IEC 62443 (ISA-99), cybersécurité des systèmes industriels
L'IEC 62443 est la série internationale consacrée à la cybersécurité des systèmes d'automatisation et de commande industriels (IACS). Elle est rédigée conjointement par le comité ISA99 de l'International Society of Automation et par le groupe de travail 10 du comité d'études 65 de l'IEC, et s'adresse à trois publics : les propriétaires d'actifs, les prestataires de services et intégrateurs, et les fournisseurs de produits. Ce guide liste les parties et éditions en vigueur au 7 octobre 2026, les changements depuis 2023, le modèle des niveaux de sécurité et des exigences fondamentales, les listes d'exigences des 62443-3-2 et 62443-4-1, les schémas de certification ISASecure et IECEE, et ce que le CRA, NIS 2 et le Règlement machines disent réellement de la série.
D'ISA99 à l'IEC 62443
Section intitulée « D'ISA99 à l'IEC 62443 »L'International Society of Automation a créé le comité de normalisation ISA99 en 2002 (ISA). ISA99 et l'IEC TC 65 WG 10 élaborent les documents ensemble, l'ISA les soumet à l'IEC, et la série est publiée deux fois : en ANSI/ISA-62443 aux États-Unis et en IEC 62443 au niveau international. Les années ne coïncident pas toujours. ANSI/ISA-62443-4-2 est daté de 2018, IEC 62443-4-2 de 2019 ; la 2-4 de l'ISA reste l'édition IEC 2015 avec son amendement 2017, alors que l'IEC l'a remplacée en décembre 2023.
Selon l'ISA, l'IEC a reconnu la série comme norme horizontale en 2021, et la couverture de l'IEC 62443-2-1:2024 porte la mention « horizontal publication ». Le titre général a aussi changé : les premières parties ont été publiées sous « Industrial communication networks, network and system security » (3-3:2013, 1-1:2009), les plus récentes sous « Security for industrial automation and control systems ». L'avant-propos de la 2-1:2024 indique que les anciens titres seront mis à jour à leur prochaine édition.
Parties et éditions en vigueur (7 octobre 2026)
Section intitulée « Parties et éditions en vigueur (7 octobre 2026) »| Partie | Type, édition, date | Titre (abrégé) | Utilisateur principal |
|---|---|---|---|
| 1-1 | IEC TS, éd. 1.0, juillet 2009 | Terminologie, concepts et modèles | Tous |
| 1-5 | IEC TS, éd. 1.0, septembre 2023 | Schéma pour les profils de sécurité IEC 62443 | Auteurs de profils, organismes de normalisation |
| 2-1 | IS, éd. 2.0, août 2024 | Exigences de programme de sécurité pour les propriétaires d'actifs IACS | Propriétaire d'actifs |
| 2-2 | IEC PAS, éd. 1.0, mars 2025 | Schéma de protection de la sécurité des IACS | Propriétaire d'actifs, évaluateur |
| 2-4 | IS, éd. 2.0, décembre 2023 | Exigences de programme de sécurité pour les prestataires de services IACS | Intégrateur, prestataire de maintenance |
| 3-2 | IS, éd. 1.0, juin 2020 | Appréciation du risque de sécurité pour la conception des systèmes | Propriétaire d'actifs, intégrateur |
| 3-3 | IS, éd. 1.0, août 2013 (corrigendum avril 2014) | Exigences de sécurité système et niveaux de sécurité | Fournisseur de systèmes, intégrateur |
| 4-1 | IS, éd. 1.0, janvier 2018 | Exigences du cycle de développement sécurisé des produits | Fournisseur de produits |
| 4-2 | IS, éd. 1.0, février 2019 (corrigendum 2022) | Exigences techniques de sécurité des composants IACS | Fournisseur de produits |
| 6-1 | IEC TS, éd. 1.0, mars 2024 | Méthodologie d'évaluation de la sécurité pour l'IEC 62443-2-4 | Évaluateur |
| 6-2 | IEC TS, éd. 1.0, janvier 2025 | Méthodologie d'évaluation de la sécurité pour l'IEC 62443-4-2 | Évaluateur |
IS = norme internationale, TS = spécification technique, PAS = spécification publiquement disponible. Le catalogue en ligne de l'IEC donne aux 3-2, 3-3 et 2-4 une date de stabilité en 2027. Une révision en cours n'est pas une publication : au 7 octobre 2026, il n'existe pas de deuxième édition des 3-2, 3-3, 4-1 ou 4-2.
