IEC 62443の認証と適合性評価

認証範囲

認証書を理解するには、認証スキーム、規格のパートと版、評価対象の製品またはプロセス、記載された制限を確認してください。スキームのバージョン、製品またはシステムのバージョン、能力または成熟度レベル、認証取得者、発行機関によって、評価対象の範囲がさらに定まります。

• 安全な開発またはサービスプロバイダーの能力に関するプロセスの範囲。
• ソフトウェアアプリケーション、組み込みデバイス、ホストデバイス、ネットワークデバイスに関するコンポーネントの範囲。
• 制御システム製品、参照構成、セキュリティゾーンに関するシステムの範囲。
• 資産所有者の評価または施設評価に関する運用中のIACSの範囲。
• CRAに関する法的範囲。これは規則および官報に引用された整合規格、共通仕様、適格なEUサイバーセキュリティ認証スキームによって決まります。

ISASecureスキームの境界

ISASecureは、産業オートメーションおよび制御システムに関するIEC 62443の主張を対象とする、ISA所有の認証スキームです。公開スキームのページでは、製品、システム、開発プロセス、IACSの評価に関する主張を区別しています。

IECEE認証書の境界

IECの2019年7月～2020年6月活動報告書第9.3.1節では、IECEEの産業サイバーセキュリティ認証を、産業オートメーション分野でサイバーセキュリティを試験・認証するルートとして説明しています。申請者のセキュリティ能力の評価と、その能力を特定の製品、オートメーションソリューション、またはIACSに適用する評価を区別しています。公開IECEEデータベースは認証書の検索に役立ちます。評価対象は認証書と報告書に記載されます。IEC 62443への言及だけでは、製品、システム、プロセスのいずれが評価対象だったかは判断できません。

CRAの適合性推定は法的な仕組み

CRA上の適合性の推定は、規則 (EU) 2024/2847に基づきます。デジタル要素を備えた製品またはメーカーのプロセスが適合性の推定を受けられるのは、適用可能な整合規格（その参照先が官報に公示されているもの）が対象とする必須サイバーセキュリティ要件、または共通仕様や適格な欧州サイバーセキュリティ認証スキームなどの他のCRA上の仕組みに限られます。

これは、通常のIEC 62443の利用、ISASecure認証、IECEE認証とは別の法的仕組みです。2025年9月9日のCEN-CENELECウェビナー資料では、EN IEC 62443-4-1:2018およびEN IEC 62443-4-2:2019のA11作業を含め、EN IEC 62443の資料をCRA向けの整合規格に適合させる作業について説明しています。この整合規格ルートでは、該当する参照先が公示され、製品がその適用範囲内になるまでは、既存のIEC 62443の証拠は補足的な証拠であり、それだけでCRA上の適合性の推定が生じるわけではありません。

過大な主張を避けた認証書の読み方

認証書が裏付けるのは、実際に評価した作業に関する結論です。別の役割、製品バージョン、導入環境、法的要件に適用する場合は、その証拠が引き続き関連する理由を別途説明する必要があります。

• SDLAを、特定のコンポーネントがIEC 62443-4-2の技術要件を満たす証明として扱わないでください。
• CSAを、導入済みシステムに適切なゾーン、コンジット、SL-T、運用手順がある証明として扱わないでください。
• SSAを、資産所有者の運用中IACSセキュリティプログラムがIEC 62443-2-1を満たす証明として扱わないでください。
• 2-4のサービスプロバイダー認証書を、そのプロバイダーが供給する製品のコンポーネント能力レベルを証明するものとして扱わないでください。
• 適用される第27条の仕組み、対象となる附属書Iの要件、製品またはプロセスの範囲を特定せずに、IEC 62443認証書をCRA上の適合性の推定として扱わないでください。整合規格ルートには規格参照先の官報公示も必要です。共通仕様と欧州サイバーセキュリティ認証には、それぞれ独自の第27条の条件が適用されます。