IEC 62443 ve CRA: Eşleme, Boşluklar ve Standart Durumu

01Kısa cevap

IEC 62443 bugün CRA kapsamında uyumlaştırılmış bir standart değil. Bu yüzden 62443'ü uygulamak tek başına CRA'ya uygunluk varsayımı sağlamıyor (Madde 27).
Yine de güçlü bir temel: JRC ve ENISA'nın 2024 eşlemesine göre ürün geliştirme süreci için 62443-4-1, bileşenin teknik özellikleri için 62443-4-2, CRA Ek I'in birçok maddesini kısmen ya da büyük ölçüde karşılıyor.
SBOM, koordineli zafiyet ifşası, Madde 14 bildirimleri, destek süresi ve ücretsiz güvenlik güncellemeleri gibi yükümlülükler 62443'te yok ya da eksik.
CENELEC, EN IEC 62443-4-1 ve 4-2 için CRA'ya uyarlanmış değişiklikler hazırlıyor. 4-2 değişikliğinin taslağı, amacını CRA kapsamında atıf için sunulabilmek olarak açıklıyor.

02IEC 62443 serisinde üreticiyi ilgilendiren parçalar

IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin (IACS) güvenliği için bir standart ailesi. Bölümleri farklı rolleri hedefliyor: varlık sahibi, entegratör, hizmet sağlayıcı ve ürün tedarikçisi. CRA'nın muhatabı olan ürün üreticisi için en önemli iki parça 4-1 ve 4-2.

Bölüm	Konusu	Kimin için
62443-4-1	Güvenli ürün geliştirme yaşam döngüsü: güvenlik gereksinimleri, güvenli tasarım ve kodlama, doğrulama, kusur ve yama yönetimi, kullanım ömrü sonu	Ürünü geliştiren ve bakımını yapan üretici
62443-4-2	Bileşenlerin teknik güvenlik gereksinimleri; yedi temel gereksinim (FR) altında toplanır ve bileşenin güvenlik yetenek seviyesini (SL-C) tanımlar	Gömülü cihaz, ağ cihazı, yazılım uygulaması ve sunucu bileşeni üreticileri
62443-3-3	Sistem düzeyinde güvenlik gereksinimleri ve güvenlik seviyeleri	Sistem entegratörü, sistem olarak satılan ürünler
62443-3-2	Bölge ve kanal (zone/conduit) yaklaşımıyla risk değerlendirmesi	Sistem tasarımcısı, entegratör
62443-2-4	Otomasyon hizmet sağlayıcılarına yönelik güvenlik programı gereksinimleri	Entegratör ve bakım hizmeti sağlayıcıları

62443-4-2'deki yedi temel gereksinim şunlar: kimlik doğrulama, kullanım kontrolü, sistem bütünlüğü, veri gizliliği, kısıtlı veri akışı, olaylara zamanında yanıt ve kaynak erişilebilirliği. Güvenlik seviyeleri 1'den 4'e, gelişigüzel saldırıdan yüksek kaynaklı ve hedefli saldırıya doğru yükseliyor.

IEC standart metinleri ücretli. Bu rehber yalnız IEC'nin, CEN-CENELEC'in ve AB kurumlarının kamuya açık özetlerine dayanıyor; standart metninden alıntı yapmıyor.

03CRA Ek I ile eşleme

Avrupa Komisyonu Ortak Araştırma Merkezi (JRC) ve ENISA, 2024'te CRA'nın temel gereksinimlerini mevcut standartlarla karşılaştırdı. Aşağıdaki tablo bu eşlemede 62443 için verilen sonuçları kendi sözlerimizle özetliyor. Eşleme, CRA'nın teklif metnine göre yapıldı; nihai metinde madde numaraları değişti, bu yüzden gereksinimleri adlarıyla yazdık.