Ce qui a changé entre 2023 et 2026
Section intitulée « Ce qui a changé entre 2023 et 2026 »| Date | Changement | Source |
|---|---|---|
| Septembre 2023 | L'IEC TS 62443-1-5 publie la méthode de définition des profils de sécurité (sous-ensembles d'exigences 62443 pour un domaine ou un type de produit) | IEC, CEN-CENELEC |
| 15 décembre 2023 | L'édition 2 de l'IEC 62443-2-4 annule l'édition 2015 et l'amendement 1:2017 ; les exigences qui se lisaient comme des capacités techniques sont reformulées en utilisation ou configuration de capacités | Avant-propos de l'IEC 62443-2-4:2023 |
| Mars 2024 | IEC TS 62443-6-1, méthodologie d'évaluation pour la 2-4 | IEC |
| Août 2024 | L'édition 2 de l'IEC 62443-2-1 annule l'édition 2010 : exigences regroupées en huit éléments de programme de sécurité, suppression du doublon avec un ISMS, ajout d'un modèle de maturité | Avant-propos de l'IEC 62443-2-1:2024 |
| 21 janvier 2025 | IEC TS 62443-6-2, méthodologie d'évaluation pour la 4-2 ; un cycle de vie selon l'IEC 62443-4-1 en est un prérequis | IEC |
| Mars 2025 | IEC PAS 62443-2-2, schéma de protection de la sécurité des IACS | IEC, ISA |
| 17 février 2026 | Entrée en vigueur d'ISASecure ACSSA 1.0.0 (évaluation sur site d'un IACS déployé) | ISASecure |
| 11 septembre 2026 | Application des obligations de signalement du CRA | Règlement (UE) 2024/2847 |
| 20 janvier 2027 | Application du Règlement machines (UE) 2023/1230, avec les points 1.1.9 et 1.2.1 de l'annexe III | Règlement (UE) 2023/1230 |
| 11 décembre 2027 | Application complète du CRA | Règlement (UE) 2024/2847 |
Niveaux de sécurité et exigences fondamentales
Section intitulée « Niveaux de sécurité et exigences fondamentales »Les 62443-3-3 et 62443-4-2 expriment leurs exigences techniques selon sept exigences fondamentales (FR), chacune avec un niveau de 1 à 4. Les niveaux décrivent l'attaquant auquel le système ou le composant doit résister.
| Niveau | Protection contre |
|---|---|
| SL 1 | Une violation fortuite ou accidentelle |
| SL 2 | Une violation intentionnelle par des moyens simples, avec peu de ressources, des compétences génériques et une faible motivation |
| SL 3 | Une violation intentionnelle par des moyens sophistiqués, avec des ressources modérées, des compétences propres aux IACS et une motivation modérée |
| SL 4 | Une violation intentionnelle par des moyens sophistiqués, avec des ressources étendues, des compétences propres aux IACS et une forte motivation |
Trois variantes de niveau coexistent. SL-T (cible) découle de l'analyse de risque 62443-3-2 pour une zone ou un conduit. SL-C (capacité) est ce qu'un composant ou un système peut fournir lorsqu'il est correctement configuré, au sens des 3-3 et 4-2. SL-A (atteint) est ce que la conception déployée atteint. La 62443-3-3 précise que chaque composant n'a pas à satisfaire chaque exigence au niveau cible : des contre-mesures compensatoires peuvent assurer la fonction au niveau du système, à condition d'être documentées pour que le SL-A en tienne compte. Comme un niveau est donné par FR, il forme en pratique un vecteur de sept valeurs (3-3, annexe A).
| FR | Nom (IEC 62443-3-3) |
|---|---|
| FR 1 | Contrôle d'identification et d'authentification |
| FR 2 | Contrôle d'utilisation |
| FR 3 | Intégrité du système |
| FR 4 | Confidentialité des données |
| FR 5 | Restriction des flux de données |
| FR 6 | Réponse en temps utile aux événements |
| FR 7 | Disponibilité des ressources |
Dans la 3-3, chaque exigence système (SR) comporte des renforcements d'exigence (RE) qui s'ajoutent quand le niveau monte ; la 4-2 fait de même avec les exigences composant (CR). La 3-3 suppose que le propriétaire d'actifs applique un programme de sécurité selon la 62443-2-1 et que la gestion des correctifs suit l'IEC TR 62443-2-3.
La 62443-3-2, exigence par exigence
Section intitulée « La 62443-3-2, exigence par exigence »La 62443-3-2 est organisée en sept exigences zones et conduits (ZCR). C'est le livrable de conception dont découlent les valeurs de SL-T.
