IEC 62443 认证与符合性

证书的适用范围

阅读证书时，先确认认证方案、标准部分及版本、所评估的产品或过程，以及适用范围和限制。方案版本、产品或系统版本、能力或成熟度等级、证书持有人和签发机构，也决定证书能够支持哪些结论。

• 安全开发或服务提供方能力的过程范围；
• 软件应用、嵌入式设备、主机设备或网络设备的组件范围；
• 控制系统产品、参考布局和安全区域的系统范围；
• 资产所有者评价或场站评估的运行中 IACS 范围；
• CRA 的法规符合性范围，须依据该法规，以及欧盟官方公报引用的协调标准、共同规范或符合条件的欧盟网络安全认证方案确定。

ISASecure 方案区分不同评估对象

ISASecure 是 ISA 拥有的认证方案，用于评估自动化和控制系统是否满足相关 IEC 62443 要求。其公开方案分别针对产品、系统、开发过程和 IACS，认证结论各有适用范围。

IECEE 证书及报告的评估范围

IEC 的 2019 年 7 月至 2020 年 6 月活动报告第 9.3.1 节，将 IECEE 工业网络安全认证描述为工业自动化领域网络安全测试和认证路径。报告区分了对申请人安全能力的评估，以及对这些能力在具体产品、自动化解决方案或 IACS 中实际应用的评估。可通过 IECEE 公开数据库查询证书，具体评估对象和范围以证书及其报告为准。仅看到 IEC 62443 的标准名称，还不能判断评估针对的是产品、系统还是过程。

CRA 符合性推定是法律机制

CRA 符合性推定取决于 Regulation (EU) 2024/2847。含数字元素的产品或制造商过程，只有在适用机制覆盖的基本网络安全要求范围内，才可能获得符合性推定。这些机制包括引用已在欧盟官方公报发布的适用协调标准，以及 CRA 规定的共同规范或符合条件的欧洲网络安全认证方案。

采用 IEC 62443、取得 ISASecure 认证或 IECEE 证书，并不等于满足上述法律机制。CEN-CENELEC 2025 年 9 月 9 日的网络研讨会资料介绍了以 EN IEC 62443 为基础制定 CRA 协调标准的工作，包括 EN IEC 62443-4-1:2018 和 EN IEC 62443-4-2:2019 的 A11 修订。就这条协调标准路径而言，在相关引用发布且产品属于其适用范围之前，既有 IEC 62443 评估资料只能作为支持材料，不能单独产生 CRA 符合性推定。

证书读取应避免扩大声明

证书能够支持其实际评估范围内的结论。用于其他角色、产品版本、部署或法律要求时，需要另外说明这些评估结果为什么仍然适用。

• 不要把 SDLA 视为特定组件满足 IEC 62443-4-2 技术要求的证明。
• 不要把 CSA 视为已部署系统具有正确区域、通道、SL-T 或运行程序的证明。
• 不要把 SSA 视为资产所有者运行中 IACS 安全计划满足 IEC 62443-2-1 的证明。
• 不要把 2-4 服务提供方证书视为该提供方供应的产品具有组件能力等级的证明。
• 不得在未明确第 27 条适用机制、所覆盖的附件 I 要求以及产品或过程范围时，将 IEC 62443 证书当作 CRA 符合性推定。协调标准路径还要求标准引用已在欧盟官方公报发布；共同规范和欧洲网络安全认证则适用第 27 条各自规定的条件。