Praxisorientierte Einordnung zu IEC 62443, ISO 27001 und NIS2: Welcher Rahmen passt zur industriellen Sicherheit?: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für OT-Security aufbauen.
IEC 62443, ISO/IEC 27001 und NIS2 werden in industriellen Sicherheitsprogrammen häufig nebeneinandergestellt, obwohl sie unterschiedliche Aufgaben erfüllen. ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheits-Managementsystem. Die IEC-62443-Reihe konkretisiert Cybersicherheit für industrielle Automatisierungs- und Steuerungssysteme sowie die beteiligten Rollen. NIS2 ist ein gesetzlicher Rahmen, der betroffene Einrichtungen zu Risikomanagement, Vorfallmeldung und Verantwortung der Leitung verpflichtet.
Die entscheidende Frage lautet deshalb selten „Welches der drei wählen wir?“. Unternehmen müssen klären, welche Pflichten gelten, welches Managementsystem die Steuerung übernimmt und welche OT-spezifischen Methoden für Architektur, Betrieb und Lieferanten notwendig sind. Dieser Vergleich ordnet die drei Rahmen ein und zeigt sinnvolle Kombinationen für Betreiber, Integratoren und Produkthersteller.
Die Kurzantwort für Entscheider
NIS2 beantwortet: Welche rechtlichen Mindestpflichten können für die Organisation gelten, wer trägt Verantwortung und welche Risikomaßnahmen sowie Meldeprozesse sind erforderlich?
ISO/IEC 27001 beantwortet: Wie wird Informationssicherheit als dauerhaftes, risikobasiertes Managementsystem organisiert, überprüft und verbessert?
IEC 62443 beantwortet: Wie werden industrielle Automatisierungs- und Steuerungssysteme unter Berücksichtigung ihrer besonderen Architektur, Lebenszyklen und Rollen geschützt?
Keiner dieser Sätze macht die Rahmen austauschbar. Ein ISO/IEC-27001-Zertifikat beweist nicht automatisch eine angemessene Segmentierung jeder Produktionsanlage. Eine IEC-62443-orientierte Zonenarchitektur ersetzt kein unternehmensweites Managementsystem. Und die Erfüllung einer Norm befreit ein betroffenes Unternehmen nicht von gesetzlichen NIS2-Pflichten.
ISO/IEC 27001: das steuernde Managementsystem
ISO/IEC 27001:2022 legt Anforderungen an ein Informationssicherheits-Managementsystem, kurz ISMS, fest. Im Mittelpunkt stehen Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und kontinuierliche Verbesserung. Risiken werden im festgelegten Geltungsbereich bewertet und angemessene Maßnahmen ausgewählt. Die Norm ist branchen- und technologieunabhängig und kann für ein gesamtes Unternehmen oder einen abgegrenzten Scope eingesetzt werden.
Für industrielle Unternehmen ist diese Unabhängigkeit Stärke und Grenze zugleich. Das ISMS schafft Verantwortungen, Risikoprozesse, Auditierung, Managementbewertung und Nachweisführung. Es beschreibt jedoch nicht im Detail, wie eine Produktionsanlage in Zonen aufgeteilt, ein sicherer Engineering-Zugang gestaltet oder ein industrieller Produktlebenszyklus organisiert wird. Diese Konkretisierung muss aus Risikoanalyse, ergänzender Fachpraxis und OT-spezifischen Standards kommen.
Eine Zertifizierung ist möglich, aber nicht zwingend. Unternehmen können ISO/IEC 27001 auch als interne Steuerungsgrundlage nutzen. Entscheidend ist ein sinnvoller Geltungsbereich: Wenn Produktionsstandorte oder OT-Prozesse außerhalb des Scopes liegen, darf aus dem Zertifikat keine Aussage über deren Schutz abgeleitet werden.
IEC 62443: die industrielle Facharchitektur
IEC 62443 ist keine einzelne Norm, sondern eine Reihe für Security in Industrial Automation and Control Systems. Sie adressiert unterschiedliche Rollen und Ebenen. Teile der Reihe behandeln Begriffe und Modelle, Sicherheitsprogramme von Betreibern, Anforderungen an Dienstleister, Risikoanalyse und Systemdesign, technische Systemanforderungen sowie sichere Produktentwicklung und Komponentenfunktionen.