| ZCR | Exigence | Sous-exigences |
|---|---|---|
| ZCR 1 | Identifier le système considéré (SuC) | 1.1 périmètre et points d'accès |
| ZCR 2 | Analyse de risque cyber initiale | 2.1 |
| ZCR 3 | Découper le SuC en zones et conduits | 3.1 établir zones et conduits ; 3.2 séparer actifs métier et actifs IACS ; 3.3 séparer les actifs liés à la sécurité fonctionnelle ; 3.4 séparer les équipements connectés temporairement ; 3.5 séparer les équipements sans fil ; 3.6 séparer les équipements connectés par des réseaux externes |
| ZCR 4 | Comparaison des risques | 4.1 comparer le risque initial au risque tolérable |
| ZCR 5 | Analyse de risque cyber détaillée | 5.1 menaces à 5.13 documentation, dont 5.6 déterminer le SL-T et 5.10 déterminer le risque résiduel |
| ZCR 6 | Documenter les exigences de cybersécurité, hypothèses et contraintes | 6.1 spécification des exigences ; 6.2 description du SuC, et autres éléments |
| ZCR 7 | Approbation du propriétaire d'actifs | 7.1 obtenir l'approbation du propriétaire d'actifs |
La norme n'impose pas le modèle en niveaux de Purdue. Elle exige en revanche les cinq séparations des ZCR 3.2 à 3.6, et une validation finale par le propriétaire d'actifs.
La 62443-4-1, huit pratiques et 47 exigences
Section intitulée « La 62443-4-1, huit pratiques et 47 exigences »| Pratique | Exigences | Contenu (titres des exigences) |
|---|---|---|
| 1, Gestion de la sécurité (SM) | SM-1 à SM-13 | Processus de développement, responsabilités, applicabilité, expertise, périmètre du processus, intégrité des fichiers, sécurité de l'environnement de développement, clés privées, composants fournis par des tiers, composants développés sur mesure par des tiers, évaluation des problèmes de sécurité, vérification du processus, amélioration continue |
| 2, Spécification des exigences de sécurité (SR) | SR-1 à SR-5 | Contexte de sécurité du produit, modèle de menace, exigences de sécurité du produit et leur contenu, revue des exigences |
| 3, Sécurité dès la conception (SD) | SD-1 à SD-4 | Principes de conception sécurisée, conception en défense en profondeur, revue de conception, bonnes pratiques de conception |
| 4, Implémentation sécurisée (SI) | SI-1, SI-2 | Revue d'implémentation, normes de codage sécurisé |
| 5, Tests de vérification et de validation de la sécurité (SVV) | SVV-1 à SVV-5 | Tests des exigences, tests de mitigation des menaces, tests de vulnérabilité, tests d'intrusion, indépendance des testeurs |
| 6, Gestion des problèmes liés à la sécurité (DM) | DM-1 à DM-6 | Réception, revue, évaluation, traitement et divulgation des problèmes, revue périodique de la pratique |
| 7, Gestion des mises à jour de sécurité (SUM) | SUM-1 à SUM-5 | Qualification des mises à jour, documentation des mises à jour, documentation des mises à jour des composants dépendants ou du système d'exploitation, livraison, livraison en temps utile des correctifs |
| 8, Lignes directrices de sécurité (SG) | SG-1 à SG-7 | Défense en profondeur du produit, mesures attendues dans l'environnement, durcissement, mise au rebut sécurisée, exploitation sécurisée, gestion des comptes, revue de la documentation |
L'article 4.2 de la 4-1 définit un modèle de maturité (tableau 1) servant à noter l'application du processus. La pratique 6 s'intitule « gestion des problèmes liés à la sécurité », et non « gestion des défauts », même si ses exigences portent le préfixe DM.
La 62443-4-2, quatre types de composants
Section intitulée « La 62443-4-2, quatre types de composants »La 4-2 différencie ses exigences pour quatre types de composants : applications logicielles, équipements embarqués, équipements hôtes et équipements réseau. ISASecure cite les définitions de la 4-2 pour les trois types d'équipements :
| Type | Définition (IEC 62443-4-2) |
|---|---|
| Équipement embarqué | Équipement à usage spécifique exécutant un logiciel embarqué conçu pour surveiller, commander ou actionner directement un procédé industriel |
| Équipement hôte | Équipement généraliste exécutant un système d'exploitation, capable d'héberger une ou plusieurs applications logicielles, bases de données ou fonctions d'un ou plusieurs fournisseurs |
| Équipement réseau | Équipement qui facilite ou restreint le flux de données entre équipements, mais peut ne pas interagir directement avec un procédé de commande |
Un produit qui revendique un SL-C 2 sur FR 1 doit satisfaire les exigences composant de FR 1 et les renforcements affectés au niveau 2 pour son type de composant.
