Regulierungshandbuch
IEC 61511 & OT-Cybersecurity-Checkliste
Wo Funktionale Sicherheit auf Cyber-Sicherheit trifft
Funktionale Sicherheit (Functional Safety) und Cybersecurity sind in der Prozessindustrie keine voneinander trennbaren Disziplinen mehr. Die IEC 61511 schreibt dies explizit vor. Mit der IEC 61511-1:2016 (Edition 2), der internationalen Norm für funktionale Sicherheit von sicherheitsgerichteten Systemen (Safety Instrumented Systems – SIS) im Bereich der Prozessindustrie, wurde eine verbindliche Anforderung eingeführt – häufig zitiert als Abschnitt 8.2.4. Demnach muss eine Sicherheits-Risikobeurteilung (Security Risk Assessment) durchgeführt werden, um Schwachstellen des SIS zu identifizieren. Ergänzend fordert Abschnitt 11.2.12, dass das SIS-Design eine ausreichende Resilienz gegenüber den identifizierten Risiken aufweisen muss. Damit wurde eine Lücke geschlossen, die seit der Erstausgabe im Jahr 2003 bestand, in der IT-Sicherheit lediglich implizit behandelt wurde.
In der Praxis begründet dies die Kernüberlegung dieser Checkliste: Eine Cybersecurity-Schwachstelle im Prozessleitsystem (Basic Process Control System – BPCS), an der Engineering Station, auf dem SIS-Kommunikationspfad oder über den Fernzugriffskanal des Herstellers ist kein reines IT- oder Netzwerkproblem. Sie stellt einen potenziellen Auslöser für ein Schadensereignis dar, da sie eine sicherheitsgerichtete Funktion (Safety Instrumented Function – SIF) beeinträchtigen, umgehen oder fälschlicherweise auslösen kann – und zwar auf eine Weise, die in der ursprünglichen Gefahren- und Risikoanalyse nicht ignoriert wurde und seit 2016 gemäß Normenvorgabe auch nicht mehr ignoriert werden darf.
Fünf Kernpunkte dieser Checkliste, die jeder OT-CISO bereits kennen sollte:
Die Cybersecurity-Risikoanalyse für SIS stellt an vielen Standorten eine dokumentierte Compliance-Lücke dar: Zahlreiche Anlagen führen weiterhin eine PHA/HAZOP sowie eine LOPA ohne eine begleitende, dokumentierte Cyber-Risikoanalyse für das SIS und dessen Schnittstellen durch – in der Praxis die am häufigsten festgestellte Konformitätslücke gemäß IEC 61511:2016.
Das SIS ist standardmäßig keine isolierte Insel: Engineering-Workstations, Historian-Anbindungen, Asset-Management-Systeme und Fernzugriffspfade von Drittanbietern stellen regelmäßig Verbindungen zwischen dem SIS und weniger vertrauenswürdigen Netzwerken her – selbst dann, wenn das Prozessdesign von einer vollständigen Unabhängigkeit ausgeht.
Sicherheitsmaßnahmen können selbst ein Sicherheitsrisiko (Safety) darstellen, wenn sie nicht im Hinblick auf das SIS geprüft wurden: Ein Virenscan oder ein aggressives Intrusion-Prevention-System mit IT-Konfiguration kann die Verfügbarkeit des SIS beeinträchtigen oder Fehlauslösungen (Nuisance Trips) verursachen, wenn die Implementierung ohne funktionale Sicherheitsprüfung erfolgt.
Das Management of Change ist der praktische Kontrollpunkt: Da sowohl die funktionale Sicherheit als auch die OT-Cybersecurity auf einem formalen Änderungsmanagement basieren, stellt das MOC den effizientesten Prozess dar, um cybersicherheitsrelevante SIS-Änderungen zu erfassen.
IEC 62443 und ISA-TR84.00.09 leisten die Detailarbeit, die IEC 61511 fordert: IEC 61511 verlangt eine Sicherheits-Risikoanalyse (Security Risk Assessment); IEC 62443 und ISA-TR84.00.09 geben vor, wie Sie diese strukturieren und umsetzen – als einen einheitlichen Workflow statt zweier konkurrierender Compliance-Pfade.
