Sichere OT/ICS-Umgebungen schaffen: Die zentrale Rolle des Risk Assessments gemäß IEC 62443

Die Realität der OT-Security: Warum Sie jetzt handeln müssen

Die Sicherung industrieller Kontrollsysteme (ICS) und operativer Technologien (OT) ist komplex – und die Bedrohungslage verschärft sich stetig:

• 60–70 % der Industrieunternehmen waren in den letzten Jahren von OT-Vorfällen betroffen (Quelle: Palo Alto, PlantServices, Dragos).
• Gezielte Angriffe auf OT-Umgebungen nehmen deutlich zu: Laut dem Fortinet „2024 State of Operational Technology and Cybersecurity Report“ gaben 73 % der befragten OT‑Organisationen an, im letzten Jahr mindestens einen unautorisierten Zugriff erlebt zu haben — gegenüber 49 % im Vorjahr.
• Typisches Szenario: Ein Cyberangriff, der über IT-Systeme oder Engineering-Stationen in die OT gelangt, kann zu ungeplanten Produktionsstillständen führen – oft mit erheblichen Kosten, Betriebsunterbrechungen und Reputationsrisiken.

Inhaltsangabe: 

1. DIE REALITÄT DER OT-SECURITY: WARUM SIE JETZT HANDELN MÜSSEN

2. Was versteht man unter einem OT-Cybersecurity Risk Assessment  nach IEC 62443?

3. NÄCHSTER SCHRITT: OT-SECURITY-SELF-CHECK & OT-SECURITY NAVIGATION 2026
4. FAZIT
5. GLOSSAR
   
   

Warum ein OT-Cybersecurity Risk Assessment jetzt entscheidend ist 

Eine fundierte Risikobewertung nach IEC 62443 ist der Ausgangspunkt für jedes wirksame OT-Security-Programm:

• Schafft Transparenz über Systeme und Prozesse
• Ermöglicht fundierte Entscheidungen
• Schützt Produktionsprozesse, Mensch und Maschine
• Unterstützt die Compliance, insbesondere unter NIS2

Alle führenden Standards und Regulierungen – IEC 62443, NIS2, NIST SP 800-30 – fordern ein strukturiertes Risikomanagement. [Quelle: NIST SP 800-30, BSI, CRA, NIS2, ENISA, u.a.] 

Business-Perspektive: Kosten vs. Risiko

Ohne Risikobewertung drohen für Entscheider:

• Produktionsstillstand
• Vertragsstrafen
• Compliance-Verstöße
• Persönliche Haftung nach NIS2 [Quelle: NIS2, gtlaw, Computerwoche)

Im Vergleich dazu sind die Investitionskosten für ein strukturiertes Assessment oft deutlich geringer als die finanziellen und organisatorischen Folgen eines typischen OT-Vorfalls. Berichte nennen steigende durchschnittliche Kosten je Sicherheitsvorfall. Drei Millionen $ im Jahr 2021 hin zu fünf Millionen $ im Jahr 2025 [Quelle: Security Week, IBM].

Fallbeispiele

Negativ:

Chemiewerk ohne vollständiges Asset-Inventar
Ein Sicherheitsvorfall im IT-/Engineering-Netzwerk breitet sich auf OT-Systeme aus. Ohne ein aktuelles Asset-Inventar können kritische Prozesse und Systeme nicht schnell isoliert werden, da die Sichtbarkeit fehlt.
Konsequenzen: Produktionsstillstand, unkontrollierte Anlagenzustände und potenzielle Gefährdung von Personen durch chemische oder mechanische Risiken. Zudem stehen durch NIS2 hohe Strafen für die Verantwortlichen im Raum.
Lektion: Ein vollständiges Asset-Inventar ist die Basis, um Risiken früh erkennen zu können und Menschen, Umwelt sowie Produktion zu schützen. Die Erstellung eines solchen Asset-Inventars ist Teil es OT-Cybersecurity Risk Assessments.