La 62443-2-1:2024, huit éléments de programme de sécurité
Section intitulée « La 62443-2-1:2024, huit éléments de programme de sécurité »| SPE | Sujet |
|---|---|
| SPE 1 | Mesures organisationnelles de sécurité (dont ORG 1.1, système de management de la sécurité de l'information) |
| SPE 2 | Gestion de configuration |
| SPE 3 | Sécurité des réseaux et des communications |
| SPE 4 | Sécurité des composants |
| SPE 5 | Protection des données |
| SPE 6 | Contrôle d'accès des utilisateurs |
| SPE 7 | Gestion des événements et des incidents |
| SPE 8 | Intégrité et disponibilité du système |
Schémas de certification
Section intitulée « Schémas de certification »ISASecure (ISA Security Compliance Institute)
Section intitulée « ISASecure (ISA Security Compliance Institute) »| Schéma | Norme(s) | Version en cours | Redevance annuelle d'enregistrement |
|---|---|---|---|
| SDLA, Security Development Lifecycle Assurance | 62443-4-1 (processus de développement) | 3.0.0, en vigueur depuis le 16 juin 2020 | 1 500 USD |
| CSA, Component Security Assurance | 62443-4-2 et 62443-4-1 ; SL-C 1 à 4 | 1.0.0, en vigueur depuis le 28 août 2019 | 1 200 USD |
| ICSA, IIoT Component Security Assurance | 62443-4-2 et 4-1 ; palier Core (basé sur SL 2), palier Advanced (basé sur SL 4) | 1.0.0 | 1 200 USD |
| SSA, System Security Assurance | 62443-3-3 et les exigences de processus de la 62443-4-1 | 4.0.0, en vigueur depuis le 28 août 2019 | 1 200 USD |
| ACSSA, Automation and Control System Security Assurance | 62443-2-1, 2-4, 3-2 et 3-3 (IACS déployé) | 1.0.0, en vigueur depuis le 17 février 2026 | Enregistrement par l'organisme certificateur 3 000 USD (certificat de 3 ans) |
Ces montants sont les redevances d'enregistrement de l'ISCI publiées sur isasecure.org ; ils n'incluent pas l'évaluation par l'organisme certificateur. Toute certification de produit (CSA, ICSA, SSA) exige une certification SDLA du processus du fournisseur, qui peut être obtenue en parallèle. CSA 1.0.0 a remplacé l'ancien programme EDSA pour les équipements embarqués. Les organismes certificateurs ISASecure sont accrédités ISO/IEC 17065 ; ACSSA propose aussi une voie d'inspection par des organismes d'inspection ISO/IEC 17020, qui aboutit à une lettre et non à un certificat.
Schéma CB de l'IECEE, catégorie CYBR
Section intitulée « Schéma CB de l'IECEE, catégorie CYBR »L'IECEE traite la cybersécurité comme une des catégories de sa liste de normes (CYBR, voir Schéma CB). Les formulaires de rapport d'essai IECEE sont publiés dans le catalogue de l'IEC, par exemple le TRF 62443-4-2B:2023 pour l'IEC 62443-4-2:2019, avec d'autres pour les 2-4, 3-3 et 4-1. Les deux méthodologies d'évaluation de l'IEC, TS 62443-6-1 (pour la 2-4) et TS 62443-6-2 (pour la 4-2), décrivent comment les évaluateurs obtiennent des résultats reproductibles ; la 6-2 précise qu'elle ne définit pas de schéma de certification.
Autres certificats
Section intitulée « Autres certificats »Des laboratoires et organismes certificateurs délivrent aussi leurs propres certificats 62443 hors ISASecure et IECEE, parfois en parallèle des travaux de marquage CE au titre de l'acte délégué RED (EN 18031, applicable depuis le 1er août 2025) ou de la préparation au CRA. Avant de s'appuyer sur l'un d'eux, vérifier quelle partie et quelle édition il couvre, si l'organisme est accrédité pour ce périmètre, et si le certificat porte sur un processus (4-1), une capacité produit (4-2, 3-3) ou un système déployé (2-1, 3-2).
Liens réglementaires
Section intitulée « Liens réglementaires »UE, Cyber Resilience Act
Section intitulée « UE, Cyber Resilience Act »Le Cyber Resilience Act (Règlement (UE) 2024/2847) applique les obligations de signalement à partir du 11 septembre 2026 et l'ensemble du texte à partir du 11 décembre 2027. Il vise les produits comportant des éléments numériques mis sur le marché de l'UE. La présomption de conformité vient des normes harmonisées citées au JO, de spécifications communes ou de schémas européens de certification de cybersécurité. La demande de la Commission M/606 (C(2025) 618) couvre 41 normes (Commission). Lors du webinaire CEN-CENELEC du 9 septembre 2025, le CENELEC TC 65X WG 3 (miroir européen de l'IEC TC 65 WG 10) a présenté ce plan :
| Livrable | Base | Objet | Publication prévue (plan de septembre 2025) |
|---|---|---|---|
| EN IEC 62443-4-1:2018/A11 | 4-1 | Annexe I, partie I(1) et partie II du CRA (processus, gestion des vulnérabilités) | Décembre 2026 |
| EN IEC 62443-4-2:2019/A11 | 4-2 avec l'approche d'évaluation de la 6-2 | Annexe I, partie I(2) du CRA (exigences produit) | Décembre 2026 |
| Six normes produits (prEN 50XXX-1 à -6), construites comme profils 1-5 | 4-1, 4-2 | Produits VPN, systèmes de gestion de réseau, systèmes SIEM, interfaces réseau, routeurs, modems et commutateurs (classe I) ; pare-feu et systèmes de détection ou de prévention d'intrusion, y compris industriels (classe II) | Novembre 2026 |
Ce sont des plans, pas des publications. Au 7 octobre 2026, aucune norme fondée sur la 62443 n'est citée au titre du CRA. Pour le CRA lui-même, voir Cyber Resilience Act.
