Ciberseguridad OT
IEC 62443: qué partes aplican según CRA, Máquinas y NIS2
Por Raúl Bricio, CEO de Enbra Engineering ·
La ISA/IEC 62443 es la referencia en ciberseguridad industrial. Pero no es una norma, es una familia de 15 documentos, y nadie necesita aplicarlos todos. Lo que te toca depende de tu papel: fabricas componentes, construyes máquinas, integras sistemas u operas la planta.
Cómo está organizada la familia
La 62443 se divide en cuatro grupos:
| Grupo | Partes | Para quién |
|---|---|---|
| General | 1-1 a 1-5 | Todos. Terminología, conceptos, métricas y ciclo de vida. |
| Políticas y procedimientos | 2-1 a 2-5 | Propietario de la instalación y proveedores de servicio (integradores, mantenimiento). |
| Sistema | 3-1 a 3-3 | Integrador y propietario. Análisis de riesgos y requisitos técnicos del sistema. |
| Componente | 4-1 y 4-2 | Fabricante de producto: PLC, HMI, switches, software. |
Tres conceptos que hay que tener claros
Zonas y conductos. El sistema se divide en zonas con requisitos de seguridad comunes. Los conductos son las comunicaciones entre ellas. Es la base de toda la arquitectura.
Niveles de seguridad (SL 1 a 4). Indican frente a qué tipo de atacante protege una zona. Se distingue entre el nivel objetivo (SL-T), el que es capaz de dar un componente o sistema (SL-C) y el que se alcanza realmente (SL-A).
Roles. La norma separa al propietario de la instalación, al integrador o proveedor de servicio y al fabricante de producto. Cada uno tiene sus partes.
Qué partes aplican en cada caso
| Parte | CRA | Reglamento de Máquinas | Planta / NIS2 |
|---|---|---|---|
| 2-1 Programa de seguridad del propietario | ● | ||
| 2-3 Gestión de parches | ● | ● | |
| 3-2 Análisis de riesgos (zonas y conductos) | ● | ● | |
| 3-3 Requisitos de sistema y niveles SL | ● | ● | |
| 4-1 Ciclo de desarrollo seguro | ● | ||
| 4-2 Requisitos técnicos de componentes | ● | ● |
Las partes del grupo 1 son base común en los tres casos.
Cyber Resilience Act: si fabricas productos con elementos digitales
El Reglamento (UE) 2024/2847 obliga a los fabricantes a diseñar productos seguros y a mantenerlos durante su vida útil. Las obligaciones de notificación de vulnerabilidades e incidentes se aplican desde el 11 de septiembre de 2026, y el resto del reglamento desde el 11 de diciembre de 2027.
- 4-1: proceso de desarrollo seguro.
- 4-2: requisitos técnicos del producto.
- 2-3: gestión de vulnerabilidades y actualizaciones.
Las normas armonizadas del CRA todavía están en desarrollo. Hoy la 62443 es la referencia técnica más cercana.
Reglamento de Máquinas: si construyes máquinas
El Reglamento (UE) 2023/1230 se aplica desde el 20 de enero de 2027 e introduce la ciberseguridad en los requisitos esenciales. Los puntos 1.1.9 (protección contra la corrupción) y 1.2.1 (seguridad y fiabilidad de los sistemas de mando) del Anexo III obligan a tener en cuenta los ataques a la máquina. La prEN 50742, todavía en elaboración, desarrolla estos requisitos y se apoya en la 62443.
- 3-2: el análisis de riesgos ciber se integra en la evaluación de riesgos de la máquina y queda en el expediente técnico.
- 3-3: requisitos para el sistema de control de la máquina.
- 4-2: lo que hay que exigir a los componentes que montas.
Planta segura y NIS2: si operas la instalación
La Directiva NIS2 exige a las entidades esenciales e importantes gestionar el riesgo, la cadena de suministro y los incidentes. En el entorno OT eso se traduce en:
- 2-1: programa de seguridad de la instalación.
- 2-3: gestión de parches en los sistemas de control.
- 3-2: análisis de riesgos por zonas y conductos.
- 3-3: requisitos técnicos del sistema.
Si contratas integradores o mantenimiento, la 2-4 define qué tienes que pedirles.
Por dónde empezar
- Identifica tu rol. Puedes tener más de uno: muchos fabricantes de máquinas también integran.
- Si eres propietario o fabricante de máquinas, empieza por la 3-2. Inventario, zonas y conductos, y nivel objetivo para cada zona. Todo lo demás se dimensiona a partir de ahí.
- Si fabricas producto, empieza por la 4-1. Sin un proceso de desarrollo seguro, el cumplimiento de la 4-2 no se sostiene.
En Enbra trabajamos con toda la familia 62443: análisis de riesgos según la 3-2, requisitos de la 3-3, GAP analysis frente al CRA y al Reglamento de Máquinas, y acompañamiento en las FAT. Si quieres ver qué partes te aplican, contacta con nosotros.