Das Security Protection Scheme im Betrieb (IEC PAS 62443-2-2)

Problem in der Praxis

OT-Security wird häufig als Projekt organisiert: Anlage segmentieren, Zugänge ordnen, Programm aufsetzen, Abnahme, fertig. Nach der Inbetriebnahme übernimmt der Alltag, und das aufgebaute Maßnahmenbündel altert unbemerkt: Anlagen werden umgebaut, Fernzugänge kommen hinzu, Personal wechselt, die Bedrohungslage verschiebt sich. Ob die einmal entworfenen technischen, physischen und prozessualen Maßnahmen zusammen noch die Risiken des laufenden Betriebs steuern, prüft oft niemand systematisch.

Der bisherige ot-Track beschreibt den Aufbau: das Betreiberprogramm (ot-003), die Schutzbedarfslogik mit Zonen, Conduits und Security Leveln (ot-002), die Produktseite (ot-004). Die Perspektive, wie das umgesetzte Maßnahmenbündel in der Betriebsphase validiert, betrieben und gepflegt wird, hatte im Track bisher kein eigenes Werk als Referenz. Genau diese Perspektive adressiert die IEC PAS 62443-2-2:2025 laut ihrem Herausgeber-Abstract, mit der wichtigen Einschränkung ihres Status: Sie ist eine PAS, keine internationale Norm, und trägt entsprechend weniger Konsensgewicht als die Vollnormen der Reihe.

CISO-Einordnung

Zuerst der Status, weil er jede weitere Aussage rahmt: Eine PAS (Publicly Available Specification) ist eine Veröffentlichung mit anderem Konsensniveau als eine internationale Norm, häufig eine Vorstufe. Die IEC PAS 62443-2-2:2025 ist deshalb nicht gleichrangig mit den Vollnormen der Reihe wie 62443-2-1, 62443-2-4 oder 62443-3-3 zu behandeln. Ob aus der PAS eine Vollnorm werden soll, ist offen: Die Publikationsseite listete am 2026-08-05 kein Nachfolgeprojekt, aber ein leerer Eintrag beim Herausgeber belegt nicht, dass nichts in Arbeit ist. Auch die Regeln, ob und wann eine PAS turnusmäßig bestätigt, ersetzt oder zurückgezogen wird, wurden für diesen Artikel nicht an der Primärquelle geprüft; behauptet wird hier nur der Status am Abruftag.

Auf Managementebene lässt sich der Gegenstand so fassen: Das Security Protection Scheme (SPS) ist laut Herausgeber-Abstract das Bündel technischer, physischer und prozessualer Schutzmaßnahmen einer Anlage. Die PAS gibt Leitlinien, wie dieses Bündel entwickelt, validiert, betrieben und gepflegt wird, damit es die Risiken aus Cyberbedrohungen für die Anlagen im Betrieb steuert. Adressat ist der Asset Owner, der ein IACS-Sicherheitsprogramm umsetzt; die PAS baut auf Inhalten anderer Dokumente der Reihe auf und erklärt deren Nutzung in der Betriebsphase.

Für die Einordnung in den Track heißt das: Das Betreiberprogramm nach IEC 62443-2-1 (ot-003) liefert das Steuerungsdach, Zonen, Conduits und Security Level (ot-002) die Schutzbedarfslogik des Aufbaus. Die PAS setzt danach an: beim laufenden Betrieb des umgesetzten Maßnahmenbündels als eigenem Steuerungsproblem. Sie ersetzt weder das Programm noch die Schutzbedarfslogik.

Zwei Grenzen sind ausdrücklich zu ziehen. Erstens: Ob und mit welcher Methodik die PAS Schutzmaßnahmen bewertet oder Reifegrade bildet, ist öffentlich nicht belegbar; dieser Artikel trifft dazu keine Aussage. Zweitens: Aussagen Dritter, die der PAS Norm- oder Zertifizierungsrang zuschreiben, sind am Dokumentstatus zu prüfen, bevor sie in eigene Unterlagen übernommen werden.

Umsetzungsperspektive

Der praktische Wert für den CISO liegt darin, die Betriebsphase als eigenes Steuerungsproblem zu behandeln, statt sie als Restlauf des Aufbauprojekts mitzudenken:

• Betriebsphase im Programm verankern: Validierung und Pflege des umgesetzten Maßnahmenbündels als wiederkehrende Aufgabe des Betreiberprogramms (ot-003) definieren, mit Verantwortlichem und Turnus, statt auf den nächsten Umbau oder Vorfall zu warten.
• Auslöser definieren: Anlagenänderungen, neue Fernzugänge, Dienstleisterwechsel und veränderte Bedrohungslage als Ereignisse behandeln, die eine Überprüfung des Maßnahmenbündels auslösen; die Schutzbedarfslogik dafür liefern Zonen, Conduits und Security Level (ot-002).
• Die PAS als Leitlinien-Referenz nutzen, mit Statusdisziplin: Wer die IEC PAS 62443-2-2:2025 inhaltlich heranziehen will, beschafft den Text lizenzkonform beim Herausgeber und führt das Dokument in eigenen Unterlagen, Konzepten und Verträgen durchgängig als PAS, nie als Norm.
• Status beobachten: Am 2026-08-05 galt Edition 1.0 mit Status PUBLISHED, ohne gelistetes Nachfolgeprojekt. Ob eine Vollnorm folgt, ist offen; der Dokumentstatus gehört in die zyklische Quellenprüfung des Hauses.