UE, Règlement machines 2023/1230
Section intitulée « UE, Règlement machines 2023/1230 »Le règlement (UE) 2023/1230 s'applique à partir du 20 janvier 2027 et abroge la directive 2006/42/CE à cette date. Deux exigences essentielles de l'annexe III traitent des menaces cyber :
| Point | Ce que le texte exige |
|---|---|
| 1.1.9, Protection contre la corruption | La connexion d'un autre dispositif, directe ou à distance, ne doit pas créer de situation dangereuse ; le matériel utile à l'accès au logiciel critique pour la sécurité est protégé contre la corruption accidentelle ou intentionnelle ; les logiciels et données critiques sont identifiés et protégés ; la machine identifie à tout moment son logiciel de sécurité ; les preuves d'intervention ou de modification légitime ou illégitime sont collectées |
| 1.2.1, Sécurité et fiabilité des systèmes de commande | Les systèmes de commande résistent aux influences extérieures prévues et imprévues, « y compris les tentatives malveillantes raisonnablement prévisibles de tiers conduisant à créer une situation dangereuse » ; un journal de traçabilité des interventions et des versions du logiciel de sécurité chargées après la mise sur le marché est activé pendant cinq ans |
L'article 20, paragraphe 9, présume la conformité à ces deux points pour les machines certifiées, ou couvertes par une déclaration de conformité, dans un schéma de certification de cybersécurité adopté au titre du règlement (UE) 2019/881 et référencé au JO. Un certificat IEC 62443 n'est pas un tel schéma. Aucune norme harmonisée n'est encore citée au titre du règlement 2023/1230. Le CENELEC TC 65X WG 3 mentionne une liaison avec le CLC/TC 44X WG 2, « protection against corruption ». Voir Directive et Règlement machines.
UE, NIS 2
Section intitulée « UE, NIS 2 »La directive (UE) 2022/2555 est entrée en vigueur le 16 janvier 2023 ; les États membres devaient la transposer au plus tard le 17 octobre 2024 et appliquer leurs mesures à partir du 18 octobre 2024 (article 41). L'énergie et l'eau potable figurent à l'annexe I, la chimie et la fabrication à l'annexe II. L'article 21, paragraphe 1, exige des mesures qui tiennent compte « de l'état des connaissances et, s'il y a lieu, des normes européennes et internationales applicables » ; l'article 25 demande aux États membres d'encourager ces normes sans favoriser une technologie particulière. La directive ne nomme pas l'IEC 62443 ; ses considérants citent la série ISO/IEC 27000 pour la sécurité physique et environnementale et les ISO/IEC 30111 et 29147 pour le traitement des vulnérabilités.
États-Unis, NIST SP 800-82 Rev. 3 et NERC CIP
Section intitulée « États-Unis, NIST SP 800-82 Rev. 3 et NERC CIP »Le NIST SP 800-82 Rev. 3 (septembre 2023) relie chaque étape du Risk Management Framework du NIST, appliqué à l'OT, au Cybersecurity Framework et à des exigences IEC 62443, par exemple l'exigence ORG 1.3 de l'IEC 62443-2-1 pour les rôles de gestion des risques. Les standards NERC CIP sont des normes de fiabilité obligatoires pour le réseau électrique de transport nord-américain ; un certificat 62443 ne remplace pas les preuves de conformité CIP.
IT (ISO/IEC 27001) et OT (IEC 62443)
Section intitulée « IT (ISO/IEC 27001) et OT (IEC 62443) »| Point | ISO/IEC 27001 | IEC 62443 |
|---|---|---|
| Objet | Un organisme et son système de management de la sécurité de l'information | Un IACS, son propriétaire, ses prestataires et ses composants |
| Exigences produit | Aucune | 3-3 (système) et 4-2 (composant), avec niveaux de sécurité |
| Processus de développement | Non spécifié pour les produits | Cycle de développement sécurisé 4-1 |
| Lien entre les deux | La 2-1:2024 contient une exigence d'ISMS (ORG 1.1) et a été révisée pour supprimer le doublon avec un ISMS | |
| Moteur de conception déclaré | Introduction de la 3-3 : adapter les exigences de l'IT d'entreprise et les combiner avec la « forte disponibilité » dont les IACS ont besoin |
Un certificat ISO/IEC 27001 ne démontre la conformité à aucune partie de la 62443, et un certificat produit 62443-4-2 ne dit rien du périmètre IT de l'entreprise.
