IEC 62443-2-4 fija los requisitos de los procesos de seguridad que un proveedor de servicios ofrece al propietario durante la integración y el mantenimiento de un sistema de automatización y control. Al conjunto de esos procesos lo llama programa de seguridad (SP) y evalúa cada uno con un modelo de niveles de madurez. La edición vigente es la de 2023. Sirve al propietario para pedir en un pliego qué debe hacer, documentar y demostrar el integrador o el contratista de mantenimiento.
Qué es IEC 62443-2-4
IEC 62443-2-4 es la parte de la serie IEC 62443 dedicada a los proveedores de servicios de sistemas de automatización y control industrial (IACS): las empresas que integran un sistema nuevo o lo mantienen durante su vida. Su título es Security program requirements for IACS service providers.
La norma especifica un conjunto de requisitos para los procesos de seguridad que el proveedor puede ofrecer al propietario durante las actividades de integración y mantenimiento de una solución de automatización. Al conjunto de esos procesos lo llama programa de seguridad (SP, Security Program) del proveedor.
La edición vigente es la 2.0, de diciembre de 2023, que reemplazó la primera edición de 2015 y su enmienda de 2017. Según la propia norma, la revisión es editorial y aclaratoria, sin cambios técnicos significativos; una de las aclaraciones fue redactar como requisitos de uso o configuración algunas exigencias que podían leerse como requisitos de capacidades técnicas.
En una subestación, el «proveedor de servicios» puede ser el integrador del sistema de automatización, la firma que pone en servicio las protecciones o el contratista que cambia ajustes y actualiza firmware durante la operación.
Dónde encaja en la serie
| Parte | Para quién | Qué cubre |
|---|---|---|
| IEC 62443-2-1:2024 | Propietario | Sistema de gestión de seguridad del propietario de los activos |
| IEC 62443-2-4:2023 | Proveedor de servicios | Procesos de seguridad durante la integración y el mantenimiento |
| IEC 62443-3-2:2020 | Propietario e integrador | Evaluación de riesgos, zonas y conductos, nivel objetivo |
| IEC 62443-3-3:2013 | Integrador | Requisitos de seguridad del sistema |
| IEC 62443-4-1 y 4-2 | Fabricante | Desarrollo seguro del producto y requisitos del componente |
La norma lo dice de forma explícita: algunos de sus requisitos se relacionan con los de IEC 62443-3-3 y 4-2. Es decir, el integrador no fabrica las capacidades de seguridad, pero sí decide si se usan y cómo se configuran. Las zonas, los conductos y los niveles de seguridad están explicados en IEC 62443 en subestaciones.
Integración y mantenimiento
La norma separa dos tipos de proveedor:
- De integración. Diseña, instala, configura, prueba y entrega la solución. Sus procesos cubren cómo se arma la arquitectura, cómo se habilitan las funciones de seguridad de los equipos y qué documentación recibe el propietario.
- De mantenimiento. Atiende la solución en operación: cambios, actualizaciones, respaldos, accesos de soporte. Sus procesos cubren cómo entra al sistema, cómo gestiona parches y cómo deja registro.
Un mismo contratista puede cumplir los dos papeles en proyectos distintos, y el propietario puede exigir requisitos diferentes en cada contrato.
Cómo están escritos los requisitos
El anexo normativo es una tabla de requisitos. Cada fila tiene un identificador, indica si es un requisito base o una mejora, y lo clasifica por área funcional, tema y subtema, con la documentación que debe existir, la descripción y la justificación. La norma trae además una versión CSV de esa tabla para filtrarla y ordenarla.
Las áreas funcionales recorren lo que hace un proveedor en la vida de un sistema, entre ellas el personal asignado al proyecto, el aseguramiento, la arquitectura, las comunicaciones inalámbricas, el acceso remoto, la gestión de parches y el respaldo y la recuperación.
Como no todos los requisitos aplican a todas las industrias, el numeral 4.1.4 permite definir perfiles: subconjuntos de requisitos adaptados a un sector o a una organización. La norma admite incluso perfiles para entornos que no son un IACS. Para una subestación, el propietario puede armar un perfil con los requisitos que aplican a su sistema y dejar por fuera los pensados para otros sectores.
Niveles de madurez
La norma no pide solo que un proceso exista, sino que se evalúe qué tan maduro es. Usa un modelo de madurez de cuatro niveles, el mismo concepto de la serie:
| Nivel | Nombre | Qué significa, en general |
|---|---|---|
| 1 | Inicial | El proceso se hace de forma ad hoc, a menudo sin documentar |
| 2 | Gestionado | El proceso está documentado y se ejecuta según políticas escritas |
| 3 | Definido (practicado) | El proceso documentado se ha aplicado y puede repetirse en otros proyectos |
| 4 | En mejora | El proveedor mide el desempeño del proceso y lo mejora |
Para un propietario, la pregunta útil no es si el proveedor «cumple 62443-2-4», sino qué requisitos, en qué perfil y con qué nivel de madurez.
