NIST SP 800-82 erklärt: Modernisierung der OT-Sicherheit mit PKI

Was ist NIST SP 800-82?

NIST SP 800-82, Revision 3, mit dem Titel „Leitfaden zur Sicherheit der Betriebstechnologie (OT)“, ist die wichtigste Richtlinie des NIST zur Absicherung industrieller Steuerungssysteme, von SCADA-Systemen, verteilten Steuerungssystemen und der übergeordneten Kategorie der OT. Dazu gehören auch Gebäudeautomations- und physische Zugangskontrollsysteme. Diese dritte Überarbeitung von SP 800-82 erweiterte den Anwendungsbereich über klassische ICS hinaus auf die gesamte Bandbreite vernetzter Betriebstechnik und spiegelt damit die tiefere Integration zwischen IT- und OT-Netzwerken wider, die für die moderne Fertigung und kritische Infrastruktur charakteristisch ist.

In der Praxis wendet der Leitfaden die Kontrollfamilien aus NIST SP 800-53 auf OT-Umgebungen an, wobei Anhang F eine OT-spezifische Ergänzung enthält, die den Anwendern aufzeigt, welche Kontrollmaßnahmen unverändert gelten, welche aufgrund industrieller Einschränkungen angepasst werden müssen und welche nicht anwendbar sind. Für Organisationen, die für die Sicherheit der Betriebstechnologie verantwortlich sind, ist SP 800-82 die maßgebliche Referenz, insbesondere für US-Bundesbehörden, Anbieter von Bundes-Systemen und Betreiber kritischer Infrastrukturen.

Die Produktfamilien „System- und Kommunikationsschutz“ (SC) sowie „Identifizierung und Authentifizierung“ (IA) umfassen die direkten kryptografischen Aufgaben: die Verschlüsselung von Daten, die Authentifizierung von Geräten und Benutzern sowie die Etablierung formeller Verfahren zur Schlüsselverwaltung, die für Umgebungen geeignet sind, die oft 15 bis 25 Jahre lang in Betrieb sind.

Wer muss die Anforderungen der SP 800-82 erfüllen?

SP 800-82 gilt für eine Reihe von Organisationen im gesamten OT-Ökosystem:

• Bundesbehörden, die im Rahmen des FISMA und des NIST-Risikomanagement-Rahmenwerks OT/ICS betreiben oder beschaffen
• Betreiber kritischer Infrastrukturen in den Bereichen Energie, Wasser, verarbeitende Industrie und Verkehr
• Anbieter und Integratoren von OT/ICS-Lösungen, die SPSen, DCS-, SCADA-Komponenten und Engineering-Workstations für Umgebungen liefern, die sich auf SP 800-82 beziehen

Der Standard stammt zwar vom NIST, seine Tragweite reicht jedoch weit über den Bundesbereich hinaus. In Beschaffungsrahmenwerken für kritische Infrastrukturen und verteidigungsnahe Lieferketten wird die Übereinstimmung mit SP 800-82 zunehmend als Voraussetzung genannt.

Die SC- und IA-Steuerungsfamilien in einfachen Worten

Wie oben erwähnt, behandelt SP 800-82 das Thema Kryptografie in erster Linie anhand von zwei Kontrollfamilien: „System- und Kommunikationsschutz“ (SC) sowie „Identifizierung und Authentifizierung“ (IA). Diese sind speziell auf die älteren Geräte der OT und deren Verfügbarkeitsbeschränkungen zugeschnitten.

Der Bereich „System- und Kommunikationsschutz“ (SC) umfasst:

• SC-8 und SC-28: Vertraulichkeit der Übertragung und Schutz von gespeicherten Informationen. Dies bedeutet die Verschlüsselung der OT-Kommunikation sowie der Historien- und Konfigurationsdatenspeicher mithilfe von zentral verwalteten, zertifikatsgestützten Schlüsseln.
• SC-12 und SC-13: Einrichtung, Verwaltung und Verwendung kryptografischer Schlüssel unter Verwendung zugelassener Algorithmen. Dies umfasst formale Verfahren zur Schlüsselerzeugung, -verteilung, -speicherung und -vernichtung über den gesamten Lebenszyklus der OT-Schlüssel hinweg.
• SC-8(1) und SC-23: Übertragungsintegrität und Sitzungsauthentizität. Dies entspricht der Nachrichtenauthentifizierung und gegenseitig authentifizierten Sitzungen (TLS/DTLS), um den OT-Protokollverkehr vor Injektions- und Replay-Angriffen zu schützen.

Identifizierung und Authentifizierung (IA) umfasst:

• IA-2, IA-3 und IA-5: Identifizierung und Authentifizierung von Benutzern innerhalb der Organisation, Geräten sowie Verwaltung von Authentifikatoren. Dies bedeutet eine zertifikatsbasierte Authentifizierung für OT-Geräte, Engineering-Workstations und Bediener.