Shieldworkz hat diese Checkliste als praxisorientierte Schnittstelle zwischen den beiden Fachdisziplinen konzipiert und definiert deren Abgrenzung unmissverständlich: Die IEC 61511 ist eine Norm für funktionale Sicherheit, keine Norm für Cyber-Sicherheit. Sie legt keine Anforderungen an Netzwerksegmentierung, Patch-Zyklen oder Überwachung fest – diese Vorgaben sind Gegenstand der IEC 62443. Diese Checkliste betrachtet diese Abgrenzung durchgängig als nicht verhandelbar.
Warum diese Checkliste entscheidend ist
Die meisten Leitfäden zur OT-Cyber-Sicherheit nähern sich der Thematik rein aus der Perspektive der Netzwerksicherheit. Gleichzeitig wird Cyber-Sicherheit in Richtlinien zur funktionalen Sicherheit noch immer häufig als nachgelagertes Problem Dritter betrachtet. Diese Checkliste setzt genau an dieser Schnittstelle an: Anhand von vier praxisnahen, dokumentierten Fehlermustern wird präzise aufgezeigt, an welchen Stellen genau diese Sicherheitslücke zu gravierenden Ausfällen führt.
Eine gemeinsam genutzte Engineering Workstation untergräbt unbemerkt die Schichtunabhängigkeit: Schadsoftware, die über ein routinemäßiges Software-Update auf einen kombinierten BPCS/SIS-Engineering-Laptop gelangt, kann die Unabhängigkeitsannahme der LOPA vollständig außer Kraft setzen, ohne dass die physische Anlage oder die SIF-Logik direkt manipuliert werden muss.
Ungesteuerter Fernzugriff durch Dritte überdauert seinen eigentlichen Zweck: Ein permanenter, mit gemeinsam genutzten Anmeldedaten bereitgestellter Fernwartungspfad, der für einen Anlagenstillstand eingerichtet und nie deaktiviert wurde, wird Monate später zum Einfallstor externer Akteure in das SIS-angrenzende Netzwerk, sobald die Infrastruktur des Dienstleisters selbst kompromittiert ist.
Ein verfälschtes Wiederholungsprüfungsergebnis verschleiert eine ausgefallene Sicherheitsfunktion: Eine Integritätslücke in den Instandhaltungswerkzeugen – und kein hochentwickelter Angriff – kann dazu führen, dass eine SIF in sämtlichen Nachweisen als konform ausgewiesen wird, obwohl sie tatsächlich ausgefallen ist. Diese Sicherheitslücke bleibt unsichtbar, bis eine reale Gefährdungssituation eintritt.
Eine aggressive IT-Sicherheitsmaßnahme führt zu einer Fehlauslösung: Der Rollout eines unternehmensweiten Antivirenprogramms auf einer BPCS-Bedienstation ohne funktionale Sicherheitsprüfung kann eine zeitkritische Reaktion verzögern und eine vollständig vermeidbare Abschaltung auslösen – was verdeutlicht, dass das Risiko in beide Richtungen besteht.
Zu jedem Szenario in dieser Checkliste ist ein spezifisches, definiertes Set an Sicherheitsmaßnahmen aufgeführt, das das jeweilige Ereignis verhindert hätte. Diese Maßnahmen sind mit den entsprechenden Abschnitten der in diesem Leitfaden behandelten Handlungsfelder querverknüpft: SIS-Kommunikation, Fernzugriff (Remote Access), Netzwerksegmentierung, Patch-Management, Backup, Schadsoftware, Incident Response, Monitoring, Lieferkette (Supply Chain) sowie Wiederholungsprüfungen (Proof-Testing).
Warum das Herunterladen dieser Checkliste für Ihre Organisation von kritischer Bedeutung ist
Wenn Ihr Standort ein sicherheitstechnisches System (Safety Instrumented System – SIS) gemäß IEC 61511 betreibt – sei es in der Öl- und Gasindustrie, der Chemie, der Energieerzeugung oder einer anderen Prozessindustrie –, unterliegen Sie bereits der Verpflichtung zur Sicherheitsrisikoanalyse gemäß Abschnitt 8.2.4, unabhängig davon, ob der genaue Geltungsbereich (Scope) bereits formal definiert wurde. Auditoren und Prüfer für funktionale Sicherheit fordern diese zunehmend explizit ein. Eine PHA/HAZOP und LOPA ohne begleitende, dokumentierte Cyber-Risikoanalyse stellt eine Compliance-Lücke dar – und ist keine Ermessensfrage.
