Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- content:industrie-produktionsanlagen [2025/10/14 19:05] – ↷ Seitename wurde von content:arbeitsschutz auf content:industrie-produktionsanlagen geändert droste
+++ content:industrie-produktionsanlagen [2025/10/16 17:32] (aktuell) – [VDI-Richtlinien] droste
@@ Zeile 1: / Zeile 1: @@
-====== Safety und Security in Industrie- und Produktionsanlagen  ======
+====== Safety und Security in Industrie- und Produktionsanlagen ======
-Die zunehmende Digitalisierung und Vernetzung in der Industrie bringen neben zahlreichen Chancen auch erhebliche Sicherheitsrisiken mit sich.
-Insbesondere kritische Infrastrukturen und Steuerungssysteme in Industrie- und Produktionsanlagen sind zunehmend Ziel von Cyberangriffen.
-In diesen Bereichen gibt es bereits verschiedene Normen und Richtlinien, sowie etablierte Prozesse für Safety und Security, unter anderem auch aus dem Arbeitsschutz.
-Im Folgenden sind wesentliche dieser Normen und Richtlinien aufgeführt, die entsprechenden Risikodefinitionen und -analyseprozesse aus Safety- als auch aus Security-Sicht dargestellt und eine domänenübergreifende Zusammenführung der beiden Sichten präsentiert.
+Die zunehmende Digitalisierung und Vernetzung in der Industrie bringen neben zahlreichen Chancen auch erhebliche Sicherheitsrisiken mit sich. Insbesondere kritische Infrastrukturen und Steuerungssysteme in Industrie- und Produktionsanlagen sind zunehmend Ziel von Cyberangriffen. In diesen Bereichen gibt es bereits verschiedene Normen und Richtlinien, sowie etablierte Prozesse für Safety und Security, unter anderem auch aus dem Arbeitsschutz. Im Folgenden sind wesentliche dieser Normen und Richtlinien aufgeführt, die entsprechenden Risikodefinitionen und -analyseprozesse aus Safety- als auch aus Security-Sicht dargestellt und eine domänenübergreifende Zusammenführung der beiden Sichten präsentiert.
 ===== Relevante Normen und Richtlinien (unvollständig) =====
@@ Zeile 14: / Zeile 8: @@
 ^Kennung^Jahr^Titel^Anmerkung|
-|[[https://www.dinmedia.de/en/standard/din-en-61508-1/135302584:industrie|IEC 61508]]|2010|Functional safety of electrical/electronic/programmable electronic safety-related systems, Parts 1 - 7| |
+|[[https://webstore.iec.ch/en/publication/22273|IEC 61508]]|2010|Functional safety of electrical/electronic/programmable electronic safety-related systems - Parts 1 to 7| |
-|[[https://www.dinmedia.de/de/norm/iso-12100/136574342|ISO 12100]]|2010|Safety of machinery - General principles for design - Risk assessment and risk reduction|Risikobewertung|
+|[[https://www.iso.org/standard/51528.html|ISO 12100]]|2010|Safety of machinery - General principles for design - Risk assessment and risk reduction|Risikobewertung|
-|[[https://www.dinmedia.de/en/standard/din-en-iec-62061/358503687|IEC 62061]]|2023|Safety of machinery - Functional safety of safety-related electrical, electronic and programmable electronic control systems|Maschinen-Technik|
+|[[https://webstore.iec.ch/en/publication/93654|IEC 62061]]|2021|Safety of machinery - Functional safety of safety-related control systems|Maschinen-Technik|
-|[[https://www.dinmedia.de/en/standard/iso-13849-1/367982018|ISO 13849-1]]|2023|Safety of machinery - Safety-related parts of control systems - Part 1: General principles for design|Maschinen-Technik|
+|[[https://www.iso.org/standard/73481.html|ISO 13849-1]]|2023|Safety of machinery - Safety-related parts of control systems - Part 1: General principles for design|Maschinen-Technik|
-|[[https://www.dinmedia.de/en/standard/iso-13849-2/167356377|ISO 13849-2]]|2012|Safety of machinery - Safety-related parts of control systems - Part 2: Validation|Maschinen-Technik|
