IEC 62443 認證與符合性

證書的適用範圍

閲讀證書時，先確認認證方案、標準部分及版本、所評估的產品或過程，以及適用範圍和限制。方案版本、產品或系統版本、能力或成熟度等級、證書持有人和簽發機構，也決定證書能夠支持哪些結論。

• 安全開發或服務提供方能力的過程範圍；
• 軟件應用、嵌入式設備、主機設備或網絡設備的組件範圍；
• 控制系統產品、參考佈局和安全區域的系統範圍；
• 資產所有者評價或場站評估的運行中 IACS 範圍；
• CRA 的法規符合性範圍，須依據該法規，以及歐盟官方公報引用的協調標準、共同規範或符合條件的歐盟網絡安全認證方案確定。

ISASecure 方案區分不同評估對象

ISASecure 是 ISA 擁有的認證方案，用於評估自動化和控制系統是否滿足相關 IEC 62443 要求。其公開方案分別針對產品、系統、開發過程和 IACS，認證結論各有適用範圍。

IECEE 證書及報告的評估範圍

IEC 的 2019 年 7 月至 2020 年 6 月活動報告第 9.3.1 節，將 IECEE 工業網絡安全認證描述為工業自動化領域網絡安全測試和認證路徑。報告區分了對申請人安全能力的評估，以及對這些能力在具體產品、自動化解決方案或 IACS 中實際應用的評估。可通過 IECEE 公開數據庫查詢證書，具體評估對象和範圍以證書及其報告為準。僅看到 IEC 62443 的標準名稱，還不能判斷評估針對的是產品、系統還是過程。

CRA 符合性推定是法律機制

CRA 符合性推定取決於 Regulation (EU) 2024/2847。含數字元素的產品或製造商過程，只有在適用機制覆蓋的基本網絡安全要求範圍內，才可能獲得符合性推定。這些機制包括引用已在歐盟官方公報發佈的適用協調標準，以及 CRA 規定的共同規範或符合條件的歐洲網絡安全認證方案。

採用 IEC 62443、取得 ISASecure 認證或 IECEE 證書，並不等於滿足上述法律機制。CEN-CENELEC 2025 年 9 月 9 日的網絡研討會資料介紹了以 EN IEC 62443 為基礎制定 CRA 協調標準的工作，包括 EN IEC 62443-4-1:2018 和 EN IEC 62443-4-2:2019 的 A11 修訂。就這條協調標準路徑而言，在相關引用發佈且產品屬於其適用範圍之前，既有 IEC 62443 評估資料只能作為支持材料，不能單獨產生 CRA 符合性推定。

證書讀取應避免擴大聲明

證書能夠支持其實際評估範圍內的結論。用於其他角色、產品版本、部署或法律要求時，需要另外説明這些評估結果為什麼仍然適用。

• 不要把 SDLA 視為特定組件滿足 IEC 62443-4-2 技術要求的證明。
• 不要把 CSA 視為已部署系統具有正確區域、通道、SL-T 或運行程序的證明。
• 不要把 SSA 視為資產所有者運行中 IACS 安全計劃滿足 IEC 62443-2-1 的證明。
• 不要把 2-4 服務提供方證書視為該提供方供應的產品具有組件能力等級的證明。
• 不得在未明確第 27 條適用機制、所覆蓋的附件 I 要求以及產品或過程範圍時，將 IEC 62443 證書當作 CRA 符合性推定。協調標準路徑還要求標準引用已在歐盟官方公報發佈；共同規範和歐洲網絡安全認證則適用第 27 條各自規定的條件。