IEC 62443 工控資安整合輔導

IEC 62443 是工業控制系統（ICS/IACS/OT）的國際資安標準系列。EU CRA 雖未直接強制要求 IEC 62443 認證，但 IEC 62443 是工業自動化、能源、製造等領域中，證明 CRA 符合性的最廣泛認可技術標準。取得 IEC 62443 認證能顯著簡化 CRA 符合性評估流程。

IEC 62443 主要子標準包括：2-1（IACS 安全管理系統，組織合規）、2-4（服務供應商安全要求，組織合規）、3-3（系統安全要求與安全等級，系統層）、4-1（SDL 安全開發，組織合規，產品認證前置）、4-2（元件技術安全要求，產品合規）。判斷邏輯：製造商取得 4-2 前必須先符合 4-1；系統整合商需符合 2-4；資產擁有者需符合 2-1。積穗科研提供免費子標準適用性診斷。

IEC 62443-4-1 規範「製造商的安全開發生命週期（SDL）」，是組織能力要求；屬組織合規。4-2 規範「元件產品的技術安全要求」，是產品功能要求；屬產品合規。前置關係：若開發組織未建立 4-1 SDL 能力，所開發的產品在設計源頭就缺乏安全保證，Notified Body 在認證 4-2 之前通常會確認 4-1 合規。

IEC 62443 定義四個安全等級：SL 0（無特定資安要求）；SL 1（防護一般或意外的攻擊）；SL 2（防護具技能與動機的攻擊者，如工業間諜）；SL 3（防護使用專業技術與資源的攻擊者，如國家級威脅）。台灣工業設備出口歐盟，主流需求為 SL 1-2，能源/電力等關鍵基礎設施需求為 SL 2-3。

台灣 OT/ICS 設備廠商進入歐盟市場的合規路徑：（1）CRA 符合性：工業控制設備通常屬 CRA Class I/II，IEC 62443-4-2 認證是最直接的符合性證明路徑；（2）歐盟供應鏈要求：歐洲 OEM 廠商越來越要求供應商具備 IEC 62443-4-1 組織認證；（3）NIS2 供應鏈義務：關鍵基礎設施客戶可能要求設備符合 IEC 62443-3-3 系統安全等級。

IEC 62443-4-1 SDL 組織認證通常需要 6-9 個月；4-2 產品認證需 4-8 個月（不含 4-1 建立時程）；2-1 管理系統需 4-6 個月；2-4 服務供應商認證需 3-5 個月。積穗科研提供免費適用性診斷，確認最小必要認證組合，再估算最精確的時程與費用規劃。

Notified Body 負責執行認證測試與核發證書，但不提供制度建立輔導。積穗科研作為輔導顧問，負責：（1）診斷適用子標準組合；（2）依標準要求建立 SDL 流程/管理制度/技術文件；（3）執行認證前預審，確保首次提交通過率最大化；（4）協調 Notified Body 溝通。積穗科研與多家 Notified Body 有合作關係。