En este artículo9 min de lectura
IEC 62443 aparece en las conversaciones sobre ciberseguridad industrial como si fuera una cosa: una norma que se cumple o no se cumple, y que se certifica. No es así, y esa simplificación lleva a gastar dinero en el sitio equivocado.
Es una serie de documentos que reparten responsabilidades entre tres actores distintos: quien fabrica los equipos, quien integra el sistema y quien opera la planta. Buena parte de lo que se publica mezcla los tres caminos, y el resultado es que un director de fábrica acaba pidiendo presupuesto de una certificación que su empresa no puede obtener.
Esta guía explica qué cubre cada parte, qué te toca a ti si usas maquinaria en lugar de fabricarla, y qué se puede hacer con esto de manera realista.
La serie tiene cuatro familias y solo dos te afectan si usas maquinaria
| Familia | De qué trata | A quién va dirigida |
|---|---|---|
| 1-x, general | Conceptos, terminología y modelos | A todos |
| 2-x, políticas y procedimientos | El programa de seguridad de quien opera la planta y el de quien presta servicios | Propietario de la planta e integradores |
| 3-x, sistema | Análisis de riesgo del diseño, zonas y conductos, y requisitos técnicos del sistema | Diseño de la instalación y suministradores de sistemas |
| 4-x, componente | Desarrollo seguro de producto y requisitos técnicos de los componentes | Fabricantes de equipos |
Dentro de esas familias, las dos partes que de verdad importan a una planta son la 2-1, que define los requisitos del programa de seguridad del propietario de los activos, y la 3-2, que es el análisis de riesgo para el diseño y la que manda partir la instalación en zonas y conductos.
Un apunte que dice mucho del estado de la serie: la parte 3-3, que define los requisitos técnicos de sistema y los niveles de seguridad, es la más citada de todas y sigue en su primera edición, de 2013.
Tu planta no se puede certificar en la 62443-4-2, eso es del fabricante
INCIBE lo dice sin rodeos al hablar de la parte de componentes: la certificación solo la pueden hacer los propios fabricantes. Lo que obtiene el propietario de la planta es la garantía de que los dispositivos que instala traen unas funciones mínimas de seguridad.
Repartido por partes, quién pide qué:
| Parte | Qué certifica | Quién la solicita |
|---|---|---|
| 4-1 | Que el proceso de desarrollo del producto es seguro | El fabricante del equipo |
| 4-2 | Que el componente cumple requisitos técnicos de seguridad | El fabricante del equipo |
| 3-3 | Que un sistema integrado cumple requisitos de seguridad | El suministrador del sistema, no la planta que lo compra |
| 2-4 | Que un proveedor de servicios trabaja con un programa de seguridad | Integradores y mantenedores |
| 2-1 | El programa de seguridad de quien opera la instalación | El propietario de los activos |
Hasta hace poco no había ninguna figura pensada para una planta usuaria. La hay desde el 17 de febrero de 2026: un esquema de evaluación del emplazamiento, dirigido a propietarios de activos, que mira el sistema de control desplegado, las políticas y procedimientos, los roles y la formación del personal y la gestión de los proveedores de servicio.
Es tan reciente que la propia organización que lo publica reconocía en agosto de 2026 que casi ningún propietario de activos lo ha implantado por completo y que casi ninguna organización lo ha hecho igual que otra.
Ninguna norma europea exige hoy IEC 62443, aunque lo leas por todas partes
Conviene decirlo porque circula mucho lo contrario.
La directiva NIS2 no cita IEC 62443. El reglamento europeo que desarrolla las medidas técnicas de NIS2 tampoco, y además solo aplica a proveedores digitales, nube, centros de datos y servicios gestionados, no a la industria manufacturera. La guía técnica que ENISA publicó en junio de 2025 para ese reglamento tampoco la cita. Y el reglamento europeo de ciberresiliencia tampoco. Todas remiten a la familia ISO 27000.
