資安長面對 IEC 62443：子標準怎麼選、跟 EU CRA 什麼關係？

資安長要怎麼判定公司該做 IEC 62443 的哪幾個子標準？

IEC 62443 是一系列標準，資產擁有者、系統整合與服務商、產品製造商適用的組合不同，組合選錯就是白做：

資安長先確認公司在專案中是設備製造商、系統整合商、服務供應商還是資產擁有者，再依目標找出最小必要的子標準組合。

拿到 IEC 62443 認證，產品出口歐盟就算符合 EU CRA 嗎？

不算。CRA 並未要求 IEC 62443 認證，取得認證也不等於推定符合 CRA；推定符合只來自引用刊登於歐盟公報的協調標準、共同規格，或依歐盟《網路安全法》採行的歐洲網路安全認證方案（CRA 第 27 條）。

在工業、能源、製造等領域，IEC 62443 可作為落實 CRA 附件 I 要求與差距分析的參考。產品出口歐盟時，先確認產品在 CRA 屬於哪一類：一般產品可採內部控制（模組 A）自行評估；重要產品第 I 類未完整適用調和標準時，以及第 II 類與關鍵產品，須經第三方程序。CRA 沒有獨立證書，是完成符合性評估並標示 CE。

目標安全等級（SL）怎麼定？資安長怎麼向管理階層說明？

IEC 62443-3-3 依攻擊者的手段、資源、技能與動機區分安全等級：SL 1 防護偶發或意外的違規，SL 4 防護以精密手段、大量資源、工控專業技能與高動機進行的蓄意攻擊。

實務上要先回答：目標 SL 依據客戶規格還是風險評估決定？做法是依 3-2 劃分區域與管道（zone and conduit）、進行風險評估並設定目標安全等級，再依 3-3 評估系統的安全能力等級。把 SL 的依據和風險評估結果一起提報，管理階層核准投入時才有判斷基礎。

IEC 62443 要多久？預算與時程怎麼排進年度計畫？

服務頁所列時程（依積穗科研的輔導經驗，不是標準或驗證機構的規定）：

順序會影響總時程：取得 4-2 產品認證前，組織必須先完成 4-1 認證。編列預算時，要問清楚報價包含哪些交付物、是否含認證前預審、認證費用是否另計。

系統整合商或設備商要遠端維護工廠 OT，資安長怎麼管這些供應商？

IEC 62443-2-4 是針對服務商的子標準，可作為對系統整合與維護服務商提出資安要求的依據；對設備供應商，可要求說明產品是否依 4-1 安全開發流程開發。

上市櫃公司依《上市上櫃公司資通安全管控指引》第 38 條，要定期辦理內部及委外廠商資安稽核；ESG 評鑑 S-15 問的是公司是否揭露供應商管理政策，要求供應商在資通訊安全或隱私權保護等議題遵循相關規範。實務上把要求寫進供應商評鑑項目和契約條款，併入年度評鑑週期。非公開發行公司不受上述規範，可自願參考。

工廠 OT 遭惡意程式感染停線，資安長的應變與通報要怎麼接？

• 公司自身程序：上市櫃公司依管控指引第 34 條訂定應變與通報程序，OT 停線情境要寫進同一套程序。
• 營運持續：BCM 涵蓋機台網路隔離 SOP（OT 與 IT 分離）、復原優先順序與客戶溝通 SOP，可用 ISO 22301 與 IEC 62443 整合演練。
• 歐盟法規：若是 NIS2 受規範實體，重大事件須 24 小時早期預警、72 小時通報、一個月內最終報告；自家產品漏洞遭主動利用，另依 CRA 第 14 條通報。
• 關鍵基礎設施：須經主管機關指定並報行政院核定才適用資通安全管理法相關義務。

非公開發行公司不受管控指引規範，可自願參考。

積穗科研怎麼協助資安長處理 IEC 62443？

積穗科研的做法（請用上方問題同樣檢驗我們）：

• 副總、董事級顧問全程親自輔導、不外包
• 依角色診斷最小必要的子標準組合，子標準適用性診斷免費
• 取得 4-2 前，先依 4-1 建立安全需求、安全架構、程式碼審查、安全測試與漏洞管理流程
• 不把 IEC 62443 認證當作 CRA 的推定符合；積穗是顧問、不發證，負責認證前預審與協調

IEC 62443 工控資安輔導、IEC 62443 顧問怎麼選、EU CRA 合規輔導。申請免費機制診斷