Abgrenzung der IT-Sicherheitsnormenreihen ISO 27000 und IEC 62443 : eine Sicht auf automatisierungstechnische Anlagen der Fertigungs- und Prozessindustrie

Planer und Betreiber von Produktionsanlagen stehen vor der Frage, welche Normen für die IT-Sicherheitskonzepte und ggf. auch für eine Auditierung dieser Anlagen anzuwenden sind. Da die Verantwortlichkeit in Bezug auf die IT-Sicherheit für die Operational Technology (OT) oft in anderen Händen liegt, als die für Information Technology (IT), gibt es hier gelegentlich abweichende Auffassungen darüber welche Normen zu Grunde zu legen sind. Personen aus dem IT-Umfeld fokussieren in der Regel auf die Normreihe ISO 27001, während Personen aus dem OT-Umfeld eher die Normreihe IEC 62443 favorisieren. Dieser Beitrag beschreibt die Grundlagen und Ausrichtung der beiden Normreihen und gibt Anregungen, in welchem Kontext welche die Normen sinnvoll und ggf. auch kombiniert nutzbar sind. Das Dokument schließt mit einer Empfehlung für ein Vorgehen im Bereich von Produktionsanlagen für die Fertigungs- und Prozessindustrie (OT-Security). Abschließend wird im Anhang noch am Beispiel einer Abwasserbehandlungsanlage die Anwendbarkeit der Normen diskutiert