Certificazione e conformità secondo la IEC 62443

Sytance · Aggiornato 6 ottobre 2026

Un certificato IEC 62443 si applica al processo, componente, sistema o servizio indicato nel relativo ambito. Il certificato non copre automaticamente altri prodotti o installazioni e la certificazione, da sola, non stabilisce una presunzione di conformità al CRA.

Ambito del certificato

Per comprendere un certificato, verificare il sistema di certificazione, la parte e l’edizione della norma, il prodotto o processo valutato e le limitazioni dichiarate. La versione del sistema, la versione del prodotto o del sistema, il livello di capacità o maturità, il titolare del certificato e l’organismo emittente definiscono ulteriormente ciò che è stato valutato.

ambito di processo per lo sviluppo sicuro o la capacità del fornitore di servizi;
ambito del componente per applicazioni software, dispositivi embedded, dispositivi host o dispositivi di rete;
ambito del sistema per un prodotto di sistema di controllo, una disposizione di riferimento e zone di sicurezza;
ambito di un IACS in esercizio per una valutazione del proprietario degli asset o del sito;
ambito giuridico del CRA, che dipende dal regolamento e dalle norme armonizzate citate nella GUUE, dalle specifiche comuni o dai sistemi europei di certificazione della cibersicurezza ammissibili.

Limiti dei sistemi ISASecure

ISASecure è un sistema di certificazione di proprietà di ISA per attestazioni relative ai sistemi di automazione e controllo riconducibili a IEC 62443. Le pagine pubbliche del sistema distinguono le attestazioni sui prodotti, sui sistemi, sui processi di sviluppo e sulle valutazioni degli IACS.

SDLA

Security Development Lifecycle Assurance si applica al processo documentato del ciclo di vita dello sviluppo del fornitore per i prodotti dei sistemi di controllo e corrisponde a IEC 62443-4-1.

CSA e la precedente EDSA

Component Security Assurance si applica ai prodotti componenti e utilizza IEC 62443-4-2 insieme alle evidenze delle pratiche di sviluppo del fornitore secondo IEC 62443-4-1.

SSA

System Security Assurance si applica a un prodotto di sistema di controllo e alle relative zone, disposizioni e attestazioni di capacità ai sensi di IEC 62443-3-3.

ACSSA

Automation and Control System Security Assurance valuta un IACS in esercizio o pronto per l’operatività insieme alle relative politiche e procedure del proprietario degli asset.

Limiti dei certificati IECEE

La relazione sulle attività IEC da luglio 2019 a giugno 2020, sezione 9.3.1, descrive la certificazione IECEE della cibersicurezza industriale come una procedura per verificare e certificare la cibersicurezza nel settore dell’automazione industriale. Distingue la valutazione delle capacità di sicurezza di un richiedente dalla valutazione della loro applicazione a uno specifico prodotto, soluzione di automazione o IACS. Il database pubblico IECEE può aiutare a individuare un certificato. Il certificato e la relativa relazione specificano ciò che è stato valutato; il solo riferimento a IEC 62443 non permette di stabilire se la valutazione riguardasse un prodotto, un sistema o un processo.

Sistema e norma

Esaminare il certificato alla luce della parte e dell’edizione IEC 62443, del programma, della relazione di prova e dell’organismo di certificazione indicati.

Oggetto della valutazione

Verificare se il certificato riguarda un prodotto, un componente, un sistema, un processo, la capacità di un servizio o un IACS in esercizio.

La presunzione del CRA è un meccanismo giuridico

La presunzione di conformità al CRA dipende dal regolamento (UE) 2024/2847. Un prodotto con elementi digitali o un processo del fabbricante può beneficiare della presunzione soltanto per i requisiti essenziali di cibersicurezza coperti da una norma armonizzata applicabile, il cui riferimento sia stato pubblicato nella Gazzetta ufficiale, oppure da un altro meccanismo del CRA, come le specifiche comuni o un sistema europeo di certificazione della cibersicurezza ammissibile.

Si tratta di un meccanismo giuridico diverso dall’uso ordinario di IEC 62443, dalla certificazione ISASecure o da un certificato IECEE. Il materiale del webinar CEN-CENELEC del 9 settembre 2025 descrive i lavori per adattare il materiale EN IEC 62443 alle norme armonizzate relative al CRA, compresi i lavori A11 per EN IEC 62443-4-1:2018 e EN IEC 62443-4-2:2019. Per la procedura basata sulle norme armonizzate, finché il riferimento pertinente non è pubblicato e il prodotto non rientra nel suo ambito, le evidenze IEC 62443 esistenti costituiscono prove di supporto e non generano, da sole, una presunzione del CRA.

Interpretare i certificati senza sovrastimarne la portata

Un certificato supporta conclusioni sul lavoro effettivamente valutato. Per applicarlo a un altro ruolo, versione del prodotto, impiego o requisito giuridico occorre spiegare separatamente perché le evidenze restano pertinenti.

Non considerare la SDLA come prova che uno specifico componente soddisfi i requisiti tecnici di IEC 62443-4-2.
Non considerare la CSA come prova che un sistema installato disponga delle zone, dei condotti, dell’SL-T o delle procedure operative corretti.
Non considerare la SSA come prova che il programma di sicurezza dell’IACS in esercizio del proprietario degli asset soddisfi IEC 62443-2-1.
Non considerare un certificato 2-4 per fornitori di servizi come prova che il prodotto fornito abbia un livello di capacità del componente.
Non considerare un certificato IEC 62443 come presunzione del CRA senza indicare il meccanismo applicabile dell’articolo 27, i requisiti dell’allegato I coperti e l’ambito del prodotto o processo. La procedura basata sulle norme armonizzate richiede anche la pubblicazione del riferimento della norma nella Gazzetta ufficiale; le specifiche comuni e la certificazione europea della cibersicurezza hanno condizioni proprie ai sensi dell’articolo 27.

Descrivere correttamente un certificato

L’attestazione dovrebbe indicare il sistema, la parte, l’edizione, l’oggetto della valutazione, la versione, il livello, i limiti dell’ambito e il ruolo a cui si riferisce.