Cybersicherheit von Ventilantrieben: Eine für IEC 62443 sensible Checkliste für Käufer

Die Ventilautomatisierung verbindet Steuerbefehle mit physikalischer Bewegung. Daher kann ein unerwünschter Befehl, eine geänderte Einstellung oder eine unterbrochene Kommunikationsverbindung mehr als nur Daten beeinträchtigen. Es kann die Durchflussregelung und den Anlagenbetrieb stören. Ein digitaler Ventilantrieb kann nützliche Einrichtungs- und Diagnosefunktionen bieten. Käufer sollten jedoch auch verstehen, wie diese Funktionen geschützt werden und wie der Antrieb in das Sicherheitskonzept der Anlage passt. Ein IEC 62443-bewusster Beschaffungsprozess hilft, allgemeine Sicherheitsfragen in klare Anforderungen umzuwandeln. Ziel ist es, geeignete Geräte auszuwählen, fehlende Steuerungen zu identifizieren und die Verantwortung vor der Installation zu regeln. Verstehen Sie, was die IEC 62443 abdeckt Die IEC 62443 ist eine Reihe von Sicherheitsstandards für industrielle Automatisierungs- und Steuerungssysteme. Die verschiedenen Teile behandeln unterschiedliche Verantwortlichkeiten:

Standardteil	Hauptaugenmerk	Frage des Käufers
IEC 62443-3-2	Risikobewertung der Systemsicherheit	Welche Risiken und Netzwerkgrenzen müssen im Projekt berücksichtigt werden?
IEC 62443-3-3	Anforderungen an die Systemsicherheit	Welche Steuerungen muss das installierte System bereitstellen?
IEC 62443-4-1	Sicherer Produktentwicklungslebenszyklus	Wie entwickelt und wartet der Lieferant sichere Produkte?
IEC 62443-4-2	Technische Sicherheitsanforderungen an Komponenten	Welche Sicherheitsfunktionen bietet die jeweilige Komponente?

Hierbei handelt es sich um zusammenhängende Bereiche, sodass der Nachweis für einen Teil nicht als Beweis für alle vier Teile gewertet werden sollte. Außerdem beschreibt „IEC 62443-bewusst“ einen Beschaffungsansatz. Damit ist nicht bewiesen, dass ein Produkt zertifiziert ist. 1. Identifizieren Sie jede Schnittstelle des digitalen Stellantriebs Beginnen Sie mit dem genauen Modell und den gelieferten Optionen. Begriffe wie „smart“ oder „digital“ erklären nicht, welche Anschlüsse vorhanden sind. Fordern Sie eine Liste der Schnittstellen an, die ggf. Folgendes umfasst: - Feldbus- und industrielle Ethernet-Verbindungen. - Lokale Konfigurationsanschlüsse. - USB- oder serielle Serviceanschlüsse. - Bluetooth oder andere drahtlose Funktionen. - Konfigurationssoftware und Wartungswerkzeuge. - Remote-Zugriffspfade über Controller oder Gateways. Trennen Sie die installierten Funktionen von den optionalen Funktionen. Bestätigen Sie anschließend, welche Schnittstellen deaktiviert werden können. Ein Aktor, der potentialfreie Kontakte oder analoge Signale verwendet, hat möglicherweise keine direkte Netzwerkverbindung. Sein Controller, Gateway oder Service-Tool kann jedoch dennoch digitale Zugriffspfade einführen. 2. Definieren Sie die Sicherheitsgrenze für einen elektrischen Feldbusantrieb Ein elektrischer Feldbusantrieb sollte als Teil seines Steuerungsnetzwerks bewertet werden. Fragen Sie nach dem genauen Protokoll, der Version, dem Kommunikationsmodul und dem Netzwerkplan. Gehen Sie nicht davon aus, dass ein bekanntes Protokoll in der gelieferten Konfiguration Authentifizierung oder Verschlüsselung umfasst. IEC 62443-3-2 befasst sich mit der Unterteilung des Systems in Zonen und Leitungen, der Bewertung ihrer Risiken