Zertifizierung und Konformität nach IEC 62443

Sytance · Aktualisiert 6. Oktober 2026

Ein IEC-62443-Zertifikat gilt für den Prozess, die Komponente, das System oder den Dienst, der in seinem Geltungsbereich genannt ist. Es deckt nicht automatisch andere Produkte oder Installationen ab; die Zertifizierung allein begründet auch keine Konformitätsvermutung nach der CRA.

Geltungsbereich des Zertifikats

Um ein Zertifikat zu verstehen, prüfen Sie das Zertifizierungsprogramm, den Teil und die Ausgabe der Norm, das bewertete Produkt oder den bewerteten Prozess sowie angegebene Einschränkungen. Die Programmversion, Produkt- oder Systemversion, das Fähigkeits- oder Reifegradniveau, der Zertifikatsinhaber und die ausstellende Stelle bestimmen zusätzlich, was bewertet wurde.

Prozessumfang für sichere Entwicklung oder die Fähigkeit eines Dienstleisters;
Komponentenumfang für Softwareanwendungen, eingebettete Geräte, Hostgeräte oder Netzwerkgeräte;
Systemumfang für ein Steuerungssystemprodukt, ein Referenzlayout und Sicherheitszonen;
Umfang eines betriebenen IACS für die Bewertung eines Anlagenbetreibers oder eine Standortbewertung;
Rechtlicher Umfang für die CRA, der von der Verordnung und von im Amtsblatt veröffentlichten harmonisierten Normen, gemeinsamen Spezifikationen oder zulässigen EU-Cybersicherheitszertifizierungssystemen abhängt.

Abgrenzung des ISASecure-Programms

ISASecure ist ein von der ISA getragenes Zertifizierungsprogramm für Ansprüche zur Automatisierung und zu Steuerungssystemen im Zusammenhang mit IEC 62443. Die öffentlichen Programmseiten unterscheiden zwischen Ansprüchen zu Produkten, Systemen, Entwicklungsprozessen und IACS-Bewertungen.

SDLA

Security Development Lifecycle Assurance gilt für den dokumentierten Entwicklungslebenszyklus des Anbieters für Steuerungssystemprodukte und ist IEC 62443-4-1 zugeordnet.

CSA und das frühere EDSA

Component Security Assurance gilt für Komponentenprodukte und verwendet IEC 62443-4-2 zusammen mit Nachweisen zur Entwicklungspraxis des Anbieters nach IEC 62443-4-1.

SSA

System Security Assurance gilt für ein Steuerungssystemprodukt sowie seine Zonen, Layouts und Fähigkeitsansprüche nach IEC 62443-3-3.

ACSSA

Automation and Control System Security Assurance bewertet ein betriebenes oder betriebsbereites IACS zusammen mit den zugehörigen Richtlinien und Verfahren des Anlagenbetreibers.

Abgrenzung von IECEE-Zertifikaten

Der Tätigkeitsbericht der IEC für Juli 2019 bis Juni 2020, Abschnitt 9.3.1, beschreibt die IECEE-Zertifizierung industrieller Cybersicherheit als Weg zur Prüfung und Zertifizierung von Cybersicherheit im Bereich der industriellen Automatisierung. Er unterscheidet zwischen der Bewertung der Sicherheitsfähigkeiten eines Antragstellers und der Bewertung ihrer Anwendung auf ein bestimmtes Produkt, eine Automatisierungslösung oder ein IACS. Die öffentliche IECEE-Datenbank kann bei der Suche nach einem Zertifikat helfen. Das Zertifikat und sein Bericht geben an, was bewertet wurde; ein bloßer Verweis auf IEC 62443 belegt nicht, ob sich die Bewertung auf ein Produkt, System oder einen Prozess bezog.

Programm und Norm

Prüfen Sie das Zertifikat anhand des aufgeführten IEC-62443-Teils, der Ausgabe, des Programms, des Prüfberichts und der Zertifizierungsstelle.

Bewertungsgegenstand

Stellen Sie fest, ob sich das Zertifikat auf ein Produkt, eine Komponente, ein System, einen Prozess, die Fähigkeit eines Dienstes oder ein betriebenes IACS bezieht.

Die Konformitätsvermutung der CRA ist ein Rechtsmechanismus

Die Konformitätsvermutung nach der CRA richtet sich nach der Verordnung (EU) 2024/2847. Ein Produkt mit digitalen Elementen oder ein Prozess des Herstellers kann eine Konformitätsvermutung nur für die grundlegenden Cybersicherheitsanforderungen erlangen, die von einer anwendbaren harmonisierten Norm abgedeckt werden, deren Fundstelle im Amtsblatt veröffentlicht wurde, oder über einen anderen CRA-Mechanismus wie gemeinsame Spezifikationen oder ein zulässiges europäisches Cybersicherheitszertifizierungssystem.

Das ist ein anderer Rechtsmechanismus als die gewöhnliche Anwendung von IEC 62443, eine ISASecure-Zertifizierung oder ein IECEE-Zertifikat. Die Webinarunterlagen von CEN-CENELEC vom 9. September 2025 beschreiben Arbeiten zur Anpassung von EN-IEC-62443-Material zu harmonisierten Normen für die CRA, darunter Arbeiten an A11 zu EN IEC 62443-4-1:2018 und EN IEC 62443-4-2:2019. Auf diesem Weg über harmonisierte Normen sind vorhandene IEC-62443-Nachweise unterstützende Nachweise und begründen für sich genommen keine Konformitätsvermutung nach der CRA, solange die einschlägige Fundstelle nicht veröffentlicht wurde und das Produkt nicht in den Anwendungsbereich fällt.

Zertifikate ohne Übertreibungen auslegen

Ein Zertifikat stützt Schlussfolgerungen zu den Arbeiten, die tatsächlich bewertet wurden. Seine Anwendung auf eine andere Rolle, Produktversion, Bereitstellung oder rechtliche Anforderung erfordert eine gesonderte Begründung, warum die Nachweise weiterhin relevant sind.

SDLA nicht als Nachweis dafür behandeln, dass eine bestimmte Komponente die technischen Anforderungen an Komponenten nach IEC 62443-4-2 erfüllt.
CSA nicht als Nachweis dafür behandeln, dass ein bereitgestelltes System über geeignete Zonen, Conduits, SL-T oder Betriebsverfahren verfügt.
SSA nicht als Nachweis dafür behandeln, dass das Sicherheitsprogramm für das betriebene IACS des Anlagenbetreibers IEC 62443-2-1 erfüllt.
Ein Zertifikat für einen Dienstleister nach 2-4 nicht als Nachweis dafür behandeln, dass das vom Dienstleister bereitgestellte Produkt ein Komponentenfähigkeitslevel aufweist.
Ein IEC-62443-Zertifikat nicht als Konformitätsvermutung nach der CRA behandeln, ohne den anwendbaren Mechanismus nach Artikel 27, die abgedeckten Anforderungen aus Anhang I und den Produkt- oder Prozessumfang zu benennen. Für den Weg über harmonisierte Normen muss die Normfundstelle zudem im Amtsblatt veröffentlicht sein; für gemeinsame Spezifikationen und europäische Cybersicherheitszertifizierungen gelten jeweils eigene Bedingungen nach Artikel 27.

Ein Zertifikat korrekt beschreiben

Der Anspruch sollte das Programm, den Teil, die Ausgabe, den Bewertungsgegenstand, die Version, das Niveau, Einschränkungen des Geltungsbereichs und die unterstützte Rolle benennen.