Ciberseguridad de las máquinas: preguntas frecuentes
Sytance · Actualizado
La maquinaria conectada plantea cuestiones sobre el software, la protección contra la corrupción y los cambios posteriores. Estas respuestas explican cuándo afectan a la seguridad de las máquinas y cómo las normas pueden respaldar la evaluación.
Requisitos jurídicos y normas
La fuente jurídica es el Reglamento (UE) 2023/1230. prEN 50742 e IEC 62443 pueden respaldar las pruebas, pero su función depende de la edición, el estado de publicación, el ámbito del certificado y de si se ha citado una referencia a una norma armonizada para el requisito jurídico pertinente.
Producto y ámbito de aplicación
La cuestión es si la conexión puede afectar a la seguridad de las máquinas. Una conexión es pertinente cuando la corrupción a través de ella puede afectar a una función de seguridad, una medida de protección, datos críticos o pruebas de intervención.
Sí, cuando el software realiza una función de seguridad o modifica una vía de control relacionada con la seguridad. El software utilizado únicamente para la administración empresarial queda fuera de la evaluación de seguridad de las máquinas, salvo que pueda afectar al funcionamiento seguro de la máquina.
Ciberseguridad y normas
La sección 1.1.9 del anexo III exige proteger frente a la corrupción que pueda afectar a la seguridad de las máquinas. El expediente debe mostrar cómo resiste el producto la corrupción de dispositivos conectados, software, datos, configuración y pruebas de intervención cuando pueda generar una situación peligrosa.
Un proyecto de norma constituye una aportación técnica útil, pero no debe presentarse como norma armonizada definitiva. Las declaraciones de presunción de conformidad requieren la norma definitiva, el requisito jurídico que cubre y la referencia pertinente en el Diario Oficial.
No por sí sola. IEC 62443 puede respaldar pruebas sobre el desarrollo seguro, los componentes, los servicios o los sistemas. El expediente de la maquinaria aún debe relacionar esas pruebas con el producto, el peligro, la función de seguridad y el requisito del anexo III.
Cambios y pruebas
No siempre. Debe revisarse el expediente cuando una actualización cambie una función de seguridad, un parámetro, una medida de protección, una interfaz, un registro o una prueba necesaria para demostrar la protección contra la corrupción.
Solo si la vía del incidente puede afectar a la seguridad de las máquinas. La vulneración de un sistema ERP, una red de oficina o un panel de informes no constituye una prueba de ciberseguridad de la maquinaria, salvo que pueda modificar o corromper la máquina, los datos de seguridad, la configuración o la vía de control.