Insights · Compliance & Security
IEC 62443-4-1 in der Praxis: Was auf Gerätehersteller wirklich zukommt
Immer mehr Betreiber schreiben IEC 62443 in ihre Einkaufsbedingungen. Für Hersteller von Labor- und Analysegeräten heißt das: Die Frage ist nicht mehr, ob man sich mit der Norm befasst — sondern wie weit man von ihr entfernt ist, ohne es zu wissen.
Worum es in 62443-4-1 eigentlich geht
Der Teil 4-1 der Normenreihe bewertet nicht das Produkt, sondern den Entwicklungsprozess: Gibt es einen definierten, gelebten Secure-Development-Lifecycle? Die Norm gliedert das in Praxisfelder — von Security-Anforderungen über sicheres Design und Implementierung, Verifikation und Validierung bis zum Umgang mit gemeldeten Schwachstellen und dem Update-Management.
Das ist eine gute Nachricht: Vieles davon tun ordentliche Entwicklungsorganisationen längst. Die schlechte: Was nicht dokumentiert und nachweisbar ist, existiert aus Sicht eines Audits nicht.
Die Lücken, die in Gap-Analysen immer wieder auftauchen
- Gelebte, aber undokumentierte Praxis. Code-Reviews finden statt, Threat-Überlegungen gibt es — aber nichts davon ist als definierter Prozess festgehalten. Die Lücke ist Papier, nicht Können; sie ist am billigsten zu schließen und wird am häufigsten unterschätzt.
- Kein belastbares Bedrohungsmodell. „Das Gerät steht doch im Labor" ist keine Analyse. Sobald ein Gerät Netzwerk, USB oder ein Wartungsinterface hat, braucht es ein dokumentiertes Modell, was ein Angreifer damit anfangen könnte.
- Anforderungen ohne Nachverfolgbarkeit. Security-Anforderungen existieren als Prosa, aber niemand kann zeigen, welcher Test welche Anforderung abdeckt. Genau diese Kette — Anforderung, Umsetzung, Test, Nachweis — ist der Kern dessen, was Prüfer sehen wollen.
- Update- und Schwachstellenprozess ohne Fahrplan. Was passiert, wenn morgen eine Schwachstelle in einer verbauten Komponente gemeldet wird? Wer bewertet, wer entscheidet, wie kommt das Update zum Kunden — auch in abgeschottete Umgebungen? Ohne definierten Prozess wird jede Meldung zum Feuerwehreinsatz.
Die sinnvolle Reihenfolge
Der Reflex, „erst einmal alles aufschreiben zu lassen", produziert Ordner, die niemand lebt. Bewährt hat sich eine andere Reihenfolge:
- Standort bestimmen. Eine Gap-Analyse gegen 62443-4-1 zeigt, was schon da ist, was fehlt und was nur undokumentiert ist. Ergebnis: eine priorisierte Liste, kein Schuldgefühl.
- Dokumentationslücken zuerst schließen. Gelebte Praxis festschreiben kostet wenig und hebt den Reifegrad sofort messbar.
- Strukturelle Lücken in die Roadmap einplanen. Nachverfolgbarkeit, Bedrohungsmodell und Update-Prozess sind Entwicklungsvorhaben — sie gehören in die Release-Planung, nicht in ein Sonderprojekt neben ihr.
Kurz gefasst: 62443-4-1 prüft den Prozess, nicht das Produkt. Die teuersten Lücken sind selten die technischen — es sind undokumentierte Praxis, fehlende Nachverfolgbarkeit und ein Update-Prozess, der nur im Kopf eines Kollegen existiert. Wer mit einer ehrlichen Standortbestimmung beginnt, macht aus der Norm eine Roadmap statt einer Drohung.
Wo Sie stehen, klärt der 62443-Readiness-Check — eine Festpreis-Gap-Analyse mit priorisierter Schließungsliste, vor dem nächsten Kundenaudit statt danach.