OT-Security für Energieanlagen: IEC 62443 und der Cyber Resilience Act ab 2026
Der Cyber Resilience Act macht ab dem 11. September 2026 ernst, die IEC 62443 wird zur technischen Brücke zwischen Betreiberpflicht und Produktpflicht. Dieser Artikel ordnet die Fristen, die Produktklassen und die Norm mit ihren Zonen und Security Level und zeigt, was jetzt zu tun ist. Den organisatorischen Unterbau beschreibt der Beitrag zum IT-Sicherheitskatalog nach §5c EnWG , die Melde- und Haftungsseite der Beitrag zu NIS2 und dem KRITIS-Dachgesetz .
Energieanlagen bekommen ab 2026 einen zweistufigen Cybersicherheits-Pflichtrahmen. Bisher regelte der Gesetzgeber vor allem den Betreiber, der ein Informationssicherheits-Managementsystem nachweisen muss. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) kommt als zweite Ebene dazu und macht den Hersteller vernetzter Produkte verantwortlich, von Wechselrichtern über Fernwirkgeräte bis zur Steuerungssoftware. In Kraft ist der CRA seit dem 10. Dezember 2024. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden, mit einer Frühwarnung binnen 24 Stunden und einer vollständigen Meldung binnen 72 Stunden über die ENISA-Plattform. Ab dem 11. Dezember 2027 braucht jedes betroffene Produkt eine CE-Kennzeichnung, technische Dokumentation, eine Risikobewertung und eine Software Bill of Materials. Die technische Sprache dazu liefert die IEC 62443, die internationale Norm für die Sicherheit industrieller Leittechnik. Sie verteilt Pflichten auf Hersteller, Integrator und Betreiber, staffelt Maßnahmen in vier Security Level von SL1 bis SL4 und gliedert Anlagen in Zonen und Conduits. Die IEC 62443 wird voraussichtlich als harmonisierte Norm unter dem CRA gelistet, ihre Erfüllung begründet dann eine Konformitätsvermutung. Die harmonisierte Fassung wird aber erst Ende 2026 erwartet, ein Jahr vor der vollen CRA-Geltung. Für Netzbetreiber, Stadtwerke und Anlagenbauer ist das eine Beschaffungs- und Architekturentscheidung, die jetzt getroffen wird.
Warum Energieanlagen ein zweites Regelwerk bekommen
Energieanlagen bekommen ab 2026 ein zweites Regelwerk, weil das erste nur den Betreiber trifft, nicht das Gerät. Wer eine kritische Anlage führt, muss längst ein Informationssicherheits-Managementsystem nachweisen. Diese Organisationspflicht bleibt. Sie sichert aber nur den Rahmen, nicht den einzelnen Wechselrichter.
Ein zertifiziertes Managementsystem sagt nichts darüber, ob die verbaute Fernwirkeinheit selbst sicher entwickelt wurde. Genau diese Lücke schließt der Cyber Resilience Act. Er macht den Hersteller des Produkts verantwortlich, nicht nur den Betreiber der Anlage. Für Energieanlagen entsteht damit ein zweistufiger Pflichtrahmen: eine Betreiberebene und eine Produktebene, die zusammengreifen müssen.
Die Betreiberebene ist in Deutschland ausbuchstabiert. Der IT-Sicherheitskatalog nach §5c EnWG verlangt von Betreibern kritischer Energieanlagen ein ISMS nach ISO 27001 und ISO 27019. Dazu kommen die Melde- und Governance-Pflichten aus NIS2 und dem KRITIS-Dachgesetz . Was fehlte, war die Produktebene. Der CRA füllt sie, und die IEC 62443 verbindet beide.
Der Cyber Resilience Act und seine Fristen ab 2026
Der Cyber Resilience Act ist die erste EU-weite Produktregulierung für Cybersicherheit. Er gilt für Produkte mit digitalen Elementen, also für fast jede vernetzte Hard- oder Software, die in einer Energieanlage steckt. Die Pflichten treten gestaffelt in Kraft, und der erste harte Stichtag liegt im September 2026.
CRA in Kraft
Die Verordnung (EU) 2024/2847 tritt in Kraft. Ab hier läuft die gestaffelte Übergangsfrist für Hersteller.
Konformitätsbewertungsstellen
Die Vorschriften zu den benannten Stellen gelten. Prüfstellen können sich benennen lassen, damit strenger geprüfte Produkte rechtzeitig eine Stelle finden.
Meldepflichten starten
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die ENISA-Plattform melden. Das ist der erste Stichtag, der wirklich beißt.