Für Betreiber besonders wichtig sind das Konzept von Zonen und Conduits, die risikobasierte Festlegung von Security Levels und Anforderungen an ein industrielles Security-Programm. Integratoren und Wartungsdienstleister finden rollenbezogene Prozessanforderungen. Hersteller wiederum können sichere Entwicklungsprozesse und technische Produkteigenschaften adressieren.
Diese Rollentrennung verhindert einen verbreiteten Fehler: Der Betreiber kann die Verantwortung für den sicheren Betrieb nicht vollständig an den Hersteller delegieren; gleichzeitig kann er fehlende Produkteigenschaften nicht allein durch organisatorische Regeln kompensieren. Sichere OT entsteht aus abgestimmten Pflichten von Asset Owner, Service Provider, Integrator und Product Supplier.
NIS2: der verbindliche rechtliche Rahmen
Die EU-Richtlinie 2022/2555 erweitert und harmonisiert Cybersicherheitsanforderungen für wesentliche und wichtige Einrichtungen in zahlreichen Sektoren. Sie verlangt angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen. Dazu gehören unter anderem Risikoanalyse, Behandlung von Vorfällen, Business Continuity, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Bewertung der Wirksamkeit, Cyberhygiene, Kryptografie, Zugriffskontrolle und starke Authentisierung.
NIS2 hebt außerdem die Verantwortung der Leitungsorgane hervor und enthält gestufte Meldepflichten für erhebliche Vorfälle. Die konkrete Betroffenheit und Umsetzung richtet sich nach nationalem Recht. Unternehmen sollten deshalb stets die zum Zeitpunkt der Prüfung geltende nationale Gesetzeslage, behördliche Veröffentlichungen, Größenkriterien und sektorale Sonderregelungen berücksichtigen.
Für die OT liefert NIS2 keine fertige technische Architektur. Die Richtlinie sagt, welche Risikofelder adressiert werden müssen, nicht wie eine bestimmte Anlage segmentiert oder ein Safety-System abgesichert wird. Hier sind ISO/IEC 27001 als Managementstruktur und IEC 62443 als industrielle Konkretisierung besonders hilfreich.
Vergleich nach sieben Entscheidungsfragen
1. Ist der Rahmen verpflichtend?
NIS2 beziehungsweise das nationale Umsetzungsgesetz kann für eine betroffene Einrichtung rechtlich verpflichtend sein. ISO/IEC 27001 und IEC 62443 sind grundsätzlich freiwillige Standards, können aber durch Kundenverträge, Konzernvorgaben, Ausschreibungen oder regulatorische Nachweise faktisch erforderlich werden. Eine Zertifizierung ist jeweils gesondert zu betrachten und muss ausdrücklich vereinbart oder gefordert sein.
2. Welcher Scope wird betrachtet?
ISO/IEC 27001 arbeitet mit einem definierten ISMS-Geltungsbereich. IEC 62443 betrachtet industrielle Systeme, Betreiberprogramme, Dienstleistungen oder Produkte abhängig vom jeweiligen Teil. NIS2 bezieht sich auf die betroffene Einrichtung und ihre relevanten Dienste; der notwendige Risikoumfang lässt sich nicht beliebig durch einen engen Zertifizierungsscope beschränken.
3. Wer ist primärer Adressat?
ISO/IEC 27001 adressiert Organisationen aller Art. IEC 62443 unterscheidet industrielle Rollen wie Betreiber, Integratoren, Service Provider und Produkthersteller. NIS2 adressiert Einrichtungen in erfassten Sektoren und verpflichtet insbesondere die Leitung zur Genehmigung und Überwachung der Maßnahmen.
4. Wie konkret sind technische Anforderungen?
ISO/IEC 27001 bleibt bewusst risikobasiert und technologieoffen. Der zugehörige Annex A enthält Referenzkontrollen, aber keine vollständige OT-Architektur. IEC 62443 geht bei industriellen Systemen deutlich tiefer, beispielsweise mit Zonen, Conduits, Systemanforderungen und Security Levels. NIS2 formuliert Risikomanagementfelder, die in der technischen Umsetzung konkretisiert werden müssen.
