Certyfikacja i zgodność według IEC 62443

Sytance · Zaktualizowano 6 października 2026

Certyfikat IEC 62443 dotyczy procesu, komponentu, systemu lub usługi określonych w jego zakresie. Nie obejmuje automatycznie innych produktów ani instalacji, a sama certyfikacja nie ustanawia domniemania zgodności z CRA.

Zakres certyfikatu

Aby zrozumieć certyfikat, sprawdź system certyfikacji, część i wydanie normy, oceniany produkt lub proces oraz określone ograniczenia. Zakres oceny definiują również wersja systemu certyfikacji, wersja produktu lub systemu, poziom możliwości lub dojrzałości, posiadacz certyfikatu i jednostka certyfikująca.

zakres procesu w odniesieniu do bezpiecznego rozwoju lub możliwości dostawcy usług;
zakres komponentu w odniesieniu do aplikacji programowych, urządzeń wbudowanych, urządzeń hosta lub urządzeń sieciowych;
zakres systemu w odniesieniu do produktu będącego systemem sterowania, jego układu referencyjnego i stref bezpieczeństwa;
zakres działającego IACS w odniesieniu do oceny właściciela zasobów lub oceny zakładu;
zakres prawny CRA, zależny od rozporządzenia i norm zharmonizowanych przywołanych w Dzienniku Urzędowym, wspólnych specyfikacji lub kwalifikujących się europejskich systemów certyfikacji cyberbezpieczeństwa.

Granice systemu ISASecure

ISASecure to należący do ISA system certyfikacji dotyczący twierdzeń związanych z normami IEC 62443 dla automatyki i systemów sterowania. Publiczne strony systemu rozdzielają oceny produktów, systemów, procesów rozwoju i IACS.

SDLA

Certyfikacja Security Development Lifecycle Assurance dotyczy udokumentowanego procesu rozwoju produktów systemów sterowania u dostawcy i jest powiązana z IEC 62443-4-1.

CSA i wcześniejszy system EDSA

Component Security Assurance dotyczy produktów będących komponentami. Opiera się na IEC 62443-4-2 oraz dowodach praktyk rozwoju dostawcy zgodnych z IEC 62443-4-1.

SSA

System Security Assurance dotyczy produktu będącego systemem sterowania, jego stref, układów i deklarowanych możliwości w ramach IEC 62443-3-3.

ACSSA

Automation and Control System Security Assurance ocenia eksploatowany lub gotowy do eksploatacji system IACS wraz z powiązanymi politykami i procedurami właściciela zasobów.

Granice certyfikatu IECEE

Sprawozdanie IEC z działalności za okres od lipca 2019 r. do czerwca 2020 r., sekcja 9.3.1, opisuje certyfikację IECEE w zakresie cyberbezpieczeństwa przemysłowego jako ścieżkę testowania i certyfikacji cyberbezpieczeństwa w sektorze automatyki przemysłowej. Rozróżnia ocenę możliwości wnioskodawcy w zakresie bezpieczeństwa od oceny ich zastosowania w konkretnym produkcie, rozwiązaniu automatyki lub systemie IACS. Publiczna baza IECEE może pomóc w odnalezieniu certyfikatu. Certyfikat i raport określają przedmiot oceny; samo odwołanie do IEC 62443 nie rozstrzyga, czy oceniano produkt, system czy proces.

System i norma

Odczytaj certyfikat w odniesieniu do wskazanej części i wydania IEC 62443, programu, raportu z testów i jednostki certyfikującej.

Przedmiot oceny

Sprawdź, czy certyfikat dotyczy produktu, komponentu, systemu, procesu, zdolności usługowej czy eksploatowanego IACS.

Domniemanie zgodności z CRA jest mechanizmem prawnym

Domniemanie zgodności z CRA zależy od rozporządzenia (UE) 2024/2847. Produkt z elementami cyfrowymi lub proces producenta może korzystać z domniemania tylko w odniesieniu do zasadniczych wymogów cyberbezpieczeństwa objętych właściwą normą zharmonizowaną, której odniesienie opublikowano w Dzienniku Urzędowym, albo innym mechanizmem CRA, takim jak wspólne specyfikacje lub kwalifikujący się europejski system certyfikacji cyberbezpieczeństwa.

Jest to inny mechanizm prawny niż zwykłe zastosowanie IEC 62443, certyfikacja ISASecure lub certyfikat IECEE. Materiały z webinarium CEN-CENELEC z 9 września 2025 r. opisują prace nad dostosowaniem materiałów EN IEC 62443 do norm zharmonizowanych uwzględniających CRA, w tym prace A11 dla EN IEC 62443-4-1:2018 i EN IEC 62443-4-2:2019. Na tej ścieżce norm zharmonizowanych, zanim opublikuje się odpowiednie odniesienie i produkt znajdzie się w zakresie normy, istniejące dowody IEC 62443 są dowodami pomocniczymi, a nie samodzielnym domniemaniem zgodności z CRA.

Opisywanie certyfikatów bez nadmiernych twierdzeń

Certyfikat wspiera wnioski dotyczące pracy, która rzeczywiście została oceniona. Zastosowanie go do innej roli, wersji produktu, wdrożenia lub wymogu prawnego wymaga odrębnego uzasadnienia, dlaczego dowody nadal mają znaczenie.

Nie traktuj SDLA jako dowodu, że określony komponent spełnia wymagania techniczne IEC 62443-4-2.
Nie traktuj CSA jako dowodu, że wdrożony system ma właściwe strefy, kanały komunikacyjne, SL-T lub procedury operacyjne.
Nie traktuj SSA jako dowodu, że program bezpieczeństwa eksploatowanego IACS właściciela zasobów spełnia IEC 62443-2-1.
Nie traktuj certyfikatu dostawcy usług na podstawie 2-4 jako dowodu, że dostarczony przez niego produkt ma określony poziom możliwości komponentu.
Nie traktuj certyfikatu IEC 62443 jako domniemania zgodności z CRA bez wskazania właściwego mechanizmu z art. 27, objętych wymagań załącznika I oraz zakresu produktu lub procesu. Ścieżka norm zharmonizowanych wymaga również publikacji odniesienia do normy w Dzienniku Urzędowym; wspólne specyfikacje i europejska certyfikacja cyberbezpieczeństwa podlegają własnym warunkom art. 27.

Dokładny opis certyfikatu

Twierdzenie powinno wskazywać system, część, wydanie, przedmiot oceny, wersję, poziom, ograniczenia zakresu i rolę, którą certyfikat wspiera.