Étapes pour un fournisseur de produits
Section intitulée « Étapes pour un fournisseur de produits »- Classer le produit comme application logicielle, équipement embarqué, équipement hôte ou équipement réseau (4-2), et rédiger le contexte de sécurité du produit et le modèle de menace (4-1 SR-1, SR-2).
- Fixer le SL-C cible par FR à partir du SL-T de l'intégrateur ou du propriétaire d'actifs, ou de l'usage prévu.
- Mettre en place le cycle de vie 4-1 : les huit pratiques et leurs 47 exigences, avec des enregistrements qui montrent que le processus est appliqué.
- Implémenter et tester : principes de conception sécurisée et défense en profondeur (SD-1, SD-2), par exemple démarrage sécurisé et racine de confiance matérielle si le modèle de menace l'exige, normes de codage sécurisé (SI-2), tests de mitigation des menaces, de vulnérabilité et d'intrusion (SVV-2 à SVV-4), avec indépendance des testeurs (SVV-5).
- Organiser le traitement des problèmes et les mises à jour : réception et divulgation des problèmes (DM-1 à DM-5), qualification des mises à jour et livraison en temps utile (SUM-1 à SUM-5).
- Rédiger les lignes directrices de sécurité (SG-1 à SG-7) : défense en profondeur, durcissement, exploitation sécurisée, comptes, mise au rebut.
- Choisir la voie d'évaluation : ISASecure SDLA puis CSA ou ICSA, un rapport d'essai CB de l'IECEE, ou un autre organisme accrédité.
- Relier au droit de l'UE : CRA (signalement des vulnérabilités à partir du 11 septembre 2026), points 1.1.9 et 1.2.1 du Règlement machines lorsque le produit est une partie d'une machine pertinente pour la sécurité.
Pour la planification, voir délais de certification.
Affirmations que les textes contredisent
Section intitulée « Affirmations que les textes contredisent »| Affirmation courante | Ce que disent les textes |
|---|---|
| « L'IEC 62443-2-4 est l'édition 2015 avec l'amendement 1:2017. » | L'édition 2.0 du 15 décembre 2023 annule et remplace les deux (avant-propos de l'IEC 62443-2-4:2023). Seule la version ANSI/ISA reprend encore le contenu 2015+2017. |
| « Révision de la 62443-1-1 attendue en 2025. » | Au 7 octobre 2026, le catalogue de l'IEC liste toujours l'IEC TS 62443-1-1:2009. Aucune date de remplacement n'est donnée. |
| « La pratique 6 de la 4-1 est la gestion des défauts. » | Son titre est « gestion des problèmes liés à la sécurité » ; DM n'est que le préfixe des exigences. |
| « ISASecure SSA couvre la 62443-3-3 avec l'analyse de risque 3-2. » | SSA couvre toutes les exigences système de la 3-3 et les exigences de processus de la 4-1. L'analyse de risque 3-2 relève d'ACSSA, qui évalue un IACS déployé selon les 2-1, 2-4, 3-2 et 3-3. |
| « ACSSA se rattache à la seule 62443-2-1. » | ACSSA 1.0.0 (en vigueur depuis le 17 février 2026) évalue selon les 2-1, 2-4, 3-2 et 3-3. |
| « SL 4 désigne un attaquant étatique. » | Les normes décrivent SL 4 par les moyens, ressources, compétences et motivation (sophistiqués, étendues, propres aux IACS, forte) ; elles ne nomment pas d'acteurs étatiques. |
| « NIS 2 est en vigueur depuis octobre 2024. » | Elle est entrée en vigueur le 16 janvier 2023 ; le 18 octobre 2024 est la date à partir de laquelle les États membres appliquent leurs mesures de transposition (article 41). |
| « NIS 2 et le CRA font de la 62443 la référence de premier rang. » | Aucun des deux textes ne nomme l'IEC 62443. NIS 2 renvoie aux normes européennes et internationales en général ; le CRA ne donne de présomption qu'aux normes citées à son titre, et aucune fondée sur la 62443 ne l'est encore. |
| « Un certificat 62443 couvre les points cyber du Règlement machines. » | L'article 20, paragraphe 9, ne donne de présomption qu'aux schémas adoptés au titre du règlement (UE) 2019/881. Une évaluation 62443 peut néanmoins servir de preuve technique pour les points 1.1.9 et 1.2.1. |
| « L'ISO 27001 place la confidentialité en premier, la 62443 classe sécurité, disponibilité, intégrité, confidentialité. » | Aucune des deux normes ne fixe un tel classement. La 3-3 parle de la forte disponibilité dont les IACS ont besoin ; la 2-1:2024 intègre un ISMS au lieu de s'y opposer. |
