IEC 62443 und NIS2: Welche Normteile Betreiber wirklich brauchen — und welche der Maschinenlieferant schuldet

Die IEC 62443 ist für Sie keine Rechtspflicht. Sie ist der Maßstab, an dem eine Aufsichtsbehörde beurteilt, ob Ihre OT-Maßnahmen dem Stand der Technik entsprechen — und der Gesetzestext formuliert das präziser, als der Beratungsmarkt es wiedergibt. § 30 Abs. 2 BSIG verlangt, die einschlägigen europäischen und internationalen Normen zu berücksichtigen; die NIS2-Richtlinie stellt sie in Artikel 21 Abs. 1 sogar unter ein gegebenenfalls. Verpflichtend ist nicht die Norm, sondern der Inhalt — und die Dokumentation.

Warum das trotzdem kein Freibrief ist, zeigt die europäische Bedrohungslage: Im ENISA Threat Landscape 2025 rangieren Bedrohungen gegen Operational Technology mit einem Anteil von 18,2 Prozent hinter Mobil- (42,4 Prozent) und Web-Bedrohungen (27,3 Prozent) — Berichtszeitraum Juli 2024 bis Juni 2025 [7]. Dieser Leitfaden ordnet die Normenreihe nach Rollen: welche Teile Sie als Betreiber tatsächlich lesen müssen, welche Ihr Anlagenplaner verantwortet, welche der Komponentenhersteller schuldet — und was ein „IEC 62443 zertifiziert“ im Angebot wirklich bedeutet. Die Architekturfrage, also wie Zonen und Purdue-Ebenen konkret geschnitten werden, behandelt der Leitfaden zu OT-Sicherheit und dem Purdue-Modell.

Was die IEC 62443 rechtlich ist — und was der Gesetzestext wirklich sagt

Kurz gesagt: Der Gesetzgeber schreibt Ihnen ein Ergebnis vor, keine Norm. Wer die IEC 62443 anwendet, erfüllt damit keine gesetzliche Vorgabe automatisch — wer sie ignoriert, verstößt aber auch nicht automatisch gegen das BSIG. Entscheidend ist, welches Modalverb an welcher Stelle steht.

Rechtsquelle	Wortlaut zu Normen	Verbindlichkeit	Folge für Sie
NIS2 Art. 21 Abs. 1 UAbs. 2	„unter Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen europäischen und internationalen Normen“ [2]	Auslegungsmaßstab	Die Norm ist Beleg, nicht Pflichtenkatalog
§ 30 Abs. 2 Satz 1 BSIG	„sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen“ [1]	Soll-Vorschrift	Abweichen ist zulässig — aber begründungsbedürftig
§ 30 Abs. 2 Satz 2 BSIG	„Die Maßnahmen müssen zumindest Folgendes umfassen“ (Nr. 1–10) [1]	Bindend	Der Inhalt ist Pflicht, die Norm ist es nicht
§ 30 Abs. 1 Satz 3 BSIG	„Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“ [1]	Bindend	Der Nachweis ist die eigentliche Arbeit

Der Mechanismus dahinter ist wichtiger als die Vokabeln: Eine Lücke gegenüber der IEC 62443 ist kein Rechtsverstoß. Eine undokumentierte Abweichung dagegen ist genau der Punkt, an dem eine Prüfung ansetzt — denn die Dokumentationspflicht aus § 30 Abs. 1 Satz 3 ist bindend formuliert, während die Normanwendung es nicht ist. Wer sich gegen eine 62443-Empfehlung entscheidet, weil eine Legacy-SPS sie technisch nicht zulässt, hat keinen Mangel, sondern eine Entscheidung — sofern er sie aufgeschrieben hat.

Für Maschinenbau, Energie und Wasser hat das eine praktische Konsequenz: Der EU-Durchführungsrechtsakt, der technische Anforderungen konkretisiert, geht nach § 30 Abs. 3 BSIG ausdrücklich nur „für die vorgenannten Einrichtungsarten“ vor — und das sind elf digitale Diensttypen, keine Produktionsanlagen [1]. Für die Industrie bleibt damit die allgemeine Risikomanagementpflicht die Rechtsgrundlage, nicht ein detaillierter Maßnahmenkatalog.

