OT-Security: So gelingt die Umsetzung des Korrumpierungsschutzes

Handelt es sich im industriellen Umfeld um die Hard- und Software, die zur Steuerung und Überwachung von Maschinen und Anlagen sowie deren Prozessen zum Einsatz kommt, spricht man von Operational Technology (OT). Maschinenkonstrukteure, die in diesem Bereich tätig sind, müssen sich jetzt definitiv mit dem Thema OT-Security auseinandersetzen. Denn im Anhang III der Maschinenverordnung (MVO) findet sich das neue Kapitel 1.1.9 mit dem Titel „Schutz gegen Korrumpierung“, in dem konkrete Schutzmaßnahmen der Maschinen gegen „Verfälschungen“ der ­sicherheitsbezogenen Steuerung formuliert sind.

OT-Security: Was kommt auf Konstrukteure zu

Unter anderem heißt es dort: „Die Maschine beziehungsweise das dazugehörige Produkt muss so konstruiert und gebaut sein, dass der Anschluss von einer anderen Einrichtung an die Maschine oder das dazugehörige Produkt durch jede Funktion der angeschlossenen Einrichtung selbst oder über eine mit der Maschine beziehungsweise dem dazugehörigen Produkt kommunizierende entfernte Fernzugriffseinrichtung nicht zu einer gefährlichen Situation führt.“ Im Klartext bedeutet diese Formulierung: Sowohl ein Remote-Zugriff als auch ein Vor-Ort-Zugriff auf die Sicherheitseinrichtungen müssen beherrschbar sein. Je nach Anwendung lässt sich diese Anforderung nicht nur durch technische Lösungen erfüllen.

Diese und die weiteren Bestimmungen aus der EU-Maschinenverordnung 2023/1230 sind über die durchzuführende Risikobeurteilung zu bewerten und über risikomindernde Maßnahmen zu beherrschen. Bieten Normen hier bereits Unterstützung bei der Umsetzung an? Während sich die IEC 62443 komplett auf ein ganzheitliches OT-Security-Konzept fokussiert, weisen die auf die funktionale Sicherheit spezialisierten Normen ISO 13849-1 und EN IEC 62061 keine entsprechenden ­Regelungen auf. Diesem Zweck dienen zwei spezielle Normen für OT-Security-­Anforderungen: die DIN CEN ISO/TR 22100-4 und die DIN IEC/TR 63074.

Anforderungen der DIN CEN ISO/TR 22100-4

Die Norm DIN CEN ISO/TR 22100-4 beschäftigt sich mit den Rahmenbedingungen der OT-Security im industriellen Umfeld. Sie stellt einen wichtigen Technischen Bericht dar, um den Schutz gegen Korrumpierung gemäß der neuen EU-Maschinenverordnung 2023/1230 zu realisieren. Der Technische Bericht formuliert konkrete Schutzmaßnahmen für Maschinen, damit es nicht zu „Verfälschungen“ der sicherheitsbezogenen Steuerung kommt. Dazu gehört, dass die Maschine und ihre dazugehörigen Produkte so konstruiert und gebaut sein müssen, dass der Anschluss von externen Einrichtungen keine gefährlichen Situa­tionen herbeiführt – sei es durch die angebundene Einrichtung selbst oder über eine mit der Maschine kommunizierende entfernte Fernzugriffseinrichtung. Die Einhaltung dieser Anforderungen bedingt neben technischen Lösungen auch eine gründliche Risikobeurteilung sowie die Durchführung risikomindernder Maßnahmen.

OT-Security: Leitlinien aus der DIN IEC/TR 63074

Bei der Umsetzung der OT-Security-Anforderungen im Rahmen der neuen EU-Maschinenverordnung 2023/1230 kommt der DIN IEC/TR 63074 eine große Bedeutung zu. Dieser Technische Bericht definiert detaillierte Richtlinien und Verfahren, die von den Maschinenherstellern beachtet werden sollten, sodass ein umfassender Schutz gegen die Korrumpierung der sicherheitsbezogenen Steuerung gegeben ist. Dabei legt die DIN IEC/TR 63074 einen besonderen Schwerpunkt auf die Implementierung geeigneter Maßnahmen, die für den Schutz und die Integrität der Maschinensysteme sorgen und mögliche Schwachstellen absichern. Durch die Befolgung dieses Technischen Berichts können Hersteller Risiken minimieren sowie die funktionale und Zugriffssicherheit ihrer Maschinen erhöhen, was wiederum zur erfolgreichen Realisierung der EU-Maschinenverordnung 2023/1230 beiträgt.

