CRA voor industriële automatisering: IEC 62443 en OT-beveiliging

De meeste PLC's, SCADA-systemen en DCS-producten zijn standaard in-scope producten. Ze zijn niet automatisch Belangrijk of Kritiek. Classificatie volgt de kernfunctie van het product, niet de sector waarin het wordt ingezet. Een PLC voor productieaansturing valt in de Standaardcategorie. Een PLC die op de markt wordt gebracht met een ingebouwde industriële firewall als kernfunctie, schuift op naar Klasse II. IEC 62443 geeft u een sterke technische basis voor de CRA. Het gat dat u moet dichten is de SBOM: IEC 62443 heeft nooit een SBOM vereist.

Deze gids behandelt CRA-compliance voor fabrikanten van industriële automatisering.

Welke industriële producten vallen onder de CRA?

CRA-toepassingsgebied voor industriële automatisering

De CRA is van toepassing op "producten met digitale elementen" die op de EU-markt worden aangeboden. Voor industriële automatisering omvat dit:

Duidelijk in het toepassingsgebied:

• PLC's (programmeerbare logische besturingen)
• Industriële pc's en HMI's
• SCADA-software
• DCS-systemen
• Industriële IoT-sensoren en -gateways
• Industriële routers en switches
• Oplossingen voor externe toegang
• Engineering-werkstations en -software

Vrijstellingen kunnen van toepassing zijn:

• Producten uitsluitend voor nationale veiligheid
• Producten ontworpen voor militair gebruik
• Op maat gemaakte eenmalige industriële systemen (kunnen kwalificeren als "reserveonderdelen")

CRA-classificatie voor industriële producten

Classificatie wordt bepaald door de kernfunctie waarmee een product op de markt wordt gebracht, niet door de locatie waar het is geïnstalleerd (Artikel 7, lid 1). Een PLC in een kerncentrale is Standaard als de kernfunctie industriële aansturing is. Een router op een kantoor is Belangrijk Klasse I als hij verbinding maakt met het internet. De sector bepaalt de klasse niet. De functie wel.

IEC 62443 en CRA-afstemming

Wat is IEC 62443?

IEC 62443 is de internationale normenserie voor de beveiliging van industriële automatiserings- en besturingssystemen (IACS). De norm behandelt:

• IEC 62443-4-1: beveiligde ontwikkelingslevenscyclus.
• IEC 62443-4-2: componentbeveiligingsvereisten (4 Security Levels, SL 1 tot SL 4).
• IEC 62443-3-3: systeembeveiligingsvereisten.
• IEC 62443-2-4: vereisten voor dienstverleners.

IEC 62443 ↔ CRA-dekking in één oogopslag

Waar IEC 62443-bewijs rechtstreeks aansluit op CRA-vereisten, waar het slechts een deel van de verplichting dekt en waar de CRA nieuwe verplichtingen toevoegt.

IEC 62443 ↔ CRA-mapping

IEC 62443 als basis, niet als gelijkwaardigheid

Wat IEC 62443 biedt:

• Sterke technische beveiligingsgrondslag.
• Volwassen beveiligde ontwikkelingslevenscyclus.
• Goed gedocumenteerde beveiligingsmogelijkheden.
• Bewijs voor de conformiteitsbeoordeling.

Wat de CRA bovenop IEC 62443 toevoegt:

• SBOM-vereisten. IEC 62443 kent geen vergelijkbare vereiste.
• Melding van actief misbruikte kwetsbaarheden: vroege waarschuwing binnen 24 uur, kwetsbaarheidsmelding binnen 72 uur, eindrapport binnen 14 dagen nadat een herstel- of mitigatiemaatregel beschikbaar is. Zowel het als coördinator aangewezen CSIRT als ENISA ontvangen meldingen gelijktijdig via het ENISA Single Reporting Platform.
• Melding van ernstige incidenten: dezelfde vroege sporen van 24 uur / 72 uur, maar het eindrapport is verschuldigd binnen één maand na de 72-uurmelding van het incident, niet binnen 14 dagen. Een incident is ernstig wanneer het de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van belangrijke functies negatief beïnvloedt, of leidt tot uitvoering van kwaadaardige code (Artikel 14, lid 5).
• Gebruikersmelding: nadat een fabrikant kennis krijgt van een actief misbruikte kwetsbaarheid of een ernstig incident, moet hij getroffen gebruikers informeren, en waar passend alle gebruikers, over de kwetsbaarheid of het incident en de herstel- of mitigatiemaatregelen die zij kunnen nemen (Artikel 14, lid 8).
• CE-markering en EU-conformiteitsverklaring.
• Supportperiode die de verwachte productlevensduur weerspiegelt, met vijf jaar als absolute ondergrens op grond van CRA Artikel 13, lid 8.
• Specifieke vereisten aan het documentatieformat (Bijlage VII).
• Coördinatie van markttoezicht.