| « La 62443 impose le modèle de Purdue. » | La 3-2 exige des zones, des conduits et cinq séparations précises (ZCR 3.2 à 3.6) ; elle n'impose pas de modèle en niveaux. |
Aller plus loin
Section intitulée « Aller plus loin »- Cyber Resilience Act : règlement UE pour les produits comportant des éléments numériques, signalement à partir du 11 septembre 2026, application complète le 11 décembre 2027
- EN 303 645, cybersécurité IoT grand public : le socle IoT grand public, un périmètre différent de la 62443
- Robotique industrielle, ISO 10218 et ISO/TS 15066 : volet sécurité de l'automatisation industrielle
- Sécurité fonctionnelle des machines, IEC 62061 et ISO 13849 : les fonctions de sécurité que vise aussi le point 1.2.1
- Common Criteria, ISO/IEC 15408 : cadre générique d'évaluation de sécurité
- Délais de certification : ordres de grandeur transverses par phase
- Glossaire : définitions des termes employés sur cette page
Voir aussi
Section intitulée « Voir aussi »- Cybersécurité produit : obligation, évaluation, label
- DO-326A et ED-202A: cybersécurité avionique
- ETSI EN 303 645 : cybersécurité IoT consommateur
- NISTIR 8425 et US Cyber Trust Mark : label IoT US
- NIST SP 800-213 et 8259A: socle cybersécurité IoT américain
- Common Criteria (ISO/IEC 15408) : sécurité IT
- Schéma CB (IECEE) : un rapport d'essai pour de nombreux pays
- Directive machines 2006/42/CE et Règlement 2023/1230
Sources & références
- IEC 62443-2-1:2024 (édition 2.0, août 2024), aperçu, IEC webstore.iec.ch/en/iec_catalog/product/preview/?id=L3B1Yi9wZGYvcHJldmlldy9pbmZvX2llYzYyNDQzLTItMXtlZDIuMH1iLnBkZg%3D%3D
- IEC 62443-2-4:2023 (édition 2.0, décembre 2023), IEC webstore.iec.ch/en/publication/67631
- IEC 62443-3-2:2020, appréciation du risque de sécurité pour la conception des systèmes, IEC webstore.iec.ch/en/publication/30727
- IEC 62443-3-3:2013, exigences de sécurité système et niveaux de sécurité, IEC webstore.iec.ch/en/publication/7033
- IEC 62443-4-1:2018, exigences du cycle de développement sécurisé des produits, IEC webstore.iec.ch/en/publication/33615
- IEC 62443-4-2:2019, exigences techniques de sécurité des composants IACS, IEC webstore.iec.ch/en/publication/34421
- IEC TS 62443-1-1:2009, terminologie, concepts et modèles, IEC webstore.iec.ch/en/publication/7029
- IEC TS 62443-6-1:2024, méthodologie d'évaluation pour l'IEC 62443-2-4, IEC webstore.iec.ch/en/publication/67462
- IEC TS 62443-6-2:2025, méthodologie d'évaluation pour l'IEC 62443-4-2, IEC webstore.iec.ch/en/publication/67463
- IECEE Test Report Form 62443-4-2B:2023, IEC (IECEE) webstore.iec.ch/en/publication/90117
- Série ISA/IEC 62443 (comité ISA99), International Society of Automation www.isa.org/standards-and-publications/isa-standards/isa-iec-62443-series-of-standards
- Schémas de certification ISASecure, ISA Security Compliance Institute isasecure.org/certification
- ISASecure Component Security Assurance (CSA), ISA Security Compliance Institute isasecure.org/certification/iec-62443-csa-certification
- ISASecure Automation and Control System Security Assurance (ACSSA) 1.0.0, ISA Security Compliance Institute isasecure.org/acssa-certification
- CRA Standards Unlocked : de l'EN IEC 62443 au CRA (webinaire, 9 septembre 2025), CEN-CENELEC www.cencenelec.eu/media/CEN-CENELEC/Events/Webinars/2025/2025-09-08_webinar_unlocking_cra_iec62443-series-for-cra.pdf
- Cyber Resilience Act, normalisation (demande M/606), Commission européenne digital-strategy.ec.europa.eu/en/policies/cra-standardisation
- Cyber Resilience Act (Règlement (UE) 2024/2847), EUR-Lex eur-lex.europa.eu/eli/reg/2024/2847/oj
- Directive NIS 2 (Directive (UE) 2022/2555), EUR-Lex eur-lex.europa.eu/eli/dir/2022/2555/oj
- Règlement machines (Règlement (UE) 2023/1230), EUR-Lex eur-lex.europa.eu/eli/reg/2023/1230/oj
- NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security, NIST csrc.nist.gov/pubs/sp/800/82/r3/final
- Standards NERC CIP (Critical Infrastructure Protection), North American Electric Reliability Corporation www.nerc.com/standards/reliability-standards/cip
Questions fréquentes
- Quelle est la différence entre ISA-99 et IEC 62443 ?
