组件要求
IEC 62443-4-2:2019 是组件要求部分。它通过七个 foundational requirements，为 IACS 组件定义技术要求和组件安全能力等级。
组件边界限制能力声明
组件不是整个 IACS。组件声明应命名组件类型、产品版本、预期 IACS 用途、接口、假设、排除功能和所声明的 SL-C(component)。没有这个边界，同一产品可能看似支持比实际评估更宽的声明。
Embedded devices 包括控制器、PLC、驱动器、网关和为 IACS 使用而供应的专用工业设备。组件范围应命名产品版本、接口和预期安全能力。
Network devices 包括工业交换机、路由器、防火墙、网关和类似产品，用于承载或限制 IACS 通信。它们的组件证据不替代 conduit 设计。
Host devices 包括服务器、工作站、工业计算机和用于运行或支持 IACS 功能的类似平台。难点通常是主机、已安装软件和已配置系统之间的边界。
Software applications 包括工程工具、HMI 软件、历史数据库、控制应用和为 IACS 使用而供应的支持软件。产品供应商仍需要把 4-2 证据连接到该发布背后的安全开发生命周期。
基础要求组织组件要求
IEC 公开材料列出 IEC 62443-4-2 使用的七个 foundational requirements。它们是组织组件要求和能力等级的要求族，不应被当作七个泛化安全口号。
- identification and authentication control (IAC)；
- use control (UC)；
- system integrity (SI)；
- data confidentiality (DC)；
- restricted data flow (RDF)；
- timely response to events (TRE)；
- resource availability (RA)。
IAC 是 foundational requirement family，用于在授予访问前识别用户、软件进程、设备和其他主体。
UC 关注身份已知后的授权使用。它不同于识别，因为问题是已认证主体可以做什么。
SI 关注防止未授权变更、恶意代码，以及组件或控制系统功能完整性的丧失。
DC 关注保护信息不被未授权披露。它并不表示每一项 IACS 数据都具有相同保密性。
RDF 关注限制数据流和通信路径。在系统层面，它通常连接到 zones、conduits 和网络分段。
TRE 关注事件检测、报告和响应能力。它应结合组件实际监视和日志功能读取。
RA 关注保护组件或系统执行预期安全和控制功能所需的资源。
组件能力不等于系统目标或实效
IEC 表示 IEC 62443-4-2 关注 SL-C(component)，不是 SL-T 或 SL-A。这个区别很重要。组件可以有声明的能力等级，但已部署系统仍需要 system under consideration、zones、conduits、风险评估、运行程序，以及对实际配置的确认。
4-1 仍然相关
当供应商还能够证明产品是在 IEC 62443-4-1 生命周期下开发和维护时，组件证据更强。
系统位置仍未决定
系统设计方仍要决定组件放在哪个 zone、使用哪些 conduits，以及周围有哪些控制。
CEN-CENELEC CRA 材料描述了 EN IEC 62443-4-2:2019/A11:2026 的 CRA 对齐工作，包括适用性标准和评价工件。这项计划中的欧洲工作不应被压缩成“每个既有 4-2 证书都是 CRA 协调标准结果”的声明。