IEC 62443-3-2/3-3 umsetzen: OT-Produktion | Bayern & DACH

Bei der Umsetzung von IEC 62443-3-2 und 3-3 wird aus der Norm ein konkreter Zustand in Ihrer Produktion. Wir bewerten die Risiken Ihrer Anlagen und teilen sie in Zonen und Conduits ein. Wir legen Ziel-Security-Level fest und setzen die Maßnahmen selbst um: Segmentierung, Härtung, sichere Fernwartung sowie Konten und Rechte. Das Angebot richtet sich an Betreiber von Anlagen und Maschinen in Deutschland, Österreich und der Schweiz. Sie zahlen einen Pauschalpreis, den Sie vorher kennen; Hardware kommt gesondert dazu.

Für wen ist die Umsetzung nach IEC 62443 gedacht?

Produktionsbetriebe und Industrie in Bayern, Salzburg, Tirol und ganz DACH, die ihre OT-Netze absichern wollen oder müssen
Betreiber kritischer Anlagen (KRITIS) wie Stadtwerke, Wasser- und Energieversorger
Maschinenbauer, die ihre eigene Fertigung absichern und dabei Erfahrung für ihre Produkte sammeln
Unternehmen, die unter NIS2 fallen und Maßnahmen zum Risikomanagement nachweisen müssen

Warum reicht ein Sicherheitskonzept allein nicht?

Häufig liegt in Betrieben schon ein Gutachten oder ein Sicherheitskonzept in der Schublade, davon ist aber wenig umgesetzt. Typisch ist etwa: Das Produktionsnetz ist flach, und der Servicelaptop des Maschinenlieferanten hängt direkt am Anlagennetz. Fernwartungszugänge laufen über verschiedene Wege, und an der HMI melden sich alle mit demselben Konto an. Meistens fehlt dabei nicht das Wissen, sondern die Zeit und das Personal: Die IT kennt die Anlagen zu wenig, die Instandhaltung ist ausgelastet, und jeder Eingriff ins Netz kann einen Stillstand auslösen.

Ein Zonenmodell auf Papier schützt noch keine Steuerung. Wirksam wird es erst, wenn die Trennung zwischen Büro und Produktion tatsächlich umgesetzt ist. Segmentierung und sichere Fernwartung sind dafür ein naheliegender Einstieg.

Wie läuft die Umsetzung nach IEC 62443-3-2 und 3-3 ab?

Bestandsaufnahme: Gemeinsam mit Ihrer Instandhaltung erfassen wir Steuerungen, HMIs, Server, Netzwerkkomponenten und alle Verbindungen nach außen. Gibt es noch kein Asset-Inventar, bauen wir es mit Ihnen auf (siehe OT-Asset-Inventar).
Zonen und Conduits festlegen: Wir teilen Ihr System in Zonen mit vergleichbarem Schutzbedarf. Dann legen wir die Conduits fest, also die erlaubten Kommunikationswege zwischen den Zonen.
Detaillierte Risikobewertung nach IEC 62443-3-2: Für jede Zone bewerten wir Bedrohungen, Schwachstellen und die Folgen für Verfügbarkeit, Sicherheit und Qualität. Wir schauen dabei aus Sicht der Produktion, nicht nur aus Sicht der IT.
Security Level für die OT festlegen: Jede Zone und jeder Conduit bekommt ein Ziel-Security-Level (SL-T). Daraus ergeben sich die Anforderungen aus IEC 62443-3-3.
Maßnahmenplan: Wir ordnen die Maßnahmen nach Risiko und Aufwand. Die Reihenfolge stimmen wir mit Produktion und Instandhaltung ab, einschließlich Wartungsfenster und Rückfallplan.
Umsetzung: Wir setzen die Segmentierung der Produktion um (Firewalls, VLANs, DMZ) und härten Ihre Systeme. Wir richten einen zentralen, sicheren Zugang für die Fernwartung ein und führen ein Konzept für Konten und Rechte ein. Benötigte Hardware berechnen wir zusätzlich.
Dokumentation und Übergabe: Sie bekommen Zonenmodell, Risikobewertung, Ziel-Security-Level und die umgesetzten Maßnahmen dokumentiert. Das ist Ihre Grundlage für Audits und die nächsten Schritte.

Was bringt die Umsetzung für Produktion und Instandhaltung?

