Article · 4 novembre 2026
IEC 62443 : la norme de cybersécurité industrielle à l'heure du CRA
IEC 62443 expliquée : parties de la série par rôle, niveaux de sécurité SL 1 à SL 4, zones et conduits, certification et lien avec le Cyber Resilience Act.
IEC 62443 est la série de normes internationales dédiée à la sécurité des systèmes d'automatisme et de contrôle industriels (IACS). Volontaire, elle devient la voie la plus naturelle vers le Cyber Resilience Act pour les produits industriels. Mais un certificat IEC 62443 ne suffira pas : il faudra s'aligner sur sa future version harmonisée, EN IEC 62443, attendue fin 2026 ou début 2027.
Une série, pas une norme
IEC 62443 est développée conjointement par le comité ISA99 et l'IEC. Elle couvre les aspects organisationnels et techniques de la sécurité sur tout le cycle de vie d'un système industriel, en quatre familles : concepts généraux (1-x), politiques et procédures (2-x), exigences système (3-x) et exigences composants (4-x) (IEC).
Chaque acteur ne lit qu'une partie de la série :
| Rôle | Parties à maîtriser | Ce que vous produisez |
|---|---|---|
| Exploitant (asset owner) | 2-1, 3-2, 3-3, et 2-4 pour encadrer ses prestataires | Programme de sécurité, découpage en zones et conduits, niveaux de sécurité cibles |
| Intégrateur ou mainteneur | 2-4, 3-2, 3-3 | Système livré et maintenu au niveau demandé par l'exploitant |
| Fabricant de produits | 4-1, 4-2 | Cycle de développement sécurisé, composants au niveau de capacité annoncé |
Source : BD Emerson, d'après le guide de démarrage de l'ISA.
Quatre notions à connaître
- Sept exigences fondamentales (FR) : identification et authentification, contrôle d'usage, intégrité du système, confidentialité des données, restriction des flux, réponse aux événements, disponibilité des ressources (IEC).
- Niveaux de sécurité SL 1 à SL 4 : ils se définissent par l'attaquant à contrer, de l'erreur fortuite (SL 1) à l'attaquant sophistiqué, très motivé et doté de moyens importants (SL 4). On distingue le niveau cible (SL-T), le niveau de capacité d'un produit (SL-C) et le niveau atteint en exploitation (SL-A) (BD Emerson).
- Zones et conduits : la partie 3-2 découpe l'installation en zones d'actifs de même niveau de risque, reliées par des conduits qui portent leurs propres contrôles.
- Mesures compensatoires : un équipement ancien qui ne supporte pas une exigence peut atteindre le niveau visé grâce à une mesure de substitution, ce qui rend la norme applicable aux sites existants (IEC).
Les éditions qui comptent en 2026
La partie 2-1 (programme de sécurité de l'exploitant) est parue en 2e édition en 2024 : elle s'organise désormais en éléments de programme, ajoute un modèle de maturité et supprime les doublons avec un SMSI de type ISO 27001. La partie 2-4 (prestataires) est en 2e édition depuis 2023.
Côté fabricants, 4-1 (2018) et 4-2 (2019) restent les références, l'IEC n'en prévoyant pas de révision avant 2027 (BD Emerson).
Comment Domyno le traite
Un seul référentiel, des agents qui préparent le travail et un expert dédié qui valide.
IEC 62443 et CRA : proche, mais pas équivalent
Sous l'article 27 du CRA, seule une norme harmonisée citée au Journal officiel de l'UE donne une présomption de conformité. Un certificat IEC 62443 reste une preuve utile dans la documentation technique, sans plus.
Une analyse JRC-ENISA de 2024 confirme que 4-1 et 4-2 couvrent une grande partie des exigences du CRA, mais uniquement pour les systèmes industriels. Restent à produire : l'analyse de risque cyber du produit, la SBOM, la période de support et le processus de signalement de l'article 14 (BD Emerson).
La version harmonisée est en cours de rédaction au CENELEC (groupe TC65X WG3), sous la forme d'un document de « delta requirements » qui liste les ajouts nécessaires à 4-1 et 4-2. La publication de l'EN IEC 62443 est attendue fin 2026 ou début 2027, ce qui laisserait moins de 12 mois aux fabricants avant décembre 2027.
Exemple de delta discuté : séparer les mises à jour de sécurité des mises à jour fonctionnelles, difficile pour les applications cloud (exida).
Certification
Les certificats sont délivrés par des organismes accrédités, principalement via le programme ISASecure (SDLA pour le cycle de développement, CSA pour les composants, SSA pour les systèmes, ICSA pour l'IIoT, ACSSA pour les sites exploitants) et via le programme de cybersécurité industrielle de l'IECEE (BD Emerson).
Par où commencer
Vous êtes fabricant :
- Évaluez votre processus de développement contre 4-1 et chaque gamme contre 4-2.
- Construisez un modèle de menaces par produit, réutilisable pour l'analyse de risque CRA.
- Fixez un niveau de capacité cible (SL-C) selon l'usage de vos clients.
- Suivez les « delta requirements » de l'EN IEC 62443 sans attendre la version finale.
Vous êtes exploitant :
- Consolidez l'inventaire de vos actifs industriels.
- Découpez l'installation en zones et conduits et menez l'analyse de risque 3-2.
- Intégrez les exigences 2-4 dans vos contrats d'intégration et de maintenance.
- Pilotez le tout dans un programme 2-1, articulé avec vos obligations NIS2.
Comment Domyno vous accompagne
Exploitant, intégrateur ou fabricant : Domyno s'adapte à votre réalité industrielle avec une souplesse incroyable. Grâce au custom framework, vous déclinez IEC 62443 selon les seules parties qui vous concernent, vous y ajoutez vos exigences internes ou celles de vos clients, et vous intégrez les « delta requirements » de l'EN IEC 62443 dès qu'ils évoluent.
Le plan de contrôle organise ensuite la mise en œuvre : chaque exigence devient un contrôle avec un responsable, une échéance et des preuves, suivi jusqu'à l'audit. Autour, toute la plateforme travaille pour vous : inventaire des actifs, analyse de risques, gestion des vulnérabilités, des fournisseurs et des incidents, plans de continuité et de reprise.
Ajoutez à cela l'IA de Domyno et un expert conformité dédié, et vous pilotez IEC 62443, ISO 27001, NIS2 et le CRA depuis un seul outil.