+|[[https://www.iso.org/standard/53640.html|ISO 13849-2]]|2012|Safety of machinery - Safety-related parts of control systems - Part 2: Validation|Maschinen-Technik|
-|[[https://www.dinmedia.de/en/standard/din-en-61800-5-2/277436970|IEC 61800-5-2]]|2017|Adjustable speed electrical power drive systems - Part 5-2: Safety requirements – Functional Safety|Antriebstechnik|
+|[[https://webstore.iec.ch/en/publication/24555|IEC 61800-5-2]]|2016|Adjustable speed electrical power drive systems - Part 5-2: Safety requirements - Functional|Antriebstechnik|
-|[[https://www.dinmedia.de/en/standard/din-en-61511-1/296008238|IEC 61511-1]]|2019|Functional safety - Safety instrumented systems for the process industry sector, Parts 1 - 3|Prozesstechnik|
+|[[https://webstore.iec.ch/en/publication/61289|IEC 61511-1]]|2016|Functional safety - Safety instrumented systems for the process industry sector - Part 1: Framework, definitions, system, hardware and application programming requirements|Prozesstechnik|
-|[[https://www.dinmedia.de/en/standard/din-en-61513/188355832|IEC 61513]]|2013|Nuclear power plants - Instrumentation and control important to safety - General requirements for systems|Kernkraft-Technik|
+|[[https://webstore.iec.ch/en/publication/5532|IEC 61513]]|2011|Nuclear power plants - Instrumentation and control important to safety - General requirements for systems|Kernkraft-Technik|
-|[[https://www.dinmedia.de/en/standard/iso-10218-1/389604641:industrie|ISO 10218]]|2025|Robotics - Safety requirements|Industrie-Roboter-Technik|
+|[[https://www.iso.org/standard/73933.html|ISO 10218]]|2025|Robotics - Safety requirements|Industrie-Roboter-Technik|
-|[[https://www.dinmedia.de/en/standard/din-en-iec-61496-1/337072688:industrie|DIN EN IEC 61496]]|2020|Sicherheit von Maschinen – Berührungslos wirkende Schutzeinrichtungen| |
+|[[https://webstore.iec.ch/en/publication/63115|IEC 61496-1]]|2020|Safety of machinery - Electro-sensitive protective equipment - Part 1: General requirements and tests| |
 ==== 2. Security ====
@@ Zeile 30: / Zeile 24: @@
 ^Kennung^Jahr^Titel^Anmerkung|
-|[[https://www.dinmedia.de/de/norm/din-en-iec-62443-4-1/292194568|IEC 62443-4-1]]|2018|Security for industrial automation and control systems – Part 4-1: Secure product development lifecycle requirements|Produktentwicklung|
+|[[https://webstore.iec.ch/en/publication/33615|IEC 62443-4-1]]|2018|Security for industrial automation and control systems – Part 4-1: Secure product development lifecycle requirements|Produktentwicklung|
-|[[https://www.dinmedia.de/de/norm/din-en-iec-62443-4-2/312858287|IEC 62443-4-2]]|2019|Security for industrial automation and control systems - Part 4-2: Technical security requirements for IACS components|Produktentwicklung|
+|[[https://webstore.iec.ch/en/publication/34421|IEC 62443-4-2]]|2019|Security for industrial automation and control systems - Part 4-2: Technical security requirements for IACS components|Produktentwicklung|
-|[[https://www.dinmedia.de/de/norm/din-en-iec-62443-3-2/344299957:industrie|IEC 62443-3-2]]|2020|Industrial communication networks - Network and system security - Part 3-2: Security levels for zones and conduits|Risikobeurteilung auf Systemebene|
+|[[https://webstore.iec.ch/en/publication/30727|IEC 62443-3-2]]|2020|Security for industrial automation and control systems - Part 3-2: Security risk assessment for system design|Risikobeurteilung auf Systemebene|
-|[[https://www.dinmedia.de/en/standard/din-en-iec-62443-3-3/311519620|IEC 62443-3-3]]|2013|Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels|Technische Security-Anforderungen|
