Gå tillbaka

IEC 62443

Vad är IEC 62443?

IEC 62443 är en internationell standardserie för cybersäkerhet i industriella automations- och styrsystem (IACS – Industrial Automation and Control Systems). Standarden beskriver hur säkerhet i OT-miljöer ska kravställas, designas, implementeras och underhållas – över hela kedjan från anläggningsägare till systemintegratörer och produkttillverkare. IEC 62443 brukar kallas OT-världens motsvarighet till ISO 27001.

Betydelsen av IEC 62443

Klassiska IT-säkerhetsramverk fungerar dåligt rakt av i industrimiljöer: de förutsätter att system kan patchas löpande, startas om och skyddas med agenter – villkor som sällan gäller för industriella styrsystem med decennielånga livscykler och hårda tillgänglighetskrav. IEC 62443 fyller det gapet med en metodik anpassad för OT:s verklighet, där säkerheten byggs i arkitekturen kring systemen snarare än inuti dem.

Standardens betydelse har ökat kraftigt i och med NIS2-direktivet. NIS2 kräver att samhällsviktiga verksamheter – energi, vatten, transporter, tillverkning med flera – riskhanterar och skyddar sina nät- och informationssystem, vilket uttryckligen inkluderar OT. Direktivet pekar inte ut en specifik standard, men IEC 62443 har i praktiken blivit det vedertagna sättet att visa att OT-säkerheten hanteras systematiskt. Allt fler upphandlingar kräver dessutom att leverantörer och produkter är certifierade enligt standarden.

Så fungerar IEC 62443

Standardserien består av flera delar, grupperade efter målgrupp, med några bärande koncept:

Roller: kraven riktas mot anläggningsägare (drift och styrning), systemintegratörer (design och implementation) och produkttillverkare (säker utveckling) – säkerhet är ett delat ansvar genom leverantörskedjan.
Zoner och conduits: anläggningen delas in i zoner med likartade säkerhetsbehov, och all kommunikation mellan zoner sker genom kontrollerade förbindelser (conduits) – grunden för segmentering, i linje med Purdue-modellen.
Säkerhetsnivåer (SL 1–4): varje zon tilldelas en målnivå baserad på riskbedömning, från skydd mot tillfälliga misstag (SL 1) till skydd mot resursstarka, riktade angripare (SL 4).
Grundkrav: sju fundamentala kravområden, bland annat identifiering och autentisering, dataintegritet, begränsat dataflöde och tillgänglighet vid angrepp.
Livscykel: krav på säker utveckling (62443-4-1), systemkrav (62443-3-3) och löpande drift, patchhantering och incidentberedskap hos ägaren.

Fördelar med IEC 62443

Standarden ger gemensamt språk – ägare, integratörer och tillverkare kan kravställa och leverera mot samma definitioner, riskbaserad prioritering – säkerhetsnivåer styr insatserna dit riskerna finns, upphandlingsstöd – certifierade produkter och leverantörer kan efterfrågas konkret, NIS2-stöd – ett systematiskt sätt att visa efterlevnad för OT-delen, samt realistiska krav – metodik anpassad för system som inte kan hanteras som vanlig IT.

IEC 62443 och Advania

Advania hjälper organisationer att tillämpa IEC 62443 i praktiken – från gap-analys och riskbedömning till zonindelning, segmenteringsdesign och styrande dokumentation som knyter ihop OT-säkerheten med övrigt lednings- och NIS2-arbete. Vi arbetar rådgivande så att kraven omsätts i åtgärder som fungerar i verklig drift.

Vanliga frågor och svar om IEC 62443

Vad är skillnaden mellan IEC 62443 och ISO 27001?

ISO 27001 är ett ledningssystem för informationssäkerhet i hela organisationen, medan IEC 62443 är teknik- och processkrav specifikt för industriella styrsystem. De kompletterar varandra: många organisationer styr helheten med ISO 27001 och hanterar OT-miljön enligt IEC 62443.

Är IEC 62443 obligatoriskt enligt NIS2?

Nej, NIS2 kräver riskbaserade säkerhetsåtgärder men föreskriver ingen specifik standard. I praktiken har IEC 62443 blivit det etablerade sättet att strukturera och bevisa OT-säkerhetsarbetet, och standarden refereras allt oftare i upphandlingar och tillsyn.

Vad betyder zoner och conduits?

Zoner är grupper av system med likartade säkerhetsbehov – till exempel ett produktionsavsnitt. Conduits är de kontrollerade kommunikationsvägarna mellan zoner, typiskt genom brandväggar. Modellen tvingar fram segmentering så att ett intrång i en zon inte sprider sig fritt.

Kan man certifiera sig mot IEC 62443?

Ja. Produkter kan certifieras (bl.a. enligt 62443-4-2), utvecklingsprocesser enligt 62443-4-1 och system samt tjänsteleverantörer mot andra delar, via certifieringsprogram som ISASecure. För anläggningsägare handlar det oftare om att tillämpa standarden som ramverk än om formell certifiering.

Viktiga punkter att ta med sig om IEC 62443

OT:s säkerhetsstandard: den ledande internationella standarden för cybersäkerhet i industriella styrsystem.
Hela kedjan: ställer krav på anläggningsägare, systemintegratörer och produkttillverkare.
Zoner och conduits: segmentering med kontrollerade förbindelser är arkitekturens kärna.
Fyra säkerhetsnivåer: riskbedömning avgör hur starkt varje zon ska skyddas (SL 1–4).
NIS2-nyckel: det vedertagna sättet att visa att OT-säkerheten hanteras systematiskt.