und der Definition von Ziel-Sicherheitsstufen. In der Praxis müssen Käufer wissen, welche Vermögenswerte zusammengehören und welche Kommunikationspfade Sicherheitsgrenzen überschreiten. Wenn das Feldgerät eine erforderliche Steuerung nicht bereitstellen kann, dokumentieren Sie die an anderer Stelle erforderlichen Schutzmaßnahmen. Dazu können eingeschränkter Gateway-Zugriff, Netzwerksegmentierung und kontrollierte Wartungsverbindungen gehören. Solche Maßnahmen müssen auf Systemebene bewertet werden; sie machen den Aktor selbst jedoch nicht zu einer zertifizierten Komponente. 3. Kontrollieren Sie, wer den Antrieb bedienen und konfigurieren darf Das Betätigen eines Ventils und das Ändern seiner Einstellungen sind unterschiedliche Privilegien. Fragen Sie nach, ob das gelieferte Gerät zwischen Anzeige-, Bedien-, Konfigurations- und Wartungszugriff unterscheiden kann. Wenn Konten oder Passwörter vorhanden sind, bestätigen Sie, wie Anmeldeinformationen festgelegt, geändert, wiederhergestellt und entfernt werden. Nützliche Fragen sind unter anderem: - Sind gemeinsame Standardanmeldeinformationen vorhanden? - Können ungenutzte Konten oder Dienste deaktiviert werden? - Wer kann Hubgrenzen oder Steuerungsmodi ändern? - Wie wird die lokale Steuerung geschützt? - Ist für den Remotezugriff eine separate Autorisierung erforderlich? Wenn der Aktor über nur begrenzte Zugriffskontrollen verfügt, legen Sie fest, welche Funktionen durch die SPS, das Gateway, die Workstation oder das physische Gehäuse geschützt werden müssen. Vereinbaren Sie außerdem, wer nach der Inbetriebnahme die Anmeldeinformationen besitzt. 4. Überprüfen Sie die Firmware- und Konfigurationsintegrität Die Firmware steuert das digitale Verhalten des Antriebs. Die Konfiguration bestimmt, wie er innerhalb des Prozesses reagiert. Fragen Sie den Lieferanten, wie Updates bezogen, geprüft, installiert und aufgezeichnet werden. Fordern Sie Nachweise für Echtheitsprüfungen an, z. B. Signaturprüfungen, sofern unterstützt. Bestätigen Sie außerdem: - Wer kann ein Update einleiten. - Ob das Ventil während des Updates betriebsbereit bleibt. - Was passiert, wenn die Stromversorgung ausfällt. - Wie genehmigte Einstellungen gesichert werden. - Wie die Wiederherstellung nach einem fehlgeschlagenen Update durchgeführt wird. Dokumentieren Sie bei einem einfachen Gerät ohne vor Ort aktualisierbare Firmware diese Einschränkung und ihre Auswirkungen auf die Wartung. Diese Fragen unterstützen die Systemintegrität, einen der sieben grundlegenden Anforderungsbereiche, die in IEC 62443-4-2 beschrieben werden. Weitere Bereiche sind Zugriffskontrolle, eingeschränkter Datenfluss, Ereignisreaktion und Verfügbarkeit. 5. Überprüfen Sie die Cybersicherheit des Elektroantriebs bei Störungen Sicherheitskontrollen müssen mit den betrieblichen Anforderungen der Anlage zusammenwirken. Legen Sie fest, was passieren soll, wenn die Kommunikation abbricht, die Stromversorgung unterbrochen wird oder der Controller ungültige Daten sendet. Die richtige Reaktion kann darin bestehen, die Position zu halten, an eine definierte Position zu fahren oder einer anderen genehmigten Strategie zu folgen. Es gibt keine universelle sichere Ventilposition. Die Prozessrisikobewertung muss das erforderliche Verhalten bestimmen, und die gewählte Antriebskonfiguration muss dies unterstützen. Halten Sie diese Anforderungen getrennt: - Kommunikationsverlust. - Verlust der Stromversorgung. - Unbefugte Konfigurationsänderungen. - Mechanische oder elektrische Fehler des Antriebs. Cybersicherheit und funktionale Sicherheit haben unterschiedliche Geltungsbereiche. Der Nachweis für das eine ersetzt nicht den Nachweis für das andere. 