Zu den relevanten Abschnitten in SP 800-82r3 gehört Anhang F, der das OT-Overlay enthält, eine teilweise Anpassung von SP 800-53r5 für OT-Systeme mit geringer, mittlerer und hoher Auswirkungsstufe. Darin werden die kryptografischen Anforderungen angepasst, die zu den Kontrollfamilien „System- und Kommunikationsschutz“ sowie „Identifizierung und Authentifizierung“ gehören.

Warum SP 800-82 auch über Bundesbehörden hinaus von Bedeutung ist

SP 800-82 ist der wichtigste NIST-Leitfaden, der von Bundesbehörden zur Absicherung von OT-Umgebungen herangezogen wird, und dient als wichtige Referenz bei der Umsetzung der NIST-RMF-Anforderungen. Sein Einfluss reicht jedoch weit über den Bundesbereich hinaus.

Betreiber kritischer Infrastrukturen, Branchenaufsichtsbehörden und Cyberversicherer nutzen SP 800-82 häufig als Maßstab bei Cybersicherheitsbewertungen, um den Reifegrad der OT-Sicherheit zu beurteilen. In Beschaffungsrahmenwerken für kritische Infrastrukturen und verteidigungsnahe Lieferketten wird die Übereinstimmung mit SP 800-82 zunehmend als Voraussetzung genannt. Der Standard dient häufig als technische Grundlage für den Nachweis der Einhaltung neuerer regulatorischer Verpflichtungen, wie beispielsweise branchenspezifischer Vorschriften für kritische Infrastrukturen.

Die Vorlage eines dokumentierten OT-Overlays ist eine direkte Voraussetzung für die Vertragsberechtigung und trägt dazu bei, Reibungsverluste bei Audits zu verringern.

NIST SP 800-82 ordnet nun über die Bereiche „System- und Kommunikationsschutz“ sowie „Identifizierung und Authentifizierung“ spezifische kryptografische Kontrollmaßnahmen den OT-Umgebungen zu, und von den Herstellern wird zunehmend erwartet, dass sie den kryptografischen Lebenszyklus von Altgeräten verwalten, die ursprünglich nicht für Patches, geschweige denn für eine Schlüsselneugenerierung konzipiert wurden.

Zuordnung von SP 800-82 zu kryptografischen Kontrollmaßnahmen und PKI

Im Folgenden wird dargestellt, wie die wichtigsten Kontrollbereiche der SP 800-82 auf kryptografische Implementierungen abgebildet werden:

Der rote Faden ist klar: PKI und Zertifikatsverwaltung spielen eine zentrale Rolle bei der Erfüllung der kryptografischen Anforderungen von SP 800-82.

Umgang mit älteren und bereits im Einsatz befindlichen OT-Geräten

Eine der größten Herausforderungen bei der Einhaltung der SP 800-82-Vorgaben besteht darin, dass die meisten Geräte in der Fertigung nie dafür ausgelegt wurden, ihre Identität nachzuweisen oder zu überprüfen, von wem eine „ command “ gesendet wurde. Industrielle Steuerungssysteme und eingebettete Geräte sind in der Regel 15 bis 25 Jahre oder länger im Einsatz. Vielen dieser Altsysteme fehlt die native Unterstützung für PKI oder starke Authentifizierung.

Genau diese Lücke zu schließen, ist das, was SP 800-82 von Organisationen verlangt. Bei Geräten, die PKI oder starke Authentifizierung nicht nativ unterstützen, schreibt der Standard vor, dass Organisationen Ausgleichsmaßnahmen ermitteln und dokumentieren müssen.

Diese Gegebenheit stellt besondere Anforderungen an die Organisation:

• Dokumentation zu Ausgleichsmaßnahmen: Bei Geräten, die keine moderne Kryptografie unterstützen, ist zu dokumentieren, welche alternativen Schutzmaßnahmen vorhanden sind
• Zentrale Schlüsselverwaltung: Verwalten Sie zertifikatsgestütztes Schlüsselmaterial zentral statt geräteweise, um die Komplexität zu reduzieren
• Kryptografie-Bestandsaufnahme: Erfassen Sie die kryptografischen Fähigkeiten sowie den aktuellen Zertifikats- oder Schlüsselstatus jedes OT-Geräts
• Ersatz von Anmeldedaten: Ersetzen Sie statische oder gemeinsam genutzte Anmeldedaten, wie sie in bestehenden ICS-Systemen häufig vorkommen, nach Möglichkeit durch eine zertifikatsbasierte Authentifizierung.

Unternehmen, die nachweisen können, dass sich Engineering-Arbeitsplätze, externe Anbieter und SPSen mit echten, widerrufbaren kryptografischen Zugangsdaten anstelle von gemeinsam genutzten Passwörtern authentifizieren, sind in Bezug auf die Einhaltung von Vorschriften deutlich besser aufgestellt.