Lo que sí está documentado es hacia dónde va la cosa. El organismo europeo de normalización está adaptando la serie EN IEC 62443 a normas armonizadas del reglamento de ciberresiliencia, con enmiendas a las partes 4-1 y 4-2 y seis perfiles de seguridad para categorías concretas de producto, con fecha objetivo del 30 de octubre de 2026.
La diferencia entre las dos frases es importante. «NIS2 exige 62443» es falso. «62443 va camino de ser la vía de conformidad para productos industriales en Europa» está documentado, y es la razón por la que a tu proveedor de maquinaria le va a tocar antes que a ti.
Los niveles de seguridad no son una nota para toda la planta
La serie define cuatro niveles según de qué te quieres proteger:
| Nivel | Frente a qué protege |
|---|---|
| SL 1 | Violación casual o accidental |
| SL 2 | Violación intencionada con medios simples, pocos recursos, conocimientos genéricos y poca motivación |
| SL 3 | Violación intencionada con medios sofisticados, recursos moderados, conocimientos específicos de sistemas industriales y motivación moderada |
| SL 4 | Violación intencionada con medios sofisticados, recursos amplios, conocimientos específicos y alta motivación |
Fíjate en que la fórmula tiene cuatro variables: medios, recursos, conocimientos y motivación. Los resúmenes que reducen el nivel 3 a «hacktivista» y el 4 a «estado» pierden tres de las cuatro.
Y hay tres formas de hablar del nivel, que no son intercambiables:
- El nivel de capacidad es lo que un componente o un sistema puede dar cuando se integra y se configura bien. Es lo que certifica un fabricante.
- El nivel objetivo es el que tu análisis de riesgo dice que necesitas en cada zona. Lo fijas tú.
- El nivel alcanzado es el que realmente tienes en funcionamiento, medido después de la puesta en marcha.
Además, el nivel se asigna por zona y por conducto, no a la planta entera, y se expresa como un vector de siete posiciones, una por cada requisito fundamental. Un ejemplo publicado por la sección española de ISA para una zona de una cervecera es un vector de siete cifras. Decir que una fábrica «es SL2» no significa nada preciso.
Los siete requisitos fundamentales sobre los que se construye todo
| Requisito | |
|---|---|
| 1 | Control de identificación y autenticación |
| 2 | Control de uso |
| 3 | Integridad del sistema |
| 4 | Confidencialidad de los datos |
| 5 | Flujo de datos restringido |
| 6 | Respuesta oportuna a los eventos |
| 7 | Disponibilidad de recursos |
Cada posición del vector de nivel de seguridad se corresponde con uno de estos siete. Por eso una zona puede necesitar nivel 4 en control de accesos y nivel 1 en confidencialidad: en una planta, que la línea siga funcionando importa más que si alguien lee un dato de producción.
¿Sabes cuántas zonas tiene hoy tu red de planta?
Si la respuesta es que está todo en la misma red, ese es el punto de partida y también la mayor parte del riesgo. Hacemos el inventario y el mapa de zonas con tu equipo de mantenimiento.
Lo que sí puedes hacer sin certificar nada: partir la red en zonas y conductos
Esta es la parte accionable de la serie, y no necesita ningún certificado. La parte 3-2 pide identificar el sistema y su perímetro, hacer una primera evaluación de riesgo, partir la instalación en zonas y conductos, comparar el riesgo con el tolerable, hacer una evaluación detallada, documentar los requisitos y obtener la aprobación del propietario.
Los criterios de partición son seis y funcionan como lista de comprobación en cualquier planta:
- Separar los activos de negocio de los activos industriales.
- Separar los sistemas relacionados con la seguridad funcional.
- Separar los dispositivos conectados temporalmente.
- Separar los dispositivos inalámbricos.
- Separar los dispositivos conectados a través de redes externas.
- Establecer las zonas y los conductos que las comunican.
Dos cosas que suelen contarse mal. La primera, que la norma no impone el modelo de niveles de la pirámide de automatización. Es una convención de arquitectura habitual y compatible, y las guías divulgativas la usan para explicarlo, pero los criterios de partición de la norma son funcionales, no jerárquicos.
