Regulierungshandbuch
IEC 62443-Lieferkettensicherheits-Checkliste
Warum die Herstellerkonformität einer eigenen Evaluierung bedarf
OT/ICS-Umgebungen basieren nicht allein auf den Kontrollmaßnahmen einer einzelnen Organisation. Sie stützen sich auf ein dichtes Netzwerk aus Hardwareherstellern, Softwareanbietern, Systemintegratoren und Managed Service Providers (MSPs), von denen viele direkten oder indirekten Zugriff auf Produktionsnetzwerke, Sicherheitssysteme und Engineering-Daten haben. Ein einziger ungeprüfter Lieferant, ein nicht signiertes Firmware-Update oder eine unüberwachte Fernzugriffssitzung kann der Einstiegspunkt für eine Störung mit gravierenden Auswirkungen auf die Betriebssicherheit, die Umwelt und die finanzielle Stabilität sein.
Dies ist kein hypothetisches Risikoszenario. Integratoren nehmen Live-Steuerungssysteme in Betrieb und warten diese. OEMs spielen Firmware-Updates direkt auf sicherheitsrelevante Anlagen auf. Managed Service Provider verfügen über permanenten Fernzugriff zur Rund-um-die-Uhr-Überwachung von Industrieanlagen. Jede dieser Beziehungen stellt einfallstorartige Schnittstellen in die Umgebung dar – und die meisten Organisationen haben noch nie formal verifiziert, welche Sicherheitsrisiken sich auf der anderen Seite befinden.
Auch der regulatorische Druck nimmt stetig zu. Die Normen IEC 62443-2-4 und IEC 62443-4-1 bieten Anlagenbetreibern nun eine standardisierte Grundlage zur Bewertung der Sicherheitspraktiken von Dienstleistern und Produkten. Gleichzeitig erheben regulatorische Vorgaben wie die EU-NIS-2-Richtlinie das Risikomanagement in der Lieferkette von einer Best Practice zur gesetzlichen Pflicht. Organisationen, die keinen Nachweis über einen strukturierten Prozess zur Lieferantenbewertung erbringen können, setzen sich bei Zwischenfällen zunehmend rechtlichen und finanziellen Haftungsrisiken gegenüber Regulierungsbehörden, Auditoren und den Vertragspartnern selbst aus.
Warum Sie diese Checkliste herunterladen sollten
Dies ist ein praxistaugliches, auditierungsfähiges Prüfwerkzeug (Audit-Grade) und keine bloße Zusammenfassung des Standards. Es bietet OT-Sicherheitsverantwortlichen, Einkaufsteams und Systemintegratoren eine einheitliche, standardkonforme Referenz zur Bewertung und kontinuierlichen Überwachung von Drittanbieterrisiken über den gesamten Lieferantenlebenszyklus hinweg: Onboarding, Produktentwicklungspraktiken, vertragliche Verpflichtungen, physische und Firmware-Integrität, Fernkonnektivität, Inbetriebnahme, laufender Betrieb, Vorfallbereitschaft (Incident Readiness) und End-of-Life.
Diese Checkliste ist für den wiederholten Einsatz innerhalb einer Lieferantenbeziehung konzipiert und nicht für die einmalige Ablage nach einem Audit. Sechzehn Abschnitte führen Sie durch den vollständigen Lebenszyklus.
Governance & Scope vor der Auftragsvergabe: Sicherstellung, dass die Lieferkettensicherheit formal geregelt ist, einen klaren Anwendungsbereich definiert hat und mit den erforderlichen Ressourcen ausgestattet ist, bevor ein externer Anbieter beauftragt wird.
Risikoklassifizierung und Onboarding von Herstellern & Integratoren: Einstufung von Lieferanten nach
Secure Product Development Lifecycle Assessment zur Überprüfung, ob OEMs einen definierten sicheren Entwicklungsprozess einhalten – von der Bedrohungsanalyse (Threat Modeling) bis hin zu signierten Patches.
Sicherheitsanforderungen für Dienstleister zur Bestätigung, dass Systemintegratoren die erforderlichen internen Sicherheitspraktiken einhalten, um die Umgebung eines Mandanten zu schützen.
Fortlaufende Überwachung & Auditierung der Lieferantenleistung Bereitschaft zur Vorfallsreaktion (Incident Response Readiness), Außerbetriebnahme, Governance-Überprüfung, IIoT-/Edge-Spezifika sowie Überwachung von Cloud & MSP, um den gesamten Lebenszyklus bis zur Systemablösung vollständig abzudecken.
Wichtige Erkenntnisse aus der Checkliste
Die Prüfungstiefe sollte dem Risikograd des jeweiligen Anbieters entsprechen. Ein Händler, der Standard-Hardware liefert, benötigt nicht dieselbe intensive Überprüfung wie ein Systemintegrator mit dauerhaftem Zugriff auf sicherheitsgerichtete Systeme (SIS); das Tier-1/2/3-Modell stellt sicher, dass der Aufwand stets proportional zum tatsächlichen Risiko (Exposure) bleibt.
Nachweise schlagen Selbsterklärungen. Signierte Richtliniendokumente, lückenlose Chain-of-Custody-Protokolle, SBOM-Dateien und Sitzungslogs sollten mündliche Zusicherungen ersetzen, bevor eine Sicherheitsmaßnahme als konform („Compliant“) eingestuft wird – insbesondere bei Lieferanten der kritischen Kategorie (KRITIS).
Fernzugriffe stellen das Einfallstor mit dem höchsten Risiko dar. Dauerhafte, unprotokollierte oder gemeinsam genutzte Remote-Access-Konten von Drittanbietern sind erfahrungsgemäß der primäre Einstiegspunkt bei Sicherheitsvorfällen in der Lieferkette; zeitlich begrenzter Zugriff (Time-Bound Access), MFA und Sitzungsaufzeichnung (Session Recording) sind daher zwingend erforderlich.