+|[[https://webstore.iec.ch/en/publication/7033|IEC 62443-3-3]]|2013|Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels|Technische Security-Anforderungen|
 === 2.2 Normen für Informationssicherheits-Managementsysteme (ISMS) ===
 ^Kennung^Jahr^Titel^Anmerkung|
-|[[https://www.dinmedia.de/de/norm/iso-iec-27001/360980333:industrie|ISO/IEC 27001]]|2022|Information security, cybersecurity and privacy protection — Information security management systems — Requirements|Informationssicherheits-Managementsysteme|
+|[[https://www.iso.org/standard/27001|ISO/IEC 27001]]|2022|Information security, cybersecurity and privacy protection — Information security management systems — Requirements|Informationssicherheits-Managementsysteme|
-|[[https://www.dinmedia.de/de/norm/iso-iec-27002/352094880:industrie|ISO/IEC 27002]]|2022|Information security, cybersecurity and privacy protection — Information security controls|Kontrollmechanismen für die Informationssicherheit|
+|[[https://www.iso.org/standard/75652.html|ISO/IEC 27002]]|2022|Information security, cybersecurity and privacy protection — Information security controls|Kontrollmechanismen für die Informationssicherheit|
-|[[https://www.dinmedia.de/de/norm/iso-iec-27005/360980347:industrie|ISO/IEC 27005]]|2022|Information security, cybersecurity and privacy protection — Guidance on managing information security risks|Risikomanagement für Informationssicherheit|
+|[[https://www.iso.org/standard/80585.html|ISO/IEC 27005]]|2022|Information security, cybersecurity and privacy protection — Guidance on managing information security risks|Risikomanagement für Informationssicherheit|
 === 2.3 Normen für die Evaluierung von IT-Sicherheit ===
 ^Kennung^Jahr^Titel^Anmerkung|
-|[[https://www.dinmedia.de/de/norm/iso-iec-18045/358350802:industrie|ISO/IEC 18045]]|2022|Information security, cybersecurity and privacy protection - Evaluation criteria for IT security - Methodology for IT security evaluation|Methodik zur Evaluation von IT-Sicherheit|
+|[[https://www.iso.org/standard/72889.html|ISO/IEC 18045]]|2022|Information security, cybersecurity and privacy protection - Evaluation criteria for IT security - Methodology for IT security evaluation|Methodik zur Evaluation von IT-Sicherheit|
-|[[:industrie|ISO/IEC 15408]]|2022|Information security, cybersecurity and privacy protection - Evaluation criteria for IT security|IT-Sicherheit|
+|[[https://www.iso.org/standard/72891.html|ISO/IEC 15408]]|2022|Information security, cybersecurity and privacy protection - Evaluation criteria for IT security|IT-Sicherheit|
-|[[https://www.dinmedia.de/de/norm/iso-iec-19790/390254319:industrie|ISO/IEC 19790]]|2025|Information security, cybersecurity and privacy protection - Security requirements for cryptographic modules|Kryptographische Module|
+|[[https://www.iso.org/standard/82423.html|ISO/IEC 19790]]|2025|Information security, cybersecurity and privacy protection - Security requirements for cryptographic modules|Kryptographische Module|
-|[[https://www.dinmedia.de/de/norm/iso-iec-19792/393602702|ISO/IEC 19792]]|2025|Information security, cybersecurity and privacy protection - General principles, requirements and guidance for security evaluation of biometric systems|Biometrische Technologie|
+|[[https://www.iso.org/standard/84753.html|ISO/IEC 19792]]|2025|Information security, cybersecurity and privacy protection - General principles, requirements and guidance for security evaluation of biometric systems|Biometrische Technologie|
 === 2.4 Normen für spezielle (IT)-Sicherheitsverfahren ===
