IEC 62443-4-1
Zertifizierungsvorbereitung für den sicheren Produktentwicklungszyklus
IEC 62443-4-1 legt die Prozessanforderungen für die Entwicklung sicherer industrieller Produkte fest. Sie ist die Norm, gegen die Zertifizierungsstellen auditieren, und der praktikabelste Weg, die Prozesspflichten des Cyber Resilience Act nachzuweisen.
- Praktiken
- 8
- Anforderungen
- 47
- Reifegrade
- 4
- Typisches Ziel
- ML 2 – ML 3
Warum beides
Die Norm leistet, was die Verordnung nur beschreibt
Der CRA verlangt, dass Schwachstellen identifiziert, unverzüglich behoben, getestet und offengelegt werden. Er sagt nicht, wie ein konformer Prozess aussieht oder welche Aufzeichnungen zu führen sind.
Genau das beantwortet IEC 62443-4-1. Die Praktiken DM und SUM entsprechen weitgehend Anhang I Teil II, und die Praktiken SR, SD, SI und SVV erzeugen die Design- und Testnachweise, die Ihre Angaben zu Teil I in der technischen Dokumentation belegen.
Der CRA schreibt keine Zertifizierung vor. Ein zertifizierter Entwicklungslebenszyklus liefert jedoch eine von Dritten geprüfte Antwort auf die schwierigste Frage einer Bewertungsstelle: Belegen Sie das.
Die Norm
Acht Praktiken, siebenundvierzig Anforderungen
Jede Anforderung ist auditierbar und benötigt Nachweise. Die Praktiken sind nicht gleich aufwendig — SM und SVV brauchen meist am längsten bis zu einem belastbaren Stand.
- SM13 Anforderungen
Sicherheitsmanagement
Der Entwicklungsprozess ist definiert, verantwortet und mit Ressourcen ausgestattet. Umfasst Abgrenzung, Rollen und Verantwortlichkeiten, Kompetenz, die Sicherheit der Entwicklungsumgebung selbst sowie Kontrollen über Komponenten Dritter.
- SR5 Anforderungen
Spezifikation der Sicherheitsanforderungen
Sicherheitsanforderungen werden aus dem Verwendungszweck und der Bedrohungsanalyse abgeleitet, dokumentiert, geprüft und nachvollziehbar gehalten — nicht implizit angenommen. Umfasst Produktsicherheitskontext und Bedrohungsmodell.
- SD4 Anforderungen
Sicheres Design
Das Design wendet Defense in Depth, geringste Rechte und bewährte Prinzipien sicheren Entwurfs an. Design-Reviews und Bedrohungsmodellierung erfolgen an definierten Punkten, Feststellungen werden bis zum Abschluss verfolgt.
- SI2 Anforderungen
Sichere Implementierung
Die Umsetzung folgt dokumentierten Regeln für sichere Programmierung, und ein Implementierungs-Review prüft, ob das Sicherheitsdesign im Code tatsächlich umgesetzt wurde.
- SVV5 Anforderungen
Sicherheitsverifizierung und -validierung
Funktionale Sicherheitstests, Tests der Bedrohungsminderung, Schwachstellenscans und Penetrationstests werden geplant, von fachkundigen Personen durchgeführt und dokumentiert.
- DM6 Anforderungen
Behandlung sicherheitsrelevanter Meldungen
Gemeldete und selbst entdeckte Probleme werden aufgenommen, triagiert, hinsichtlich Schweregrad bewertet, behoben und offengelegt. Diese Praktik entspricht weitgehend CRA Anhang I Teil II.
- SUM5 Anforderungen
Management von Sicherheitsupdates
Updates werden qualifiziert, dokumentiert, ausgeliefert und innerhalb definierter Fristen kommuniziert — auch für Abhängigkeiten, die Sie nicht selbst entwickelt haben.
- SG7 Anforderungen
Sicherheitsrichtlinien für Anwender
Anwender erhalten die Dokumentation, die sie brauchen, um das Produkt sicher zu installieren, zu betreiben, zu härten und außer Betrieb zu nehmen, einschließlich Hinweisen zu Defense in Depth.
Bewertung
Der Reifegrad bestimmt den Nachweisumfang
Jede Praktik wird eigenständig bewertet. Zertifizierungen zielen üblicherweise auf „Managed“ als Untergrenze, mit „Defined“ für die Praktiken mit dem höchsten Produktrisiko.
- ML 1InitialPraktiken finden statt, aber ad hoc und größtenteils undokumentiert. Ergebnisse hängen von Einzelpersonen ab, nicht vom Prozess.
- ML 2ManagedPraktiken sind dokumentiert, geplant und werden von geschultem Personal mit ausreichenden Ressourcen durchgeführt. Das ist das praktische Minimum für eine Zertifizierung.Üblicher Mindestgrad
- ML 3DefinedPraktiken sind organisationsweit standardisiert und werden einheitlich angewendet; auditierbare Nachweise entstehen als Nebenprodukt der normalen Arbeit.
- ML 4ImprovingPraktiken werden mit Kennzahlen gemessen, und der Prozess selbst wird auf dieser Datengrundlage kontinuierlich verbessert.
Auditpraxis
Was ein Auditor sehen möchte
Nachweise lassen sich nicht glaubwürdig nachträglich erzeugen. Deshalb muss die Prozessarbeit deutlich vor dem angestrebten Audittermin beginnen.
- Dokumentierte Beschreibung des Entwicklungsprozesses und Abgrenzung des Anwendungsbereichs
- Rollendefinitionen, Kompetenznachweise und Schulungsbelege
- Produktsicherheitskontext und Bedrohungsmodelle je Release
- Sicherheitsanforderungen mit Nachvollziehbarkeit zu Design und Test
- Aufzeichnungen zu Design- und Implementierungs-Reviews mit abgeschlossenen Feststellungen
- Regelwerk für sichere Programmierung und Belege seiner Anwendung
- Testpläne und Ergebnisse für SVV, einschließlich Penetrationstestberichten
- Fehlerregister mit Triage, Schweregradbewertung und Abschluss
- Qualifizierungsnachweise für Updates und Release Notes
- Veröffentlichte Offenlegungspolitik und Sicherheitsrichtlinien für Anwender
Vorbereitungspfad
Wie wir ein Zertifizierungsprogramm aufbauen
- Phase 1
Gap-Assessment
Alle acht Praktiken gegen den Zielreifegrad bewerten und feststellen, für welche Anforderungen heute keine Nachweise vorliegen.
- Phase 2
Prozessdefinition
Den Entwicklungsprozess so beschreiben, wie Ihre Teams tatsächlich arbeiten. Prozesse gegen die Entwicklungskultur überleben bis zum Audit nicht.
- Phase 3
Nachweisaufbau
Den Prozess in realen Releases anwenden. Auditoren wollen Aufzeichnungen aus dem normalen Arbeitsablauf, keine für das Audit erstellten Artefakte.
- Phase 4
Audit-Probelauf
Eine interne Bewertung anhand der Checkliste der Zertifizierungsstelle, mit Interviews, damit Feststellungen auftauchen, bevor sie einen Auditzyklus kosten.
- Phase 5
Zertifizierung
Zusammenarbeit mit der Zertifizierungsstelle, Einreichung der Nachweise, Auditbegleitung und Abschluss aller Feststellungen.
Bewerten Sie Ihren Entwicklungszyklus über alle acht Praktiken
Das Gap-Assessment liefert einen Reifegrad je Praktik, die fehlenden Nachweise und einen priorisierten Maßnahmenplan bis zur Auditreife.