Beginnen wir mit der Antwort auf die Frage, die Sie sich vermutlich schon stellen: Die IEC 62443 ist keine gesetzliche Pflicht in der Schweiz. Kein Bundesgesetz schreibt sie vor. Es handelt sich um eine Familie internationaler Normen mit freiwilliger Anwendung.
Das bedeutet nicht, dass sie für Sie unverbindlich ist. Seit zwei oder drei Jahren taucht sie in den Pflichtenheften industrieller Auftraggeber, in Versicherungsfragebögen und in Ausschreibungen grosser Konzerne auf. Die Pflicht entsteht nicht durch den Gesetzgeber, sondern durch den Vertrag. Für ein Westschweizer KMU, das einen Ausrüster, einen Akteur der Energie- oder Pharmabranche beliefert, ist der Unterschied rein theoretisch.
Dieser Artikel erklärt, was diese Normenfamilie zu lösen versucht, warum die IT-Sicherheit im Büro in einer Werkhalle nicht ausreicht, und wo man anfängt, wenn man einen Maschinenpark betreibt, der nicht ersetzt werden kann.
Warum reicht Büro-Sicherheit in einer Werkhalle nicht aus?
Das ist der zentrale Punkt, und er wird oft missverstanden. Viele Geschäftsleitungen denken, es reiche aus, das, was für die Büros umgesetzt wurde, auf die Werkhalle auszudehnen: ein Antivirenprogramm, Updates, eine Firewall. In der Praxis scheitert dieser Ansatz.
Im Büro liegt die absolute Priorität auf der Vertraulichkeit der Daten. Man schützt Verträge, Löhne, Kundendossiers. Fällt ein Arbeitsplatz aus, startet man ihn neu und fährt fort.
In der Werkhalle liegt die Priorität auf der Verfügbarkeit und der Sicherheit der Personen. Eine stillstehende Produktionslinie kostet sofort, und ein Gerät, das sich unvorhersehbar verhält, kann jemanden verletzen. Der industrielle Datenplan hat selten einen Wert als Geheimnis. Es ist die Bewegung der Maschine, die zählt.
Daraus ergeben sich drei sehr konkrete Konsequenzen.
Man startet eine Linie nicht wie einen Computer neu. Eine Wiederinbetriebnahme kann Stunden dauern: eine Spülung, ein erneutes Aufheizen, eine neue Qualifizierung der Chargen. Der einfache Neustart, der ein Büroproblem löst, wird hier zu einer Produktionsentscheidung.
Man aktualisiert eine Steuerung nicht mitten in der Produktion. Ein Softwarepatch auf einer speicherprogrammierbaren Steuerung verändert das Verhalten eines Systems, das physische Bewegungen steuert. Es braucht ein Abschaltfenster, Tests, oft die Validierung des Herstellers und manchmal eine neue sicherheitstechnische Abnahme der Maschine.
Manche Maschinen werden niemals aktualisiert. Ein Bearbeitungszentrum aus dem Jahr 2011 mit einem Bedienpult unter einem eingestellten Betriebssystem funktioniert einwandfrei und wird noch zehn Jahre lang produzieren. Der Hersteller veröffentlicht nichts mehr. Das Update ist nicht verzögert: Es existiert nicht.
| Büro-IT (Geschäftsverwaltung) | Industrie-IT (Werkhalle) | |
|---|---|---|
| Hauptpriorität | Vertraulichkeit der Daten | Verfügbarkeit und Sicherheit der Personen |
| Folge eines Ausfalls | Unannehmlichkeit, verschobene Arbeit | Produktionsstopp, verlorene Chargen, physisches Risiko |
| Updates | Automatisch, häufig | Geplant, getestet, teilweise unmöglich |
| Neustart | Sofort, ohne Bedeutung | Lang, kostspielig, erfordert eine Entscheidung |
| Lebenszyklus der Geräte | 3 bis 5 Jahre | 15 bis 25 Jahre |
| Herstellersupport | Fortlaufend | Oft weit vor Nutzungsende beendet |
| Wer entscheidet | Die IT-Abteilung | Die Produktion, zusammen mit der IT |
Dieser grundlegende Unterschied erklärt, warum ein Industrie-KMU seine Büroregeln nicht einfach auf seine Werkhalle übertragen kann. Es braucht einen Rahmen, der für dieses Umfeld gedacht ist. Genau das bietet die IEC 62443.
Was bietet die Normenfamilie, ohne ins Detail zu gehen?