Diese Checkliste liefert Ihnen Folgendes:
Ein vollständiger IEC 61511-zu-OT-Cybersecurity-Crosswalk: Zuordnung jeder Phase des Sicherheitslebenszyklus – von der Gefahren- und Risikobeurteilung bis hin zu Modifikationen und dem Management of Change – zur spezifischen Cybersecurity-Aktivität sowie den Leitlinien der IEC 62443 oder ISA-TR84.00.09, die detaillierte Methoden bereitstellen.
Eine praxisorientierte CISO-Checkliste für 12 Bereiche: Abdeckung von Governance, SIS-Design, Netzwerkarchitektur, Fernzugriff (Remote Access), Änderungsmanagement, Patch-Management, Datensicherung (Backup), Schadsoftware, Incident Response, Monitoring, Lieferkette (Supply Chain) und Wirksamkeitsprüfungen – priorisiert auf Basis praktischer Projekterfahrung.
Eine Nachweis- und Dokumentations-Checkliste: damit Ihr Team genau weiß, welche Nachweise ein Auditor oder Gutachter für funktionale Sicherheit konkret erwartet – und nicht nur, welche Sicherheitsmaßnahme konzeptionell existieren sollte.
Rollenspezifische Leitfragen: für Prozess-/Leittechnik, Betrieb, Instandhaltungs- und Prüfpersonal, IT/OT-Netzwerk- und Sicherheitsteams sowie Führungskräfte – damit alle Beteiligten im Dialog über Safety und Security einen passgenauen Einstiegspunkt finden.
Eine dreiphasige Roadmap: von Maßnahmen zur Transparenz und Governance in den ersten 0 bis 90 Tagen über den Aufbau eines integrierten Programms innerhalb von 3 bis 12 Monaten bis hin zu einer kontinuierlichen Betriebs- und Reifegradoptimierungsphase.
Wesentliche Erkenntnisse aus der Prüfliste
Abschnitt 8.2.4 und 11.2.12 sind die beiden maßgeblichen Abschnitte. Eine dokumentierte Sicherheits-Risikoanalyse zur Identifizierung von SIS-Schwachstellen sowie ein SIS-Design, das Resilienz gegenüber den identifizierten Risiken gewährleistet, stellen die zentralen, verbindlichen Anforderungen dieser Checkliste dar.
Das Risiko besteht in beiden Richtungen. Cyber-Sicherheitschwächen können eine Sicherheitsfunktion beeinträchtigen oder außer Kraft setzen; ebenso können Sicherheitsmaßnahmen, die ohne funktionale Sicherheitsprüfung implementiert werden, Fehlauslösungen verursachen oder die SIS-Verfügbarkeit herabsetzen.
Die IEC 61511 gibt Ihnen nicht vor, wie dies umzusetzen ist – die IEC 62443 und der ISA-TR84.00.09 hingegen schon. Die Segmentierung nach Zonen und Conduits, Security Levels sowie Systemanforderungen fallen in den Aufgabenbereich der IEC 62443; die IEC 61511 fordert lediglich die Durchführung der Risikobeurteilung und die entsprechende Auslegung des Systemdesigns.
Das Management of Change (MOC) stellt den am schnellsten realisierbaren Integrationspunkt dar. Die Ergänzung bestehender MOC-Workflows um cybersicherheitsrelevante Prüffragen ist eine kostengünstige Maßnahme mit Sofortwirkung, die die meisten Organisationen ohne den Aufbau von Parallelprozessen umsetzen können.
Werkzeuge für Proof-Tests befinden sich häufig außerhalb des Geltungsbereichs – was ein Sicherheitsrisiko darstellt. Prüfwerkzeuge und deren Datenpfade zu Historian- sowie Instandhaltungssystemen werden oft erst nach der Inbetriebnahme zur Produktivitätssteigerung nachgerüstet. Dadurch bleiben sie außerhalb des ursprünglichen Segmentierungskonzepts – genau dort, wo ein verfälschtes oder kompromittiertes Testergebnis den Ausfall einer Sicherheitsfunktion unbemerkt lassen kann.