Positiv:

Energieversorger mit IEC 62443-konformer Risikobewertung
Durch eine strukturierte Risikobewertung gewinnt der Energieversorger Klarheit über Sicherheitszonen, kritische Assets und priorisierte Risiken. Auf dieser Basis werden gezielte Tests geplant und passende technische wie organisatorische Maßnahmen eingeführt.
Konsequenzen: Schwachstellen und reale Risiken werden frühzeitig erkannt, Angriffsflächen messbar reduziert und sicherheitsrelevante Prozesse deutlich stabiler. Zudem wird die NIS2-Compliance in diesem Punkt spürbar beschleunigt.
Lektion: Ein systematisches OT-Cybersecurity Risk Assessment nach IEC 62443 stärkt die Widerstandsfähigkeit gegen Angriffe, ermöglicht gezieltes Handeln und reduziert Aufwand sowie Kosten im gesamten OT-Sicherheitsprogramm.

Was versteht man unter einem OT-Cybersecurity Risk Assessment  nach IEC 62443?

Ein OT-Cybersecurity Risk Assessment dient dazu, potenzielle Bedrohungen für ein System zu identifizieren, die Wahrscheinlichkeit ihres Eintretens zu bewerten und die möglichen Auswirkungen auf Betrieb, Sicherheit und Verfügbarkeit zu verstehen.

Im Gegensatz zur IT-Sicherheit werden hier neben technischen Schwachstellen auch die spezifischen industriellen Prozesse, die geopolitische Lage, die Risikobereitschaft des Anlagenbetreibers und regulatorische Anforderungen berücksichtigt.

Der international anerkannte Standard ISA/IEC 62443-3-2 bietet einen strukturierten Ansatz für diesen Prozess. Er ist das primäre Werkzeug, um:

• Risiken zu identifizieren und zu bewerten
• Sicherheitszonen (Zones) und sichere Verbindungen (Conduits) zu definieren
• Die Basis für das gesamte Sicherheitsprogramm zu schaffen
• Ziel-Sicherheitslevel (Security Levels, SL-T (Target)) für diese Zonen festzulegen

Die folgende Abbildung zeigt die fünf Security Levels (SL 0 bis SL 4) der IEC 62443, welche die erforderliche Höhe des Schutzes gegen (vorsätzliche) Angriffe definieren. Sie reichen von SL 0 (kein spezifischer Schutz notwendig) bis SL 4 (Schutz gegen Angreifer mit erweiterten Ressourcen, IACS-spezifischen Fähigkeiten und hoher Motivation).

Abbildung 1: Security Level
(Quelle: Eigenkreation auf Basis ISA/IEC 62443 Explained: OT Cybersecurity Standards|Dragos)

Warum das Risk Assessment der Startpunkt jeder OT-Security-Strategie ist?

Die Gründe, warum die Risikobewertung am Anfang stehen muss, sind klar und vielfach belegt. [Quelle: ZVEI, BSI, u.a.)

Ein wirksamer Schutz ist nur möglich, wenn das System und seine Schwachstellen verstanden sind. Die Risikobewertung als initialer Schritt liefert dieses notwendige Fundament.

Warum ist ein detailliertes Verständnis des Systems und seiner Schwachstellen wichtig?

Eine Risikobewertung ermöglicht es Ihnen, das System Under Consideration (SuC) detailliert zu verstehen. Dazu gehören:

• Identifizierung des SuC und der Assets: Genaue Auflistung aller Komponenten, einschließlich Konfigurationen und Firmware-Versionen.
• Verständnis der Prozesse: Wie funktioniert der gesteuerte Prozess? Welche finanziellen, sicherheitstechnischen und umweltbezogenen Auswirkungen hätte eine Kompromittierung des IACS?

Was sind die Grundlagen für die Priorisierung von Maßnahmen?