Volle Geltung
Jedes betroffene Produkt braucht CE-Kennzeichnung, technische Dokumentation, Risikobewertung und eine Software Bill of Materials.
Der 11. September 2026 ist das Datum, das zuerst wehtut. Ab dann läuft bei einer aktiv ausgenutzten Schwachstelle eine harte Uhr. Wer die Prozesse dafür nicht hat, meldet zu spät.
Wichtige und kritische Produkte: was strenger geprüft wird
Nicht jedes Produkt durchläuft dasselbe Verfahren. Der CRA staffelt die Anforderungen nach Risiko, und viele Komponenten in Energieanlagen fallen in die strengeren Klassen. Das entscheidet, ob ein Hersteller sich selbst bewerten darf oder eine benannte Stelle einschalten muss.
| Produktklasse | Beispiele | Konformitätsbewertung |
|---|---|---|
| Standardprodukt | Der Großteil vernetzter Produkte ohne besondere Sicherheitsfunktion | Selbstbewertung des Herstellers |
| Wichtig, Klasse I | Netzwerkkomponenten, Passwortmanager, VPN, Router | Selbstbewertung mit harmonisierter Norm oder benannte Stelle |
| Wichtig, Klasse II | Firewalls, Systeme zur Angriffserkennung, industrielle Sicherheitsfunktionen | In der Regel Prüfung durch eine benannte Stelle |
| Kritisch | Produkte mit besonders hohem Risiko, per Rechtsakt festgelegt | Strengstes Verfahren, teils europäisches Zertifikat |
Industrielle Steuerungs- und Leittechnik, Netzwerktechnik und Sicherheitsfunktionen zählen typischerweise zu den strenger geprüften Kategorien. Für eine Energieanlage heißt das: Ein großer Teil der verbauten Technik landet nicht in der einfachen Selbstbewertung.
IEC 62443: die technische Brücke zwischen Betreiber und Hersteller
Der CRA sagt, was erreicht werden muss, aber nicht wie. Diese Lücke füllt die IEC 62443, die etablierte Normenreihe für die Sicherheit industrieller Leittechnik. Sie ist die einzige breit anerkannte Norm, die alle Rollen entlang der Lieferkette adressiert, und wird deshalb voraussichtlich als harmonisierte Norm unter dem CRA gelistet.
Die Norm verteilt Pflichten auf drei Rollen. Der Komponentenhersteller liefert Geräte und Software, der Systemintegrator baut daraus die Anlage, der Betreiber führt sie. Für jede Rolle gibt es eigene Normteile, von organisatorischen Managementsystemen bis zu technischen Produkteigenschaften.
| Normteil | Rolle | Inhalt |
|---|---|---|
| IEC 62443-2-1 | Betreiber | Sicherheitsprogramm für die Leittechnik der Anlage |
| IEC 62443-3-3 | Integrator | Sicherheitsanforderungen an das Gesamtsystem |
| IEC 62443-4-1 | Hersteller | Sicherer Entwicklungsprozess des Produkts |
| IEC 62443-4-2 | Hersteller | Technische Sicherheitsanforderungen an einzelne Komponenten |
Der Teil 62443-4-2 ist der, auf den es beim CRA ankommt. CEN-CENELEC passt die europäische Fassung EN IEC 62443-4-2 gerade an die Anforderungen des CRA an. Wird die Norm harmonisiert gelistet, begründet ihre Erfüllung eine Konformitätsvermutung für die entsprechenden CRA-Pflichten. Der Haken steckt im Zeitplan. Die finale harmonisierte Fassung wird erst Ende 2026 erwartet, das lässt Herstellern weniger als zwölf Monate bis zur vollen CRA-Geltung.
Zonen, Conduits und Security Level in der Praxis
Das praktische Herzstück der IEC 62443 ist ein Architekturprinzip, das sich direkt auf eine Energieanlage übertragen lässt. Statt ein flaches Netz zu schützen, wird die Anlage in Bereiche zerlegt, die nur über kontrollierte Verbindungen kommunizieren. So bleibt ein Angriff auf eine Zone begrenzt.
Jede Zone und jeder Conduit bekommt ein Security Level. Es staffelt die Maßnahmen nach der Stärke des Angreifers, gegen den geschützt werden soll. Ein Umspannwerk am kritischen Netzknoten braucht ein höheres Level als ein einzelner Wechselrichter im Verteilnetz.