IEC 62443 benutten voor de CRA

Als u al een IEC 62443-4-1- of 4-2-certificering heeft, begint u niet bij nul. U beschikt over iets wat de meeste softwarefabrikanten niet hebben: een gedocumenteerde SDL en geteste beveiligingsmogelijkheden. De praktische vraag is of IEC 62443 uiteindelijk een geharmoniseerde CRA-norm wordt onder Mandaat M/606. Als dat het geval is, kunnen Belangrijk Klasse I-fabrikanten Module A gebruiken zonder aangemelde instantie. Dat staat nog niet vast. Controleer de statustracker voor geharmoniseerde normen voordat u uw conformiteitsroute plant.

1. Als u een IEC 62443-4-1-certificering heeft. Hergebruik de SDL-documentatie voor het CRA-technisch dossier, toon uw beveiligde ontwikkelingslevenscyclus aan en gebruik deze als bewijs voor de risicobeoordelingsaanpak.
2. Als u een IEC 62443-4-2-certificering heeft. Hergebruik de documentatie over beveiligingsmogelijkheden, koppel elk bereikt Security Level aan de essentiële CRA-vereisten en leg deze over als bewijs voor de implementatie van beveiligingsfuncties.
3. Voeg de CRA-specifieke punten toe. Genereer een SBOM, implementeer ENISA-meldcapaciteit voor zowel het kwetsbaarheidsspoor als het ernstige-incidentenspoor, stel de EU-conformiteitsverklaring op en breng de CE-markering aan.

OT-specifieke compliance-uitdagingen

Update- en patchinguitdagingen

Industriële omgevingen hebben unieke beperkingen voor updates.

Uitdagingen:

• 24/7-activiteiten zonder onderhoudsvensters.
• Hervalidatie van veiligheidssystemen na updates.
• Integratie van legacy-systemen.
• Air-gapped of semi-verbonden omgevingen.
• Lange kwalificatiecycli.

CRA-vereisten blijven van toepassing:

• Beveiligingsupdates moeten worden geleverd gedurende de gehele supportperiode. Het minimum is vijf jaar, en langer wanneer het product naar verwachting langer in gebruik is (CRA Artikel 13, lid 8).
• Er moet een mechanisme zijn om updates te leveren. Doorlopende online verbinding is niet vereist, maar de capaciteit moet aanwezig zijn.
• Kwetsbaarheden moeten binnen een redelijke tijd worden verholpen.

1. Gefaseerde uitrol. Eerst testomgevingen, daarna pilotproductielijnen en vervolgens de volledige uitrol met monitoring.
2. Updateplanning. Coördineer met geplande onderhoud, geef weken of maanden vooraf kennisgeving en ondersteun door de klant geplande updatecycli.
3. Offline levering. USB-gebaseerde updatepakketten, updateservers binnen het OT-netwerk of beveiligde bestandsoverdrachtsmechanismen voor air-gapped locaties.
4. Hervalidatie van veiligheid. Documenteer de impact van de update op veiligheidsfuncties, geef hervalidatierichtlijnen en overweeg co-engineering van veiligheid en beveiliging.

Lange productlevenscycli

Industriële producten hebben vaak levenscycli van 15 tot 20+ jaar, maar de CRA vereist slechts minimaal 5 jaar.

Documentatiebehoeften:

• Communiceer de supportperiode duidelijk bij aankoop.
• Verstrek een einddatum voor support.
• Documenteer de klantverantwoordelijkheden na afloop van support.

Integratie van veiligheid en beveiliging

Industriële producten hebben vaak veiligheidsvereisten (SIL-niveaus volgens IEC 61508 / ISO 13849). De CRA voegt beveiligingsvereisten toe.

SBOM voor industriële systemen

Uitdagingen bij componentidentificatie

Industriële producten bevatten vaak:

• Realtime besturingssystemen (RTOS).
• Propriëtaire firmware.
• Bibliotheken van derden (OPC UA, MQTT, Modbus-stacks).
• Hardwarecomponenten met firmware.

1. Softwarecomponenten. RTOS en kernel, protocolstacks (OPC UA, Modbus, EtherNet/IP, PROFINET), beveiligingsbibliotheken (TLS, crypto), middleware van derden en applicatiesoftware.
2. Firmware en hardwarecomponenten. Bootloader, apparaatfirmware en veldprogrammeerbare componenten. Industriële producten bevatten vaak hardwarecomponenten met ingebedde firmware die thuishoren in de SBOM. Een HBOM (Hardware Bill of Materials) documenteert hardwarecomponenten en bijbehorende firmware. Beoordeel of uw product er één nodig heeft naast de software-SBOM.
3. Diepte. Primaire componenten zijn door de fabrikant gecontroleerd, vraag SBOM's op bij leveranciers voor componenten van derden en ga zo diep als praktisch mogelijk in geneste componenten.