Die Normenreihe nach Rollen gelesen: Welche Teile Sie brauchen — und welche nicht

Die Normenreihe gliedert sich nach Angaben des DKE in sechs Bereiche: Grundlagen (1-x), Betreiber und Dienstleister (2-x), Automatisierungssysteme (3-x), Automatisierungskomponenten (4-x), Profile (5-x) und Konformitätskriterien (6-x) [5]. Nicht alles davon existiert: Die Profile 5-1 und 5-2 sind noch nicht erschienen, und von den Grundlagenteilen sind derzeit nur 1-1 und 1-5 öffentlich zugänglich [4].

Der teuerste Fehler beim Einstieg ist deshalb nicht, zu wenig zu kaufen — sondern das Falsche. Viele Betreiber besorgen sich zuerst die 62443-3-3, weil sie wie ein Anforderungskatalog aussieht. Sie ist aber das Dokument des Integrators. Die Pflicht, die § 30 BSIG an Sie adressiert, wohnt in der 62443-2-1.

Rolle	Ihre Normteile	Was Sie darin bekommen	Was Sie nicht selbst lesen müssen
Anlagenbetreiber (Asset Owner)	62443-2-1, 2-2, TR 2-3, 2-4	Sicherheitsprogramm, Reifegradbewertung, Patch-Prozess, Anforderungen an Dienstleister	4-1 und 4-2 — das schuldet der Hersteller
Systemintegrator / Anlagenplaner	62443-3-2, 3-3, 2-4	Zonen- und Risikoprozess, Systemsicherheitsanforderungen, eigene Dienstleisterpflichten	2-1 — das ist Ihr Betreiberprogramm
Produkt- und Systemlieferant	62443-4-1, 4-2	Sicherer Entwicklungslebenszyklus, technische Komponentenanforderungen	2-1 und 2-2 — Betreiberdomäne

Diese Zuordnung stammt nicht aus einer Marketingbroschüre: Die Rollen sind in der 62443-4-1 selbst definiert, und die Zuordnung der Teile zu den Akteuren hat Prof. Karl-Heinz Niemann in seinem Whitepaper der Hochschule Hannover aus Planer- und Betreibersicht ausgearbeitet [4]. Für die Praxis heißt das: Ein Betreiber mit drei Normteilen im Schrank ist besser aufgestellt als einer mit zwölf, von denen zehn an ihn gar nicht adressiert sind. In Gesprächen mit Fertigungsbetrieben begegnet uns fast immer dieselbe Reihenfolge — zuerst wird die 3-3 beschafft, dann fragt der Prüfer nach dem Sicherheitsprogramm, und das steht in der 2-1.

Was Betreiber aus 62443-2-1 umsetzen — und was die Ausgabe 2024 daran ändert

Die 62443-2-1 legt laut IEC-Beschreibung „asset owner security program (SP) policy and procedure requirements for an industrial automation and control system (IACS) in operation“ fest [3]. Übersetzt: Sie beschreibt nicht Technik, sondern das Programm, mit dem Sie Technik betreiben — Personalqualifikation, Schulung, Lieferantenanforderungen, Asset-Inventar, Netzsegmentierung, Fernzugriff, Patch-Management, Anlagendokumentation [4].

Die im August 2024 veröffentlichte zweite Ausgabe hat daran drei Dinge geändert, die für deutsche Anwender unmittelbar Aufwand verschieben [3]:

• Neue Struktur in „SP elements“ (SPEs) — die Anforderungen sind modular gruppiert statt als durchlaufender Katalog, was die Zuordnung zu vorhandenen Prozessen erleichtert.
• Doppelungen zum ISMS entfernt — die Ausgabe wurde ausdrücklich überarbeitet, um „duplication of an information security management system (ISMS)“ zu vermeiden. Wer bereits nach ISO/IEC 27001 arbeitet, baut also nicht mehr zwei parallele Managementsysteme, sondern ergänzt das bestehende um die OT-spezifischen Elemente.
• Reifegradmodell zur Bewertung — die Erfüllung wird nicht mehr nur binär geprüft, sondern über Reifegrade abgestuft.