CRA gereksinimi	62443 bölümü	Eşlemedeki değerlendirme
Risk temelli güvenli tasarım ve geliştirme (Ek I Bölüm I)	4-1	Kapsanıyor, ama yalnız IACS ürünleri için yazılmış
Bilinen istismar edilebilir zafiyet olmadan piyasaya sunma	4-1	Test bulgularının giderilmesini de kapsayan tek seçili standart
Varsayılan olarak güvenli yapılandırma	Yok	62443 bu gereksinim için listelenmemiş
Güvenlik güncellemelerinin uygulanabilmesi	4-2	Kısmen; kullanıcıya güncellemenin bildirilmesi kapsanmıyor
Kimlik doğrulama ve erişim kontrolü	4-2	Kapsanıyor
Verinin gizliliği ve bütünlüğü	4-2	Kapsanıyor
Veri minimizasyonu	Yok	62443 bu gereksinim için listelenmemiş
Erişilebilirlik ve hizmet engelleme saldırılarına dayanıklılık	4-2	Kapsanıyor
Diğer cihaz ve ağlara olumsuz etkinin azaltılması	Yok	62443 bu gereksinim için listelenmemiş
Saldırı yüzeyinin azaltılması	4-2	Somut gereksinimleri olan istisnai bir standart olarak anılmış
Güvenlikle ilgili olayların kaydı ve izlenmesi	4-2	Kapsanıyor
SBOM (Ek I Bölüm II)	Yok	62443 SBOM istemiyor
Zafiyetlerin güncellemelerle giderilmesi	4-1	Kısmen; zafiyet sınıflandırması ve kapsamlı yama yönetimi eksik
Giderilen zafiyetlerin kamuya duyurulması	4-1	Kapsanıyor
Koordineli zafiyet ifşa politikası ve iletişim adresi	Yok	62443 bu gereksinimler için listelenmemiş
Güncellemelerin güvenli dağıtımı	4-1	Kısmen; eşlemede boşluk olarak işaretlenmiş
Güvenlik güncellemelerinin gecikmeden ve ücretsiz sunulması	4-1	Kısmen; ücretsiz olma şartı yok

Eşlemenin genel sonucu: tek bir standart Ek I'in tamamını karşılamıyor. 62443 ailesi iyi bir kapsam sunuyor, ama endüstriyel kontrol sistemlerine özgü. Tüketici ürünü ya da genel amaçlı bir IoT cihazı üretiyorsanız gereksinimlerin ürününüze nasıl uyduğunu ayrıca değerlendirmeniz gerekiyor.

0462443'ün karşılamadığı CRA yükümlülükleri

Ek I'in dışında CRA, üreticiye 62443'te karşılığı olmayan başka yükümlülükler de getiriyor:

SBOM: üründeki bileşenlerin, en azından üst seviye bağımlılıkların, makinece okunabilir bir listesi (Ek I Bölüm II). Ayrıntılar için SBOM nedir? rehberine bakın.
Koordineli zafiyet ifşası: yazılı bir politika ve zafiyet bildirimleri için bir iletişim adresi.
Madde 14 bildirimleri: aktif olarak istismar edilen zafiyetler ve ciddi olaylar için 24 saatlik erken uyarı, 72 saatlik bildirim ve nihai rapor. 11 Eylül 2026'dan beri uygulanıyor; bkz. Madde 14 rehberi.
Destek süresi: ürünün beklenen kullanım süresini yansıtan, ürün ömrü daha kısa değilse en az beş yıllık bir süre ve bu süre boyunca ücretsiz güvenlik güncellemeleri (Madde 13).
Belgeler ve işaretleme: Ek VII teknik dokümantasyonu, kullanıcı bilgileri (Ek II), AB uygunluk beyanı ve CE işareti.

05Uyumlaştırılmış standartlar ve 62443

CRA'nın standartlaştırma talebi M/606, yatay ve ürüne özgü (dikey) standartları kapsıyor. Dikey standartlardan biri güvenlik duvarları ile saldırı tespit ve önleme sistemlerini kapsıyor; talep endüstriyel kullanım için olanları da açıkça anıyor ve makine mevzuatıyla tutarlılık istiyor (karar C(2025) 618).
CENELEC'in TC 65X komitesi EN IEC 62443-4-2:2019 için bir değişiklik (prAA) hazırlıyor. Taslak gereksinimleri CRA'nın temel gereksinimlerine uyarlıyor, boşluklar için yeni gereksinimler ekliyor, CRA ile ilişkiyi gösteren bir Ek ZZ ve tehditleri CRA gereksinimlerine eşleyen bir ek getiriyor. Taslağın görüşe açılma süresi 5 Haziran 2026'da doldu.
Aynı komite EN IEC 62443-4-1:2018'i de değiştiriyor. Amaç, CEN-CENELEC JTC 13'te hazırlanan siber dayanıklılık ilkeleri standardıyla uyum; özellikle amaçlanan kullanımın ve güvenlik bağlamının belgelenmesi (CEN-CENELEC).
Bir standart, uygunluk varsayımını ancak referansı AB Resmî Gazetesi'nde yayımlandıktan sonra sağlıyor (Madde 27). Değişiklikler yayımlanıp atıf aldığında bile varsayım, Ek ZZ'de sayılan gereksinimlerle sınırlı kalacak.
Takvim ve Resmî Gazete'deki son durum için EU CRA güncel durum sayfasına bakın; o sayfayı her ay kontrol ediyoruz.

0662443 sertifikası CRA'da ne işe yarar?