Ein Angriff im Büronetz kommt nicht mehr ungehindert bis zu den Anlagen, Lateral Movement wird deutlich schwerer.
Die Fernwartung läuft kontrolliert: Es ist geregelt und nachvollziehbar, wer wann auf welche Maschine zugreift.
Wo technisch möglich, haben alle persönliche Konten statt Sammelkennungen, auch die Servicetechniker Ihrer Lieferanten.
Im Ernstfall trennen Sie einzelne Zonen ab, statt die ganze Produktion abzuschalten. Der Stillstand kann so kürzer und der Wiederanlauf leichter werden.
Sie haben eine nachvollziehbare Grundlage für Gespräche mit Geschäftsleitung, Versicherern und Auditoren.

Segmentierung und Härtung schaffen eine verteidigbare Architektur. Die sichere Fernwartung sorgt für einen kontrollierten Remote Access. Darauf aufbauend lassen sich Angriffserkennung in OT-Netzen und OT-Schwachstellen-Management sinnvoll ergänzen.

Wie hängen IEC 62443, NIS2 und CRA zusammen?

NIS2 verlangt von betroffenen Unternehmen Maßnahmen zum Risikomanagement. Für die OT sind IEC 62443-3-2 und 3-3 dafür ein geeigneter, verbreiteter Rahmen. Der Cyber Resilience Act (CRA) richtet sich vor allem an Hersteller von Produkten mit digitalen Elementen. Als Betreiber können Sie Ihre Ziel-Security-Level als Anforderungen an neue Maschinen und Lieferanten nutzen, zum Beispiel in Ausschreibungen.

Warum OT-Cyber?

Wir beraten nicht nur, wir setzen auch um. Aus Rosenheim sind wir schnell vor Ort in Bayern, Salzburg und Tirol, und wir unterstützen Betriebe in ganz DACH. Sie bekommen einen Pauschalpreis, den Sie vorher kennen. Falls doch etwas passiert, unterstützt Sie unsere OT-Notfallhilfe.

Wie fangen wir an?

Schreiben Sie uns oder rufen Sie an, die Daten finden Sie auf unserer Kontaktseite. Im ersten Gespräch klären wir Umfang, Anlagen und Rahmenbedingungen. Danach bekommen Sie ein Angebot mit Pauschalpreis.

Max Gilg | OT-Cyber

Erstgespräch vereinbaren Live-Demo buchen

Häufige Fragen

Wie setze ich IEC 62443-3-2 und 3-3 in meiner Produktion praktisch um?

Zuerst kommen Bestandsaufnahme, Zonen und Conduits sowie die Risikobewertung nach IEC 62443-3-2. Daraus ergeben sich Ziel-Security-Level und die Anforderungen aus IEC 62443-3-3. OT-Cyber erstellt den Maßnahmenplan und setzt Segmentierung, Härtung, sichere Fernwartung sowie Konten und Rechte um.

Darf der Servicetechniker nach der Segmentierung noch per Fernwartung auf die SPS?

Ja, aber nur noch über einen zentralen, kontrollierten Zugang statt über verstreute Modems oder direkt angeschlossene Laptops. Es ist geregelt, wer wann auf welche Anlage zugreift, und jeder Zugriff lässt sich nachvollziehen.

Steht unsere Produktion still, während die Segmentierung umgesetzt wird?

Wir planen die Umsetzung mit Produktion und Instandhaltung und legen die Arbeiten in Wartungsfenster. Für jeden Schritt gibt es einen Rückfallplan. So lässt sich das Stillstandsrisiko gering halten.

Wer hilft bei IEC 62443 und NIS2 in Bayern, Salzburg oder Tirol?

OT-Cyber.de aus Rosenheim unterstützt Industrie, Maschinenbauer, Stadtwerke sowie Wasser- und Energieversorger in der Grenzregion und in ganz DACH. Wir beraten nicht nur, sondern setzen die Maßnahmen auch um. Aus Rosenheim sind wir schnell vor Ort.

Was kostet die Umsetzung nach IEC 62443-3-3?

Sie bekommen nach einem ersten Gespräch einen Pauschalpreis, den Sie vorher kennen. Die Höhe hängt von Anlagengröße, Zahl der Zonen und Umfang der Maßnahmen ab. Benötigte Hardware wie Firewalls wird zusätzlich berechnet.