Vorbereitung auf das Audit mit einem dokumentierten OT-Overlay

Bei den SP 800-82-Prüfungen – unabhängig davon, ob sie selbst durchgeführt, von einem zuständigen Bundesbeamten vorgenommen oder von einem Kunden oder Versicherer überprüft werden – liegt der Schwerpunkt auf Nachweisen dafür, dass OT-spezifische Kontrollen tatsächlich umgesetzt und nicht nur dokumentiert werden.

Wichtige Bereiche, die die Prüfer untersuchen und hinterfragen, um Ihnen bei der Beurteilung Ihrer Prüfungsbereitschaft zu helfen:

• OT-Bestandsaufnahme und kryptografische Bestandsaufnahme: Hat die Organisation alle OT-Geräte, deren kryptografische Funktionen sowie den aktuellen Status der Zertifikate und Schlüssel erfasst?
• Zuordnung der Kontroll-Overlays: Hat die Organisation dokumentiert, welche SP 800-53-Kontrollen (SC und IA) gemäß Anhang F unverändert gelten, mit Anpassungen gelten oder nicht anwendbar sind?
• Ausgleichsmaßnahmen für ältere Geräte: Wurden für Geräte, die PKI oder starke Authentifizierung nicht nativ unterstützen, Ausgleichsmaßnahmen ermittelt und dokumentiert?
• Zertifikatsverwaltung für den Fernzugriff: Werden bei Fernwartungs- und Anbieter-Sitzungen eindeutige, widerrufbare digitale Zertifikate anstelle gemeinsamer Anmeldedaten verwendet?
• Überprüfung der Firmware-Signatur: Kann die Organisation nachweisen, dass Firmware-Updates kryptografisch signiert sind und dass die Überprüfung vor der Bereitstellung durchgeführt wird?
• Dokumentation des Schlüssellebenszyklus: Sind die Verfahren zur Schlüsselerzeugung, -rotation und -sperrung dokumentiert und werden sie bei allen ICS-Anbietern und -Integratoren einheitlich angewendet?

Ein dokumentiertes, überprüfbares Programm sorgt dafür, dass Kunden aus dem Bundesbereich, Branchenaufsichtsbehörden und Versicherer auch nach dem nächsten Vorfall zufrieden sind.

Wie Keyfactor helfen Keyfactor

Keyfactor stellt die PKI- und Zertifikatsverwaltungsinfrastruktur bereit, um die kryptografischen Anforderungen von SP 800-82 zu erfüllen:

Ganz gleich, ob Sie sich auf Ihre erste SP 800-82-Prüfung vorbereiten oder ein bestehendes OT-Sicherheitsprogramm optimieren möchten – „ Keyfactor “ hilft Ihnen dabei, einen Überblick über Ihre kryptografischen Ressourcen zu gewinnen, den Lebenszyklus von Zertifikaten zu automatisieren und die für die Compliance erforderlichen, auditfähigen Unterlagen zu erstellen.

Demo anfordern

Haben Sie Fragen zu NIST SP 800-82? Wir haben die Antworten.

What is NIST SP 800-82?
NIST SP 800-82 is NIST’s flagship guidance for securing operational technology, including industrial control systems, SCADA, distributed control systems, and building automation. Revision 3 applies NIST SP 800-53 control families to OT environments with an OT-specific overlay that specifies which controls apply, which need modification, and which do not apply.

Who needs to follow NIST SP 800-82?
The standard applies to federal agencies operating OT under FISMA, critical infrastructure operators in sectors like energy, water, and manufacturing, and OT/ICS vendors and integrators supplying equipment into environments that reference SP 800-82. Cyber insurers and sector regulators also use it as a benchmark.

What are the main control families relevant to cryptography?
The System and Communications Protection (SC) family covers encryption, key management, and communications integrity. The Identification and Authentication (IA) family covers device and user authentication. Together, these families carry the direct cryptographic obligations in SP 800-82.

How does SP 800-82 handle legacy OT devices?
For devices that cannot natively support PKI or strong authentication, SP 800-82 requires organizations to identify and document compensating controls. Auditors will ask for evidence of these compensating controls during assessments.

What evidence do auditors look for in SP 800-82 assessments?
Auditors probe for OT asset and cryptographic inventory, control overlay mapping documentation, legacy device compensating controls, remote access certificate management, firmware signing verification, and key lifecycle documentation.

How does PKI support SP 800-82 compliance?
PKI provides the foundation for device authentication, data encryption, firmware signing, and secure remote access. Certificate-based authentication replaces the static or shared credentials common in brownfield ICS environments, which is a core requirement of SP 800-82.

Is SP 800-82 mandatory outside the federal sector?
While not legally mandatory for private organizations, SP 800-82 is increasingly referenced in procurement frameworks, cyber insurance requirements, and sector-specific regulations. Demonstrating alignment can be a contract prerequisite and reduces audit friction.

How long do OT systems typically operate, and why does that matter?
Industrial control systems and embedded devices routinely run for 15 to 25 years or more. Cryptographic choices made today must remain secure for the entire life of those assets, which makes planning for certificate management and post-quantum readiness critical.