Typische Fehler

1. Die IEC PAS 62443-2-2 als "Norm" bezeichnen oder mit den Vollnormen der Reihe gleichsetzen; sie ist eine PAS mit anderem Konsensniveau.
2. "62443-2-2" in Konzepten oder Verträgen zitieren, ohne den PAS-Status mitzuführen; die Bezeichnung ohne Statuszusatz suggeriert eine Vollnorm, die es nicht gibt.
3. OT-Security als Projekt behandeln, das mit der Inbetriebnahme endet; das Maßnahmenbündel braucht in der Betriebsphase eigene Validierung und Pflege.
4. Aus Sekundärquellen eine Bewertungs- oder Reifegradmethodik der PAS ableiten; öffentlich belegt ist nur die Abstract-Ebene.
5. Erwarten, die PAS ersetze das Betreiberprogramm nach 62443-2-1; laut Abstract adressiert sie den Asset Owner, der ein IACS-Sicherheitsprogramm umsetzt, und baut auf den übrigen Dokumenten der Reihe auf.

Risiken und Trade-offs

Der erste Trade-off betrifft das Konsensniveau: Eine PAS macht ein Thema früher verfügbar, als es eine Vollnorm könnte, trägt aber weniger abgestimmtes Gewicht. Wer schwere Investitionen oder Vertragspflichten allein an der PAS ausrichtet, baut auf einen Status, dessen Fortgang offen ist; ob und wann sie bestätigt, ersetzt oder zurückgezogen wird, ist hier nicht belegt. Umgekehrt wartet, wer die Betriebsphase bis zu einer etwaigen Vollnorm ignoriert, mit einem realen Steuerungsproblem auf ein Ereignis, das nicht terminiert ist.

Der zweite Trade-off ist der Aufwand: Laufende Validierung und Pflege des Maßnahmenbündels kosten Kapazität in einem Bereich, der ohnehin knapp besetzt ist. Ohne sie erodieren Schutzmaßnahmen jedoch unbemerkt, und die Lücke fällt erst beim Vorfall oder Audit auf.

Drittens droht eine Parallelstruktur: Wer die Betriebsphasen-Steuerung als neuen, eigenen Prozess neben dem Betreiberprogramm aufsetzt, erzeugt doppelte Nachweise und unklare Verantwortung. Die Aufgabe gehört in das bestehende Programm (ot-003) integriert, nicht daneben gestellt.

Entscheidungspunkte

• Wer verantwortet nach der Inbetriebnahme die laufende Validierung und Pflege der OT-Schutzmaßnahmen, und in welchem Turnus?
• Welche Ereignisse (Umbauten, neue Zugänge, Dienstleisterwechsel, Bedrohungslage) lösen eine Überprüfung des Maßnahmenbündels aus?
• Ziehen wir die IEC PAS 62443-2-2:2025 als Leitlinien-Referenz für diese Aufgabe heran, und beschaffen wir dafür den Text?
• Wie stellen wir sicher, dass der PAS-Status in eigenen Dokumenten, Verträgen und Prüfungen korrekt mitgeführt wird?
• Wer beobachtet den Dokumentstatus beim Herausgeber, und in welchem Zyklus?

Praktische Empfehlungen

1. Verankern Sie die Betriebsphase im Betreiberprogramm (ot-003): Validierung und Pflege des Maßnahmenbündels als wiederkehrende Aufgabe mit Verantwortlichem, Turnus und definierten Auslösern.
2. Prüfen Sie bei jedem Auslöser, ob Zonen, Conduits und zugewiesene Schutzniveaus (ot-002) noch zur Anlagen- und Bedrohungslage passen.
3. Führen Sie die IEC PAS 62443-2-2:2025 in allen eigenen Unterlagen ausdrücklich als PAS, nicht als Norm, und korrigieren Sie Fremdaussagen, die ihr Normrang zuschreiben.
4. Beschaffen Sie den Text lizenzkonform beim Herausgeber, bevor Sie inhaltlich mit ihm arbeiten; dieser Artikel bleibt auf der Abstract-Ebene (reference-only).
5. Nehmen Sie den Dokumentstatus in die zyklische Quellenprüfung auf: am 2026-08-05 Edition 1.0, Status PUBLISHED, kein Nachfolgeprojekt gelistet; ein leerer Eintrag belegt nicht, dass nichts in Arbeit ist.

Relevante Normreferenzen

• IEC PAS 62443-2-2:2025 (IACS security protection scheme): PAS (Publicly Available Specification), keine internationale Norm; Edition 1.0, publiziert am 11.03.2025, Status PUBLISHED, 44 PDF-Seiten, ISBN 9782832702994. Titel laut Publikationsseite: "Security for industrial automation and control systems, Part 2-2: IACS security protection scheme" (Titelwiedergabe mit Komma statt Gedankenstrich nach der Typografie-Konvention dieses Korpus). Quelle: Publikationsseite (Publikation 63886) und Such-API des IEC-Webstore, Abruf 2026-08-05; die Suche nach 62443-2-2 liefert genau diesen einen Treffer, eine Vollnorm 62443-2-2 existiert am Abruftag nicht. Kostenpflichtig, daher nur konzeptionelle Bezugnahme (reference-only).
• IEC 62443-2-1: Betreiber-Sicherheitsprogramm, das Steuerungsdach für die Betriebsphase (ot-003); kostenpflichtig, reference-only.
• IEC 62443 (Serie): Rollenmodell sowie Zonen-, Conduit- und Security-Level-Konzepte (ot-001, ot-002); die PAS baut laut Herausgeber-Abstract auf Inhalten anderer Dokumente der Reihe auf; kostenpflichtig, reference-only.