Certificação e conformidade ao abrigo da IEC 62443

Sytance · Atualizado 6 de outubro de 2026

Um certificado IEC 62443 aplica-se ao processo, componente, sistema ou serviço identificado no respetivo âmbito. Não abrange automaticamente outros produtos ou instalações, e a certificação, por si só, não estabelece uma presunção de conformidade com o CRA.

Âmbito do certificado

Para compreender um certificado, verifique o respetivo regime de certificação, a parte e a edição da norma, o produto ou processo avaliado e as limitações indicadas. A versão do regime, a versão do produto ou sistema, o nível de capacidade ou maturidade, o titular do certificado e a entidade emissora definem adicionalmente o que foi avaliado.

âmbito do processo para desenvolvimento seguro ou capacidades do prestador de serviços;
âmbito dos componentes para aplicações de software, dispositivos incorporados, dispositivos anfitriões ou dispositivos de rede;
âmbito do sistema para um produto de sistema de controlo, uma disposição de referência e zonas de segurança;
âmbito de um IACS em funcionamento para uma avaliação do proprietário do ativo ou da instalação;
âmbito jurídico para o CRA, que depende do Regulamento e de normas harmonizadas citadas no Jornal Oficial, especificações comuns ou regimes de certificação de cibersegurança da UE elegíveis.

Limites dos regimes ISASecure

A ISASecure é um regime de certificação da ISA para declarações relacionadas com IEC 62443 sobre sistemas de automação e controlo. As páginas públicas do regime distinguem declarações de avaliação de produtos, sistemas, processos de desenvolvimento e IACS.

SDLA

A Security Development Lifecycle Assurance aplica-se ao processo de ciclo de vida de desenvolvimento documentado pelo fornecedor para produtos de sistemas de controlo e é mapeada para a IEC 62443-4-1.

CSA e antiga EDSA

A Component Security Assurance aplica-se a produtos componentes e utiliza a IEC 62443-4-2, juntamente com evidências das práticas de desenvolvimento do fornecedor segundo a IEC 62443-4-1.

SSA

A System Security Assurance aplica-se a um produto de sistema de controlo e às respetivas zonas, disposições e declarações de capacidade segundo a IEC 62443-3-3.

ACSSA

A Automation and Control System Security Assurance avalia um IACS em funcionamento ou pronto para operar, em conjunto com as políticas e os procedimentos conexos do proprietário do ativo.

Limites dos certificados IECEE

O relatório de atividades da IEC de julho de 2019 a junho de 2020, secção 9.3.1, descreve a certificação IECEE de cibersegurança industrial como uma via para testar e certificar a cibersegurança no setor da automação industrial. Distingue a avaliação das capacidades de segurança de um requerente da avaliação da sua aplicação a um produto, solução de automação ou IACS específico. A base de dados pública da IECEE pode ajudar a localizar um certificado. O certificado e o respetivo relatório especificam o que foi avaliado; uma referência à IEC 62443, por si só, não demonstra se a avaliação abrangeu um produto, um sistema ou um processo.

Regime e norma

Leia o certificado tendo em conta a parte e a edição indicadas da IEC 62443, o programa, o relatório de ensaio e o organismo de certificação.

Objeto da avaliação

Confirme se o certificado diz respeito a um produto, componente, sistema, processo, capacidade de serviço ou IACS em funcionamento.

A presunção do CRA é um mecanismo jurídico

A presunção de conformidade com o CRA depende do Regulamento (UE) 2024/2847. Um produto com elementos digitais ou um processo do fabricante só pode beneficiar da presunção para os requisitos essenciais de cibersegurança abrangidos por uma norma harmonizada aplicável cuja referência tenha sido publicada no Jornal Oficial, ou por outro mecanismo do CRA, como especificações comuns ou um regime europeu de certificação de cibersegurança elegível.

Este mecanismo jurídico é diferente da utilização normal da IEC 62443, da certificação ISASecure ou de um certificado IECEE. O material do webinar CEN-CENELEC de 9 de setembro de 2025 descreve trabalhos para adaptar material EN IEC 62443 a normas harmonizadas relacionadas com o CRA, incluindo trabalhos A11 para a EN IEC 62443-4-1:2018 e a EN IEC 62443-4-2:2019. Nesta via das normas harmonizadas, enquanto a referência pertinente não for publicada e o produto não estiver abrangido pelo respetivo âmbito, as evidências IEC 62443 existentes são evidências de apoio, não uma presunção do CRA por si só.

Leitura de certificados sem extrapolações

Um certificado sustenta conclusões sobre o trabalho efetivamente avaliado. A sua aplicação a outra função, versão de produto, implementação ou requisito jurídico exige uma explicação separada sobre a pertinência das evidências.

Não trate a SDLA como prova de que um componente específico cumpre os requisitos técnicos da IEC 62443-4-2.
Não trate a CSA como prova de que um sistema instalado tem as zonas, os conduítes, o SL-T ou os procedimentos operacionais adequados.
Não trate a SSA como prova de que o programa de segurança do IACS em funcionamento do proprietário do ativo cumpre a IEC 62443-2-1.
Não trate um certificado de prestador de serviços segundo a 2-4 como prova de que o produto fornecido por esse prestador tem um nível de capacidade de componente.
Não trate um certificado IEC 62443 como presunção do CRA sem identificar o mecanismo aplicável do artigo 27.º, os requisitos do anexo I abrangidos e o âmbito do produto ou processo. A via da norma harmonizada também exige a publicação da referência da norma no Jornal Oficial; as especificações comuns e a certificação europeia de cibersegurança têm as suas próprias condições ao abrigo do artigo 27.º.

Descrição precisa de um certificado

A declaração deve indicar o regime, a parte, a edição, o objeto da avaliação, a versão, o nível, os limites do âmbito e a função que sustenta.