Processo de desenvolvimento seguro e requisitos técnicos de componentes para fabricantes de controladores, gateways, software de operação e componentes de rede.
Gestão da conformidade em 20 segundosProjeto, próximo passo, lista de verificação, declaração de aplicabilidade, pacote de auditoria. Beispieldaten der Demo-Firma.
O que é Fabricante IEC 62443?
A IEC 62443-4-1 descreve como os fabricantes de componentes de automação industrial constroem um processo de desenvolvimento seguro: da gestão de segurança, passando pelo modelo de ameaças, conceção e testes, até ao tratamento de vulnerabilidades, atualizações e avisos de segurança. A IEC 62443-4-2 define que capacidades técnicas de segurança um componente tem de apresentar por nível de segurança (SL-C).
Atualidade dos conteúdos:
Aplica-se ao meu caso?
A IEC 62443-4-1 e 4-2 são normas, não obrigações legais. Os clientes exigem-nas cada vez mais em concursos, e são uma base técnica natural para as obrigações do Cyber Resilience Act e para os requisitos de cibersegurança do Regulamento Máquinas.
O módulo dirige-se a fabricantes de componentes para a automação industrial, bem como a construtores de máquinas com desenvolvimento próprio de controladores ou software. Operadores e integradores usam os módulos próprios para a sua função.
Esta panorâmica não substitui aconselhamento jurídico. O texto legal ou normativo é o que faz fé; no Complass, verifica a aplicabilidade com orientações baseadas nas referências.
Base jurídica
IEC 62443-4-1Processo de desenvolvimento seguro de produtos
IEC 62443-4-2Requisitos técnicos de segurança para componentes
Anhang I Teil I CRAAnexo I Parte I Regulamento de Ciber-ResiliênciaRequisitos de cibersegurança relativos às propriedades dos produtos com elementos digitais1) Os produtos com elementos digitais devem ser concebidos, desenvolvidos e produzidos de modo a garantir um nível adequado de cibersegurança com base nos riscos. 2) Com base na avaliação dos riscos de cibersegurança referida no artigo 13.o, n.o 2, e se for caso disso, os produtos com elementos digitais devem: - a) Ser disponibilizados no mercado sem nenhuma vulnerabilidade passível de ser explorada conhecida; - b) …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Requisitos essenciais de cibersegurança para produtos, tecnicamente muito próximos da 4-2
Anhang I Teil II CRAAnexo I Parte II Regulamento de Ciber-ResiliênciaRequisitos de tratamento de vulnerabilidadesOs fabricantes de produtos com elementos digitais devem: 1) Identificar e documentar vulnerabilidades e componentes existentes nos produtos com elementos digitais, nomeadamente elaborando uma lista de materiais do software num formato de uso corrente e legível por máquina que abranja, pelo menos, as dependências de nível superior dos produtos; 2) Em relação aos riscos que os produtos com elementos digitais …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Tratamento de vulnerabilidades, tecnicamente muito próximo das práticas DM e SUM da 4-1
Anhang III Abschn. 1.1.9 MaschinenVOAnexo III Secção 1.1.9 Regulamento MáquinasProteção contra a corrupçãoA máquina ou o produto conexo devem ser concebidos e fabricados de modo a que a ligação de outro dispositivo a essa máquina, seja por meio de uma funcionalidade do próprio dispositivo ligado seja por meio de um dispositivo remoto que comunique com a máquina ou o produto conexo, não dê origem a uma situação perigosa. Os componentes de hardware para transmitir sinal ou dados, pertinentes para a ligação ou o acesso a …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026Abrir o original (EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026) ↗Proteção contra corrupção, para componentes frequentemente implementada com a 4-2
Datas-chave
Para a própria IEC 62443 não existem prazos legais. Para fabricantes contam os prazos do CRA (obrigações de notificação desde 11.09.2026, plena aplicação a partir de 11.12.2027) e do Regulamento Máquinas (a partir de 20.01.2027); as datas são mantidas no plano do projeto.
Como o Complass ajuda
Nove fases para fabricantes
Objetivo do produto e nível de maturidade, gestão de segurança, modelo de ameaças, conceção segura, testes de segurança, PSIRT, atualizações de segurança, diretrizes de segurança e requisitos de componentes por SL-C.
Dois catálogos
Todos os 47 requisitos das práticas da 4-1 e os requisitos de componentes da 4-2 com atribuição de SL e ligação ao CRA e ao Regulamento Máquinas. Para cada requisito há uma ajuda de implementação com passos, evidências e exemplos da indústria; a 4-2 pode ser filtrada por tipo de componente.
SBOM, vulnerabilidades e CSAF
SBOM por versão de produto, comparação automática com NVD, KEV, EPSS e EUVD, avaliação VEX e avisos do fabricante em formato CSAF.
Modelos para fabricantes
entre outros: descrição do SDL, modelo de ameaças, plano de testes de segurança, processo PSIRT, conceito de atualização, guia de endurecimento, declaração SL-C e correspondência com o anexo I do CRA.
As fases no módulo
Product, role, target market and certification target
Security management in the development process (SM-1 to SM-13)
Security requirements and threat model (SR-1 to SR-5)
Secure design and secure implementation (SD-1 to SD-4, SI-1 and SI-2)
Verification and validation, security testing (SVV-1 to SVV-5)
Vulnerability handling and PSIRT (DM-1 to DM-6)
Security updates (SUM-1 to SUM-5)
Security guidelines for users and hardening guide (SG-1 to SG-7)
Technical component requirements under 62443-4-2 and proof of conformity
Catálogo: IEC 62443-4-1 – requirements for the secure development process (practices)
Recomendado para maior impacto Oferta, não uma obrigação
Business com Gestão de ativos e zonas
Mais impacto com Gestão de ativos e zonas, Gestão de riscos e Gestão da continuidade de negócio (BCM), capacidade para 10 utilizadores e 2 referenciais.
548 € líquidos/mês, mais 369 € do que a seleção mínima.
Com pagamento anual, duração mínima de 12 meses. Pagamento mensal com um acréscimo de 15 %. Todos os preços sem IVA, atualizados a 16/10/2026.
Bom saber: Pode cumprir os requisitos também sem o Complass. O Complass apoia-o na implementação e na evidência, mas não substitui aconselhamento jurídico. Informações legais
Perguntas frequentes
A IEC 62443-4-2 substitui a avaliação da conformidade nos termos do CRA?+
Não. As normas harmonizadas para o CRA estão em preparação; enquanto as suas referências não forem publicadas no Jornal Oficial, a IEC 62443 não estabelece presunção de conformidade. Pode, porém, descrever a 4-1 e a 4-2 como solução técnica escolhida na documentação técnica; o módulo contém para isso um modelo de correspondência.
Os textos da norma estão incluídos?+
Não, as normas IEC estão protegidas por direitos de autor. O Complass explica os requisitos por palavras próprias e remete para os números; pode guardar excertos próprios da sua edição licenciada.
Preciso de um certificado?+
Não necessariamente. Muitos fabricantes começam com uma autodeclaração de SL-C e comprovam o processo com evidências próprias. Um certificado de processo ou de produto emitido por um organismo independente reforça a confiança dos clientes; o módulo ajuda a reunir as evidências para isso.
Teste o Complass com os seus próprios dados
Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.