 ^Kennung^Jahr^Titel^Anmerkung|
-|[[https://www.dinmedia.de/de/norm/iso-iec-10118-1/264668082:industrie|ISO/IEC 10118]]|2016|IT Security techniques - Hash-functions|Hashfunktionen|
+|[[https://www.iso.org/standard/64213.html|ISO/IEC 10118]]|2016|IT Security techniques - Hash-functions|Hashfunktionen|
-|[[https://www.dinmedia.de/de/norm/iso-iec-11770-1/137636687:industrie|ISO/IEC 11770]]|2010|IT Security techniques - Key management|Schlüsselmanagement|
+|[[https://www.iso.org/standard/53456.html|ISO/IEC 11770]]|2010|IT Security techniques - Key management|Schlüsselmanagement|
-|[[https://www.dinmedia.de/de/norm/iso-iec-18033-1/345591637:industrie|ISO/IEC 18033]]|2021|IT Security techniques - Encryption algorithms|Verschlüsselungsalgorithmen|
+|[[https://www.iso.org/standard/76156.html|ISO/IEC 18033]]|2021|IT Security techniques - Encryption algorithms|Verschlüsselungsalgorithmen|
-|[[https://www.dinmedia.de/de/norm/iso-iec-9798-1/133311702:industrie|ISO/IEC 9798]]|2010|IT Security techniques - Entity authentication|Authentifizierung|
+|[[https://www.iso.org/standard/53634.html|ISO/IEC 9798]]|2010|IT Security techniques - Entity authentication|Authentifizierung|
-|[[https://www.dinmedia.de/de/norm/iso-iec-27034-1/148454745:industrie|ISO/IEC 27034]]|2011|Information technology — Security techniques — Application security| |
+|[[https://www.iso.org/standard/44378.html|ISO/IEC 27034]]|2011|Information technology — Security techniques — Application security| |
 === 2.5 Normen für spezielle Sicherheitsmaßnahmen ===
 ^Kennung^Jahr^Titel^Anmerkung|
-|[[https://www.iso.org/standard/51580.html:industrie|ISO/IEC 18028]]|2014|IT Security techniques - Network security|Netzwerksicherheit|
+|[[https://www.iso.org/standard/63461.html|ISO/IEC 27033]]|2014|Information technology — Security techniques — Network security|Netzwerksicherheit|
-|[[https://www.dinmedia.de/de/norm/iso-iec-27039/231353426|ISO/IEC 27039]]|2015|Information technology – Security techniques – Selection, deployment and operations of intrusion detection and prevention systems (IDPS)|IDS-Systeme|
+|[[https://www.iso.org/standard/56889.html|ISO/IEC 27039]]|2015|Information technology – Security techniques – Selection, deployment and operations of intrusion detection and prevention systems (IDPS)|IDS-Systeme|
 ==== 3. Sonstige Normen und Richtlinien ====
 ^Kennung^Jahr^Titel^Anmerkung|
-|[[:iec_tr_63069|IEC/TR 63069]]|2019|Framework for functional safety and security|Anwendung im Maschinenbereich, IEC 62443|
+|[[https://webstore.iec.ch/en/publication/31421|IEC/TR 63069]]|2019|Industrial-process measurement, control and automation - Framework for functional safety and security|Anwendung im Maschinenbereich, IEC 62443|
 |[[http://data.europa.eu/eli/reg/2019/881/oj|Cyber Security Act]]|2019|Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates vom 17. April 2019 über die ENISA (Agentur der Europäischen Union für Cybersicherheit) und über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik und zur Aufhebung der Verordnung (EU) Nr. 526/2013 (Rechtsakt zur Cybersicherheit)| |
-|[[https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555|NIS-2-Richtlinie]]|2022|Richtlinie(EU) 2022/2555 des Europäischen Parlaments und des Rates vom 16. April 2014 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie)| Schutz von Netzwerk- und Informationssystemen (NIS) |
+|[[https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555|NIS-2-Richtlinie]]|2022|Richtlinie(EU) 2022/2555 des Europäischen Parlaments und des Rates vom 16. April 2014 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie)|Schutz von Netzwerk- und Informationssystemen (NIS)|