Complexiteit van de toeleveringsketen

Industriële producten hebben vaak complexe toeleveringsketens.

Acties:

• Werk leveranciersovereenkomsten bij met SBOM-vereisten.
• Leg een SBOM-uitwisselingsformaat met leveranciers vast.
• Stel een proces voor SBOM-integratie in.
• Documenteer beperkingen van de toeleveringsketen.

Conformiteitsbeoordeling voor industriële producten

Module B+C (EU-typeonderzoek)

Voor Belangrijk Klasse II-industriële producten:

1. Module B, typeonderzoek. De aangemelde instantie beoordeelt de volledigheid van het technisch dossier, de toereikendheid van de risicobeoordeling, de dekking van beveiligingsvereisten, een als bewijs overgelegde IEC 62443-certificering, de kwaliteit van de SBOM en testresultaten. Oplevering: EU-typeonderzoekscertificaat.
2. Module C, conformiteit met het type. De fabrikant zorgt dat de productie overeenkomt met het onderzochte type, voert interne kwaliteitsborging uit en houdt de documentatie actueel. Oplevering: zelfverklaring van conformiteit met het type.

IEC 62443-certificering gebruiken

Als u een IEC 62443-4-2-certificering heeft:

1. Indienen bij de aangemelde instantie. Dien het IEC 62443-4-2-certificaat, het bereikte Security Level (SL 1 tot SL 4), eventueel het ISASecure-certificaat en het evaluatierapport in.
2. Beoordeling door de aangemelde instantie. De aangemelde instantie erkent IEC 62443 als bewijs, verifieert de dekking van de CRA-vereisten, identificeert eventuele hiaten en kan de testomvang verminderen.
3. Aanvullend bewijs blijft nodig. SBOM (niet gedekt door IEC 62443), ENISA-meldcapaciteit voor beide meldsporen, een gedocumenteerde toezegging voor de supportperiode die de verwachte productlevensduur weerspiegelt (vijf jaar als ondergrens op grond van Artikel 13, lid 8) en gebruikersdocumentatie.

Branchespecifieke richtlijnen

Praktische compliance-routekaart

Wat geldt wanneer

Producten die al op de markt zijn

Als uw product vóór 11 december 2027 op de EU-markt is gebracht, hoeft u geen conformiteitsbeoordeling, technisch dossier of CE-markering met terugwerkende kracht toe te voegen. De grensdatum is het moment waarop het product op de markt is gebracht, niet het moment waarop het is gefabriceerd. Een exemplaar van een bestaande productlijn dat u vanaf 11 december 2027 op de EU-markt brengt, moet op het moment van verkoop volledig CRA-compliant zijn.

Een bestaand product wijzigen

Een wijziging is ingrijpend als zij de conformiteit met de essentiële cyberveiligheidsvereisten aantast of het beoogde doel wijzigt waartegen het product is beoordeeld. Een ingrijpend gewijzigd product doorloopt opnieuw de volledige CRA-compliance vanaf het moment dat het opnieuw op de markt wordt gebracht. Degene die de wijziging aanbrengt en het product opnieuw op de markt brengt, wordt voor CRA-doeleinden de fabrikant. Dit is relevant voor OT-systeemintegratoren die producten van derden wijzigen en doorverkopen.

De definitie staat in de verordening. Hoe die van toepassing is op specifieke OT-wijzigingen vereist nog verduidelijking van de Commissie.

Klasse II- en Kritieke producten: begin nu met het zoeken naar een aangemelde instantie

Lidstaten moeten tegen december 2026 voldoende capaciteit bij aangemelde instanties hebben. In de vroege overgangsperiode kan de capaciteit nog beperkt zijn. Een vertraging bij het vinden van een aangemelde instantie schuift uw CE-markeringsdeadline op. Stel dit niet uit tot 2027.

Branchebronnen

Normalisatieorganisaties

• IEC (International Electrotechnical Commission). IEC 62443-normenserie. iec.ch
• ISA (International Society of Automation). Ontwikkeling van ISA/IEC 62443, ISASecure-certificeringsprogramma. isa.org
• NAMUR (Process Industry Association). NE-aanbevelingen voor OT-beveiliging. namur.net
• NIST. Cybersecurity Framework, SP 800-82 (OT-beveiligingsgids). nist.gov

Brancheverenigingen

Als u machines met digitale elementen fabriceert, zie dan onze gids voor machinefabrikanten voor specifieke richtlijnen over dubbele compliance met de CRA en de EU-machineverordening.

Checklist voor industriële automatisering

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch advies. Raadpleeg voor specifieke compliancebegeleiding een gekwalificeerde juridisch adviseur.