Technische und prozessuale Aspekte der IEC 62443

Bei der IEC 62443 handelt es sich um eine international bekannte Normenreihe zum Thema „Industrielle Kommunikationsnetze – ­IT-Sicherheit für Netze und Systeme“. Die Normenreihe beschreibt sowohl technische als auch prozessuale Aspekte der industriellen Cyber-Security. Ein wesentliches Merkmal der IEC 62443 ist die Fokussierung auf alle Rollen, die für den Lebenszyklus eines industriellen Automatisierungssystems relevant sind. Hierzu zählen Komponentenhersteller, Systemintegratoren, Dienstleister sowie die Betreiber. Die Normenreihe legt also keine speziellen Anforderungen an den Schutz der funktionalen Sicherheit dar, sondern betrachtet vielmehr den Zugriffsschutz der gesamten Maschine oder Anlage.

Zu den Konzepten der IEC 62443 gehören zum Beispiel die ­Security-Level als technische Rahmenbedingungen an Systeme und Komponenten. Darüber hinaus sei der Defense-in-Depth-Ansatz genannt. Bei dieser Strategie lassen sich Maßnahmen auf mehreren Ebenen implementieren. Dies hat den Vorteil, dass sich der Ausfall einzelner Maßnahmen kompensieren lässt. Außerdem gibt es die Methode der Zones & Conduits zur schutzbedarfs- beziehungsweise risikobasierten Segmentierung des Netzwerks. Die Normenreihen ISO 2700x und IEC 62443 ergänzen sich. Die ISO 2700x beschäftigt sich mit dem Sicherheitsmanagement für das komplette Unternehmen, während die IEC 62443 den Schwerpunkt auf Security-Konzepte für den Bereich der Automatisierungstechnik detailliert.

Gründliche Risikobeurteilung und sorgfältige Umsetzung der Maßnahmen

Die Veröffentlichung der EU-Maschinenverordnung 2023/1230 in der Version L 165/2023 des Europäischen Amtsblatts hat weitreichende Folgen, weil ein besonderes Augenmerk auf dem Schutz gegen Korrumpierung und der Sicherung der OT-Security im industriellen Umfeld liegt. Die Normenreihe IEC 62443 bietet hier ganzheitliche Konzepte, um den Security-Level, das Defense-in-Depth-Konzept sowie die Zones & Conduits zur schutzbedarfsbasierten Unterteilung des Netzwerks zu berücksichtigen. Die ISO 2700x rundet die Normenreihe ab. Die Technischen Berichte DIN CEN ISO/TR 22100-4 und DIN IEC/TR 63074 legen konkrete Maßnahmen und Richtlinien für den Schutz gegen Korrumpierung sicherheitsbezogener Steuerungen fest. Dabei schaffen sie eine Brücke zwischen der funktionalen Sicherheit und der IT-/OT-Security.

Die neuen Rahmenbedingungen der EU-Maschinenverordnung 2023/1230 bedingen eine gründliche Risikobeurteilung sowie eine sorgfältige Realisierung der entsprechenden Sicherheitsmaßnahmen. Die genannten Normen und Technischen Berichte stellen eine gute Unterstützung für Hersteller hinsichtlich des Schutzes ihrer Maschinen sowie der Umsetzung eines sicheren Betriebs zur Verfügung. Durch die richtige Anwendung der Normen können die Hersteller dazu beitragen, dass industrielle Prozesse und Anlagen vor Cyber-Angriffen und Sicherheitslücken geschützt sind.

Autor Torsten Gast ist Director Competence Center Services bei Phoenix Contact Deutschland in Blomberg. Der Autor M.Eng. Manuel Ungermann arbeitet im Bereich Strategisches Produktmarketing Safety – Automation Infrastructure bei Phoenix Contact Electronics in Bad Pyrmont.