Der praktisch wichtigste Satz für Brownfield-Anlagen steht in derselben Beschreibung: Wo Komponenten die technischen Anforderungen nicht erfüllen können, sieht die Norm kompensierende Maßnahmen über Richtlinien und Verfahren vor [3]. Das ist exakt die Denkweise, die § 30 Abs. 1 BSIG mit „verhältnismäßig“ meint — und der Grund, warum eine 20 Jahre alte Steuerung kein Compliance-Ausschlusskriterium ist. Für KRITIS-nahe Sektoren mit paralleler Regulierung, etwa die Wasser- und Abwasserversorgung, ist diese Kompensationslogik oft der einzig gangbare Weg.

Security Level ist nur die halbe Note: das Security Program Rating

Fast jeder Text zur IEC 62443 erklärt die vier Security Level. Die 62443-3-3 „defines four security levels (SL1, SL2, SL3, SL4)“, und diese Level „correlate the required set of countermeasures with the strength of a potential adversary“ [10]. Welcher Level für welche Zone gilt, ergibt sich aus der Risikoanalyse, nicht aus einer pauschalen Empfehlung [5].

Was in deutschsprachigen Übersichten fast durchgängig fehlt, ist die zweite Achse. Die 62443-2-2 bewertet eine Anlage nicht allein über den technischen Security Level, sondern kombiniert ihn mit dem Reifegrad der Organisation: „Auf der Abszisse sind die möglichen Security Level SL1 bis SL4 aufgetragen … Auf der Ordinate sind die Maturity Level ML1 bis ML4. Diese beschreiben den Reifegrad der Organisation des Anlagenbetreibers“ [4]. Aus beiden zusammen ergibt sich das Security Program Rating (SPR) — und ein hoher Wert verlangt zwingend beides.

Das erklärt ein Prüfungsmuster, das sonst willkürlich wirkt. Wenn ein Auditor nach der Firewall-Regel fragt, prüft er den SL. Wenn er fragt, seit wann diese Regel gilt, wer sie freigegeben hat und wann sie zuletzt überprüft wurde, prüft er den ML. Ein Unternehmen, das ausschließlich in Technik investiert, deckelt sein eigenes Rating — die Achse, auf der es sich nicht bewegt, begrenzt das Ergebnis. Genau diese Reifegraddimension ist es auch, die § 30 Abs. 1 Satz 3 BSIG mit der Dokumentationspflicht adressiert.

Von der Norm zur Zone: Was 62443-3-2 vom Betreiber verlangt

Die Zoneneinteilung selbst ist Planungsarbeit, aber sie ist kein reines Integratorenthema: Die 62443-3-2 strukturiert den Weg dorthin als nummerierte Schrittfolge, die ohne Betreiberwissen nicht funktioniert. Die Schrittbezeichnungen lauten im Normtext [6]:

• ZCR 1 — Identify the SUC: Betrachtungsgegenstand samt Perimeter und Zugangspunkten abgrenzen.
• ZCR 2 — Initial cyber security risk assessment: erste Risikoeinschätzung, bevor überhaupt zoniert wird.
• ZCR 3 — Partition the SUC into zones and conduits: mit ausdrücklichen Trennungsgeboten für Büro- und IACS-Assets, sicherheitsgerichtete (Safety-)Assets, temporär angeschlossene Geräte, Funkgeräte und über externe Netze angebundene Geräte.
• ZCR 4 — Risk comparison: Ausgangsrisiko gegen das tolerierbare Risiko halten.
• ZCR 5 — Perform a detailed cyber security risk assessment: dreizehn Teilschritte, darunter „Determine SL-T“ (das Ziel-Sicherheitsniveau je Zone) und „Determine residual risk“.
• ZCR 6 — Document cyber security requirements, assumptions and constraints: Anforderungsspezifikation, Zonen- und Conduit-Zeichnungen, Annahmen über die Betriebsumgebung.

