IEC 62443 ja NIS2 – teollisuusverkkojen kyberturvallisuus

Miksi OT-tietoturva eroaa IT-tietoturvasta

Toimiston IT-ympäristössä luottamuksellisuus on usein etusijalla. Ohjausjärjestelmässä tärkeimpiä ovat käytettävyys ja turvallisuus: prosessi ei saa pysähtyä, eikä väärä henkilö saa avata venttiiliä. Laitteet ovat usein käytössä 15–30 vuotta, päivitykset vaativat suunniteltuja seisokkeja, eikä vanhemmissa protokollissa, kuten Modbusissa, ole tunnistautumista. Samaan aikaan yhä useampi kone liitetään verkkoon etähuoltoa varten.

Mikä on IEC 62443?

IEC 62443 on kansainvälinen standardisarja teollisuusautomaation ja ohjausjärjestelmien kyberturvallisuudelle. Se perustuu yhdysvaltalaisen ISA-järjestön työhön, minkä vuoksi näet joskus myös nimen ISA/IEC 62443.

Kolme roolia

Laitoksen omistaja (asset owner) omistaa ja käyttää laitosta ja vastaa riskeistä. Integraattori suunnittelee, rakentaa ja ylläpitää järjestelmää. Tuotetoimittaja kehittää komponentit, kuten kytkimet, reitittimet, logiikat ja ohjelmistot.

Turvatasot SL 1–4

• SL 1 – suojaus tahattomia virheitä ja satunnaisia rikkomuksia vastaan.
• SL 2 – suojaus tahallisia hyökkäyksiä vastaan, joissa käytetään yksinkertaisia keinoja ja yleistä osaamista.
• SL 3 – suojaus kehittyneitä hyökkäyksiä vastaan, joissa on kohtuulliset resurssit ja ohjausjärjestelmätuntemusta.
• SL 4 – suojaus kehittyneitä hyökkäyksiä vastaan, joissa on laajat resurssit ja vahva motivaatio.

Vyöhykkeet ja kanavat

Vyöhyke (zone) on ryhmä laitteita, joilla on samat tietoturvavaatimukset, esimerkiksi tuotantolinja tai sähköasema. Kanava (conduit) on vyöhykkeiden välinen valvottu tiedonsiirtoreitti, tyypillisesti palomuurin tai tietoturvareitittimen kautta. Ajatuksena on, ettei yhteen vyöhykkeeseen tunkeutunut hyökkääjä pääse leviämään vapaasti muualle laitokseen.

Mitä NIS2 vaatii – ja ketä se koskee?

NIS2 eli direktiivi (EU) 2022/2555 korvasi ensimmäisen NIS-direktiivin, ja EU:n jäsenvaltioiden piti saattaa se osaksi kansallista lainsäädäntöään lokakuuhun 2024 mennessä. Ruotsissa kyberturvallisuuslaki (2025:1506) on ollut voimassa 15. tammikuuta 2026 alkaen, ja sen piiriin kuuluvien organisaatioiden täytyy rekisteröityä Ruotsin siviilipuolustusvirastoon (MCF). Muut maat ovat eri vaiheissa, ja Isolla-Britannialla on omat sääntönsä.

Direktiivi koskee yleensä keskisuuria ja suuria organisaatioita, joilla on vähintään 50 työntekijää tai 10 miljoonan euron vuosiliikevaihto, nimetyillä toimialoilla. Niitä ovat muun muassa energia, liikenne, terveydenhuolto, vesihuolto ja digitaalinen infrastruktuuri, mutta myös lääkinnällisten laitteiden, elektroniikan, koneiden ja ajoneuvojen valmistus sekä elintarvikkeet ja kemikaalit. Osa toimijoista kuuluu piiriin koosta riippumatta.

• Riskienhallinta – toimenpiteet muun muassa poikkeamien käsittelyyn, toiminnan jatkuvuuteen, toimitusketjun turvallisuuteen, pääsynhallintaan ja salaukseen.
• Johdon vastuu – johdon täytyy saada koulutus tietoturvatoimenpiteistä, ja se vastaa niiden toteuttamisesta.
• Poikkeamista ilmoittaminen – varhainen varoitus 24 tunnin kuluessa, poikkeamailmoitus 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa.
• Seuraamukset – keskeisille toimijoille enintään 10 miljoonan euron tai 2 prosentin maailmanlaajuista vuosiliikevaihtoa vastaavat sakot.

Myös direktiivin ulkopuolelle jäävät yritykset joutuvat mukaan, koska sen piiriin kuuluvien asiakkaiden täytyy asettaa vaatimuksia toimittajilleen. Digitaalisia elementtejä sisältävien tuotteiden valmistajia koskee lisäksi EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA), asetus (EU) 2024/2847, jota sovelletaan kokonaisuudessaan joulukuusta 2027 alkaen.