5. Ist eine Zertifizierung möglich?
ISO/IEC 27001 besitzt ein etabliertes Zertifizierungssystem für Managementsysteme. Für Teile und Anwendungsfälle der IEC-62443-Reihe existieren ebenfalls Konformitäts- und Zertifizierungsangebote, deren Aussage immer genau auf Scope, Rolle und Normteil geprüft werden muss. NIS2 ist kein Zertifizierungsstandard; Nachweise und Aufsicht folgen dem anwendbaren Recht.
6. Wie werden Lieferanten behandelt?
Alle drei Perspektiven berühren Lieferketten, jedoch unterschiedlich. ISO/IEC 27001 integriert Lieferanten in das risikobasierte ISMS. IEC 62443 grenzt Verantwortungen industrieller Betreiber, Integratoren, Dienstleister und Hersteller aus. NIS2 nennt Sicherheit der Lieferkette ausdrücklich als Teil der Risikomanagementmaßnahmen.
7. Was ist das wichtigste Ergebnis?
ISO/IEC 27001 erzeugt ein steuerbares und auditierbares Managementsystem. IEC 62443 erzeugt eine fachlich belastbare industrielle Sicherheitsarchitektur und rollenbezogene Anforderungen. NIS2 erzeugt verbindliche Verantwortungs-, Maßnahmen- und Meldepflichten für betroffene Organisationen.
Drei typische Unternehmenssituationen
Situation A: Produktionsunternehmen mit bestehendem ISO/IEC-27001-ISMS
Das Unternehmen sollte nicht automatisch ein zweites, getrenntes OT-Managementsystem aufbauen. Sinnvoller ist, OT-Risiken, Rollen, interne Audits, Managementbewertung und Maßnahmensteuerung in das bestehende ISMS zu integrieren. IEC 62443 liefert die Fachmethoden für Anlagen-Scope, Zonenmodell, Fernzugang, Security Levels und Dienstleisteranforderungen. Eine NIS2-Gap-Analyse prüft zusätzlich, ob rechtliche Pflichten wie Leitungsschulung, Meldelogik und Lieferkettenanforderungen vollständig abgedeckt sind.
Situation B: Betreiber ohne formales ISMS, aber mit hohem OT-Risiko
Hier ist ein paralleler Start sinnvoll. Auf Unternehmensebene werden Governance, Risikoverfahren, Vorfallmanagement und kontinuierliche Verbesserung nach ISO/IEC 27001 aufgebaut. Gleichzeitig beginnt ein OT-Pilot mit Asset-Inventar, Zonen, Kommunikationsmatrix und priorisierten Schutzmaßnahmen nach IEC 62443. Die NIS2-Betroffenheit wird früh geprüft, damit Meldewege und Leitungsverantwortung nicht erst am Ende ergänzt werden.
Situation C: Hersteller eines industriellen Produkts
Ein Hersteller benötigt zusätzlich zur eigenen Unternehmenssicherheit einen sicheren Produktlebenszyklus. IEC 62443-4-1 adressiert Prozesse wie Security-Anforderungen, sichere Implementierung, Verifikation, Umgang mit Schwachstellen, Patchmanagement und Produktabkündigung. Je nach Produkt können außerdem der Cyber Resilience Act und weitere Produktpflichten relevant sein. NIS2 kann die eigene Organisation oder Kunden betreffen, ersetzt aber keine produktspezifische Secure-by-Design-Struktur.
So entsteht ein gemeinsames Kontrollmodell
Die drei Rahmen sollten nicht in separaten Tabellen mit doppelten Maßnahmen verwaltet werden. Besser ist ein gemeinsames Kontrollmodell. Ausgangspunkt sind Unternehmensrisiken und rechtliche Pflichten. Jede Kontrolle erhält einen Eigentümer, Anwendungsbereich, operativen Nachweis und Verweise auf relevante Anforderungen.