Nicht alle Risiken sind gleich. Die Bewertung ermöglicht es, Ressourcen effizient einzusetzen:

• Priorisierung: Die dringendsten und kritischsten Maßnahmen werden zuerst angegangen.
• Lückenanalyse: Die Bewertung deckt auf, wo bestehende Kontrollen unzureichend sind und neue Maßnahmen implementiert werden müssen.
• Ressourcenallokation: So können Budget, Zeit und Personal gezielt dort eingesetzt werden, wo der größte Nutzen entsteht.
  
  

Werden regulatorische und normative Anforderungen erfüllt?

Die Risikobewertung ist integraler Bestandteil des vom Standard ISA/IEC 62443-2-1 geforderten Sicherheitsprogramms. Zudem erfüllt die Dokumentation die Audit- und Nachweispflichten vieler Vorschriften. Für viele Unternehmen ist nicht nur die Sicherheit entscheidend – auch die Nachweisbarkeit gegenüber Auditoren und Aufsichtsbehörden

Wie läuft ein OT-Risk Assessment nach IEC 62443 in der Praxis ab? 

Der strukturierte Prozess gliedert sich grob in vier Phasen, die den ISA/IEC 62443-3-2-Workflow widerspiegeln: [Quelle: ISA, Hard Hat Security]

Vorbereitungsphase (Definition des Rahmens)

• Festlegung der Ziele und des Geltungsbereichs (Scope) der Bewertung.
• Zusammenstellung des multidisziplinären Bewertungsteams (Automatisierungsingenieure, IT/OT-Experten).
• Sammeln aller relevanten Dokumente (Architektur, Inventar, Konfigurationen).

Durchführungsphase (Analyse)

• Identifikation des SuC: Klare Abgrenzung und Dokumentation des zu bewertenden Systems.
• Initiale Risikobewertung (High-Level): Identifizierung von Worst-Case-Szenarien. Anschließend wird das SuC in Zonen (Zones) und sichere Verbindungen (Conduits) eingeteilt, um das Netzwerk zu segmentieren. Diese Vorgehensweise wird beispielhaft in Abbildung 2: Zones und Conduits dargestellt. Hier werden Assets anhand ihrer Funktionalität und Schutzbedarf kategorisiert und in entsprechenden Zonen zusammengefasst. Zwischen den Zonen werden sichere Verbindungskanäle etabliert.
  
  

Abbildung 2: Zones und Conduits
(Quelle: Eigenentwicklung auf Basis: ISA/IEC 62443 Explained: OT Cybersecurity Standards|Dragos)

• Detaillierte Risikobewertung: Wenn das initiale Risiko die tolerierbare Schwelle überschreitet, erfolgt eine tiefgreifende Analyse der Sicherheitszonen und Verbindungen gemäß ISA/IEC 62443-3-2.
  

Kommunikation der Ergebnisse

Dokumentation und Berichterstattung: Die Ergebnisse der Bewertung müssen dokumentiert, kommuniziert und den Stakeholdern zur Verfügung gestellt werden. Dies dient als Grundlage für zukünftige Audits und Sicherheitsmaßnahmen sowie als Nachweis gegenüber Auditoren.

Kontinuierliche Überwachung

"Living Document": Risikobewertungen sind keine einmaligen Ereignisse, sondern müssen regelmäßig überprüft und aktualisiert werden (mindestens jährlich). 

Neubewertung bei Änderungen: Signifikante Änderungen im SuC, neue Bedrohungen (APTs) oder geopolitische Ereignisse erfordern eine sofortige Neubewertung. Mehr dazu im Abschnitt "Wann ist ein OT-Risk Assessment Pflicht – und wie oft sollte es wiederholt werden?".

Die folgende vereinfachte Darstellung des Risk Assessment Prozesses folgt dem strukturierten Vorgehen der ISA/IEC 62443-3-2. Der Ablauf startet mit der Identifizierung des Systems (SuC), der anfänglichen Risikobewertung und der Unterteilung in Zonen und Conduits. Nur wenn das anfängliche Risiko das tolerierbare Niveau übersteigt, wird eine detaillierte Risikobewertung ausgelöst. Das Ergebnis ist die Dokumentation der Sicherheitsanforderungen und des Maßnahmenkatalogs samt Priorisierung.

