittelpunkt standen die Verantwortung der Hersteller sowie die notwendigen Schritte zur erfolgreichen Konformitätsbewertung. Dabei ging er insbesondere auf die Klassifizierung von Produkten nach dem CRA ein, da diese maßgeblich darüber entscheidet, ob eine interne Konformitätsbewertung ausreicht oder eine notifizierte Stelle eingebunden werden muss. Weitere Schwerpunkte waren die Durchführung von Cybersecurity-Risikoanalysen, die Erstellung der technischen Dokumentation und der EU-Konformitätserklärung sowie die Umsetzung eines kontinuierlichen Schwachstellenmanagements. Darüber hinaus beleuchtete Kronfuß die Bedeutung harmonisierter europäischer Normen, insbesondere der EN 40000-Reihe und der EN 50770-Serie, als Grundlage für die Erfüllung regulatorischer Anforderungen. Abschließend erläuterte er die Voraussetzungen für das Anbringen der CE-Kennzeichnung sowie mögliche Folgen bei Verstößen gegen die Konformitätsanforderungen oder bei wesentlichen Änderungen an bereits gekennzeichneten Produkten.
OT-Security ist kein Inselthema – Natalia Petrova-Korudzhiyski, msg Plaut Austria GmbH
Natalia Petrova-Korudzhiyski verdeutlichte in ihrem Vortrag, warum OT-Security nicht isoliert von der Unternehmens-IT und der Produktsicherheit betrachtet werden kann. Anhand realer Cyberangriffe auf Jaguar Land Rover, den polnischen Energiesektor und einen norwegischen Staudamm zeigte sie, wie Schwachstellen in IT-Systemen, Fernzugängen und industriellen Komponenten erhebliche Auswirkungen auf den Betrieb ganzer Anlagen haben können. Ein wesentlicher Schwerpunkt lag auf der Zusammenarbeit zwischen Herstellern, Systemintegratoren und Betreibern, deren Sicherheitsverantwortlichkeiten durch die Normenreihe IEC 62443 klar voneinander abgegrenzt werden. Gleichzeitig unterstrich sie die Bedeutung eines ganzheitlichen Sicherheitsmanagements, das auch regulatorische Anforderungen wie den CRA und NIS2 berücksichtigt. Als zentrale Maßnahmen wurden unter anderem die Absicherung von Fernzugängen, Netzwerksegmentierung, kontinuierliches Monitoring, getestete Wiederanlaufverfahren sowie verbindliche Sicherheitsanforderungen an Lieferanten hervorgehoben. Der Vortrag machte deutlich, dass wirksame OT-Security nur durch ein abgestimmtes Zusammenspiel von Werk, Produktentwicklung und Unternehmens-IT erreicht werden kann.
Auch in diesem Jahr durften wir uns wieder über das große Interesse an der Veranstaltung und zahlreiche Teilnehmende sowohl vor Ort als auch online freuen. Bei dieser Gelegenheit möchte ich mich herzlich bei allen Vortragenden für ihre Beiträge, bei unseren Sponsoren für ihre Unterstützung sowie beim Organisationsteam des OVE für die professionelle Durchführung der Veranstaltung bedanken. Nach der erfolgreichen Ausgabe in diesem Jahr planen wir für den 4. Oktober 2027 die nächste Veranstaltung mit aktuellen Themen rund um IEC 62443 und Industrial Cybersecurity. Über Ideen und Themenvorschläge für zukünftige Vorträge freuen wir uns schon jetzt – senden Sie dazu gerne eine kurze E-Mail an t@b-sec.net.
Wir freuen uns auf ein Wiedersehen im kommenden Jahr!
Chief Security Improvement Officer und Geschäftsführer
B-SEC better secure GmbH & Co KG
mehr erfahren