-|[[https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32014L0053|RED-Richtlinie]]|2014|Richtlinie(EU) 2014/53/EU des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die Harmonisierung der Rechtsvorschriften der Mitgliedstaaten über die Bereitstellung von Funkanlagen auf dem Markt| Radio Equipment Directive (RED) |
+|[[https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32014L0053|RED-Richtlinie]]|2014|Richtlinie(EU) 2014/53/EU des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die Harmonisierung der Rechtsvorschriften der Mitgliedstaaten über die Bereitstellung von Funkanlagen auf dem Markt|Radio Equipment Directive (RED)|
-|[[http://data.europa.eu/eli/reg/2024/2847/oj|Cyber Resilience Act]]|2024|Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung)| Cyberresilienzgesetz für Produkte |
+|[[http://data.europa.eu/eli/reg/2024/2847/oj|Cyber Resilience Act]]|2024|Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung)|Cyberresilienzgesetz für Produkte|
 |[[http://data.europa.eu/eli/dir/2006/42/oj|Maschinenrichtlinie]]|2006|Richtlinie 2006/42/EG des Europäischen Parlaments und des Rates vom 17. Mai 2006 über Maschinen und zur Änderung der Richtlinie 95/16/EG| |
 |[[http://data.europa.eu/eli/reg/2023/1230/oj|Maschinenverordnung]]|2023|Verordnung (EU) 2023/1230 des Europäischen Parlaments und des Rates vom 14. Juni 2023 über Maschinen und zur Aufhebung der Richtlinie 2006/42/EG des Europäischen Parlaments und des Rates und der Richtlinie 73/361/EWG des Rates| |
@@ Zeile 78: / Zeile 72: @@
 ===== VDI-Richtlinien =====
-^ Kennung ^ Jahr ^ Titel ^ Anmerkung ^
+^Kennung^Jahr^Titel^Anmerkung|
-| VDI/VDE 2180 Blatt 1 | 2019 | Funktionale Sicherheit in der Prozessindustrie – Einführung, Begriffe, Konzeption | aktiv |
+|[[https://www.dinmedia.de/en/technical-rule/vdi-vde-2180-blatt-1/303375924|VDI/VDE 2180 Blatt 1]]|2019|Funktionale Sicherheit in der Prozessindustrie – Einführung, Begriffe, Konzeption|aktiv|
-| VDI/VDE 2180 Blatt 2 | 2019 | Funktionale Sicherheit in der Prozessindustrie – Planung, Errichtung und Betrieb von PLT-Sicherheitsfunktionen | aktiv |
+|[[https://www.dinmedia.de/de/technische-regel/vdi-vde-2180-blatt-2/306164093|VDI/VDE 2180 Blatt 2]]|2019|Funktionale Sicherheit in der Prozessindustrie – Planung, Errichtung und Betrieb von PLT-Sicherheitsfunktionen|aktiv|
-| VDI/VDE 2180 Blatt 3 | 2019 | Funktionale Sicherheit in der Prozessindustrie – Nachweis der Ausfallwahrscheinlichkeit im Anforderungsfall (PFD) | aktiv |
+|[[https://www.dinmedia.de/de/technische-regel/vdi-vde-2180-blatt-3/306163771|VDI/VDE 2180 Blatt 3]]|2019|Funktionale Sicherheit in der Prozessindustrie – Nachweis der Ausfallwahrscheinlichkeit im Anforderungsfall (PFD)|aktiv|
-| VDI 3819 Blatt 1 | 2020 | Brandschutz in der Gebäudetechnik – Grundlagen; Begriffe, Gesetze, Verordnungen, technische Regeln | 2015 Entwurf; 2020 Weißdruck; aktiv |
+|[[https://www.dinmedia.de/en/technical-rule/vdi-3819-blatt-1/258264260|VDI 3819 Blatt 1]]|2020|Brandschutz in der Gebäudetechnik – Grundlagen; Begriffe, Gesetze, Verordnungen, technische Regeln|2015 Entwurf; 2020 Weißdruck; aktiv|
-| VDI 6010 Blatt 4 | 2020 | Sicherheitstechnische Anlagen für Gebäude – Funktionale Sicherheit für Brandfallsteuerungen in der TGA | aktiv |
+|[[https://www.dinmedia.de/de/technische-regel/vdi-6010-blatt-4/322540029|VDI 6010 Blatt 4]]|2020|Sicherheitstechnische Anlagen für Gebäude – Funktionale Sicherheit für Brandfallsteuerungen in der TGA|aktiv|
-| VDI 2263 Blatt 10.1 | 2022 | Gefährdungsbeurteilung und Schutzmaßnahmen aus Betreibersicht | aktiv |