Cómo usarla en un pliego
- Alcance del servicio
- Perfil de requisitos. Integración, mantenimiento o ambos
- Nivel de madurez exigido. Por área funcional
- Evidencias en la oferta. Procedimientos, registros de proyectos anteriores, evaluaciones de terceros
- Verificación en la ejecución. Documentación entregada y pruebas
- Recepción del servicio
Algunos requisitos que en una subestación se traducen en cláusulas concretas:
- Personal. Quién del proveedor tendrá acceso, con qué formación en seguridad y cómo se le retira el acceso al terminar.
- Acceso remoto. Solo por el camino que el propietario defina, con cuentas individuales, autorización por sesión y registro. En plantas solares vale igual para el acceso remoto de los fabricantes de inversores.
- Configuración. Contraseñas de fábrica cambiadas, puertos y servicios innecesarios deshabilitados y una línea base documentada al entregar.
- Parches. Cómo informa el proveedor las actualizaciones aplicables y cómo las prueba antes de instalarlas.
- Respaldos. Copias de ajustes, del SCD y de las configuraciones de red, verificadas y entregadas al propietario.
- Medios y equipos transitorios. Qué portátiles y memorias USB entran a la subestación y cómo se controlan.
En Colombia, el Acuerdo CNO 1960 de 2025 pide a los agentes del SIN gestionar el riesgo de la cadena de suministro para los contratistas y proveedores que suministran ciberactivos críticos o acceden a ellos, solicitarles un plan anual de entrenamiento y, con plazo hasta abril de 2028, una certificación sobre la evaluación de riesgos de su personal. IEC 62443-2-4 da un lenguaje técnico para escribir esos requisitos.
Evaluación y certificación
La IEC publicó en 2024 la especificación técnica IEC TS 62443-6-1, una metodología de evaluación de la seguridad para IEC 62443-2-4. Además, el esquema CB de IECEE permite certificar productos y sistemas según IEC 62443 a través de organismos de certificación independientes. Una certificación del proveedor es evidencia útil en una oferta, pero no reemplaza la verificación del trabajo entregado en cada proyecto, que se hace en las pruebas de ciberseguridad en FAT y SAT.
Lo que la norma no resuelve
IEC 62443-2-4 describe procesos. No fija qué nivel de seguridad necesita cada zona de la subestación (eso sale del análisis de riesgos de IEC 62443-3-2), ni qué capacidades tienen los relés (IEC 62443-4-2 e IEEE 1686), ni cómo se protegen los protocolos (IEC 62351). Tampoco reemplaza el programa del propietario: el proveedor ofrece procesos, pero quien decide cuáles se usan es el dueño de la instalación.
Trabajamos dentro de su programa de seguridad
Nuestro equipo configura protecciones, control y comunicaciones siguiendo el procedimiento de accesos y cambios de su empresa: cuentas individuales, sesiones autorizadas para cada tarea, respaldo antes y después y registro de lo que se cambió. Lo hacemos en sitio dentro de nuestro servicio de ciberseguridad de subestaciones y plantas y a distancia con la configuración remota de relés. Vea también qué preguntar en ¿es segura la configuración remota de relés? y escríbanos.
Guías relacionadas
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- Acceso remoto seguro a relés y subestaciones
- Gestión de configuración: versiones de ajustes y del SCD
- IEEE 1686: requisitos de ciberseguridad de los IED
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Análisis de riesgo IEC 62443-3-2: zonas y conductos
- Pruebas de ciberseguridad en FAT y SAT de subestaciones
Referencias
- IEC 62443-2-4:2023, ed. 2.0, Security for industrial automation and control systems – Part 2-4: Security program requirements for IACS service providers.
- IEC 62443-2-1:2024, requisitos del sistema de gestión de seguridad del propietario.
- IEC 62443-3-2:2020 e IEC 62443-3-3:2013.
- IEC TS 62443-6-1:2024, metodología de evaluación de la seguridad para IEC 62443-2-4.
- IECEE, esquema CB, certificación según IEC 62443.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Anexo 1, capítulo 11, gestión de la cadena de suministro.
Preguntas frecuentes
¿IEC 62443-2-4 aplica a un contratista que solo hace mantenimiento de relés?
Sí. La norma distingue entre proveedores de servicios de integración, que diseñan, instalan y ponen en servicio la solución, y de mantenimiento, que la atienden durante la operación. El propietario elige qué requisitos aplican a cada contrato, y puede hacerlo con un perfil que agrupe solo los pertinentes.
¿Qué diferencia hay entre IEC 62443-2-4 e IEC 62443-2-1?
IEC 62443-2-1 trata el sistema de gestión de seguridad del propietario de los activos. IEC 62443-2-4 trata los procesos que el proveedor de servicios ofrece a ese propietario. Una se aplica a quien opera la instalación y la otra a quien la integra o la mantiene.
¿Un integrador certificado garantiza que la subestación queda segura?
No. Una evaluación según IEC 62443-2-4 dice que el proveedor tiene procesos de seguridad con cierto nivel de madurez. La seguridad de la instalación depende además del diseño de zonas y conductos, de las capacidades de los equipos y de la operación del propietario.