Die IEC 62443 ist kein einzelnes Dokument, sondern eine Reihe von Dokumenten, die von der Internationalen Elektrotechnischen Kommission veröffentlicht werden und die Sicherheit industrieller Automatisierungs- und Steuerungssysteme abdecken.
Ihre allgemeine Struktur gliedert sich in vier grosse Blöcke: gemeinsame Konzepte und Begriffe, Anforderungen an die Richtlinien und Verfahren der Organisation, solche, die das System als Ganzes betreffen, und schliesslich solche, die die Komponenten und ihre Entwicklung betreffen.
Der für eine Geschäftsleitung nützlichste Punkt liegt anderswo. Die Norm unterscheidet drei Rollen, und Sie lesen nicht dieselben Teile, je nachdem, welche Sie einnehmen:
- den Betreiber, der die Anlage in seinem Werk nutzt;
- den Integrator, der die Lösung entwirft, zusammenbaut und in Betrieb nimmt;
- den Hersteller, der die Maschine oder Komponente produziert.
Ein Westschweizer Industrie-KMU nimmt häufig zwei Rollen gleichzeitig ein. Es betreibt seine eigene Werkhalle und stellt Maschinen her, die es an seine Kunden liefert. Das sind zwei unterschiedliche Vorgehen mit unterschiedlichen Ansprechpartnern und Ergebnissen.
Die Dokumente der Reihe werden von der Internationalen Elektrotechnischen Kommission und von nationalen Normungsstellen verkauft. Ihr Inhalt darf nicht frei wiedergegeben werden, und dieser Artikel tut dies auch nicht: Er beschreibt ihre Logik und ihre Struktur, nicht die Anforderungen Artikel für Artikel. Seien Sie vorsichtig bei kostenlos kursierenden Dokumenten, die vorgeben, die Norm wiederzugeben: Sie sind oft veraltet, unvollständig oder schlicht falsch, und ein darauf aufgebautes Vorgehen hält vor einem Auditor nicht stand.
Zonen und Kanäle: aufteilen, bevor man schützt
Das ist das wichtigste Konzept der Norm, und es ist am einfachsten zu verstehen.
Eine Zone fasst Geräte zusammen, die dieselben Sicherheitsanforderungen teilen. Eine Roboterzelle bildet eine Zone. Das Leitsystem bildet eine weitere. Die Büroarbeitsplätze der Qualitätsabteilung bilden eine dritte.
Ein Kanal ist der kontrollierte Durchgang, der zwei Zonen verbindet. Jede Kommunikation zwischen Zonen läuft über einen Kanal, und man legt ausdrücklich fest, was dort verkehren darf.
Die zugrunde liegende Idee ist einfach: Statt zu versuchen, Dutzende von Geräten einzeln abzusichern, von denen viele nicht abgesichert werden können, sichert man die Grenzen zwischen Gerätegruppen. Die veraltete Maschine bleibt veraltet, ist aber nicht mehr von überall aus erreichbar.
Das begrenzt auch die Ausbreitung eines Vorfalls. Ransomware, die den Dateiserver der Verwaltung verschlüsselt, erreicht die Produktionslinie nicht, wenn die beiden Netzwerke nicht flach und miteinander verbunden sind. Ohne Segmentierung kann ein kompromittiertes Postfach ein ganzes Werk zum Stillstand bringen. Mit Segmentierung kostet es einen Bürotag.
Sicherheitsstufen: nicht alles verdient denselben Schutz
Zweites strukturierendes Konzept, ebenso zugänglich. Die Norm definiert eine Skala von Sicherheitsstufen, abgestuft von niedrig bis hoch, die dem Typ des Angreifers entspricht, gegen den man sich behaupten möchte.
Das untere Ende der Skala richtet sich gegen Zufälliges: einen Bedienfehler, einen falschen USB-Stick, einen unglücklichen Anschluss. Das obere Ende richtet sich gegen einen organisierten Angreifer mit erheblichen Mitteln, Zeit und Kompetenzen, die spezifisch für die Industriewelt sind.
Der praktische Nutzen liegt darin, für jede Zone angeben zu können, welche Stufe man anstrebt. Eine Zelle, die eine gefährliche Bewegung steuert, und ein Schrank zur Energiemessung erfordern nicht denselben Aufwand. Diese Abstufung vermeidet die zwei klassischen Fehler: alles maximal zu schützen, was für ein KMU finanziell unmöglich ist, oder nichts zu schützen, weil man nicht weiss, wo man anfangen soll.
