Umsetzung der IEC 62443-4-1 bei Softing Industrial

Softing Industrial [1] hat in den letzten fünf Jahren verstärkt Kundennachfragen bezüglich der Zertifizierung nach der DIN EN IEC 62443-4-1 [2] erhalten. Dieser Normenteil beschreibt die Anforderungen an einen sicheren Produktentwicklungsprozess für Komponentenhersteller im Bereich der industriellen Automatisierung.

Im Januar 2022 begann Softing Industrial mit der Erweiterung seiner Prozesse, um diesen Anforderungen gerecht zu werden. Im Juni 2023 erhielt das Unternehmen die Zertifizierung nach der DIN EN IEC 62443-4-1 für seine Standorte in Haar bei München, Nürnberg und den Entwicklungsstandort in Cluj/Rumänien. Der Zertifizierungsprozess wurde vom TÜV Süd durchgeführt. Seitdem integriert das Unternehmen diese Prozesserweiterungen in allen Produktentwicklungen und setzt die in der DIN EN IEC 62443-4-2 [3] beschriebenen Sicherheitsanforderungen für Komponenten um.

Segmentierung von Netzwerken

Zur Segmentierung der Netzwerke empfiehlt die IEC 62443, die Kommunikationsnetze für die industrielle Automatisierung in Zonen und Übergänge zu unterteilen. An den Übergängen zwischen den Zonen werden diese zum Schutz vor möglichen Angriffen abgesichert. Die Segmentierung kann durch Standard-IT-Produkte wie Firewalls oder durch spezifischere, an die OT angepasste Produkte realisiert werden.

Softing Industrial hat mit dem „smartLink HW-PN“ ein Produkt im Angebot, das die Sicherung von Profinet-Netzwerken erleichtert. Es realisiert einen sicheren Zugangspunkt für Anwendungen zu Profinet-Netzwerken (Bild 1).

Der „smartLink HW-PN“ bietet passende Schnittstellen für die Anwendungsbereiche Asset Management, Netzwerk-Monitoring und Prozessanalyse (IIoT, NOA).

Asset-Management-Anwendungen wie der Emerson AMS Device Manager greifen über den „smartLink HW-PN“ auf Profinet-Geräte zu, um Parameter einzustellen und den Zustand zu überwachen. Der „smartLink HW-PN“ bietet dazu eine FDI-Communication-Schnittstelle, welche auf dem sicheren Kommunikationsprotokoll OPC UA basiert. Die Kommunikation zwischen der Asset-Management-Anwendung und dem „smartLink HW-PN“ kann über Zertifikate geschützt sowie verschlüsselt werden. Nur autorisierte Anwendungsinstanzen können sich über diese nordseitige Schnittstelle mit dem „smartLink HW-PN“ verbinden. Südseitig, im Profinet-Netzwerk, agiert der „smartLink HWPN“ als Profinet-Supervisor und baut zu den Profinet-Geräten eine „Device IO“-Verbindung auf. Er ermöglicht damit berechtigten Anwendungen einen transparenten Zugriff auf die Profinet-Geräte, unabhängig vom eingesetzten Profinet-Controller.

Die Hardwarearchitektur des „smartLink HW-PN“ garantiert dabei eine sichere Trennung des nordseitigen Anwendungsnetzwerks vom südseitigen Profinet-Netzwerk. Die Ethernet-Schnittstellen werden von separaten Betriebssysteminstanzen bedient. Diese separaten Instanzen kommunizieren nur über einen geteilten Speicherbereich miteinander. Damit ist ein Durchgriff auf der IP-Ebene von der Nord- auf die Südseite ausgeschlossen.

Eine komplexe Konfiguration von Firewalls für den Durchgriff der Anwendungen in das Profinet-Netzwerk ist mit dem „smartLink HW-PN“ nicht mehr nötig.

Echtzeit-Inventur von Netzwerken

Für den sicheren Betrieb von Netzwerken in der industriellen Automatisierung ist es zudem essenziell zu wissen, welche Geräte mit welchen Firmware-Ständen verbaut sind. Theoretisch sollte das von der Anlagenplanung bekannt sein. Doch oft unterscheidet sich der tatsächlich installierte vom geplanten Stand („As-Built“ vs. „As-Planned“), speziell wenn die Anlagen schon einige Jahre im Betrieb sind.

Softing Industrial bietet für Profibus- und ab dem Herbst 2025 auch für Profinet-Netzwerke mit dem Produkt „plant-Perfect Monitor“ eine Netzwerk-Monitoring-Anwendung an. Diese nutzt für den Zugriff auf das Netzwerk die „smartLink“-Produkte von Softing Industrial und ermöglicht eine Echtzeit-Inventur der im Netzwerk verbauten Geräte. Damit wird die Basis für den sicheren Betrieb geschaffen.

Fazit

NIS-2, CRA und IEC 62443 markieren einen wichtigen Schritt in Richtung einer sichereren und widerstandsfähigeren Industrie. Unternehmen der industriellen Automatisierung müssen sich auf umfangreiche Sicherheitsanforderungen einstellen, die sowohl technische als auch organisatorische Maßnahmen erfordern. Wer sich frühzeitig anpasst, kann nicht nur regulatorische Risiken minimieren, sondern auch Wettbewerbsvorteile durch eine verbesserte Cybersicherheitsstrategie erlangen.                                                                                                  

Literatur

1. Softing Industrial Automation GmbH, Haar: https://industrial.softing.com/de
2. DIN EN IEC 62443-4-1 (VDE 0802-4-1):2018-10: IT-Sicherheit für industrielle Automatisierungssysteme –Teil 4-1: Anforderungen an den Lebenszyklus für eine sichere Produktentwicklung. Berlin · Offenbach: VDE VERLAG
3. DIN EN IEC 62443-4-2 (VDE 0802-4-2):2019-12: IT-Sicherheit für industrielle Automatisierungssysteme – Teil 4-2: Technische Sicherheitsanforderungen an Komponenten industrieller Automatisierungssysteme (IACS). Berlin · Offenbach: VDE VERLAG