SBOMs verwandeln eine Schwachstellenmeldung in eine direkt nutzbare Antwort. Ohne eine maschinenlesbare Software-Stückliste (SBOM), die mit dem Asset-Inventar verknüpft ist, bedeutet die Veröffentlichung einer neuen CVE tagelange manuelle Abgleiche statt einer sofortigen Abfrage der tatsächlichen Gefährdungslage.
Lieferkettensicherheit ist ein kontinuierlicher Prozess, kein einmaliges Prüftor. Da sich die Herstellerrisiken durch Eigentümerwechsel, geografische Faktoren und neue Schwachstellen ständig verändern, ist eine regelmäßige Neubewertung ebenso wichtig wie die initiale Sicherheitsüberprüfung (Onboarding).
Sicherheitsfeststellungen benötigen einen konkreten Behebungsplan, nicht nur eine reine Risikobewertung. Eine Feststellung über Nichtkonformität bei einem Tier-1-Zulieferer, die den Fernzugriff oder die Firmware-Integrität betrifft, muss eine Behebung innerhalb weniger Tage auslösen – anstatt unberücksichtigt in einer statischen Liste zu verbleiben.
Subunternehmer (Vierte Parteien) zählen. Die eigenen Subunternehmer und Komponentenlieferanten eines Anbieters tragen das gleiche Risiko. Der Onboarding-Prozess sollte die Offenlegung der gesamten Lieferkette des Anbieters einfordern und sich nicht nur auf die direkte Geschäftsbeziehung beschränken.
Für wen sich der Download dieser Checkliste eignet
Diese Checkliste wurde speziell für Personen entwickelt, die Risiken in der OT-Lieferkette bewerten, verwalten und dafür die Verantwortung tragen:
OT-Sicherheitsverantwortliche und CISOs, die für Entscheidungen im Bereich des Drittanbieterrisikos (Third-Party Risk) zuständig sind und ein standardkonformes Framework benötigen, um dieses vor dem Vorstand oder Auditoren fundiert zu vertreten.
Beschaffungsteams, die dafür verantwortlich sind, Cybersecurity-Anforderungen in Ausschreibungen (RFPs), Verträge und SLAs zu integrieren, noch bevor eine Lieferantenbeziehung vertraglich besiegelt wird.
Anlagenleiter und Engineering-Verantwortliche, die Transparenz darüber benötigen, welche OEMs, Integratoren und Dienstleister tatsächlich auf ihre Steuerungssysteme (SCADA/SPS) zugreifen.
Systemintegratoren und MSPs selbst, die diese Checkliste nutzen können, um Nachweise proaktiv vor einer kundeninitiierten Überprüfung oder einem Zertifizierungsaudit gemäß den KRITIS-Standards vorzubereiten.
Wenn Ihre Organisation das Risiko durch OT-Drittanbieter steuert, sich auf ein an der IEC 62443 oder NIS-2 ausgerichtetes Audit vorbereitet oder schlicht dem nächsten Vorfall in der Lieferkette präventiv begegnen möchte, bietet Ihnen diese Checkliste die notwendige Struktur für ein präzises, zuverlässiges und reproduzierbares Vorgehen.
Wie Shieldworkz Ihr Lieferkettensicherheitsprogramm unterstützt
Nachweise zu prüfen, anstatt einen Fragebogen ungeprüft zu akzeptieren, und die Ergebnisse in einen mit Ressourcen hinterlegten Sanierungsfahrplan zu überführen, stellt eine völlig andere Herausforderung dar. Das OT-Sicherheitsteam von Shieldworkz bewältigt diese Aufgabe für Organisationen in den Bereichen Häfen, Industrieanlagen, Versorgungsunternehmen und für Betreiber Kritischer Infrastrukturen (KRITIS).
Shieldworkz unterstützt:
Unabhängige Lieferantenaudits durch Dritte gemäß den Anforderungen der IEC 62443-2-4 und IEC 62443-4-1.
SBOM-Validierung und Schwachstellen-Korrelation mit Ihrem aktiven Asset-Inventory.
Sichere Fernwartungsarchitektur für die Anbindung von Dienstleistern und Integratoren.
Fortlaufende Überwachung der Lieferantenrisiken und periodische Reauditierungszyklen.
Priorisierte, mit den erforderlichen Ressourcen hinterlegte Roadmaps zur Behebung von Schwachstellen, die präzise auf die Risikoakzeptanz und die regulatorischen Verpflichtungen (z. B. gemäß KRITIS-Vorgaben) Ihres Unternehmens abgestimmt sind.
Laden Sie die Checkliste herunter und buchen Sie Ihre kostenfreie Beratung
Laden Sie die vollständige IEC 62443 Supply-Chain-Sicherheits-Checkliste herunter, um Sicherheitslücken bei Ihren Zulieferern zu identifizieren, bevor diese zu Compliance- oder operativen Risiken werden. Füllen Sie das Formular aus, um Zugang zur Checkliste zu erhalten und eine kostenfreie, auf die Sicherheitsanforderungen Ihrer OT-Lieferkette abgestimmte Beratung zu vereinbaren.
Buchen Sie eine Demo mit den Shieldworkz OT-Sicherheitsexperten
Laden Sie noch heute Ihre Kopie herunter!
Laden Sie die IEC 62443 Checkliste zur Lieferkettensicherheit herunter und bewerten Sie die OT-Lieferkettensicherheit Ihres Unternehmens gemäß den Best Practices der IEC 62443.