Praktisch alle Industrie-KMU haben ihren Maschinenlieferanten einen Fernwartungszugang offengelassen. Oft bei der Inbetriebnahme installiert, selten dokumentiert, manchmal auch zehn Jahre später noch aktiv. Das ist der am häufigsten vernachlässigte Einstiegspunkt. Erstellen Sie eine Liste dieser Zugänge, prüfen Sie, wer sie noch nutzt, und deaktivieren Sie sie standardmässig, indem Sie sie nur auf Anfrage öffnen. Diese einzige Massnahme ist mehrere Monate Projektarbeit wert.
Wo beginnt man mit einem bestehenden Maschinenpark?
Sie werden Ihren Park nicht ersetzen, und niemand verlangt das von Ihnen. Das realistische Vorgehen besteht darin, die Umgebung um Maschinen zu schützen, die so bleiben, wie sie sind.
- Erstellen Sie eine Bestandsaufnahme des Vernetzten. Welche Maschinen haben einen Netzwerkanschluss, eine WLAN-Karte, ein Modem, einen Fernzugriff? Die Antwort überrascht fast immer. Eine Liste auf einem Blatt reicht zum Einstieg.
- Trennen Sie das Produktionsnetzwerk vom Büronetzwerk. Das ist die Massnahme mit dem besten Verhältnis von Wirkung zu Kosten. Wenn Ihre Kaffeemaschine, Ihre Buchhaltung und Ihre Spritzgusspresse im selben Netzwerk hängen, beginnen Sie hier.
- Übernehmen Sie wieder die Kontrolle über Fernzugriffe. Wer kann hineinkommen, von wo, mit welcher Authentifizierung, und wer wird benachrichtigt, wenn es passiert.
- Regeln Sie Wechseldatenträger. Der USB-Stick des Automatikers bleibt in industriellen Umgebungen ein wichtiger Infektionsweg, gerade weil isolierte Maschinen auf diesem Weg aktualisiert werden.
- Sichern Sie die Programme der Steuerungen und die Konfigurationen. Nicht nur die Büro-Dateien. Ein verlorenes Steuerungsprogramm bedeutet eine Wiederinbetriebnahme, die sich in Tagen bemisst. Wenden Sie darauf die 3-2-1-Regel für Backups an.
- Identifizieren Sie Ihre Zonen und legen Sie für jede ein Ziel fest. Erst an diesem Punkt wird die Logik der Norm anwendbar, weil Sie endlich wissen, was Sie haben.
- Dokumentieren Sie, was Sie tun. Das wird ein Kunde oder ein Versicherer verlangen, lange vor einem Zertifikat.
Diese Schritte erfordern keine tiefgehende Normenkompetenz. Sie erfordern, dass Produktion und IT miteinander sprechen, was in einem KMU oft das eigentliche Hindernis ist.
Was das für ein Schweizer KMU heute bedeutet
Der allgemeine Kontext verschärft sich. Im Jahr 2025 erhielt das Nationale Zentrum für Cybersicherheit 64 733 freiwillige Meldungen, gegenüber 62 954 im Jahr 2024. Im zweiten Halbjahr 2025 wurden ihm 57 Vorfälle im Zusammenhang mit Ransomware gemeldet (NCSC, Halbjahresbericht 2025/II, 30. März 2026). Industrieunternehmen zählen zu den Zielen, weil ein Produktionsstopp einen Zahlungsdruck erzeugt, den nur wenige Branchen kennen.
Gleichzeitig betreffen zwei regulatorische Entwicklungen Schweizer Hersteller, die in die Europäische Union exportieren: die Cybersicherheitsanforderungen für Funkanlagen und die europäische Cyberresilienzverordnung. Diese Texte sind für den Zugang zum europäischen Markt verbindlich. Wir behandeln sie in eigenen Artikeln, zur EN 18031 und zum Cyber Resilience Act (CRA). Ein bereits laufendes IEC-62443-Vorgehen erleichtert deren Umsetzung erheblich, da sich die Konzepte stark überschneiden.
Behalten Sie also die Nuance im Kopf: Die IEC 62443 bleibt nach Schweizer Recht freiwillig, wird aber zur gemeinsamen Sprache der industriellen Sicherheit. Mit einem Kunden oder Versicherer darüber sprechen zu können, wird zu einem kommerziellen Argument ebenso wie zu einer Schutzmassnahme.
Um Ihr Unternehmen in drei Minuten einzuschätzen, gibt Ihnen der Cyber-Check-up eine Punktzahl und Ihre drei Prioritäten. Die weiteren für Schweizer Unternehmen geltenden Texte sind im Bereich Regulierungen zusammengefasst.