Ein wachsender Teil der deutschen Unternehmenslandschaft gibt Gas beim Thema Cybersicherheits-Zertifizierung nach IEC 62443 – doch trotz reifem Markt klaffen weiterhin Lücken zwischen Standardanforderung und praktischer Umsetzung. Während eine aktuelle Analyse des Digitalverbands Bitkom zeigt, dass immer mehr Hersteller und Systemintegratoren den Zertifizierungsprozess durchlaufen, bremsen hohe Kosten, Personalmangel und die Komplexität der Norm viele mittelständische Betriebe aus.
Die wichtigsten Zahlen und Fristen zur Zertifizierung im Überblick:
| Kennzahl | Stand | Quelle |
|---|---|---|
| Kosten für eine Erstzertifizierung | seit 2022 um rund 15 Prozent gesunken | TÜV SÜD |
| Unternehmen mit unter 100 Mitarbeitern | zwei Drittel ohne gestarteten Zertifizierungsprozess | Bitkom |
| Neu installierte Sicherheitsleitsysteme in KRITIS | bis 2026 zertifiziert | Bundesregierung |
| NIS-2-Umsetzung in deutsches Recht | voraussichtlich 2025 | Europäische Kommission |
| Zertifizierte mit gesunkenen Sicherheitsvorfällen | ein Drittel mit mindestens 25 Prozent weniger | BSI-Lagebericht |
| Aufbau der Norm | sieben Teile | IEC 62443 |
38 % mehr aktive IEC-62443-Zertifikate 2024 · 70 % aus dem Maschinen- und Anlagenbau · 18 % Mittelstandsanteil an Neuzertifizierungen · 25 % weniger Sicherheitsvorfälle bei zertifizierten Unternehmen
Schnappschuss: Der Stand der IEC-62443-Zertifizierung in Deutschland
- Die Zahl der aktiven IEC-62443-Zertifikate in Deutschland stieg 2024 um 38 % im Vergleich zum Vorjahr (Bitkom).
- Über 70 % der zertifizierten Unternehmen kommen aus dem Maschinen- und Anlagenbau (BSI).
- Mittelständische Firmen (unter 250 Mitarbeiter) machen nur 18 % der Neuzertifizierungen aus (VDMA).
- Ein Drittel der zertifizierten Unternehmen berichtet von einer um mindestens 25 % gesunkenen Zahl von Sicherheitsvorfällen (BSI-Lagebericht IT-Sicherheit 2024). (Bitkom)
- Die tatsächliche Kostenbelastung für KMU über den gesamten Zertifizierungszyklus hinweg ist kaum belastbar erhoben (TÜV SÜD).
- Es fehlt an einer einheitlichen europäischen Anerkennung der Zertifikate; nationale Abweichungen erschweren den Binnenmarkthandel (Europäische Kommission).
- Der tatsächliche Deckungsgrad der Zertifizierungskriterien in der Breite der installierten Altanlagen ist nicht bekannt (ZVEI).
- Bis 2026 sollen alle neu installierten Sicherheitsleitsysteme in kritischen Infrastrukturen (KRITIS) nach IEC 62443 zertifiziert sein (Bundesregierung).
- Die EU-Richtlinie NIS-2 wird voraussichtlich 2025 in nationales Recht umgesetzt und verschärft die Zertifizierungspflichten (Europäische Kommission). (Bundesregierung)
- Der Bundesverband der Deutschen Industrie (BDI) kündigt ein Förderprogramm für KMU zur Erstzertifizierung an (BDI).
- Die zuständige Zertifizierungsstelle des BSI plant eine gestaffelte Einführung von Teilzertifikaten für einzelne Komponenten (BSI). (BDI)
- Drei große Krankenversicherer bieten ab 2025 spezielle Tarife für KRITIS-Unternehmen mit gültigem IEC-62443-Zertifikat an (GDV).
Der Befund ist ambivalent: Während die Großindustrie und der gehobene Mittelstand die Zertifizierung als Wettbewerbsvorteil und Risikominimierung begreifen, zögern viele kleinere Betriebe. Der Schritt zur Zertifizierung ist nicht nur eine Frage der Cybersicherheit, sondern auch eine strategische Entscheidung über Marktzugang und Haftung.
Warum die Norm zum Standard wird
Die IEC 62443 gilt inzwischen als die verbindliche Referenz für die Security industrieller Automatisierungs- und Leitsysteme. Die siebenteilige Normenreihe definiert Anforderungen an Hersteller, Systemintegratoren und Betreiber. In Deutschland treiben vor allem zwei Faktoren die Verbreitung voran: Zum einen die zunehmende Regulierung durch das BSI-Gesetz und die EU-Richtlinie NIS-2, zum anderen der wachsende Druck aus Lieferketten. Große Automobilkonzerne und Chemieunternehmen fordern von ihren Zulieferern immer häufiger den Nachweis einer gültigen Zertifizierung, noch bevor sie einen Vertrag unterzeichnen (VDA). Zudem sinken die durchschnittlichen Kosten für eine Erstzertifizierung seit 2022 um rund 15 Prozent, getrieben durch spezialisierte Beratungsdienstleister und standardisierte Prüfverfahren (TÜV SÜD). Für Unternehmen, die ihr Security-Level nachweislich erhöhen, sinken zudem die Versicherungsprämien – ein monetärer Anreiz, der in der Branche zunehmend Beachtung findet.
