GS-IFA-M25 – Grundsätze für die Prüfung und Zertifizierung des Schutzes vor Korrumpierung

GS-IFA-M25 nimmt die einzelnen Anforderungen aus Anhang III, Abschnitt 1.1.9 „Schutz gegen Korrumpierung“ auf und ordnet ihnen entsprechende Prüfkriterien zu. 

Schutz vor gefährlichen Zuständen durch Anschlüsse und Fernzugriff (Absatz 1) 

Die Maschinenverordnung verlangt, dass der Anschluss einer anderen Einrichtung an die Maschine – unabhängig davon, ob dieser physisch oder aus der Ferne erfolgt – nicht zu einer gefährlichen Situation führen darf. 

Die Kriterien T23 und T24 aus GS-IFA-M25 verlangen hierzu die Dokumentation und Identifizierung der internen und externen physischen sowie logischen Schnittstellen. Dazu können beispielsweise WLAN-, USB- und Cloud-Verbindungen oder Bussysteme gehören. 

Im Rahmen der Prüfung wird betrachtet, ob diese Schnittstellen angemessen geschützt sind und verhindert wird, dass über einen solchen Anschluss eine gefährliche Situation entstehen kann. 

Schutz von Hardware-Schnittstellen und vor physischer Manipulation (Absatz 2) 

Auch Hardware-Komponenten, die für den Anschluss oder den Zugang zu Software relevant sind, müssen angemessen gegen unbeabsichtigte oder vorsätzliche Korrumpierung geschützt sein. 

GS-IFA-M25 fordert dazu unter anderem den Nachweis von Schutzmaßnahmen an physischen Schnittstellen (T31). Darüber hinaus wird bewertet, ob physische Eingriffe – beispielsweise durch Siegel oder Gehäuseschlösser – zuverlässig erkannt werden können (T32). 

Wird auf einen digitalen Nachweis solcher Eingriffe verzichtet, muss dies entsprechend begründet werden (T34). 

Schutz von Software und kritischen Konfigurationsdaten (Absatz 3) 

Ein zentraler Punkt der Anforderungen ist der Schutz von Software und Daten, die für die Übereinstimmung der Maschine mit den grundlegenden Sicherheits- und Gesundheitsschutzanforderungen von Bedeutung sind. 

GS-IFA-M25 betrachtet hierzu im Rahmen einer Bedrohungsanalyse (Threat Assessment) unter anderem den Schutz von Embedded Software (SRESW), Anwendungssoftware (SRASW) sowie sicherheitsrelevanten Konfigurationsdaten. 

Auch die eingesetzten kryptographischen Verfahren werden betrachtet: Die Kriterien T48 und T49 prüfen beispielsweise, ob die verwendeten kryptographischen Algorithmen dem aktuellen Stand der Technik entsprechen. Als Referenz wird unter anderem die BSI TR-02102-1 herangezogen. 

Kenntlichmachung der installierten Software (Absatz 4) 

Die Maschinenverordnung fordert außerdem, dass die für den sicheren Betrieb erforderliche installierte Software identifizierbar sein muss. 

GS-IFA-M25 konkretisiert diese Anforderung mit Kriterium T46: Das Produkt muss die installierte Softwareversion und Konfiguration auf Anfrage in verständlicher Form bereitstellen können. Dies kann entweder direkt über das Produkt oder mithilfe eines externen Tools erfolgen. 

Automatische Protokollierung von Eingriffen (1.1.9, Absatz 5 sowie 1.2.1, Absatz 2, Buchstabe f) 

Ausführlich behandelt GS-IFA-M25 auch die Nachvollziehbarkeit von Eingriffen und Änderungen. Die Kriterien T31 bis T45 befassen sich unter anderem mit der Protokollierung von Software-Updates, Parameteränderungen und Änderungen an Konfigurationen. 

Dabei wird beispielsweise gefordert, dass 

• die Protokollierung automatisch und ohne Benutzermitwirkung erfolgt (T35), 
• die Protokollierung vor unbefugter Deaktivierung geschützt ist (T36), 
• die gespeicherten Protokolldaten vor Manipulation geschützt werden (T42) und 
• das Rückverfolgungsprotokoll für einen Zeitraum von mindestens fünf Jahren gespeichert wird (T39). 

Die Prüfkriterien zeigen damit konkret, welche technischen und organisatorischen Aspekte bei der Bewertung der entsprechenden Anforderungen der Maschinenverordnung berücksichtigt werden.

Neben dem unmittelbaren Bezug zur Maschinenverordnung besteht eine enge Verbindung zur prEN 50742:2025. Die Prüfgrundsätze GS-IFA-M25 wurden parallel zur Entstehung dieses europäischen Normenentwurfs entwickelt und greifen wesentliche Konzepte und Methoden daraus auf. 

GS-IFA-M25 orientiert sich bei den sicherheits- und cybersicherheitsrelevanten Begriffen an der prEN 50742. Dadurch besteht eine gemeinsame Terminologie für die Bewertung des Schutzes sicherheitsrelevanter Maschinenfunktionen vor Korrumpierung. 

Zwei mögliche Vorgehensweisen: Approach A und Approach B 

Die prEN 50742 sieht zwei unterschiedliche Wege zur Umsetzung der Anforderungen vor: Approach A beschreibt ein Vorgehen ohne direkten Bezug zur Normenreihe EN IEC 62443. Approach B ermöglicht dagegen eine Vorgehensweise unter Einbeziehung der EN IEC 62443. 

GS-IFA-M25 übernimmt diese Struktur. Bereits bei den einzureichenden Unterlagen sowie im Prüfkriterium T05 ist daher relevant, welcher der beiden Ansätze für die Maschine bzw. das Produkt gewählt wurde. 

Threat Assessment als Ausgangspunkt 

Ein wesentliches Element ist die Bedrohungsanalyse (Threat Assessment). GS-IFA-M25 setzt eine entsprechende Analyse zum Schutz vor Korrumpierung nach prEN 50742 voraus. Mit Kriterium T09 wird geprüft, ob dieses Threat Assessment durchgeführt und entsprechend dokumentiert wurde. 

Safety-Related Security Levels: SRSL0 bis SRSL3 

Ein weiteres wesentliches Konzept der prEN 50742 sind die Safety-Related Security Levels (SRSL). Die vier Stufen SRSL0 bis SRSL3 dienen dazu, das erforderliche Schutzniveau für sicherheitsrelevante Funktionen abhängig von Faktoren wie möglicher Schadensschwere und Angriffspotenzial (Attack Potential) zu bestimmen. GS-IFA-M25 greift diese Methodik insbesondere in den Kriterien T52 bis T60 auf. 

Geprüft wird beispielsweise, 

• ob für jede sicherheitsrelevante Funktion ein SRSL bestimmt und dokumentiert wurde (T52), 
• ob die Ermittlung des SRSL auf den entsprechenden Tabellen und Berechnungsmodellen der prEN 50742 basiert und 
• ob mindestens die für das jeweilige SRSL vorgesehenen technischen Anforderungen umgesetzt wurden (T60). 

Dazu können beispielsweise Anforderungen an Benutzer und Rollen, Integritätsprüfungen beim Bootvorgang oder die Validierung von Eingabedaten gehören.