+|[[https://www.dinmedia.de/de/technische-regel-entwurf/vdi-2263-blatt-10-1/385263208|VDI 2263 Blatt 10.1]]|2022|Gefährdungsbeurteilung und Schutzmaßnahmen aus Betreibersicht|aktiv|
-| VDI 6010 Blatt 1 | 2018 | Sicherheitstechnische Einrichtungen für Gebäude – Systemübergreifende Funktionen | aktiv |
+|[[https://www.dinmedia.de/de/technische-regel/vdi-6010-blatt-1/295044820|VDI 6010 Blatt 1]]|2018|Sicherheitstechnische Einrichtungen für Gebäude – Systemübergreifende Funktionen|aktiv|
-| VDI 2058 Blatt 2 | 2020 | Beurteilung von Lärm hinsichtlich Gehörgefährdung | aktiv |
+|[[https://www.dinmedia.de/en/technical-rule/vdi-2058-blatt-2/319538744|VDI 2058 Blatt 2]]|2020|Beurteilung von Lärm hinsichtlich Gehörgefährdung|aktiv|
-| VDI/VDE 3850 Blatt 1 | 2000 | Nutzergerechte Gestaltung von Bediensystemen für Maschinen – Allgemeine Grundlagen | aktiv |
+|[[https://www.dinmedia.de/de/technische-regel/vdi-vde-3850-blatt-1/195308700|VDI/VDE 3850 Blatt 1]]|2000|Nutzergerechte Gestaltung von Bediensystemen für Maschinen – Allgemeine Grundlagen|aktiv|
-| VDI 2854 | 1991 | Sicherheitstechnische Anforderungen an automatisierte Fertigungssysteme | aktiv |
+|[[https://www.dinmedia.de/en/technical-rule/vdi-2854/885616|VDI 2854]]|1991|Sicherheitstechnische Anforderungen an automatisierte Fertigungssysteme|aktiv|
-| VDI/VDE 2182 Blatt 1 | 2020 | Informationssicherheit in der industriellen Automatisierung – Allgemeines Vorgehensmodell | aktiv |
+|[[https://www.dinmedia.de/de/technische-regel/vdi-vde-2182-blatt-1/314114388|VDI/VDE 2182 Blatt 1]]|2020|Informationssicherheit in der industriellen Automatisierung – Allgemeines Vorgehensmodell|aktiv|
-| VDI/VDE 2182 Blatt 2.1/2.2/2.3 | 2013–2017 | Anwendungsbeispiele des Security-Vorgehensmodells in der Fabrikautomation | aktiv |
+|[[https://www.dinmedia.de/de/technische-regel/vdi-vde-2182-blatt-2-1/170847294|VDI/VDE 2182 Blatt 2.1]]/[[https://www.dinmedia.de/en/technical-rule/vdi-vde-2182-blatt-2-2/173513663|2.2]]/[[https://www.dinmedia.de/de/technische-regel/vdi-vde-2182-blatt-2-3/267500528|2.3]]|2013–2017|Anwendungsbeispiele des Security-Vorgehensmodells in der Fabrikautomation|aktiv|
-| VDI/VDE 2182 Blatt 3.1/3.2/3.3 | 2013 | Anwendungsbeispiele des Security-Modells in der Prozessautomation | aktiv |
+|[[https://www.dinmedia.de/en/technical-rule/vdi-vde-2182-blatt-3-1/187310424|VDI/VDE 2182 Blatt 3.1]]/[[https://www.dinmedia.de/de/technische-regel/vdi-vde-2182-blatt-3-2/167996669|3.2]]/[[https://www.dinmedia.de/de/technische-regel/vdi-vde-2182-blatt-3-3/170881034|3.3]]|2013|Anwendungsbeispiele des Security-Modells in der Prozessautomation|aktiv|
-| VDI/VDE 2182 Blatt 4 | 2020 | Empfehlungen zur Umsetzung von Security-Eigenschaften für Komponenten, Systeme und Anlagen | aktiv |
+|[[https://www.dinmedia.de/de/technische-regel/vdi-vde-2182-blatt-4/319538752|VDI/VDE 2182 Blatt 4]]|2020|Empfehlungen zur Umsetzung von Security-Eigenschaften für Komponenten, Systeme und Anlagen|aktiv|
@@ Zeile 293: / Zeile 287: @@
   * Sehr hoch
 === Schritt 3: Risikobehandlung ===
 Abhängig von der jeweiligen Institution müssen die Risiken im nächsten Schritt behandelt werden. Dies kann dabei abhängig z.B. vom Risikoappetit der Institution sein. Zur Behandlung der verbleibenden Risiken ergeben sich dabei 4 Möglichkeiten:
@@ Zeile 304: / Zeile 298: @@
 Der BSI-Standard 200-3 sieht darüber hinaus das Konzept der „Risiken unter Beobachtung“ vor. Dies gilt für akzeptierte Risiken, von denen jedoch zu erwarten ist, dass diese sich in der Zukunft erhöhen werden. Für diese sollten bereits ergänzende Sicherheitsmaßnahmen erarbeitet werden, welche dann gezielt in Betrieb genommen werden können.