Gemeinsam genutzte Engineering-Assets stellen die häufigste unsichtbare Fehlerquelle dar. Eine einzelne kombinierte BPCS/SIS-Engineering-Workstation kann die Unabhängigkeitsannahme einer LOPA unbemerkt ungültig machen – eine Sicherheitslücke, die nur eine Cybersecurity-orientierte Risikoanalyse und kein rein prozessfokussiertes HAZOP aufdecken wird.
Wie Shieldworkz Sie bei der Umsetzung von IEC 61511 und OT-Sicherheit zuverlässig unterstützt
Die Zuordnungstabelle zeigt Ihnen auf, welche Anforderungen wohin gehören. Bei der Umsetzung des integrierten Safety-and-Security-Programms – insbesondere beim Schließen der Bewertungslücke nach Abschnitt 8.2.4, die an den meisten Standorten besteht – unterstützt Sie Shieldworkz verlässlich.
OThello Assess: erstellt das SIS- und OT-Asset-Inventar (Hardware, Firmware, Netzwerkstandort), welches das Fundament für die Sicherheitsrisikoanalyse sowie für nahezu jede weitere Sicherheitsmaßnahme dieser Checkliste bildet.
OT Network Detection and Response: bietet die passive Überwachung über SIS-Zonen und Conduits hinweg, die der Phase-2-Fahrplan dieser Checkliste fordert, einschließlich Eskalationspfaden, die sowohl das SOC als auch die Rufbereitschaft für Prozesssicherheit erreichen.
Gemeinsame Tabletop-Übungen: übergreifend ausgelegt auf Cybersicherheit, funktionale Sicherheit und Betrieb; geprobt anhand des in dieser Checkliste empfohlenen OT/SIS-spezifischen Incident-Response-Anhangs anstelle eines generischen IT-Playbooks.
Sicherheitsrisikoanalyse und Crosswalk-Durchführung: Strukturierung Ihrer Bewertung gemäß Klausel 8.2.4 nach einer IEC 62443-3-2-konformen Methodik – inklusive eines dokumentierten Zonen- und Conduit-Modells sowie eines Conduit-Registers, das von Ihren Prüfern und Auditoren für funktionale Sicherheit anerkannt wird.
Standorte, die uns frühzeitig einbinden, schließen nicht bloß eine Dokumentationslücke. Sie etablieren den integrierten Safety-and-Security-Workflow, der gemäß dieser Checkliste bereits seit 2016 Standard sein sollte – bevor ein Auditor oder ein tatsächlicher Gefahrenfall diese Lücke aufdeckt.
Laden Sie die Checkliste herunter
Eine Schwachstelle in der Cyber-Sicherheit Ihres SIS ist kein gewöhnliches Netzwerkproblem, das auf eine Triage wartet. Es handelt sich um einen gefahrbringenden Faktor (Hazardous Event Contributor), dessen Bewertung die Norm bereits seit 2016 verbindlich vorschreibt.
Füllen Sie das Formular aus, um Ihr kostenloses Exemplar der Checkliste zur IEC 61511 und OT-Cyber-Sicherheit zu erhalten. Zudem haben Sie die Möglichkeit, ein unverbindliches Beratungsgespräch mit einem OT-Sicherheitsexperten von Shieldworkz zu vereinbaren. Dieser unterstützt Sie dabei, den Umfang Ihrer Sicherheits-Risikoanalyse gemäß Abschnitt 8.2.4 präzise zu definieren und Ihre prioritären Lücken entlang des gesamten Safety-and-Security-Lebenszyklus zu identifizieren.
Demo vereinbaren mit den OT-Sicherheitsexperten von Shieldworkz
Laden Sie noch heute Ihre Kopie herunter!
Cyber-Sicherheitsbereitschaft für SIS stärken.
Laden Sie die IEC 61511 SIS-Cyber-Sicherheits-Checkliste herunter, um Schwachstellen zu identifizieren und prüfsichere Nachweise zu erbringen.
