IEC 62443-certificering en conformiteit

Sytance · Bijgewerkt 6 oktober 2026

Een IEC 62443-certificaat geldt voor het proces, de component, het systeem of de service die binnen de reikwijdte ervan valt. Het certificaat dekt niet automatisch andere producten of installaties, en certificering alleen leidt niet tot een vermoeden van conformiteit onder de CRA.

Reikwijdte van het certificaat

Controleer voor een goed begrip van een certificaat de certificeringsregeling, het normdeel en de editie, het beoordeelde product of proces en de vermelde beperkingen. Ook de versie van de regeling, de product- of systeemversie, het capaciteits- of volwassenheidsniveau, de certificaathouder en de certificerende instantie bepalen nader wat is beoordeeld.

procesbereik voor beveiligde ontwikkeling of de capaciteit van een serviceprovider;
componentbereik voor softwaretoepassingen, ingebedde apparaten, hostapparaten of netwerkapparaten;
systeembereik voor een besturingssysteemproduct, referentielay-out en beveiligingszones;
bereik van een operationeel IACS voor een beoordeling van een asset-eigenaar of een locatiebeoordeling;
juridisch bereik voor de CRA, dat afhangt van de verordening en in het Publicatieblad vermelde geharmoniseerde normen, gemeenschappelijke specificaties of geschikte EU-regelingen voor cyberbeveiligingscertificering.

Reikwijdte van de ISASecure-regeling

ISASecure is een certificeringsregeling van ISA voor claims over automatiserings- en controlesystemen die verband houden met IEC 62443. De openbare pagina's van de regeling maken onderscheid tussen claims voor producten, systemen, ontwikkelprocessen en IACS-beoordelingen.

SDLA

Security Development Lifecycle Assurance geldt voor het gedocumenteerde ontwikkelcyclusproces van de leverancier voor producten voor besturingssystemen en sluit aan op IEC 62443-4-1.

CSA en het voormalige EDSA

Component Security Assurance geldt voor componentproducten en gebruikt IEC 62443-4-2 samen met bewijs van de ontwikkelpraktijk van de leverancier volgens IEC 62443-4-1.

SSA

System Security Assurance geldt voor een besturingssysteemproduct en de zones, lay-outs en capaciteitsclaims daarvan volgens IEC 62443-3-3.

ACSSA

Automation and Control System Security Assurance beoordeelt een operationeel of bedrijfsbereid IACS samen met het bijbehorende beleid en de procedures van de asset-eigenaar.

Reikwijdte van IECEE-certificaten

Het activiteitenverslag van IEC over juli 2019–juni 2020, sectie 9.3.1, beschrijft IECEE-certificering van industriële cyberbeveiliging als een route voor het testen en certificeren van cyberbeveiliging in de sector industriële automatisering. Het maakt onderscheid tussen de beoordeling van beveiligingscapaciteiten van een aanvrager en de beoordeling van de toepassing daarvan op een specifiek product, een automatiseringsoplossing of een IACS. De openbare IECEE-database kan helpen een certificaat te vinden. Het certificaat en het rapport ervan geven aan wat is beoordeeld; alleen verwijzen naar IEC 62443 maakt niet duidelijk of de beoordeling betrekking had op een product, systeem of proces.

Regeling en norm

Lees het certificaat aan de hand van het vermelde IEC 62443-deel en de editie, het programma, het testrapport en de certificerende instantie.

Beoordelingsobject

Controleer of het certificaat betrekking heeft op een product, component, systeem, proces, servicecapaciteit of operationeel IACS.

Het CRA-vermoeden is een juridisch mechanisme

Het vermoeden van conformiteit onder de CRA hangt af van Verordening (EU) 2024/2847. Een product met digitale elementen of een proces van de fabrikant kan alleen een vermoeden krijgen voor essentiële cyberbeveiligingseisen die worden gedekt door een toepasselijke geharmoniseerde norm waarvan de referentie in het Publicatieblad is bekendgemaakt, of via een ander CRA-mechanisme zoals gemeenschappelijke specificaties of een geschikte Europese regeling voor cyberbeveiligingscertificering.

Dit is een ander juridisch mechanisme dan het gewone gebruik van IEC 62443, ISASecure-certificering of een IECEE-certificaat. Het webinarmateriaal van CEN-CENELEC van 9 september 2025 beschrijft werkzaamheden om EN IEC 62443-materiaal aan te passen tot op de CRA gerichte geharmoniseerde normen, waaronder A11-werk voor EN IEC 62443-4-1:2018 en EN IEC 62443-4-2:2019. Zolang de relevante verwijzing niet is bekendgemaakt en het product niet binnen het toepassingsgebied valt, is het bestaande IEC 62443-bewijs bij die route met geharmoniseerde normen ondersteunend bewijs en leidt het op zichzelf niet tot een CRA-vermoeden.

Certificaten lezen zonder te veel te claimen

Een certificaat ondersteunt conclusies over het werk dat daadwerkelijk is beoordeeld. Als het wordt toegepast op een andere rol, productversie, implementatie of wettelijke eis, is een afzonderlijke toelichting nodig waarom het bewijs nog relevant is.

Behandel SDLA niet als bewijs dat een specifieke component voldoet aan de technische componentvereisten van IEC 62443-4-2.
Behandel CSA niet als bewijs dat een geïmplementeerd systeem de juiste zones, conduits, SL-T of operationele procedures heeft.
Behandel SSA niet als bewijs dat het beveiligingsprogramma voor het operationele IACS van de asset-eigenaar voldoet aan IEC 62443-2-1.
Behandel een 2-4-certificaat voor een serviceprovider niet als bewijs dat het door die provider geleverde product een capaciteitsniveau voor componenten heeft.
Behandel een IEC 62443-certificaat niet als vermoeden onder de CRA zonder het toepasselijke mechanisme van artikel 27, de gedekte eisen van bijlage I en het product- of procesbereik te benoemen. Voor de route met geharmoniseerde normen moet de verwijzing naar de norm ook in het Publicatieblad zijn bekendgemaakt; voor gemeenschappelijke specificaties en Europese cyberbeveiligingscertificering gelden eigen voorwaarden van artikel 27.

Een certificaat nauwkeurig beschrijven

De claim moet de regeling, het deel, de editie, het beoordelingsobject, de versie, het niveau, de beperkingen van de reikwijdte en de rol die ermee wordt ondersteund benoemen.