Compliance-Management in 20 SekundenProjekt, nächster Schritt, Checkliste, Erklärung zur Anwendbarkeit, Audit-Paket. Beispieldaten der Demo-Firma.
Was ist IEC 62443 Hersteller?
IEC 62443-4-1 beschreibt, wie Hersteller industrieller Automatisierungskomponenten einen sicheren Entwicklungsprozess aufbauen: vom Security Management über Bedrohungsmodell, Design und Tests bis zum Umgang mit Schwachstellen, zu Updates und Sicherheitshinweisen. IEC 62443-4-2 legt fest, welche technischen Sicherheitsfähigkeiten eine Komponente je Security Level (SL-C) mitbringen muss.
Stand der Inhalte:
Bin ich betroffen?
IEC 62443-4-1 und 4-2 sind Normen, keine gesetzliche Pflicht. Kunden verlangen sie zunehmend in Ausschreibungen, und sie sind eine naheliegende technische Grundlage für die Pflichten aus dem Cyber Resilience Act und den Cybersicherheitsanforderungen der Maschinenverordnung.
Das Modul richtet sich an Hersteller von Komponenten für die Industrieautomation sowie an Maschinenbauer mit eigener Steuerungs- oder Softwareentwicklung. Betreiber und Integratoren nutzen die eigenen Module für ihre Rolle.
Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.
Rechtsgrundlagen
IEC 62443-4-1Sicherer Produktentwicklungsprozess
IEC 62443-4-2Technische Sicherheitsanforderungen an Komponenten
Anhang I Teil I CRAAnhang I Teil I CRACybersicherheitsanforderungen in Bezug auf die Eigenschaften von Produkten mit digitalen Elementen(1) Produkte mit digitalen Elementen werden so konzipiert, entwickelt und hergestellt, dass sie angesichts der Risiken ein angemessenes Cybersicherheitsniveau gewährleisten. (2) Auf der Grundlage der Bewertung der Cybersicherheitsrisiken gemäß Artikel 13 Absatz 2 müssen Produkte mit digitalen Elementen, soweit zutreffend, - a) ohne bekannte ausnutzbare Schwachstellen auf dem Markt bereitgestellt werden, - b) mit …Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗Grundlegende Cybersicherheitsanforderungen an Produkte, fachlich eng verwandt mit 4-2
Anhang I Teil II CRAAnhang I Teil II CRAAnforderungen an die Behandlung von SchwachstellenDie Hersteller von Produkten mit digitalen Elementen müssen (1) Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen; (2) im Hinblick auf die Risiken im Zusammenhang mit den Produkten mit digitalen Elementen …Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗Behandlung von Schwachstellen, fachlich eng verwandt mit den Practices DM und SUM aus 4-1
Anhang III Abschn. 1.1.9 MaschinenVOAnhang III Abschnitt 1.1.9 MaschinenVOSchutz gegen KorrumpierungDie Maschine bzw. das dazugehörige Produkt muss so konstruiert und gebaut sein, dass der Anschluss einer anderen Einrichtung an die Maschine oder das dazugehörige Produkt durch jede Funktion der angeschlossenen Einrichtung selbst oder über eine mit der Maschine bzw. dem dazugehörigen Produkt kommunizierende entfernte Fernzugriffseinrichtung nicht zu einer gefährlichen Situation führt. Ein Hardware-Bauteil, das …Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung vom 27.07.2026 (Berichtigungen ABl. L 169 vom 4.7.2023 und ABl. L 2025/90297 eingearbeitet)Original öffnen (EUR-Lex – konsolidierte Fassung vom 27.07.2026 (Berichtigungen ABl. L 169 vom 4.7.2023 und ABl. L 2025/90297 eingearbeitet)) ↗Schutz gegen Korrumpierung, für Komponenten oft mit 4-2 umgesetzt
Wichtige Fristen
Für IEC 62443 selbst gibt es keine gesetzlichen Fristen. Für Hersteller zählen die Fristen des CRA (Meldepflichten seit 11.09.2026, volle Geltung ab 11.12.2027) und der Maschinenverordnung (ab 20.01.2027); Termine pflegen Sie im Projektplan.
Wie Complass hilft
Neun Phasen für Hersteller
Produktziel und Reifegrad, Security Management, Bedrohungsmodell, sicheres Design, Security-Tests, PSIRT, Security-Updates, Sicherheitsrichtlinien und Komponentenanforderungen je SL-C.
Zwei Kataloge
Alle 47 Anforderungen der Practices aus 4-1 und die Komponentenanforderungen aus 4-2 mit SL-Zuordnung und Bezug zu CRA und Maschinenverordnung. Zu jeder Anforderung gibt es eine Umsetzungshilfe mit Schritten, Nachweisen und Beispielen aus der Industrie; 4-2 lässt sich nach Komponententyp filtern.
SBOM, Schwachstellen und CSAF
SBOM je Produktversion, automatischer Abgleich mit NVD, KEV, EPSS und EUVD, VEX-Bewertung und Herstellerhinweise im CSAF-Format.
Herstellervorlagen
u. a. SDL-Beschreibung, Bedrohungsmodell, Security-Testplan, PSIRT-Prozess, Update-Konzept, Härtungsleitfaden, SL-C-Erklärung und Abgleich mit CRA Anhang I.
Die Phasen im Modul
Produkt, Rolle, Zielmarkt und Zertifizierungsziel
Security Management im Entwicklungsprozess (SM-1 bis SM-13)
Sicherheitsanforderungen und Bedrohungsmodell (SR-1 bis SR-5)
Sicheres Design und sichere Implementierung (SD-1 bis SD-4, SI-1 und SI-2)
Verifikation und Validierung, Security-Tests (SVV-1 bis SVV-5)
Umgang mit Schwachstellen und PSIRT (DM-1 bis DM-6)
Security-Updates (SUM-1 bis SUM-5)
Sicherheitsrichtlinien für Anwender und Härtungsleitfaden (SG-1 bis SG-7)
Technische Komponentenanforderungen nach 62443-4-2 und Konformitätsnachweis
Katalog: IEC 62443-4-1 – Anforderungen an den sicheren Entwicklungsprozess (Practices)
Gut zu wissen: Die Anforderungen können Sie auch ohne Complass erfüllen. Complass unterstützt Sie bei Umsetzung und Nachweis, ersetzt aber keine Rechtsberatung. Rechtliche Hinweise
Häufige Fragen
Ersetzt IEC 62443-4-2 die Konformitätsbewertung nach dem CRA?+
Nein. Harmonisierte Normen zum CRA sind in Vorbereitung; solange ihre Fundstellen nicht im Amtsblatt veröffentlicht sind, begründet IEC 62443 keine Konformitätsvermutung. Sie können 4-1 und 4-2 aber als gewählte technische Lösung in der technischen Dokumentation beschreiben; das Modul enthält dafür eine Abgleichvorlage.
Sind die Normtexte enthalten?+
Nein, IEC-Normen sind urheberrechtlich geschützt. Complass erklärt die Anforderungen in eigenen Worten und verweist auf die Nummern; eigene Auszüge aus Ihrer lizenzierten Ausgabe können Sie hinterlegen.
Brauche ich ein Zertifikat?+
Nicht zwingend. Viele Hersteller beginnen mit einer Selbsterklärung zum SL-C und belegen den Prozess mit eigenen Nachweisen. Ein Prozess- oder Produktzertifikat durch eine unabhängige Stelle stärkt das Vertrauen von Kunden; das Modul hilft, die Nachweise dafür zu sammeln.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.