Unter den Security Level liegen sieben Foundational Requirements. Sie ordnen die technischen Maßnahmen: Identifizierung und Authentifizierung, Nutzungskontrolle, Systemintegrität, Vertraulichkeit der Daten, eingeschränkter Datenfluss, rechtzeitige Reaktion auf Ereignisse und Verfügbarkeit der Ressourcen. Für jede Zone lässt sich so genau festhalten, wie stark sie gegen jede dieser sieben Kategorien geschützt ist. Das ist mehr Arbeit als eine Firewall am Anlagenrand. Es ist aber auch der einzige Weg, der einem Prüfer und einem CRA-Verfahren standhält.
Was Netzbetreiber, Stadtwerke und Anlagenbauer jetzt tun sollten
Der Zeitplan lässt wenig Spielraum. Die harmonisierte Fassung der IEC 62443 kommt erst Ende 2026, die volle CRA-Geltung schon ein Jahr später. Wer erst 2027 beginnt, verhandelt Verträge und baut Architektur unter Zeitdruck. Sinnvoller ist, beide Regelwerke jetzt gemeinsam zu lesen. Vier Schritte machen den Unterschied.
Vier Schritte für die OT-Security
-
Beschaffung umstellen
Verlange von Lieferanten den Nachweis der CRA-Konformität und der IEC 62443-4-2, inklusive Software Bill of Materials und einem dokumentierten Schwachstellenprozess. Was heute nicht im Vertrag steht, fehlt 2027.
-
Anlage in Zonen gliedern
Segmentiere Bestandsanlagen in Zonen und Conduits und lege je Zone ein Security Level fest, statt ein flaches Netz weiterzubetreiben. Das ist die Grundlage, auf der jede spätere Prüfung aufsetzt.
-
Meldeprozesse aufbauen
Baue Melde- und Reaktionsprozesse, damit die Fristen von 24 und 72 Stunden im Ernstfall eingehalten werden. Ab dem 11. September 2026 ist das keine Kür mehr.
-
Ebenen verzahnen
Verbinde die Produktebene mit der bestehenden ISMS-Pflicht aus dem IT-Sicherheitskatalog, damit Betreiber- und Herstellerpflichten nicht getrennt verwaltet werden. Ein Team, zwei Regelwerke, eine Norm.
Weiterführende Informationen
Häufig gestellte Fragen
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist die erste EU-weite Produktregulierung für Cybersicherheit. Er gilt für Produkte mit digitalen Elementen, also für nahezu jede vernetzte Hard- oder Software in einer Energieanlage. In Kraft getreten ist er am 10. Dezember 2024. Ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle, ab dem 11. Dezember 2027 die vollen Herstellerpflichten inklusive CE-Kennzeichnung.
IEC 62443 ist die internationale Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Leittechnik, also der Betriebstechnik (OT). Sie adressiert alle Rollen entlang der Lieferkette: den Komponentenhersteller, den Systemintegrator und den Anlagenbetreiber. Kern sind vier Security Level von SL1 bis SL4, sieben Foundational Requirements und das Modell aus Zonen und Conduits, mit dem eine Anlage in Bereiche gleicher Schutzanforderung segmentiert wird.
Ab dem 11. September 2026 muss ein Hersteller eine aktiv ausgenutzte Schwachstelle oder einen schweren Sicherheitsvorfall in drei Stufen melden: eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine vollständige Meldung binnen 72 Stunden und einen Abschlussbericht spätestens 14 Tage nach einer verfügbaren Gegenmaßnahme, bei schweren Vorfällen binnen eines Monats. Gemeldet wird über die zentrale Meldeplattform der ENISA.
Der CRA sagt, was erreicht werden muss, aber nicht wie. Diese Lücke füllt die IEC 62443 als technische Norm. Sie wird voraussichtlich als harmonisierte Norm unter dem CRA gelistet. Erfüllt ein Hersteller die passenden Teile der IEC 62443, etwa 62443-4-2 für Komponenten, entsteht dann eine Konformitätsvermutung für die entsprechenden CRA-Pflichten. Die harmonisierte Fassung wird voraussichtlich erst Ende 2026 vorliegen.
Eine Zone bündelt Anlagenteile mit gleichen Schutzanforderungen, zum Beispiel die Fernwirktechnik eines Umspannwerks getrennt von der Bürokommunikation. Ein Conduit ist der einzige kontrollierte Datenpfad zwischen zwei Zonen und trägt eigene Sicherheitsanforderungen. Jede Zone und jeder Conduit bekommt ein Security Level von SL1 bis SL4, das die Maßnahmen nach Angreiferstärke staffelt. So bleibt ein Angriff auf eine Zone begrenzt, statt sich durch ein flaches Netz auszubreiten.