Abbildung 3: Ablauf Gesamtprozess Risk Assessment
(Quelle: Eigenentwicklung auf Basis White Paper Excerpt: Leveraging ISA 62443-3-2 For IACS Risk Assessment and Risk Related Strategies) 

Wann ist ein OT-Risk Assessment Pflicht – und wie oft sollte es wiederholt werden?

Die Risikobewertung ist kein einmaliges Ereignis und sollte in jeder Phase des IACS-Lebenszyklus durchgeführt werden:

Nächster Schritt: OT-Security-Self-Check & OT-Security Navigation 2026

Der Aufbau einer effektiven OT-Security Strategie ist komplex, aber eine gründliche Risikobewertung ist der unverzichtbare erste Schritt. Wer auf ein solides Fundament setzt, sorgt langfristig für die Sicherheit seiner OT/ICS-Umgebung.

Wie lässt sich Ihr eigener Reifegrad schnell prüfen?

Unser OT-Security-Self-Check ermöglicht Ihnen in nur 3 Minuten eine erste Orientierung zu Ihrem OT-Risiko. Der kurze Fragebogen (10 Fragen ) identifiziert potenzielle Schwachstellen und gibt eine erste Empfehlung, ob eine vollständige Risikobewertung nach IEC 62443 als nächster Schritt sinnvoll ist.

Welche Vorteile bietet ein Self-Check?

• Sofortige Einschätzung Ihres aktuellen Reifegrades.
• Erste Einblicke in kritische Schwachstellen.
• Klare Empfehlung für die nächsten Schritte.
  
  

Weiterführende Informationen:

Unser Whitepaper „OT-Security Navigation 2026 - NIS2 und die Transformation der OT-Security“ ergänzt diesen Blogbeitrag und bietet einen strukturierten Leitfaden zum Aufbau einer OT-Security-Strategie. Es zeigt die zentralen Schritte und Überlegungen zur Absicherung industrieller Systeme auf und beleuchtet dabei die Relevanz der NIS2-Richtlinie für die OT-Umgebung – inklusive einer praktischen NIS2-OT-Readiness-Checkliste.

Fazit

Der Aufbau einer wirksamen OT-/ICS-Sicherheits-Strategie ist komplex und erfordert kontinuierliche Aufmerksamkeit. Eine fundierte Risikobewertung bildet dabei den entscheidenden Ausgangspunkt: Sie liefert ein klares Verständnis der Systeme, ihrer Schwachstellen und der potenziellen Auswirkungen von Angriffen. Auf dieser Basis können Organisationen gezielt priorisierte Sicherheitsmaßnahmen entwickeln, die den Schutz kritischer Assets nachhaltig erhöhen.

Die ISA/IEC 62443-Standards bieten einen bewährten Rahmen, um diese Prozesse strukturiert umzusetzen. Ergänzend können Schulungsangebote wie die IC33-Kurse das nötige Wissen vermitteln, damit Risikobewertungen praxisnah und erfolgreich durchgeführt werden.

Vorteil für Unternehmen: Wer frühzeitig und systematisch Risiken bewertet, kann nicht nur Sicherheitslücken gezielt schließen, sondern auch Betriebsunterbrechungen vermeiden, Compliance-Anforderungen effizient erfüllen und die Entscheidungsgrundlage für zukünftige Sicherheitsmaßnahmen stärken.

Bereit für den nächsten Schritt?

Lassen Sie uns gemeinsam Ihre IT-Sicherheit auf das nächste Level heben. Die Security Consultants von Cyfidelity steht Ihnen als Partner mit Erfahrung, Weitblick und technologischem Know-how zur Seite.