IEC 62443-certificering duikt inmiddels regelmatig op in aanbestedingsdocumenten van netbeheerders. Is dit zinvolle risicobeheersing, of vooral een vinkje op een lijst? Het antwoord ligt, zoals vaker, in de details.
Wat certificering wel en niet aantoont
Een IEC 62443-4-2-certificering voor een component toont aan dat een onafhankelijke partij heeft geverifieerd dat het product voldoet aan de technische eisen voor een specifiek Security Level. Het toont niet aan dat het product correct is geconfigureerd in de uiteindelijke omgeving, en al helemaal niet dat de bredere zone waarin het staat voldoende is beveiligd. Certificering is een bouwsteen, geen eindpunt.
Waar certificering wél waarde toevoegt
Voor inkopers is certificering een efficiënte manier om een minimumniveau te borgen zonder zelf elk product diepgaand te hoeven testen. Voor een netbeheerder die honderden componenttypes beheert, is dit een reëel praktisch voordeel: het verschuift een deel van de verificatielast naar een onafhankelijke certificeerder.
Waar het misgaat
Certificering wordt problematisch wanneer het wordt behandeld als vervanging voor eigen risicobeoordeling. Een gecertificeerd component in een slecht gesegmenteerd netwerk biedt weinig bescherming. Certificering zegt ook niets over hoe een systeem zich gedraagt in combinatie met andere componenten — juist de systeemintegratie is waar IEC 62443-3-3 en de eigen zone-ontwerpkeuzes (-3-2) in beeld komen.
Een pragmatisch advies
Gebruik certificering als een van de inkoopcriteria, niet als het enige criterium. Combineer het met:
- Een eigen risicobeoordeling van de zone waarin het component wordt geplaatst.
- Concrete eisen aan de system integrator voor architectuur en hardening (IEC 62443-2-4 en -3-3).
- Verificatie tijdens FAT en SAT, ongeacht of onderliggende componenten gecertificeerd zijn.
Certificering is dus geen hype, maar ook geen garantie. Het is één bouwsteen binnen een breder securityprogramma dat ook governance, architectuur en verificatie omvat.