Certificación y conformidad conforme a IEC 62443

Ámbito del certificado

Para comprender un certificado, compruebe el esquema de certificación, la parte y edición de la norma, el producto o proceso evaluado y las limitaciones declaradas. La versión del esquema, la versión del producto o sistema, el nivel de capacidad o madurez, el titular del certificado y el organismo emisor delimitan además lo que se evaluó.

• ámbito de proceso para el desarrollo seguro o la capacidad del proveedor de servicios;
• ámbito de componente para aplicaciones de software, dispositivos integrados, dispositivos anfitriones o dispositivos de red;
• ámbito de sistema para un producto de sistema de control, una disposición de referencia y zonas de seguridad;
• ámbito de un IACS en funcionamiento para la evaluación del propietario de los activos o la evaluación de una instalación;
• ámbito jurídico para el CRA, que depende del Reglamento y de las normas armonizadas citadas en el DOUE, las especificaciones comunes o los esquemas europeos de certificación de ciberseguridad admisibles.

Límites de los esquemas ISASecure

ISASecure es un esquema de certificación propiedad de ISA para declaraciones relacionadas con IEC 62443 sobre sistemas de automatización y control. Sus páginas públicas separan las declaraciones relativas a productos, sistemas, procesos de desarrollo y evaluaciones de IACS.

Límites de los certificados IECEE

El informe de actividades de IEC de julio de 2019 a junio de 2020, sección 9.3.1, describe la certificación de ciberseguridad industrial de IECEE como una vía para probar y certificar la ciberseguridad en el sector de la automatización industrial. Distingue la evaluación de las capacidades de seguridad de un solicitante de la evaluación de su aplicación a un producto, solución de automatización o IACS concretos. La base de datos pública de IECEE puede ayudar a localizar un certificado. El certificado y su informe especifican qué se evaluó; una referencia a IEC 62443 por sí sola no permite determinar si la evaluación abarcó un producto, sistema o proceso.

La presunción del CRA es un mecanismo jurídico

La presunción de conformidad con el CRA depende del Reglamento (UE) 2024/2847. Un producto con elementos digitales o un proceso del fabricante solo puede beneficiarse de dicha presunción respecto de los requisitos esenciales de ciberseguridad cubiertos por una norma armonizada aplicable cuya referencia se haya publicado en el Diario Oficial, o por otro mecanismo del CRA, como las especificaciones comunes o un esquema europeo de certificación de ciberseguridad admisible.

Se trata de un mecanismo jurídico distinto del uso habitual de IEC 62443, de la certificación ISASecure o de un certificado IECEE. El material del seminario web de CEN-CENELEC del 9 de septiembre de 2025 describe los trabajos para adaptar el material EN IEC 62443 a normas armonizadas vinculadas al CRA, incluidos los trabajos A11 para EN IEC 62443-4-1:2018 y EN IEC 62443-4-2:2019. En esa vía de normas armonizadas, hasta que se publique la referencia pertinente y el producto entre dentro de su ámbito, las pruebas existentes de IEC 62443 sirven de apoyo, pero por sí solas no generan la presunción del CRA.

Interpretar los certificados sin atribuirles más alcance

Un certificado respalda conclusiones sobre el trabajo que realmente se evaluó. Aplicarlo a otra función, versión del producto, implantación o requisito jurídico exige explicar por separado por qué las pruebas siguen siendo pertinentes.

• No considere la SDLA como prueba de que un componente concreto cumple los requisitos técnicos de IEC 62443-4-2.
• No considere la CSA como prueba de que un sistema implantado tenga las zonas, los conductos, el SL-T o los procedimientos operativos adecuados.
• No considere la SSA como prueba de que el programa de seguridad del IACS en funcionamiento del propietario de los activos cumple IEC 62443-2-1.
• No considere un certificado de proveedor de servicios según 2-4 como prueba de que el producto suministrado por dicho proveedor tenga un nivel de capacidad de componente.
• No considere un certificado IEC 62443 como una presunción del CRA sin identificar el mecanismo aplicable del artículo 27, los requisitos del anexo I cubiertos y el ámbito del producto o proceso. La vía de normas armonizadas también exige que la referencia de la norma se publique en el Diario Oficial; las especificaciones comunes y la certificación europea de ciberseguridad tienen sus propias condiciones en el artículo 27.