Processus de développement sécurisé et exigences techniques des composants pour les fabricants d’automates, de passerelles, de logiciels de commande et de composants réseau.
La gestion de la conformité en 20 secondesProjet, prochaine étape, liste de contrôle, déclaration d’applicabilité, dossier d’audit. Beispieldaten der Demo-Firma.
Qu’est-ce que Fabricant IEC 62443?
IEC 62443-4-1 décrit comment les fabricants de composants d’automatisation industrielle mettent en place un processus de développement sécurisé : de la gestion de la sécurité à la gestion des vulnérabilités, aux mises à jour et aux avis de sécurité, en passant par le modèle de menaces, la conception et les tests. IEC 62443-4-2 définit quelles capacités techniques de sécurité un composant doit offrir par niveau de sécurité (SL-C).
État des contenus:
Suis-je concerné ?
IEC 62443-4-1 et 4-2 sont des normes, pas une obligation légale. Les clients les exigent de plus en plus dans les appels d’offres, et elles constituent une base technique naturelle pour les obligations du règlement sur la cyberrésilience et les exigences de cybersécurité du règlement Machines.
Le module s’adresse aux fabricants de composants pour l’automatisation industrielle ainsi qu’aux constructeurs de machines disposant de leur propre développement d’automates ou de logiciels. Les exploitants et intégrateurs utilisent les modules propres à leur rôle.
Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.
Base juridique
IEC 62443-4-1Processus de développement de produit sécurisé
IEC 62443-4-2Exigences techniques de sécurité des composants
Anhang I Teil I CRAAnnexe I Partie I Règlement sur la cyberrésilienceExigences de cybersécurité relatives aux propriétés des produits comportant des éléments numériques1) Les produits comportant des éléments numériques sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié en fonction des risques. 2) Sur la base de l’évaluation des risques de cybersécurité visée à l’article 13, paragraphe 2, les produits comportant des éléments numériques doivent, le cas échéant: - a) être mis à disposition sur le marché sans vulnérabilité exploitable …État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗Exigences essentielles de cybersécurité pour les produits, étroitement liées à 4-2 sur le plan technique
Anhang I Teil II CRAAnnexe I Partie II Règlement sur la cyberrésilienceExigences relatives à la gestion des vulnérabilitésLes fabricants des produits comportant des éléments numériques: 1) recensent et documentent les vulnérabilités et les composants des produits, notamment par l’établissement d’une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur des produits; 2) gèrent et corrigent sans retard les vulnérabilités qui touchent les produits …État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗Traitement des vulnérabilités, étroitement lié sur le plan technique aux pratiques DM et SUM de 4-1
Anhang III Abschn. 1.1.9 MaschinenVOAnnexe III Section 1.1.9 Règlement MachinesProtection contre la corruptionLa machine ou le produit connexe sont conçus et construits de telle sorte que le raccordement à ceux-ci d’un autre dispositif, par l’intermédiaire de toute caractéristique du dispositif connecté lui-même ou de tout dispositif distant qui communique avec la machine ou le produit connexe, ne crée pas de situation dangereuse. Un composant matériel informatique de transmission de signaux ou de données, pertinent pour le …État : 06.10.2026 · Source : EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026Ouvrir l’original (EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026) ↗Protection contre la corruption, souvent mise en œuvre pour les composants avec 4-2
Dates clés
Il n’existe pas de délais légaux pour IEC 62443 elle-même. Pour les fabricants, ce sont les délais du CRA (obligations de notification depuis le 11.09.2026, application complète à partir du 11.12.2027) et du règlement Machines (à partir du 20.01.2027) qui comptent ; vous tenez les dates à jour dans le plan de projet.
Comment Complass vous aide
Neuf phases pour les fabricants
Objectif produit et niveau de maturité, gestion de la sécurité, modèle de menaces, conception sécurisée, tests de sécurité, PSIRT, mises à jour de sécurité, lignes directrices de sécurité et exigences des composants par SL-C.
Deux catalogues
Les 47 exigences des pratiques de 4-1 et les exigences des composants de 4-2 avec affectation SL et lien avec le CRA et le règlement Machines. Chaque exigence dispose d’une aide à la mise en œuvre avec étapes, preuves et exemples issus de l’industrie ; 4-2 peut être filtré par type de composant.
SBOM, vulnérabilités et CSAF
SBOM par version de produit, rapprochement automatique avec NVD, KEV, EPSS et EUVD, évaluation VEX et avis des fabricants au format CSAF.
Modèles pour fabricants
notamment description du SDL, modèle de menaces, plan de tests de sécurité, processus PSIRT, concept de mises à jour, guide de durcissement, déclaration SL-C et correspondance avec l’annexe I du CRA.
Les phases du module
Product, role, target market and certification target
Security management in the development process (SM-1 to SM-13)
Security requirements and threat model (SR-1 to SR-5)
Secure design and secure implementation (SD-1 to SD-4, SI-1 and SI-2)
Verification and validation, security testing (SVV-1 to SVV-5)
Vulnerability handling and PSIRT (DM-1 to DM-6)
Security updates (SUM-1 to SUM-5)
Security guidelines for users and hardening guide (SG-1 to SG-7)
Technical component requirements under 62443-4-2 and proof of conformity
Catalogue: IEC 62443-4-1 – requirements for the secure development process (practices)
Recommandé pour plus d’effet Offre, pas une obligation
Business avec Gestion des actifs et zones
Plus d’effet avec Gestion des actifs et zones, Gestion des risques et Gestion de la continuité d’activité (BCM), de la place pour 10 utilisateurs et 2 référentiels.
548 € net/mois, 369 € de plus que la sélection minimale.
En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 16/10/2026.
Bon à savoir : vous pouvez aussi satisfaire ces exigences sans Complass. Complass vous accompagne dans la mise en œuvre et la preuve, mais ne remplace pas un conseil juridique. Mentions juridiques
Questions fréquentes
IEC 62443-4-2 remplace-t-elle l’évaluation de la conformité selon le CRA ?+
Non. Des normes harmonisées pour le CRA sont en préparation ; tant que leurs références ne sont pas publiées au Journal officiel, IEC 62443 n’emporte pas de présomption de conformité. Vous pouvez toutefois décrire 4-1 et 4-2 comme solution technique retenue dans la documentation technique ; le module contient pour cela un modèle de correspondance.
Les textes de la norme sont-ils inclus ?+
Non, les normes IEC sont protégées par le droit d’auteur. Complass explique les exigences avec ses propres mots et renvoie aux numéros ; vous pouvez déposer vos propres extraits de votre édition sous licence.
Ai-je besoin d’un certificat ?+
Pas obligatoirement. De nombreux fabricants commencent par une autodéclaration du SL-C et étayent le processus par leurs propres preuves. Un certificat de processus ou de produit délivré par un organisme indépendant renforce la confiance des clients ; le module aide à rassembler les preuves nécessaires.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.