La segunda, que el último paso del proceso es la aprobación del propietario de los activos. Está escrito así en la norma. El mapa de zonas de una planta no es un entregable de ingeniería que se archiva: es una decisión de dirección que alguien tiene que firmar.
La palanca más barata que tienes es exigírselo a quien te vende la máquina
Si tu planta no puede certificarse en las partes de producto, y la figura que existe para propietarios acaba de aparecer, queda la vía que sí está disponible hoy y que además no cuesta dinero.
La propia norma prevé el mecanismo: entre los entregables del análisis de zonas y conductos está la especificación de requisitos de ciberseguridad, con la descripción del sistema, los planos de zonas y conductos, las hipótesis del entorno operativo y los requisitos regulatorios. Ese documento es el que se adjunta a un pedido o a un pliego.
Y la organización que gestiona el esquema de certificación de producto recomienda expresamente a los propietarios de activos comprar sistemas y componentes según esa especificación y con certificación, y dice con todas las letras que para el comprador esa certificación no tiene coste adicional. La paga el fabricante. Exigirla es gratis.
Hay registros públicos donde comprobar si un equipo concreto está certificado, así que la exigencia es verificable y no se queda en una cláusula.
AVISO PRÁCTICO Exigir certificación en un pliego reduce el número de proveedores que pueden presentarse. En los registros internacionales hay unas decenas de fabricantes con componentes certificados, casi todos grandes marcas de automatización. Para un PLC, un switch industrial o un SCADA es exigible. Para una máquina especial de un fabricante mediano, probablemente no, y entonces lo razonable es pedir requisitos concretos en lugar de un certificado.
Preguntas frecuentes
¿Puede certificarse mi fábrica en IEC 62443?
En las partes de producto no: esas las obtiene el fabricante. Para el propietario de una planta existe desde febrero de 2026 un esquema de evaluación del emplazamiento, y también se puede certificar el programa de seguridad de la organización.
¿Me obliga NIS2 a cumplir IEC 62443?
No. La directiva no cita la norma. Lo que sí puede pasar es que un cliente te la exija por contrato, y que en los próximos años sea la vía de conformidad de los productos industriales que compres.
¿Qué nivel de seguridad necesita mi planta?
La pregunta correcta es qué nivel necesita cada zona, y sale del análisis de riesgo, no de una recomendación general. En cada zona se fija por separado para los siete requisitos fundamentales.
¿Hay que parar la producción para hacer el análisis de zonas?
El análisis es documental y de campo: inventario, planos, flujos y entrevistas con mantenimiento. Lo que sí exige planificación es la implantación de la segmentación, que se hace por fases y aprovechando paradas previstas.
¿Sirve de algo si mis máquinas tienen quince años?
Sirve, y es justo el caso para el que está pensado. Cuando un equipo no puede alcanzar el nivel que necesita su zona, la respuesta de la norma es compensar con la arquitectura de red y con procedimientos, no sustituir la máquina.
¿Es lo mismo que la ISO 27001?
No, y ni siquiera es de la misma organización. La 27001 es un sistema de gestión pensado para la información. La 62443 es específica de sistemas de control industrial, con la disponibilidad de la producción como prioridad.
Se empieza por saber qué hay conectado, no por elegir un nivel
Casi todos los proyectos de ciberseguridad industrial que se atascan empiezan al revés, eligiendo un nivel objetivo antes de tener el inventario y el mapa de zonas. El orden que propone la norma es el contrario: identificar el sistema, ver el riesgo, partirlo en zonas y solo entonces fijar qué nivel necesita cada una.
Y la primera decisión, la de separar la red de planta de la red de oficina, no necesita ninguna norma para justificarse.
Empieza por el mapa de lo que tienes conectado
Inventariamos los equipos de planta, los accesos remotos de fabricantes y los puntos donde la red industrial toca la de oficina, y te lo entregamos como un mapa de zonas con el que se puede decidir.
Escribe sobre ciberseguridad, protección del dato e infraestructura IT a partir de lo que plantean las empresas y administraciones con las que trabaja ITGLOBAL.