IEC 62443 인증과 적합성

인증서의 범위

인증서를 이해하려면 인증 제도, 표준 파트와 판, 평가 대상 제품 또는 프로세스, 명시된 제한 사항을 확인해야 합니다. 제도 버전, 제품 또는 시스템 버전, 역량 또는 성숙도 수준, 인증서 보유자 및 발급 기관도 평가 대상을 구체적으로 정합니다.

• 보안 개발 또는 서비스 제공업체 역량에 대한 프로세스 범위;
• 소프트웨어 애플리케이션, 내장 장치, 호스트 장치 또는 네트워크 장치에 대한 구성요소 범위;
• 제어 시스템 제품, 참조 구성 및 보안 존에 대한 시스템 범위;
• 자산 소유자 평가 또는 사업장 평가를 위한 운영 IACS 범위;
• CRA에 대한 법적 범위. 이는 규정과 유럽연합 관보에 인용된 조화 표준, 공통 사양 또는 적격한 EU 사이버보안 인증 제도에 따라 결정됩니다.

ISASecure 제도의 경계

ISASecure는 IEC 62443 관련 자동화 및 제어 시스템 주장을 위한 ISA 소유 인증 제도입니다. 공개된 제도 페이지는 제품, 시스템, 개발 프로세스 및 IACS 평가 주장을 구분합니다.

IECEE 인증서의 경계

IEC의 2019년 7월~2020년 6월 활동 보고서 제9.3.1절은 IECEE 산업 사이버보안 인증을 산업 자동화 분야의 사이버보안을 시험하고 인증하는 경로로 설명합니다. 이 보고서는 신청자의 보안 역량 평가와 특정 제품, 자동화 솔루션 또는 IACS에 그 역량을 적용한 결과의 평가를 구분합니다. 공개 IECEE 데이터베이스에서 인증서를 찾을 수 있습니다. 무엇을 평가했는지는 인증서와 보고서에 명시됩니다. IEC 62443만을 참조했다고 해서 평가 대상이 제품, 시스템 또는 프로세스 중 무엇인지 알 수 있는 것은 아닙니다.

CRA 적합성 추정은 법적 제도입니다.

CRA 적합성 추정은 규정 (EU) 2024/2847에 따라 결정됩니다. 디지털 요소 제품 또는 제조업체의 프로세스는 적용 가능한 조화 표준의 참조 정보가 유럽연합 관보에 게재된 경우 그 표준이 다루는 필수 사이버보안 요구사항에 대해서만 적합성 추정을 받을 수 있습니다. 공통 사양이나 적격한 유럽 사이버보안 인증 제도와 같은 다른 CRA 제도도 이용할 수 있습니다.

이는 일반적인 IEC 62443 활용, ISASecure 인증 또는 IECEE 인증서와 다른 법적 제도입니다. CEN-CENELEC의 2025년 9월 9일 웨비나 자료는 EN IEC 62443 자료를 CRA에 맞는 조화 표준으로 조정하기 위한 작업을 설명하며, EN IEC 62443-4-1:2018 및 EN IEC 62443-4-2:2019의 A11 작업을 포함합니다. 이 조화 표준 경로에서는 관련 참조 정보가 게재되고 제품이 그 범위에 포함되기 전까지 기존 IEC 62443 증거는 뒷받침 자료일 뿐, 그 자체로 CRA 적합성 추정을 제공하지 않습니다.

과도한 주장 없이 인증서 읽기

인증서는 실제로 평가한 작업에 관한 결론을 뒷받침합니다. 이를 다른 역할, 제품 버전, 배포 환경 또는 법적 요구사항에 적용하려면 증거가 여전히 관련 있는 이유를 별도로 설명해야 합니다.

• SDLA를 특정 구성요소가 IEC 62443-4-2의 기술 요구사항을 충족한다는 증거로 취급하지 마세요.
• CSA를 배포된 시스템이 적절한 존, 컨듀잇, SL-T 또는 운영 절차를 갖췄다는 증거로 취급하지 마세요.
• SSA를 자산 소유자의 운영 IACS 보안 프로그램이 IEC 62443-2-1을 충족한다는 증거로 취급하지 마세요.
• 2-4 서비스 제공업체 인증서를 해당 업체가 공급한 제품이 구성요소 역량 수준을 갖췄다는 증거로 취급하지 마세요.
• 적용되는 제27조 제도, 포함된 부속서 I 요구사항, 제품 또는 프로세스 범위를 밝히지 않은 채 IEC 62443 인증서를 CRA 적합성 추정으로 취급하지 마세요. 조화 표준 경로에서는 해당 표준의 참조 정보가 유럽연합 관보에 게재되어야 합니다. 공통 사양과 유럽 사이버보안 인증에는 각각 제27조에 따른 별도의 조건이 적용됩니다.