- ISA99 est le comité de normalisation créé en 2002 par l'International Society of Automation. Il élabore la série avec le comité d'études 65 de l'IEC, groupe de travail 10, et l'ISA soumet ses documents à l'IEC pour adoption. Le résultat est publié deux fois, en ANSI/ISA-62443 et en IEC 62443, parfois avec des années différentes (ANSI/ISA-62443-4-2 est daté de 2018, IEC 62443-4-2 de 2019). « ISA-99 » subsiste comme nom du comité.
- Quelles éditions IEC 62443 sont en vigueur en octobre 2026 ?
- IEC TS 62443-1-1:2009, IEC 62443-2-1:2024 (édition 2), IEC 62443-2-4:2023 (édition 2, qui a remplacé l'édition 2015 et son amendement 2017), IEC 62443-3-2:2020, IEC 62443-3-3:2013, IEC 62443-4-1:2018 et IEC 62443-4-2:2019 avec son corrigendum de 2022. Documents plus récents : IEC TS 62443-1-5:2023, IEC TS 62443-6-1:2024, IEC PAS 62443-2-2:2025 et IEC TS 62443-6-2:2025. Les parties 3-2, 3-3, 4-1 et 4-2 n'ont pas encore de deuxième édition.
- Que signifient les niveaux de sécurité ?
- SL 1 protège contre une violation fortuite ou accidentelle. SL 2 contre une violation intentionnelle par des moyens simples, avec peu de ressources, des compétences génériques et une faible motivation. SL 3 contre des moyens sophistiqués, des ressources modérées, des compétences propres aux IACS et une motivation modérée. SL 4 contre des moyens sophistiqués, des ressources étendues, des compétences propres aux IACS et une forte motivation. Les niveaux se fixent par exigence fondamentale et existent en trois variantes : cible (SL-T), capacité (SL-C) et atteint (SL-A).
- Que demande la 62443-3-2 ?
- Sept exigences zones et conduits, ZCR 1 à ZCR 7 : identifier le système considéré, mener une analyse de risque initiale, le découper en zones et conduits, comparer le risque initial au risque tolérable, mener une analyse de risque détaillée qui aboutit à un niveau de sécurité cible par zone ou conduit, documenter les exigences de sécurité et obtenir l'approbation du propriétaire d'actifs. L'étape de découpage sépare explicitement les actifs métier des actifs IACS, les actifs liés à la sécurité fonctionnelle, les équipements connectés temporairement, les équipements sans fil et ceux connectés par des réseaux externes.
- Que demande la 62443-4-1 à un fournisseur de produits ?
- Un cycle de développement sécurisé composé de huit pratiques et de 47 exigences : gestion de la sécurité (SM-1 à SM-13), spécification des exigences de sécurité (SR-1 à SR-5), sécurité dès la conception (SD-1 à SD-4), implémentation sécurisée (SI-1, SI-2), tests de vérification et de validation de la sécurité (SVV-1 à SVV-5), gestion des problèmes liés à la sécurité (DM-1 à DM-6), gestion des mises à jour de sécurité (SUM-1 à SUM-5) et lignes directrices de sécurité (SG-1 à SG-7). La norme définit aussi un modèle de maturité pour noter l'application du processus.
- Quelles certifications ISASecure existent ?
- SDLA certifie un processus de développement selon la 62443-4-1. CSA certifie un composant selon la 62443-4-2 au niveau de capacité 1 à 4 et exige SDLA. ICSA certifie les équipements et passerelles IIoT en deux paliers, Core (basé sur SL 2) et Advanced (basé sur SL 4). SSA certifie un système de contrôle selon la 62443-3-3 et les exigences de processus de la 62443-4-1. ACSSA, en vigueur depuis le 17 février 2026, évalue un IACS déployé et son propriétaire selon les 62443-2-1, 2-4, 3-2 et 3-3.
- Le CRA ou NIS 2 rendent-ils l'IEC 62443 obligatoire ?
- Non. L'article 21, paragraphe 1, de NIS 2 demande des mesures qui tiennent compte de l'état de l'art et, le cas échéant, des normes européennes et internationales, sans en nommer aucune. Le CRA ne donne une présomption de conformité que par des normes harmonisées citées au Journal officiel. Dans le cadre de la demande M/606, le CENELEC TC 65X WG 3 adapte les EN IEC 62443-4-1 et EN IEC 62443-4-2 et rédige six normes produits sur cette base ; aucune n'était citée le 7 octobre 2026.
- Le Règlement machines renvoie-t-il à l'IEC 62443 ?
- Pas nommément. Le règlement (UE) 2023/1230, applicable à partir du 20 janvier 2027, ajoute le point 1.1.9 de l'annexe III sur la protection contre la corruption et exige au point 1.2.1 que les systèmes de commande résistent aux tentatives malveillantes raisonnablement prévisibles conduisant à une situation dangereuse. L'article 20, paragraphe 9, donne une présomption de conformité pour ces deux points aux certificats délivrés dans un schéma européen de certification de cybersécurité, pas à un certificat IEC 62443.