IEC 62443-2-1 en IEC 62443-2-4 worden regelmatig door elkaar gehaald omdat beide onderdelen "2-x" heten en over organisatorische eisen gaan. Het verschil zit in wie de norm aanspreekt en waarover.
IEC 62443-2-1: het securityprogramma van de asset owner
Dit onderdeel richt zich op de organisatie die de IACS-omgeving exploiteert — bijvoorbeeld een netbeheerder. Het beschrijft hoe je een Cybersecurity Management System (CSMS) opzet: risicobeoordeling, beleid, assetinventaris, incident response en leveranciersmanagement. Kort gezegd: -2-1 gaat over hoe de asset owner zijn eigen huis op orde houdt.
IEC 62443-2-4: eisen aan service providers
Dit onderdeel stelt eisen aan externe partijen die diensten leveren aan de asset owner: system integrators die onderstations bouwen, en service providers die onderhoud plegen. Het beschrijft onder meer hoe remote maintenance wordt uitgevoerd, hoe wijzigingsbeheer verloopt en welke competenties personeel van de dienstverlener moet hebben. Kort gezegd: -2-4 gaat over wat de asset owner mag verwachten van een externe partij.
Waarom het onderscheid ertoe doet
In de praktijk werken deze twee onderdelen samen. Een netbeheerder legt in zijn CSMS (conform -2-1) vast welke risico's acceptabel zijn en welke eisen hij aan leveranciers stelt. Vervolgens toetst hij bij een aanbesteding of de system integrator of service provider kan aantonen dat hij aan -2-4 voldoet — bijvoorbeeld via een gestandaardiseerd auditrapport of certificering.
Een veelgemaakte fout is dat een asset owner wel een CSMS heeft, maar dit niet doorvertaalt naar concrete, contractueel afdwingbare eisen aan dienstverleners. Het gevolg is dat remote-toegang of wijzigingsbeheer door externe partijen buiten het zicht van de eigen risicobeoordeling valt.
Praktisch voorbeeld
Een netbeheerder besteedt het onderhoud van beveiligingsrelais in onderstations uit aan een system integrator. In het contract wordt vastgelegd dat remote-sessies uitsluitend via een door de netbeheerder beheerde jump host verlopen, met sessieregistratie en tijdgebonden autorisatie — een directe toepassing van de eisen uit IEC 62443-2-4, opgelegd vanuit het CSMS dat conform -2-1 is ingericht.