IEC 62443 : la norme de référence pour la cybersécurité industrielle
La famille de normes IEC 62443 (« Industrial communication networks – IT security for networks and systems ») s’impose comme le référentiel international de cybersécurité pour les systèmes de contrôle industriels (ICS). Adoptée comme norme européenne EN IEC 62443, elle est désormais référencée dans plusieurs textes réglementaires européens, notamment la directive NIS2 (Network and Information Systems) et le règlement Cyber Resilience Act (CRA).
Pour les tableautiers — fournisseurs d’équipements souvent connectés au réseau OT (Operational Technology) — IEC 62443 devient un critère de sélection par les donneurs d’ordre industriels, particulièrement dans les secteurs sensibles : énergie, eau, agroalimentaire, transport, santé.
Structure de la norme et parties pertinentes
La famille IEC 62443 est structurée en quatre groupes : IEC 62443-1 (concepts et terminologie), IEC 62443-2 (politiques et procédures), IEC 62443-3 (exigences système) et IEC 62443-4 (exigences composant). Pour les tableautiers, les parties les plus pertinentes sont IEC 62443-3-3 (exigences de sécurité pour les systèmes) et IEC 62443-4-1/4-2 (cycle de vie et exigences techniques des composants).
La norme définit 7 exigences fondamentales (Foundational Requirements) : Identification & Authentification, Contrôle d’usage, Intégrité système, Confidentialité, Restriction du flux de données, Réponse temporelle aux événements, Disponibilité des ressources. Chaque exigence est déclinée en 4 niveaux de sécurité (SL 1 à SL 4) selon le profil de menace.
Impact concret sur la conception des armoires
Une armoire conforme IEC 62443 intègre plusieurs éléments. Au niveau matériel : ports de communication sécurisés (déactivation des ports inutilisés, scellés physiques), modules de cryptographie pour l’authentification, journalisation des accès, gestion des certificats. Au niveau logiciel : firmware signé, mécanismes de mise à jour sécurisée, segmentation réseau (VLAN, pare-feu industriel), gestion des comptes utilisateurs avec authentification forte.
Les fabricants de composants (Siemens, Schneider, Rockwell, Phoenix Contact) proposent désormais des gammes certifiées IEC 62443-4-2. Le tableautier peut composer son armoire avec ces briques certifiées pour atteindre le niveau de sécurité système (SL) requis par le client.
Certification et démarche d’entreprise
Pour devenir fournisseur reconnu IEC 62443, l’entreprise tableautière doit elle-même obtenir une certification de son processus de développement (IEC 62443-4-1). Cette démarche couvre : la formation des équipes, la sécurisation du cycle de développement (Security Development Lifecycle), les processus de gestion des vulnérabilités et la communication avec les clients en cas d’incident. Les organismes certifiants (TÜV, Bureau Veritas, ISA Secure) auditent ces processus.
L’investissement (formation, mise en place du SDL, audit initial) représente 30 000 à 80 000 € pour une PME. Il est rentabilisé par l’accès à des marchés industriels exigeants et par la valorisation d’une expertise différenciante.
Calendrier et obligations 2026-2027
La directive NIS2, transposée en droit français, oblige les « entités essentielles » et « entités importantes » à respecter des règles de cybersécurité strictes. Les armoires électriques de ces clients devront répondre à des exigences alignées sur IEC 62443. Le Cyber Resilience Act, applicable à partir de fin 2027, étendra ces obligations aux produits connectés mis sur le marché européen. Les tableautiers qui anticipent ces évolutions captent l’avantage du premier entrant.
Questions fréquentes
- IEC 62443 est-elle obligatoire pour tous les tableautiers ?
- Non, elle est obligatoire pour les fournisseurs d'équipements destinés à des "entités essentielles ou importantes" sous NIS2 (énergie, eau, transport, santé) et progressivement pour tous les produits connectés via Cyber Resilience Act (fin 2027).
- Quel est le niveau de sécurité (SL) le plus courant ?
- SL 2 est le niveau le plus demandé en industrie courante. SL 3 pour les infrastructures critiques. SL 4 est rare et concerne les environnements à très haute menace (défense, nucléaire).
- Mes composants Siemens/Schneider sont-ils déjà certifiés ?
- Oui, les gammes récentes des principaux fabricants intègrent des composants certifiés IEC 62443-4-2. Vérifier le marquage et la documentation produit pour chaque référence.
- Faut-il un audit annuel pour maintenir la certification ?
- Oui, la certification IEC 62443-4-1 (processus entreprise) est soumise à des audits de surveillance annuels et un renouvellement complet tous les 3 ans.