Zwei dieser Schritte lassen sich nicht sinnvoll allein an einen externen Planer delegieren. Das tolerierbare Risiko in ZCR 4 ist eine Unternehmensentscheidung, keine technische Größe. Und die Annahmen über die Betriebsumgebung in ZCR 6 stammen aus Ihrem Betrieb — wer wann physisch Zugang hat, welche Wartungsfenster existieren, welche Fernzugänge geduldet werden. Wer diese beiden Punkte an den Integrator delegiert, bekommt eine Zonenzeichnung, die technisch sauber und betrieblich falsch ist. Wie die Zonen dann auf die sechs Purdue-Ebenen abgebildet werden, ist im Referenzartikel zum Purdue-Modell ausgearbeitet; sektorale Besonderheiten für Fertigungsbetriebe stehen im Leitfaden NIS2 für Maschinenbau und Produktion.

Lieferantenpflichten: Was ein 62443-Zertifikat aussagt — und was der CRA daraus macht

Die konkreteste Anwendung der Norm für einen Betreiber liegt nicht im eigenen Netz, sondern im Lastenheft. § 30 Abs. 2 Nr. 4 und 5 BSIG verlangen Lieferkettensicherheit sowie Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung [1]; NIS2 Art. 21 Abs. 2 lit. d verlangt ausdrücklich, „sicherheitsbezogene Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern“ zu adressieren [2]. Die IEC 62443 liefert dafür das Vokabular, mit dem sich diese Pflicht bestellbar machen lässt: die sieben grundlegenden Anforderungen (Foundational Requirements) — „Identification and authentication control (FR1), Use control (FR2), System integrity (FR3), Data confidentiality (FR4), Restricted data flow (FR5), Timely response to events (FR6), and Resource availability (FR7)“ [10].

Beim Zertifikat ist Vorsicht angebracht. Zertifiziert werden Prozesse, Systeme und Komponenten — Konformitätsbewertungsstellen wie TÜV NORD arbeiten dafür unter DAkkS-Akkreditierung und im IECEE-Schema [11]. Ein Komponentenzertifikat nach 62443-4-2 sagt etwas über das Gerät aus, nichts über Ihre Anlage. Die Frage im Einkaufsgespräch lautet deshalb nicht „sind Sie zertifiziert“, sondern: nach welchem Teil, für welches Produkt, in welchem Schema, mit welchem Security Level.

Und eine Erwartung sollten Sie nicht aufbauen: Dass ein 62443-Zertifikat automatisch zur CE-Konformität nach dem EU Cyber Resilience Act führt, ist derzeit nicht absehbar. Die harmonisierten Normen für OT-Produkte entstehen als eigene Reihe prEN 50770-1 bis -6 (Firewalls und IDS/IPS, Netzwerkmanagement, VPN, Router und Switches, SIEM), die auf der IEC 62443 aufsetzt — der Fachkommentar zum Normungsauftrag hält es zugleich für „highly unlikely“, dass 62443-4-1 und 4-2 selbst im Amtsblatt gelistet werden [8]. Die Fristen dafür sind ebenfalls in Bewegung: Ein Entwurf zur Änderung des Normungsauftrags M/606 verschiebt die Typ-C-Normen vom 30. Oktober auf den 31. Dezember 2026, ist aber noch nicht angenommen [9]. Behandeln Sie 62443-Konformität also als vertragliche technische Spezifikation, nicht als Konformitätsnachweis — und halten Sie beides in Lieferantenverträgen getrennt. Wie der CRA und NIS2 ineinandergreifen, ist ein eigenes Thema.

Häufig gestellte Fragen

Muss mein Unternehmen die IEC 62443 anwenden?

Nein. Weder die NIS2-Richtlinie noch das BSIG schreiben eine bestimmte Norm vor. § 30 Abs. 2 BSIG formuliert eine Soll-Vorschrift, die einschlägigen europäischen und internationalen Normen zu berücksichtigen [1]. Verbindlich ist der Maßnahmeninhalt nach § 30 Abs. 2 Nr. 1 bis 10 und die Dokumentation nach § 30 Abs. 1 Satz 3 — die Norm ist der übliche Weg, beides zu belegen, aber nicht der einzige.

Welche Normteile muss ich als Betreiber kaufen?

