Che cos'è il certificato?

IEC 62443 è una famiglia di standard di sicurezza informatica per i sistemi di automazione e controllo industriale (IACS). Ha un ordine di priorità diverso rispetto alla sicurezza IT — nella tecnologia operativa, la disponibilità e la sicurezza dei processi vengono prima della riservatezza. Lo standard distribuisce la responsabilità su tre ruoli — proprietario dell'asset, integratore di sistema e fornitore del prodotto, con parti separate per ciascun ruolo. Al centro ci sono il modello di zona/condotto e il concetto di livello di sicurezza (SL 1-4).

A chi serve?

Produttori di sistemi di controllo industriale (PLC, DCS, SCADA)
Integratori di sistemi di automazione
Operatori di impianti energetici, idrici, chimici e produttivi
Operatori di infrastrutture critiche
Fornitori di soluzioni IoT industriale e di monitoraggio remoto

È obbligatorio?

La norma in sé generalmente non è obbligatoria. Tuttavia, le normative sulle infrastrutture critiche e sulla sicurezza della rete (ad esempio NIS2 nell'UE) impongono obblighi di sicurezza agli operatori e si fa riferimento alla norma IEC 62443 per soddisfare tali obblighi. La certificazione è basata sui ruoli: la valutazione viene effettuata secondo la norma IEC 62443-4-1/4-2 per un prodotto, 62443-2-4 per un integratore e 62443-2-1 per un proprietario di asset.

Campo di applicazione della norma

62443-2-1 — Proprietario del bene: il programma di sicurezza e il sistema di gestione IACS
62443-2-4 — Fornitore di servizi: requisiti del programma di sicurezza per gli integratori
62443-3-2 — Progettazione del sistema: valutazione del rischio, modellazione di zone/condutture, determinazione del livello di sicurezza target
62443-3-3 — Requisiti di sicurezza del sistema: i sette requisiti fondamentali (FR) e livelli di sicurezza
62443-4-1 — Ciclo di vita sicuro dello sviluppo del prodotto: modellazione delle minacce, progettazione e codifica sicure, test di vulnerabilità, gestione delle patch, fine del supporto
62443-4-2 — Requisiti di sicurezza dei componenti: requisiti tecnici per dispositivi integrati, dispositivi host, dispositivi di rete e applicazioni
Requisiti fondamentali (FR): controllo dell'identificazione e dell'autenticazione, controllo dell'uso, integrità del sistema, riservatezza dei dati, flusso di dati limitato, risposta tempestiva agli eventi, disponibilità delle risorse
Livelli di sicurezza: SL 1 (casuale/coincidente) — SL 4 (un aggressore mirato e dotato di risorse elevate)

Processo di certificazione

1Applicazione e descrizione del prodottoVengono determinati la famiglia di prodotti, l'elenco dei modelli, le specifiche tecniche e il mercato di riferimento. La norma applicabile e il percorso di certificazione diventano chiari in questa fase.
2Revisione del fascicolo tecnicoVengono esaminati i documenti di progettazione, la distinta base, i certificati dei componenti critici e le istruzioni per l'uso.
3Test del prodottoVengono eseguiti i test richiesti dalla norma di riferimento. Il rapporto di prova è la base fondamentale per la decisione di certificazione.
4Audit di fabbricaSe lo schema lo richiede, la continuità della fabbricazione e il controllo della produzione in fabbrica (FPC) vengono verificati in loco.
5Emissione del Certificato e MarcaturaUna volta verificata la conformità, viene rilasciato il certificato; si applicano le regole di marcatura del prodotto e dell'imballaggio.
6Audit di follow-upA seconda dello schema, vengono effettuati audit periodici di fabbrica e/o test di follow-up su campioni prelevati dal mercato.

Periodo di validità

Il periodo di validità varia a seconda dello schema: alcuni certificati di prodotto sono indefiniti e si basano su audit periodici di fabbrica, mentre alcuni schemi (ad esempio i marchi di mercato nazionali) richiedono il rinnovo annuale o per spedizione. Ogni modifica progettuale del prodotto richiede la revisione del certificato.

Documenti richiesti

L'elenco dei modelli e delle varianti del prodotto
Disegni tecnici, schemi e distinta base
Certificati per componenti critici
Le istruzioni per l'uso e un'etichetta campione
Rapporti di prova esistenti, se presenti
Dettagli del sito di produzione

Costo della certificazione

Non esiste un prezzo di listino fisso; il costo viene calcolato in base alle seguenti variabili e fornito per iscritto nel preventivo.

Il numero di modelli e varianti nella famiglia di prodotti
L'ambito del test richiesto dallo standard applicabile
Se è necessario un audit di fabbrica
Il numero di mercati target e se ciascuno richiede test separati
Se i rapporti di prova esistenti possono essere accettati

Accreditamento

La certificazione del prodotto viene effettuata secondo la norma ISO/IEC 17065; I test che costituiscono la base della certificazione vengono eseguiti presso laboratori accreditati ISO/IEC 17025. I due ambiti sono separati. Il riconoscimento tra gli organismi di accreditamento è previsto tramite accordi IAF e ILAC.

L'ambito in cui questo schema può essere offerto varia in base al suo prodotto e alla sua attività; viene confermato per iscritto in fase di preventivo.

Ambito e autorizzazioni

Certificazioni correlate

Domande frequenti

Quale parte della norma IEC 62443 si applica a me?

Dipende dal tuo ruolo. Se sei un produttore di prodotti, si applicano 4-1 (processo di sviluppo) e 4-2 (requisiti dei componenti); se sei un system integrator, 2-4 e 3-3; se sei un operatore di struttura, 2-1 e 3-2 hanno la priorità. Lo standard è deliberatamente strutturato per ruolo.

Ho bisogno della norma IEC 62443 se dispongo già della norma ISO/IEC 27001?

Sì, se disponi di un ambiente tecnologico operativo. ISO/IEC 27001 è progettato per l'IT aziendale; La norma IEC 62443 tiene conto dei vincoli dei sistemi di controllo in tempo reale (nessuna tolleranza per i tempi di inattività, apparecchiature di lunga durata, dispositivi non configurabili). I due si completano a vicenda.

Chi determina il livello di sicurezza?

Il proprietario dell'asset determina il livello di sicurezza target (SL-T) per ciascuna zona attraverso la valutazione del rischio ai sensi di 62443-3-2. Il fornitore del prodotto dichiara il livello di capacità (SL-C) fornito dal suo componente; i due devono corrispondere.

Cybersicurezza dell'automazione industriale (IEC 62443) — certificazione