Käytännön ensiaskeleet

1. Tee inventaario. Listaa laitteet, laiteohjelmistoversiot ja yhteydet. Et voi suojata sellaista, minkä olemassaolosta et tiedä.
2. Segmentoi. Jaa verkko vyöhykkeisiin hallittavien kytkinten VLANeilla ja sijoita niiden väliin palomuurit. Erota toimistoverkko OT-verkosta DMZ:n avulla.
3. Valvo liikennettä. Teolliset palomuurit ja tietoturvareitittimet, joissa on syväpakettitarkastus (DPI), ymmärtävät protokollia kuten Modbusia ja voivat estää luvattomat komennot.
4. Suojaa etäyhteydet. Ei avoimia portteja internetiin. Toimittajat muodostavat VPN-yhteyden hallitun pisteen kautta henkilökohtaisilla tunnuksilla ja kaksivaiheisella tunnistautumisella.
5. Päivitä ja kovenna. Suunnittele laiteohjelmistopäivitykset, vaihda oletussalasanat ja poista käytöstä tarpeettomat palvelut ja portit.
6. Kirjaa ja valvo. Kerää lokit keskitetysti ja hälytä poikkeamista, jotta tietoturvapoikkeamat havaitaan ajoissa.
7. Suunnittele palautuminen. Varmuuskopioi konfiguraatiot ja ohjelmat ja testaa, että palautus toimii.

Esimerkkejä eri toimialoilta

• Energia – tietoturvareitittimet sähköasemien ja valvomon välillä sekä palomuurit, jotka ymmärtävät IEC 61850:tä.
• Vesihuolto ja jätevesi – pumppaamoihin muodostetaan yhteys matkaviestinverkon ja VPN:n kautta avoimien porttien sijaan.
• Tehtaat ja koneenrakentajat – NAT-laitteet, jotka erottavat koneen verkon asiakkaan verkosta, ja VPN-reitittimet etähuoltoon.
• Rautatiet – tietoturvareitittimet ja palomuurilla suojatut yhdyskäytävät, jotka erottavat junan alijärjestelmät toisistaan.
• Sairaalat ja puolustus – lääkinnälliset laitteet omissa vyöhykkeissään ja tiukka erottelu eri turvallisuusluokan verkkojen välillä.

Mitä toimittajilta kannattaa vaatia?

• Standardin IEC 62443-4-2 mukaan sertifioituja tuotteita, joiden turvataso on ilmoitettu, esimerkiksi SL 2.
• Standardin IEC 62443-4-1 mukaista tuotekehitystä haavoittuvuuksien käsittely mukaan lukien.
• Selkeä ilmoitus siitä, kuinka kauan tietoturvapäivityksiä toimitetaan.
• Turvalliset oletusasetukset: ei yhteisiä oletussalasanoja, allekirjoitettu laiteohjelmisto ja suojattu käynnistys (secure boot). Mieluiten myös ohjelmiston osaluettelo (SBOM).
• Integraattoreilta ja palveluntarjoajilta: standardin IEC 62443-2-4 mukaiset toimintatavat.

Yleisiä virheitä

1. Litteä verkko. Yhdessä litteässä verkossa huoltokannettavan haittaohjelma voi päästä jokaiseen logiikkaan. Segmentointi on usein tehokkain yksittäinen toimenpide.
2. Ilmaväli, jota ei ole. USB-tikut, huoltokannettavat ja jonkun lisäämät 4G-modeemit rikkovat eristyksen. Kartoita kaikki sisäänpääsytiet.
3. Etäyhteydet sivupolkuina. Pikakorjauksena tehdyt porttiohjaukset ja etähallintatyökalut jäävät usein pysyviksi. Kokoa kaikki etäyhteydet yhteen hallittuun ratkaisuun.
4. Sertifikaatista tulee alibi. IEC 62443-4-2-sertifioitu komponentti ei tee järjestelmästä turvallista. Se riippuu siitä, miten vyöhykkeet, kanavat ja toimintatavat on suunniteltu.

Tietoturvalliset verkkotuotteet SCN:ltä

Toimitamme tietoturvareitittimiä, teollisia palomuureja, NAT-laitteita, VPN-reitittimiä ja hallittavia kytkimiä muun muassa Moxalta, Axiomtekiltä, INSYS icomilta, HMS Networksiltä ja Yaskawalta. Osa valikoiman tuotteista on sertifioitu standardin IEC 62443-4-2 mukaan, esimerkiksi Moxan NPort 6600-G2 -sarjaliikennepalvelin tasolle SL 2.

Esimerkkejä valikoimastamme

Usein kysytyt kysymykset

Onko IEC 62443 pakollinen?

Standardi itsessään on vapaaehtoinen, mutta sillä osoitetaan usein, että NIS2:n vaatimukset täyttyvät, ja yhä useampi asiakas edellyttää sitä hankinnoissa.

Mitä eroa on IEC 62443:lla ja ISO/IEC 27001:llä?

ISO/IEC 27001 kuvaa koko organisaation tietoturvallisuuden hallintajärjestelmän. IEC 62443 on kirjoitettu teollisuuden ohjausjärjestelmille, ja siinä on teknisiä vaatimuksia järjestelmille ja komponenteille. Moni käyttää molempia.

Koskeeko NIS2 yritystäni?

Se riippuu toimialasta ja koosta. Tarkista kansallinen lainsäädäntö ja valvontaviranomaisen ohjeet. Direktiivin ulkopuolelle jäävät yritykset saavat usein vaatimuksia asiakkailta, joita se koskee.

Mitä SL 2 tarkoittaa IEC 62443:ssa?

Turvataso 2 tarkoittaa suojausta tahallisia hyökkäyksiä vastaan, joissa käytetään yksinkertaisia keinoja ja yleistä osaamista. Se on yleinen taso sertifioiduissa teollisuuden verkkotuotteissa.