Cibersegurança das máquinas: perguntas frequentes
Sytance · Atualizado
As máquinas conectadas levantam questões sobre software, proteção contra corrupção e alterações posteriores. Estas respostas explicam quando esses aspetos afetam a segurança das máquinas e como as normas podem apoiar a avaliação.
Requisitos jurídicos e normas
A fonte jurídica é o Regulamento (UE) 2023/1230. A prEN 50742 e a IEC 62443 podem apoiar as evidências, mas o seu papel depende da edição, do estado da publicação, do âmbito do certificado e da existência de uma referência de norma harmonizada citada para o requisito jurídico pertinente.
Produto e âmbito
A questão é saber se a ligação pode afetar a segurança da máquina. Uma ligação é relevante quando a corrupção através dessa ligação pode afetar uma função de segurança, medida de proteção, dado crítico ou evidência de intervenção.
Sim, quando o software executa uma função de segurança ou altera um percurso de controlo relacionado com a segurança. O software utilizado apenas na administração empresarial não faz parte da avaliação da segurança da máquina, salvo se puder afetar o funcionamento seguro da máquina.
Cibersegurança e normas
A secção 1.1.9 do anexo III exige proteção contra corrupção que possa afetar a segurança das máquinas. O dossier deve demonstrar como o produto resiste à corrupção de dispositivos conectados, software, dados, configuração e evidências de intervenção quando essa corrupção puder criar uma situação perigosa.
Um projeto de norma é um contributo técnico útil, mas não deve ser descrito como norma harmonizada final. As alegações de presunção de conformidade exigem a norma final, o requisito jurídico que esta abrange e a referência pertinente no Jornal Oficial.
Não, por si só. A IEC 62443 pode sustentar evidências sobre desenvolvimento seguro, componentes, serviços ou sistemas. O dossier da máquina continua a ter de relacionar essas evidências com o produto, o perigo, a função de segurança e o requisito do anexo III.
Alterações e evidências
Nem sempre. O dossier deve ser revisto quando uma atualização altera uma função de segurança, um parâmetro, uma medida de proteção, uma interface, um registo ou uma evidência necessária para demonstrar a proteção contra corrupção.
Só se o percurso do incidente puder afetar a segurança da máquina. O comprometimento de um sistema ERP, da rede de escritório ou de um painel de relatórios não constitui evidência de cibersegurança da máquina, salvo se puder alterar ou corromper a máquina, os dados de segurança, a configuração ou o percurso de controlo.