Beispiel Fernwartung: NIS2 verlangt angemessenes Risikomanagement, Zugriffskontrolle und Lieferkettensicherheit. ISO/IEC 27001 verankert Richtlinie, Risikobewertung, Lieferantensteuerung und Wirksamkeitsprüfung. IEC 62443 konkretisiert den industriellen Zugang, Rollen, Zonengrenzen und technische Anforderungen. Operativ entsteht jedoch nur ein Prozess: registrierter Dienstleister, genehmigter Auftrag, starke Authentisierung, begrenztes Ziel, Sitzungsnachweis und regelmäßige Prüfung.
Dieses Vorgehen verhindert Mehrfachdokumentation. Ein Nachweis – etwa eine protokollierte Fernwartungssitzung mit Freigabe – kann mehrere Anforderungen bedienen, sofern Scope und Aussage passen. Die Zuordnung sollte transparent sein, aber die tägliche Arbeit bleibt prozessorientiert.
Häufige Fehlentscheidungen
- „ISO-zertifiziert bedeutet NIS2-konform“: Eine Zertifizierung kann viel abdecken, beweist aber nicht automatisch alle gesetzlichen Pflichten, den richtigen Unternehmensscope oder die Wirksamkeit in der OT.
- „IEC 62443 ist nur Technik“: Die Reihe enthält auch Anforderungen an Betreiberprogramme, Dienstleister und Entwicklungsprozesse. Governance und Rollen sind wesentliche Bestandteile.
- „NIS2 ersetzt Normen“: Gesetzliche Anforderungen benötigen eine belastbare operative Umsetzung. Standards liefern dafür Struktur und anerkannte Fachmethoden.
- „Wir müssen alles sofort zertifizieren“: Beginnen Sie mit Risiko, Pflicht und Geschäftsziel. Eine Zertifizierung ist ein möglicher Nachweis, aber nicht automatisch der beste erste Schritt.
- „Ein Mapping löst die Umsetzung“: Eine Zuordnungstabelle zeigt Überschneidungen, verändert aber noch keine Architektur, Verantwortlichkeit oder Arbeitsweise. Entscheidend sind funktionsfähige Kontrollen und geprüfte Nachweise.
Entscheidungspfad für die nächsten 30 Tage
- Betroffenheit klären: Prüfen Sie NIS2 und weitere sektorale oder produktspezifische Pflichten anhand aktueller nationaler Regeln.
- Scopes abgleichen: Stellen Sie Organisation, Dienste, ISMS-Geltungsbereich, Produktionsstandorte und kritische Anlagen gegenüber.
- Rollen bestimmen: Dokumentieren Sie, wo das Unternehmen Betreiber, Integrator, Dienstleister oder Hersteller ist.
- Bestehende Nachweise bewerten: Prüfen Sie, welche Prozesse tatsächlich funktionieren und welche nur dokumentiert sind.
- OT-Pilot wählen: Wenden Sie Asset-Inventar, Zonenmodell und Risikobewertung auf eine repräsentative Anlage an.
- Gemeinsames Maßnahmenregister aufbauen: Ordnen Sie jede Maßnahme Risiken, Pflichten und Standards zu, ohne sie mehrfach zu verwalten.
- Leitung einbinden: Legen Sie Entscheidungen, Restrisiken, Ressourcen und Berichtsrhythmus fest.
Fazit: Nicht zwischen den Rahmen wählen, sondern ihre Rollen klären
Für industrielle Sicherheit ist die Kombination meist stärker als die isolierte Anwendung. NIS2 definiert – sofern anwendbar – den rechtlichen Handlungsrahmen. ISO/IEC 27001 schafft die unternehmensweite Steuerung und kontinuierliche Verbesserung. IEC 62443 übersetzt Risiken in die Sprache industrieller Architekturen, Rollen und Lebenszyklen. Ein gemeinsames Kontrollmodell verbindet diese Perspektiven, vermeidet Doppelarbeit und macht Nachweise zugleich fachlich und regulatorisch belastbar.
BlackMount unterstützt Unternehmen bei der Auswahl des passenden Zielbilds und der Verbindung von ISMS, regulatorischen Pflichten und OT-Security. Weitere Informationen finden Sie unter OT-Security Beratung.