 === Schritt 4: Konsolidierung des Sicherheitskonzepts ===
 Wurden anhand der Risikoanalyse ergänzende Maßnahmen hinzugefügt, welche noch nicht Teil des bestehenden Sicherheitskonzepts waren, müssen diese in dieses integriert werden. Diese Konsolidierung besteht dabei aus mehreren Punkten:
@@ Zeile 319: / Zeile 313: @@
 Die verschiedenen Teile der IEC 62443 Normen-Familie an Cybersicherheitsstandards richten sich an verschiedene beteiligte Rollen und definieren die Aufgaben und Pflichten dieser Rollen. Dazu gehören Hersteller, Integratoren und Betreiber. Ein zentraler Bestandteil, besonders auf der Kommunikation zwischen den Rollen, sind dabei die sogenannten Sicherheitslevel (SL) von 1 bis 4, siehe Tabelle 1 Sicherheitslevel (SL) nach IEC 62443. Ähnlich zu den SIL-Stufen der funktionalen Sicherheit (IEC 61508) kann hiermit ein bestimmter Schutzbedarf ausgedrückt werden. Die Grundlage zur Bestimmung unterscheidet sich aber von den SIL-Stufen. Die SL-Stufen unterscheiden dabei, wie in Tabelle 1 gezeigt, auch explizit zwischen absichtlichen und unabsichtlichen Verstößen bzw. Angriffen. Im Rahmen der 62443-Reihe wird der SL auch in Form des SL-C (Security Level-Capability) als Beschreibung der durch ein System oder eine Komponente zu erreichenden Sicherheitsanforderungen und -funktionen verwendet. Dafür gibt es, beispielsweise in 62443-3-3 und 62443-4-2, Zuordnungen zwischen konkreten technischen Anforderungen und jeweiligen SLs.
-**Tabelle 1 Sicherheitslevel (SL) nach IEC 62443
+**Tabelle 1 Sicherheitslevel (SL) nach IEC 62443 **
-**
 ^SL^Beschreibung|
 |1|Schutz vor zufälligen, unabsichtlichen Verstößen|
@@ Zeile 329: / Zeile 323: @@
 Risiko- und Bedrohungsanalysen sind ein wichtiger Bestandteil der 62443-Reihe. In der 62443-3-2 wird ein eigener Risikoanalyseprozess beschrieben, der im Besonderen die Konzepte der 62443-Reihe mit aufnimmt, darunter beispielsweise die SL und das Konzept der Sicherheitszonen und -conduits. Eine Sicherheitszone ist definiert als eine Gruppierung logischer oder physische Assets, die gemeinsame Sicherheitsanforderungen haben, basierend auf Faktoren wie Kritikalität und Folgen eines Angriffs. Die Schnittstellen zwischen de Sicherheitszonen werden „conduits“ genannt.
-{{:content:industrieanlagen_abbildung5.svg}}
+{{https://safetyandsecurity.vdi.de/_media/content:industrieanlagen_abbildung5.1.svg?nolink&1030x932}}
 **Abbildung 1: Sicherheitszonen mit „Conduits“ (Quelle: SGS TÜV Saar)**
 Als Risiko, die für Sicherheitszonen bestimmt wird, bezeichnet die 62443-Reihe dabei auch die Kombination aus Eintrittswahrscheinlichkeit und Auswirkung, wobei die Eintrittswahrscheinlichkeit noch weiter aufgeteilt wird in Bedrohung und Schwachstelle, und somit zu folgender Risikodefinition führt:
@@ Zeile 356: / Zeile 348: @@
 **Abbildung 4: Security Bedrohungen nach der STRIDE-Methode mit Assets (Quelle: SGS TÜV Saar CS3 - Security for Safety Schulung)**
 Schwachstellen findet man in der CVE-Sicherheitslückendatenbank [[https://www.cvedetails.com/|https://www.cvedetails.com/]].
