Proceso de desarrollo seguro y requisitos técnicos de componentes para fabricantes de controladores, pasarelas, software de operación y componentes de red.
Gestión del cumplimiento en 20 segundosProyecto, siguiente paso, lista de verificación, declaración de aplicabilidad, paquete de auditoría. Beispieldaten der Demo-Firma.
¿Qué es Fabricante IEC 62443?
La IEC 62443-4-1 describe cómo los fabricantes de componentes de automatización industrial establecen un proceso de desarrollo seguro: desde la gestión de la seguridad, pasando por el modelo de amenazas, el diseño y las pruebas, hasta la gestión de vulnerabilidades, las actualizaciones y los avisos de seguridad. La IEC 62443-4-2 establece qué capacidades técnicas de seguridad debe aportar un componente por nivel de seguridad (SL-C).
Actualidad de los contenidos:
¿Me afecta?
La IEC 62443-4-1 y 4-2 son normas, no una obligación legal. Los clientes las exigen cada vez más en licitaciones y constituyen una base técnica natural para las obligaciones de la Cyber Resilience Act y los requisitos de ciberseguridad del Reglamento de máquinas.
El módulo se dirige a fabricantes de componentes para la automatización industrial y a constructores de máquinas con desarrollo propio de controladores o software. Los operadores e integradores utilizan los módulos propios de su rol.
Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.
Base jurídica
IEC 62443-4-1Ciclo de vida de desarrollo seguro del producto
IEC 62443-4-2Requisitos técnicos de seguridad de los componentes
Anhang I Teil I CRAAnexo I Parte I Reglamento de CiberresilienciaRequisitos de ciberseguridad relativos a las propiedades de los productos con elementos digitales1) Los productos con elementos digitales se diseñarán, desarrollarán y producirán de manera que garanticen un nivel adecuado de ciberseguridad sobre la base de los riesgos existentes. 2) Sobre la base de la evaluación de riesgos de ciberseguridad a la que hace referencia el artículo 13, apartado 2, y cuando proceda, los productos con elementos digitales: - a) se comercializarán sin vulnerabilidades aprovechables …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Requisitos esenciales de ciberseguridad de los productos, estrechamente relacionados con la 4-2
Anhang I Teil II CRAAnexo I Parte II Reglamento de CiberresilienciaRequisitos de gestión de las vulnerabilidadesLos fabricantes de los productos con elementos digitales: 1) identificarán y documentarán las vulnerabilidades y los componentes presentes en el producto con elementos digitales, también mediante la elaboración de una nomenclatura de materiales de los programas informáticos en un formato comúnmente utilizado y legible por máquina, que incluya, como mínimo, las dependencias de máximo nivel del producto; 2) por lo que …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Gestión de vulnerabilidades, estrechamente relacionada con las prácticas DM y SUM de la 4-1
Anhang III Abschn. 1.1.9 MaschinenVOAnexo III Sección 1.1.9 Reglamento de máquinasProtección contra la corrupciónLa máquina o el producto relacionado se diseñarán y fabricarán de manera que la conexión con otro dispositivo, a través de cualquier característica del propio dispositivo conectado o a través de un dispositivo remoto que se comunique con la máquina o el producto relacionado, no provoque situaciones peligrosas. El componente de hardware trasmisor de señales o datos pertinente para la conexión o el acceso al software …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026Abrir el original (EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026) ↗Protección contra la corrupción, a menudo aplicada para componentes con la 4-2
Fechas clave
Para la IEC 62443 en sí no hay plazos legales. Para los fabricantes cuentan los plazos de la CRA (obligaciones de notificación desde el 11.09.2026, plena aplicación a partir del 11.12.2027) y del Reglamento de máquinas (a partir del 20.01.2027); las fechas las gestiona en el plan de proyecto.
Cómo le ayuda Complass
Nueve fases para fabricantes
Objetivo del producto y nivel de madurez, gestión de la seguridad, modelo de amenazas, diseño seguro, pruebas de seguridad, PSIRT, actualizaciones de seguridad, directrices de seguridad y requisitos de componentes por SL-C.
Dos catálogos
Los 47 requisitos de las prácticas de la 4-1 y los requisitos de componentes de la 4-2 con asignación de SL y relación con la CRA y el Reglamento de máquinas. Para cada requisito hay una ayuda de aplicación con pasos, evidencias y ejemplos de la industria; la 4-2 puede filtrarse por tipo de componente.
SBOM, vulnerabilidades y CSAF
SBOM por versión de producto, contraste automático con NVD, KEV, EPSS y EUVD, valoración VEX y avisos de fabricantes en formato CSAF.
Plantillas para fabricantes
entre otras: descripción del SDL, modelo de amenazas, plan de pruebas de seguridad, proceso PSIRT, concepto de actualizaciones, guía de bastionado, declaración SL-C y contraste con el anexo I de la CRA.
Las fases del módulo
Product, role, target market and certification target
Security management in the development process (SM-1 to SM-13)
Security requirements and threat model (SR-1 to SR-5)
Secure design and secure implementation (SD-1 to SD-4, SI-1 and SI-2)
Verification and validation, security testing (SVV-1 to SVV-5)
Vulnerability handling and PSIRT (DM-1 to DM-6)
Security updates (SUM-1 to SUM-5)
Security guidelines for users and hardening guide (SG-1 to SG-7)
Technical component requirements under 62443-4-2 and proof of conformity
Catálogo: IEC 62443-4-1 – requirements for the secure development process (practices)
Recomendado para mayor efecto Oferta, no una obligación
Business con Gestión de activos y zonas
Más efecto con Gestión de activos y zonas, Gestión de riesgos y Gestión de la continuidad de negocio (BCM), espacio para 10 usuarios y 2 marcos normativos.
548 € netos/mes, 369 € más que la selección mínima.
Con pago anual, permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. Todos los precios sin IVA, a fecha de 16/10/2026.
Conviene saber: Puede cumplir los requisitos también sin Complass. Complass le apoya en la implementación y la acreditación, pero no sustituye el asesoramiento jurídico. Avisos legales
Preguntas frecuentes
¿Sustituye la IEC 62443-4-2 a la evaluación de la conformidad conforme a la CRA?+
No. Las normas armonizadas de la CRA están en preparación; mientras sus referencias no se publiquen en el Diario Oficial, la IEC 62443 no establece presunción de conformidad. No obstante, puede describir la 4-1 y la 4-2 como solución técnica elegida en la documentación técnica; el módulo incluye para ello una plantilla de contraste.
¿Se incluyen los textos de la norma?+
No, las normas IEC están protegidas por derechos de autor. Complass explica los requisitos con palabras propias y remite a los números; puede guardar extractos propios de su edición con licencia.
¿Necesito un certificado?+
No necesariamente. Muchos fabricantes empiezan con una autodeclaración sobre el SL-C y acreditan el proceso con evidencias propias. Un certificado de proceso o de producto expedido por un organismo independiente refuerza la confianza de los clientes; el módulo ayuda a reunir las evidencias para ello.
Pruebe Complass con sus propios datos
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.
