Utiliser l’IEC 62443 pour la cybersécurité des machines
Sytance · Mis à jour
La série IEC 62443 peut contribuer aux éléments de preuve de cybersécurité des machines qui comportent des éléments de systèmes d’automatisation et de commande industriels. Elle ne remplace pas le règlement (UE) 2023/1230. Le dossier de la machine doit toujours montrer comment la protection contre la corruption prévient les situations dangereuses.
Les références à la prEN 50742 dans cet article renvoient au projet soumis à enquête de décembre 2025 : introduction, clause 4.1 et tableau 1, clause 6, ainsi que clauses 8.2 à 8.5 (tableaux 3 et 4). Il s’agit de dispositions à l’état de projet destinées à la planification technique, et non d’exigences d’une norme européenne publiée.
Champ d’application de l’IEC 62443
L’ISA décrit la série ISA/IEC 62443 comme un ensemble de normes pour mettre en œuvre et maintenir la sécurité électronique des systèmes d’automatisation et de commande industriels. Cette série est donc utile pour les systèmes de commande des machines, les composants industriels, les processus de développement sécurisé et les architectures de systèmes qui interagissent avec des commandes liées à la sécurité.
IEC 62443-3-2
Contribue à l’évaluation des risques de sécurité des IACS, au cloisonnement des systèmes, aux zones, aux conduits et aux niveaux de sécurité visés.
IEC 62443-3-3
Contribue aux exigences de sécurité et aux niveaux de sécurité d’un système d’automatisation et de commande industriel.
IEC 62443-4-1
Contribue aux éléments de preuve du cycle de vie de développement sécurisé des produits et systèmes utilisés dans les machines.
IEC 62443-4-2
Contribue aux exigences techniques de sécurité applicables aux composants IACS, tels que les dispositifs embarqués, les hôtes, les dispositifs réseau et les applications logicielles.
Approche B de la prEN 50742
Le projet de prEN 50742 prévoit l’approche B pour les machines développées dans le contexte des normes EN IEC 62443-3-3, EN IEC 62443-4-1 et EN IEC 62443-4-2. Dans cette correspondance prévue par le projet, les travaux relatifs à l’IEC 62443 contribuent au système de la machine, à ses composants et au processus de développement sécurisé.
Dans cette voie du projet de décembre 2025, la clause 6 exige l’EN IEC 62443-4-1:2018. Les clauses 8.2 et 8.3 exigent que les systèmes et composants des machines respectent les sous-ensembles indiqués des normes EN IEC 62443-3-3:2019 et EN IEC 62443-4-2:2019 pour leurs fonctions de sécurité (tableaux 3 et 4). La clause 8.4 exige que le logiciel et la configuration soient identifiables par une personne ; la clause 8.5 exige que les enregistrements d’audit pertinents soient conservés pendant au moins cinq ans.
Les éléments de preuve relatifs au système devraient préciser les limites du système de commande de la machine, les fonctions liées à la sécurité, les interfaces externes ainsi que les éventuelles zones ou conduits qui protègent la fonction de sécurité contre la corruption.
Les éléments de preuve relatifs aux composants devraient montrer quels composants IACS affectent les fonctions de sécurité et quelles exigences applicables aux composants ou mesures compensatoires étayent la conclusion relative à la sécurité de la machine.
Les éléments de preuve de développement sécurisé sont utiles lorsqu’ils sont liés aux logiciels et micrologiciels de la machine, au mécanisme de mise à jour, à la configuration et au traitement des vulnérabilités qui affectent la sécurité de fonctionnement.
Relier l’IEC 62443 à la sécurité des machines
Un certificat, un niveau de sécurité, une déclaration relative à un composant ou un programme de sécurité d’entreprise n’équivaut pas à la conformité à l’annexe III. Le dossier de la machine doit toujours identifier les logiciels, données, configurations, fonctions de commande, interfaces et situations dangereuses pertinents pour la sécurité.
Les dossiers IEC 62443 devraient montrer comment les mesures évaluées protègent les fonctions de sécurité de la machine. Une politique du site, un schéma du réseau de l’entreprise ou une fiche technique de composant ne suffit pas, à lui seul, à expliquer cette relation.
Correspondance utile
Une correspondance pratique entre l’IEC 62443 et les machines relie généralement quatre niveaux. Chacun doit rester traçable jusqu’à la protection contre la corruption et à l’exigence de sécurité qu’il étaye.
Architecture
Limites de la machine, zones, conduits, services externes, outils de maintenance et voies d’accès à distance.
Fonction de sécurité
L’arrêt, le mode, la limite, l’interverrouillage, l’état sûr ou la mesure de protection que la corruption pourrait affecter.
Composant
Contrôleur, dispositif embarqué, hôte, dispositif réseau, application logicielle ou composant de sécurité qui met en œuvre ou protège la fonction.
Éléments de preuve du cycle de vie
Développement sécurisé, traitement des vulnérabilités, maîtrise des mises à jour, identification des versions, maîtrise de la configuration et enregistrements des interventions.