@@ Zeile 391: / Zeile 382: @@
 In Anbetracht des relativ großen Arbeits- und Zeitaufwandes, den „normale“ Risikoanalysen erfordern, gibt es gerade bei einfacheren Systemen die Bestrebung diese durch checklistenartige Verfahren zu ersetzen. In Bezug auf die Anlagensicherheit ist dies u.a. im Arbeitsblatt NAMUR NA 163 festgehalten, siehe „IT-Risikobeurteilung von PLT-Sicherheitseinrichtungen“ (NAMUR, 2017). Ziel der NA 163 ist es niederkomplexe Automatisierungsfunktionen in Hinblick auf die IT-Security in möglichst kurzer Zeit mit möglichst wenig (externer) Fachexpertise sicher zu gestalten. Um dies zu erreichen, wurden diverse Annahmen getroffen, die für die meisten einfachen Automatisierungsfunktionen generell zutreffend sind.
 ===== 3 Domänenübergreifende Zusammenführung =====
@@ Zeile 414: / Zeile 403: @@
 Eine Quantifizierung von Risiken ist vor allem bei Security sehr problematisch. Ein wichtiger Faktor ist die Bewertung der Motivation und die Fähigkeiten eines potenziellen Angreifers, die man schwer abschätzen kann, insbesondere nicht in quantitativer Form. Es ist Gegenstand aktueller Forschung, wie eine Quantifizierung im Bereich der Security ermöglicht werden kann. Während die Quantifizierung in der Safety bereits weit entwickelt ist, scheint eine einfache Lösung für den Bereich der Security nicht in Sicht. Dies liegt insbesondere daran, dass die Einflüsse auf die Safety als Funktion, der der Zeit angenähert werden können. Das Verhalten von Angreiferinnen und Angreifern lässt sich nicht vorhersagen. Für die Quantifizierung kann die Ausfallrate von 1000 Halbleiterbauteilen systematisch bestimmt werden. Programmierfehler lassen sich dagegen kaum für eine sinnvolle Quantifizierung verwenden. Entweder kann ein Fehler automatisiert gefunden werden, dann sollten er leicht vor Auslieferung gefunden werden können. Oder es handelt sich um Fehler, der aktuell nur durch einen Menschen gefunden werden kann, dann hängt die Erkennungsrate ebenso vom Menschen ab, wie die Fehlerrate beim Codieren.
 Es gibt auch Ansätze, die Software-Qualität statistisch zu erfassen, beispielsweise durch eine Abschätzung einer Fehlerrate λ von sicherheitsrelevanter Software auf der Basis von Messungen im Fortschritt des Entwicklungsprozesses (J.D. Musa 2004, "Software Reliability Engineering") oder durch Verfahren für den Zuverlässigkeitsnachweis von Software durch Betriebsbewährung (W. Ehrenberger 2002, "Software Verifikation").
 Die Schwachstellen werden teilweise bereits gut erfasst und auch mathematisch bewertet. Zur Bewertung des Risikos müsste noch die aktuellen Bedrohungen systematisch erfasst und bewertet werden. Es gibt zwar schon vom BSI aktualisierte Bedrohungskataloge bzw. für einzelne Jahre Übersichten von Angriffen. Wünschenswert wäre hier die Einführung der systematischen Erfassung von Bedrohungen und deren Bewertung analog zu den Schwachstellen.
@@ Zeile 427: / Zeile 416: @@
 Für die Validation der Security-Anforderungen wird der Penetration-Test angewendet. Hier werden unabhängigen Personen mit gutem Fachwissen mit der detaillierten Geräteinformation beauftragt, die eingebauten Sicherheitsmechanismen zu umgehen. Die Güte der Tests hängt sehr stark von der Kreativität und Können des Testers ab. Hier empfiehlt es sich Test-Personen einzusetzen, die entsprechend qualifiziert sind.