Ciberseguridad Industrial IEC 62443

Refuerza la ciberseguridad de tus sistemas y productos industriales con la certificación IEC 62443, integrando la seguridad desde el diseño y a lo largo de todo su ciclo de vida.

La certificación de ciberseguridad industrial adaptada a tu papel en la cadena de valor

La serie internacional IEC 62443 proporciona un marco para gestionar la ciberseguridad de los sistemas de automatización y control industrial (IACS). AENOR ofrece dos certificaciones complementarias: UNE-EN IEC 62443-4-1 para los procesos del ciclo de vida de desarrollo seguro de productos industriales y UNE-EN IEC 62443-2-1 para el programa de ciberseguridad de los propietarios y operadores de activos industriales. La elección depende del papel de la organización y del alcance propuesto para la auditoría de certificación.

IEC 62443-4-1 e IEC 62443-2-1

Solución
¿A quién se dirige?
¿Qué evalúa?
IEC 62443-4-1
Fabricantes y desarrolladores de productos hardware, software o firmware para IACS.

El ciclo de vida de desarrollo seguro del producto, desde los requisitos y el diseño hasta las pruebas, la gestión de vulnerabilidades y las actualizaciones.

IEC 62443-2-1
Propietarios y operadores responsables de IACS en plantas e infraestructuras.

El programa de seguridad aplicado a los sistemas industriales en operación, sus responsabilidades, medidas y evidencias.

IEC 62443-4-1 certifica el ciclo de vida de desarrollo seguro de producto, no un producto individual. IEC 62443-2-1 evalúa un programa de seguridad dentro de un alcance definido. Ambas permiten acreditar la madurez alcanzada conforme al esquema de certificación aplicable.

Niveles de madurez certificables

En las dos soluciones, los niveles certificables son los niveles de madurez 2, 3 y 4. El certificado refleja el alcance auditado y el nivel de madurez alcanzado conforme a la norma de aplicación.

Nivel 2 (Gestionado): políticas, responsabilidades y procedimientos definidos y documentados, y capacidad para gestionar la ciberseguridad.

Nivel 3 (Definido y practicado): los procesos documentados se aplican y existen evidencias de ejecución repetible. En IEC 62443-4-1, se evidencia la aplicación de todas las prácticas del ciclo de vida de desarrollo seguro a, al menos, un producto.

Nivel 4 (En mejora): La organización mide la eficacia de sus procesos de seguridad y utiliza los resultados para introducir y demostrar mejoras continuas.

Estos niveles describen la madurez de los procesos; son distintos de los niveles de seguridad técnica (SL) aplicables a los sistemas industriales.

Beneficios principales

  • Confianza ante clientes y otras partes interesadas: evaluación independiente de procesos y prácticas de ciberseguridad industrial.

  • Seguridad desde el diseño: requisitos, pruebas, gestión de defectos y actualizaciones incorporados al desarrollo de productos, mediante IEC 62443-4-1.

  • Gobierno de la operación OT: responsabilidades, inventario, configuraciones, accesos, comunicaciones y gestión de incidentes articulados mediante IEC 62443-2-1.

  • Enfoque basado en riesgos: medidas adaptadas a la criticidad, la continuidad y las restricciones de cada entorno industrial.

  • Mejora continua y diferenciación: evidencias de madurez que apoyan homologaciones, licitaciones y relaciones de suministro.

  • Preparación ante exigencias regulatorias y contractuales: evidencias útiles para demostrar proactividad en el cumplimiento de estas obligaciones al adoptar voluntariamente estándares de reconocimiento internacional.

Ciberseguridad Industrial (IEC 62443-4-1)

Solicita información

Ciberseguridad Industrial (IEC 62443-2-1)

Solicita información

Sectores relacionados

Sectores relacionados en IEC 62443-4-1:

  • Fabricantes de componentes y equipos industriales: PLC, RTU, HMI, sensores, actuadores, dispositivos IIoT y pasarelas.

  • Desarrolladores de software y sistemas de automatización: SCADA, DCS y plataformas industriales, cuando actúan como fabricantes de producto.

Sectores relacionados en IEC 62443-2-1: 

  • Propietarios y operadores de instalaciones con IACS: energía, agua, transporte, química, alimentación, petróleo y gas, manufactura y otras actividades intensivas en OT.

  • Organizaciones que combinan ambos papeles: pueden definir alcances distintos para desarrollo seguro y operación de activos.

Integración con otras soluciones

La certificación ISO/IEC 27001 de Seguridad de la Información aporta un marco de gestión corporativa que puede complementarse con los requisitos específicos de IEC 62443-2-1 para sistemas de automatización y control industrial (IACS) en operación y de IEC 62443-4-1 para el desarrollo seguro de productos. Cada certificación cuenta con su propio alcance y evidencias. Puedes ampliar esta información en el artículo Ciberseguridad industrial desde el diseño, de Revista AENOR.

Normas