Für die Betreiberrolle sind 62443-2-1 (Sicherheitsprogramm), 62443-2-2 (Reifegradbewertung), TR 62443-2-3 (Patch-Management) und 62443-2-4 (Anforderungen an Dienstleister) die adressierten Teile [4]. Die Teile 4-1 und 4-2 richten sich an Hersteller, 3-2 und 3-3 primär an Planer und Integratoren.

Reicht ISO/IEC 27001 statt IEC 62443?

Die beiden schließen sich nicht aus, sondern ergänzen sich: ISO/IEC 27001 liefert das Managementsystem, die IEC 62443 die OT-spezifische Tiefe in Systemen, Zonen und Komponenten. Die 2024er Ausgabe der 62443-2-1 wurde ausdrücklich überarbeitet, um Doppelungen zum ISMS zu vermeiden [3] — für ein bestehendes ISO-27001-Haus bedeutet das Ergänzung statt Parallelaufbau.

Was sagt „IEC 62443 zertifiziert“ im Angebot eines Maschinenlieferanten aus?

Ohne Angabe des Normteils sehr wenig. Ein Zertifikat nach 62443-4-1 betrifft den Entwicklungsprozess des Herstellers, eines nach 62443-4-2 die technische Fähigkeit einer Komponente, eines nach 62443-2-4 die Dienstleistungen eines Planungs- oder Instandhaltungsdienstleisters [4]. Lassen Sie sich Teil, Geltungsbereich, Schema und Security Level schriftlich geben — und werten Sie es als Zulieferqualität, nicht als Nachweis für Ihre eigene Anlage.

Ersetzt die IEC 62443-2-1 die Risikoanalyse nach § 30 BSIG?

Nein. Sie strukturiert sie. Die gesetzliche Pflicht bleibt bei Ihnen: § 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und deren Dokumentation [1]. Die Norm liefert die Systematik und die Begriffe, mit denen sich diese Entscheidungen prüfbar aufschreiben lassen.

Fazit

Die IEC 62443 wird in der deutschen NIS2-Debatte regelmäßig zu einer Pflicht erklärt, die sie nicht ist — und gleichzeitig auf die Security Level verkürzt, die nur die halbe Bewertung ausmachen. Wer die Reihe nach Rollen liest, kommt mit wenigen Teilen aus: 2-1 für das eigene Programm, 2-2 für den Reifegrad, 2-4 für Dienstleister, 3-2 als gemeinsame Sprache mit dem Planer. Der Rest ist Lieferantenpflicht, die Sie vertraglich einfordern statt selbst umzusetzen. Was am Ende geprüft wird, ist nicht die Norm, sondern die dokumentierte Begründung — und die schuldet Ihnen kein Standard ab.

Dieser Artikel bietet allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Anforderungen können je nach Rechtsraum und Unternehmensart variieren. Konsultieren Sie für Ihre spezifische Situation eine qualifizierte Rechts- oder Compliance-Fachkraft.

Quellen

• [1] § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen (gesetze-im-internet.de)
• [2] Richtlinie (EU) 2022/2555 (NIS2), Artikel 21 — deutsche Sprachfassung, Amt für Veröffentlichungen der EU
• [3] IEC 62443-2-1:2024, Edition 2.0 — Security program requirements for IACS asset owners (IEC Webstore)
• [4] Niemann, Karl-Heinz (2025): Die IEC 62443 aus Planer- und Betreibersicht. Hochschule Hannover, DOI 10.25968/opus-3667
• [5] DKE (VDE) — IEC 62443: Die internationale Normenreihe für Cybersecurity in der Industrieautomatisierung
• [6] ANSI/ISA-62443-3-2-2020 — Security risk assessment for system design, Inhaltsverzeichnis (ISA)
• [7] ENISA Threat Landscape 2025 (Oktober 2025, v1.2)
• [8] IBF Solutions — Current status of standardisation for the Cyber Resilience Act
• [9] cyberresilienceact.eu — The Commission’s Draft Amendment Pushes the CRA’s 2026 Harmonised-Standard Deadlines Back by Two Months
• [10] IEC SyC Smart Energy — IEC 62443 (Security standards and best practices)
• [11] TÜV NORD — Certification according to IEC 62443