Die Zertifizierung nach IEC 62443 ist in Deutschland kein optionales Extra mehr, sondern auf dem Weg zum De-facto-Standard für industrielle Cybersecurity. Unternehmen, die jetzt nicht investieren, riskieren den Verlust von Kunden und sinkende Wettbewerbsfähigkeit.
Die Implikation ist klar: Der Markt sortiert sich. Unternehmen ohne Zertifikat werden zunehmend aus Lieferketten ausgeschlossen. Diejenigen, die frühzeitig auf eine formelle Zertifizierung setzen, sichern sich nicht nur Aufträge, sondern auch günstigere Versicherungsbedingungen und eine geringere Haftung bei Sicherheitsvorfällen.
Hindernisse für den Mittelstand
Trotz des klaren Trends bleibt der Mittelstand die Achillesferse der Initiative. Die Bitkom-Studie zeigt, dass zwei Drittel der Unternehmen mit weniger als 100 Mitarbeitern noch keinen Zertifizierungsprozess gestartet haben. Die Gründe sind bekannt: Personalknappheit, fehlendes Fachwissen im eigenen Haus und die Kosten für externe Beratung. Ein zertifizierter Security-Beauftragter nach IEC 62443 ist in Zeiten des Fachkräftemangels schwer zu finden oder zu halten (Computerwoche). Hinzu kommt die Komplexität der Norm selbst. Viele KMU scheuen den bürokratischen Aufwand der Dokumentation und der regelmäßigen Audits. Der ZVEI fordert daher schon länger eine abgespeckte Variante der Norm für kleine Unternehmen – ein Vorstoß, der auf EU-Ebene diskutiert wird (ZVEI). Die Frage ist, ob diese Vereinfachung nicht die Schutzwirkung der Norm verwässert.
Für kleine und mittlere Betriebe könnte die geplante Teilzertifizierung des BSI eine Brücke sein. Statt einer Vollzertifizierung der gesamten Anlage ließe sich zunächst eine einzelne kritische Komponente zertifizieren – das senkt die Einstiegshürde erheblich (BSI).
Der Trade-off ist offensichtlich: Niedrigere Einstiegshürden bedeuten mehr Marktdurchdringung, aber auch ein potenziell geringeres Sicherheitsniveau. Die Entscheidung muss zwischen den regulatorischen Vorgaben und der wirtschaftlichen Realität der KMU getroffen werden. Eine reine Beschwichtigungsstrategie ohne echte Sicherheitsgewinne wäre kontraproduktiv.
Fazit: Zertifizierung als strategische Weichenstellung
Der Weg zur flächendeckenden Cybersicherheit in der deutschen Industrie führt über die IEC 62443. Die Entwicklung ist unumkehrbar. Unternehmen, die jetzt die Zeichen der Zeit erkennen und handeln, sichern sich nicht nur ihre Zukunftsfähigkeit, sondern auch einen klaren Wettbewerbsvorteil in einem zunehmend vernetzten und regulierten Markt.
Verwandte Beiträge: Jan Köppen: Privatleben, Karriere, Gewichtsverlust, Dschungelcamp · Henning Baum: Kinder, Freundin, Auto & mehr – Fakten
de.wikipedia.org, promipool.de, rtl.de, bild.de, gala.de, promiflash.de, cosmopolitan.de, n-tv.de, focus.de, gala.de, imdb.com, bunte.de
Häufig gestellte Fragen
Was ist IEC 62443?
IEC 62443 ist eine internationale Normenreihe, die Sicherheitsanforderungen für industrielle Automatisierungs- und Leitsysteme (IACS) definiert. Sie umfasst sieben Teile, die Hersteller, Systemintegratoren und Betreiber adressieren.
Warum ist die Zertifizierung nach IEC 62443 in Deutschland wichtig?
Die Zertifizierung wird zunehmend zur Voraussetzung für die Zusammenarbeit mit großen Industriekonzernen und für den Betrieb kritischer Infrastrukturen (KRITIS). Sie senkt Haftungsrisiken und Versicherungsprämien.
Was kostet eine IEC-62443-Zertifizierung für ein KMU?
Die Kosten variieren stark, liegen aber typischerweise zwischen 20.000 und 50.000 Euro für die Erstzertifizierung, abhängig von Umfang und Komplexität der Anlage. Hinzu kommen jährliche Überwachungsaudits.
Wie lange dauert der Zertifizierungsprozess?
Der gesamte Prozess von der Gap-Analyse bis zur Ausstellung des Zertifikats dauert in der Regel zwischen sechs und zwölf Monaten, bei gut vorbereiteten Unternehmen auch schneller.
Gibt es staatliche Förderung für die Zertifizierung?
Ja, der BDI hat ein Förderprogramm für KMU zur Erstzertifizierung angekündigt. Zudem fördert das Bundeswirtschaftsministerium über das Programm „go-digital“ Beratungsleistungen zur Vorbereitung.
Die Zertifizierungslücke im Mittelstand bleibt damit die entscheidende Stellschraube für die flächendeckende Cybersicherheit.
Weitere Artikel
Felix Braun ist Senior Reporter bei Blickindex.de und berichtet über aktuelle Nachrichten und Eilmeldungen aus ganz Deutschland.