ISASecure, geliştirme süreci için 62443-4-1'e (SDLA), bileşenler için 62443-4-2'ye göre sertifika veriyor; IEC'nin IECEE sistemi de seri için uygunluk değerlendirmesi yürütüyor. Bu sertifikalar CRA'da bir hukuki sonuç doğurmuyor, ama işe yarıyor:

Risk değerlendirmesi, güvenli geliştirme süreci ve test kayıtları Ek VII teknik dokümantasyonunun önemli bir bölümünü oluşturuyor.
Üçüncü taraf değerlendirmesi gereken ürünlerde (Sınıf I'de uyumlaştırılmış standart uygulanmadığında, Sınıf II ve kritik ürünlerde), onaylanmış kuruluşa sunacağınız kanıtları güçlendiriyor. Hangi ürünün hangi yola girdiğini ürün sınıfları rehberi anlatıyor.
Müşterileriniz NIS2 kapsamındaysa tedarikçi güvenlik sorularına hazır cevap sağlıyor.

62443 sertifikası CRA uyumunu kanıtlamaz ya da garanti etmez. CRA'ya uygunluğu, ürünün Ek I'e uyduğunu ve Madde 13 ile 14'teki yükümlülüklerin yerine getirildiğini gösteren dokümantasyon belirler.

0762443 ile çalışan bir ekip için adımlar

Mevcut 4-1 süreç kayıtlarınızı ve 4-2 gereksinim matrisinizi yukarıdaki tabloyla eşleyin; her CRA gereksinimi için kanıtın nerede durduğunu yazın.
Eksik kalanları tamamlayın: her sürüm için SBOM, yayımlanmış bir zafiyet ifşa politikası ve iletişim adresi, varsayılan olarak güvenli yapılandırma, veri minimizasyonu.
Madde 14 bildirim sürecini kurun: kim karar veriyor, 24 saatlik süre nasıl tutuluyor, ENISA'nın tek bildirim platformuna kim giriyor.
Destek süresini belirleyin ve bu süre boyunca güncellemeleri ücretsiz ve güvenli şekilde dağıtacak altyapıyı planlayın.
Ürünün CRA sınıfını belirleyin; sınıf testi birkaç soruda olası sınıfı gösteriyor.
CENELEC'teki 62443 değişikliklerini ve JTC 13 standartlarını izleyin; yayımlandıklarında gereksinim matrisinizi güncelleyin.

Endüstriyel ürünlerde CRA'nın nasıl uygulandığını endüstriyel otomasyon ve elektronik sayfası anlatıyor. Kablosuz ürünler için RED ve EN 18031 rehberine de bakın.

08Sık sorulan sorular

IEC 62443, CRA'nın uyumlaştırılmış standardı mı?

Bugün değil. CRA kapsamında Resmî Gazete'de referansı yayımlanmış bir uyumlaştırılmış standart henüz yok. CENELEC, EN IEC 62443-4-1 ve 4-2'yi CRA'ya uyarlayan değişiklikler hazırlıyor; bunlar yayımlanıp atıf alırsa kapsadıkları gereksinimler için uygunluk varsayımı sağlayabilir.

62443-4-1 sertifikam varsa CRA'ya uygun muyum?

Hayır, tek başına değil. Sertifika güvenli geliştirme sürecinizi belgeler ve teknik dokümantasyonda değerli bir kanıttır. Ama SBOM, koordineli zafiyet ifşası, Madde 14 bildirimleri, destek süresi ve ücretsiz güncellemeler gibi yükümlülükler 62443'te yok ya da eksik.

CRA'ya en yakın 62443 bölümü hangisi?

Üretici açısından ikisi birlikte: 62443-4-1 süreç tarafını (güvenli tasarım, zafiyet ve yama yönetimi), 62443-4-2 ürünün teknik özelliklerini (erişim kontrolü, veri gizliliği ve bütünlüğü, kayıt, erişilebilirlik) karşılıyor.

CRA belli bir güvenlik seviyesi (SL 2, SL 3) istiyor mu?

CRA'nın kendisi 62443 güvenlik seviyelerine atıf yapmıyor; ürünün güvenlik özellikleri üreticinin risk değerlendirmesine göre belirleniyor. CENELEC'teki 4-2 değişikliği güvenlik seviyesine bağlı kabul ölçütleri tanımlıyor; ayrıntılar standart yayımlandığında netleşecek.

62443 yalnız endüstriyel ürünler için mi?

Seri endüstriyel otomasyon ve kontrol sistemleri için yazıldı ve JRC/ENISA eşlemesi de bunu bir sınır olarak not ediyor. Başka alanlarda da kullanılıyor, ama tüketici ya da genel amaçlı ürünlerde gereksinimlerin uygunluğunu ayrıca değerlendirmek gerekiyor.

Kaynaklar

İlgili rehberler

Bu süreci ürününüz üzerinde konuşalım

Firmware'inizin SBOM'unu çıkarmak, zafiyetleri önceliklendirmek ve Madde 14 sürelerini takip etmek için kurumsal pilot programımızı inceleyin.

Pilot için görüşme isteyin Ücretsiz SBOM tarayıcıyı deneyin