6. Fragen Sie, welche Ereignisse erkannt und aufgezeichnet werden können Ein Gerät meldet möglicherweise Fehler, ohne ein Sicherheitsereignisprotokoll zu führen. Fragen Sie daher genau, was aufgezeichnet wird. Relevante Ereignisse können Konfigurationsänderungen, Firmware-Updates, fehlgeschlagene Zugriffsversuche und Kommunikationsfehler sein. Bestätigen Sie, ob Aufzeichnungen Zeitstempel enthalten, wie lange sie verfügbar bleiben und ob sie exportiert werden können. Wenn der Aktor über diese Funktionen nicht verfügt, legen Sie fest, was das Steuerungssystem oder die Wartungswerkzeuge stattdessen aufzeichnen müssen. Bewahren Sie zur Fehlerbehebung das Modell, die Firmware-Version, die genehmigten Einstellungen und das Inbetriebnahmeprotokoll auf. Anhand dieser Details lässt sich ein Gerätefehler von einer unerwarteten Änderung unterscheiden. 7. Überprüfen Sie die Angaben zum Lieferantensupport und zur Zertifizierung Fragen Sie nach einem Sicherheitsansprechpartner, einer Meldewege für Schwachstellen, einer Update-Richtlinie und der voraussichtlichen Supportdauer. Fordern Sie ggf. eine Softwarestückliste oder Informationen zur enthaltenen Drittsoftware an. Vereinbaren Sie außerdem, wie Käufer Sicherheitsmeldungen erhalten. Wenn eine Zertifizierung beansprucht wird, prüfen Sie: - Die ausstellende Stelle und die Zertifikatsreferenz. - Der geltende Standardteil. - Das abgedeckte Produkt und die Hardwareversionen. - Firmware-Versionen und Kommunikationsoptionen. - Beanspruchte Sicherheitsfunktion und erklärte Bedingungen. - Erforderliche Installations- und Betriebsvoraussetzungen. Ein Zertifikat für einen sicheren Entwicklungsprozess bescheinigt nicht automatisch die technischen Fähigkeiten jedes Produkts. Ebenso wenig begründet ein Komponentenzertifikat die Sicherheit der gesamten Anlage. Wenden Sie die Checkliste bei der Beschaffung bei OMKEE an Auf der Website von OMKEE werden elektrische Stellantriebe für Ventile mit mehreren Steuerungsvarianten vorgestellt, darunter kontaktbasierte Bedienung und analoge stetige Regelung. Diese Unterschiede machen modellspezifische Schnittstellenprüfungen wichtig. Bitten Sie OMKEE bei jeder vorgeschlagenen digitalen oder Feldbuskonfiguration, die tatsächlichen Kommunikationsfunktionen und die verfügbaren Sicherheitsnachweise zu bestätigen. Schließen Sie keine Zertifizierung der Cybersicherheit aus Gehäuseschutzarten, Explosionsschutz, CE-Kennzeichnung oder Qualitätsmanagement-Zertifikaten. Senden Sie OMKEE ein Projekt-Layout mit den Angaben zur Ventilleistung, zum Drehmoment, zur Stromversorgung, zur Steuerschnittstelle, zur Netzwerkarchitektur, zum erforderlichen Fehlerverhalten und zum Bedarf an Sicherheitsdokumentationen. Vereinbaren Sie abschließend Abnahmeprüfungen mit dem Lieferanten und dem Integrator. Testen Sie die genehmigte Konfiguration in einer kontrollierten Umgebung, bevor Sie sie in Betrieb nehmen, und zeichnen Sie auf, welche Schutzmaßnahmen zum Antrieb und welche zum übergeordneten Steuerungssystem gehören.