IEC 62443-3-3 vs IEC 62443-4-2: los dos niveles de ciberseguridad OT que un data center México necesita en 2026

Los dos estándares que un data center en México necesita dominar

La ciberseguridad de data center tiene una dimensión operacional (OT) que las medidas tradicionales de TI no cubren. Los sistemas de control industrial, BMS, SCADA de chillers, controles de UPS, sensores de medio ambiente, accesos físicos, y toda la infraestructura que mantiene operativo el data center corren sobre OT. Y la OT tiene sus propios estándares de ciberseguridad, encabezados por la familia IEC 62443. Dentro de esa familia, dos normas son las que un data center mexicano en 2026 necesita entender: IEC 62443-3-3 (nivel sistema) e IEC 62443-4-2 (nivel componente).

La estructura de la familia IEC 62443

La familia IEC 62443 está organizada en cuatro series, cada una abordando un nivel distinto del stack de seguridad OT:

• IEC 62443-1-x (General): terminología, conceptos, métricas. Establece el vocabulario común.
• IEC 62443-2-x (Policies and Procedures): requisitos del sistema de gestión de seguridad y cualificación de proveedores de servicio.
• IEC 62443-3-x (System Level): requisitos a nivel de sistema integrado. Aquí vive IEC 62443-3-3.
• IEC 62443-4-x (Component Level): requisitos técnicos para componentes individuales. Aquí vive IEC 62443-4-2.

La diferencia entre 3-3 y 4-2 no es de rango de aplicación (uno es “alto nivel” y el otro “bajo nivel”) sino de objeto: 3-3 mira el sistema integrado, 4-2 mira cada componente individual.

IEC 62443-3-3: seguridad a nivel sistema

IEC 62443-3-3 define los requisitos del sistema integrado y los organiza en siete Foundational Requirements (FR):

• FR 1: Identificación y autenticación. Mantener inventario actualizado de dispositivos, imponer identidades únicas, usar certificados X.509, secure boot con TPM o HSMs, MFA para accesos remotos.
• FR 2: Control de uso. RBAC con principio de least privilege, separación de duties, gestión de cuentas con revisión periódica.
• FR 3: Integridad del sistema. Secure boot con firma de firmware, monitoreo de integridad runtime, pruebas periódicas de vulnerabilidades.
• FR 4: Confidencialidad de datos. Cifrado en tránsito (TLS 1.3) y en reposo (AES-256), gestión de claves con rotación.
• FR 5: Flujo restringido de datos. Segmentación de red, zone-based architecture, conduits definidos entre zones con reglas de firewall.
• FR 6: Respuesta oportuna a eventos. Logging centralizado, monitoreo continuo, capacidad de detección y respuesta en plazos definidos.
• FR 7: Disponibilidad de recursos. Redundancia, balanceo de carga, protección contra DoS básico.

Cada FR tiene System Requirements (SR) derivados, especificados a cuatro niveles de seguridad: SL 1, SL 2, SL 3, SL 4.

Los Security Levels

Los Security Levels (SL) son la contribución distintiva de IEC 62443. No son ratings de severidad de incidente, sino definiciones de las capacidades del actor de amenaza que el sistema debe poder resistir:

• SL 1: actor casual o violación no intencional. Aplicación típica: utilerías de baja criticidad, sistemas no relacionados al proceso productivo.
• SL 2: actor intencional con medios simples, baja motivación, recursos limitados, habilidades genéricas. Aplicación típica: DCS de producción, SCADA estándar, sitios no críticos.
• SL 3: actor sofisticado con medios específicos de OT, recursos moderados, habilidades específicas de OT, motivación moderada. Aplicación típica: sistemas de seguridad instrumentada (SIS/ESD), infraestructura crítica.
• SL 4: actor state-sponsored con recursos significativos y experiencia específica en IACS. Aplicación realista sólo donde el presupuesto de diseño, la disciplina operativa y el ecosistema de proveedores lo soporten.

Para un data center mexicano típico, SL 2 es el mínimo razonable y SL 3 es el objetivo apropiado. SL 4 es aspiracional y rara vez se implementa en data center comerciales por costo y complejidad.

IEC 62443-4-2: seguridad a nivel componente

IEC 62443-4-2 define los requisitos técnicos que un componente individual (un controlador lógico programable, un sensor, un UPS con interfaz de red, un BMS, un switch de red industrial) debe cumplir para ser usado en un sistema que satisface IEC 62443-3-3.

Los requisitos 4-2 están organizados en las mismas siete Foundational Requirements que 3-3, pero a nivel de componente. Por ejemplo:

• Para FR 1 (identificación y autenticación), 4-2 especifica que el componente debe soportar identificación única, autenticación criptográfica, gestión de cuentas locales, y bloqueo automático tras intentos fallidos.
• Para FR 3 (integridad del sistema), 4-2 exige que el componente tenga integridad de firmware verificable, protección contra modificación no autorizada de configuración, y logging de eventos de integridad.
• Para FR 5 (flujo restringido de datos), 4-2 pide que el componente implemente segmentación interna y que sus interfaces de red estén documentadas y sean configurables.

La certificación IEC 62443-4-2 la otorga el proveedor del componente, no el operador del data center. Cuando compras un UPS, un chiller, o un BMS con certificación 4-2 SL 3, lo que obtienes es la garantía documentada del fabricante de que ese componente cumple los requisitos para ser usado en un sistema SL 3.

La diferencia práctica entre 3-3 y 4-2

La forma más clara de entender la diferencia: 4-2 es sobre lo que compras, 3-3 es sobre lo que construyes.

• 4-2 lo certifica el fabricante del componente. Tú verificas que el certificado del producto específico esté vigente y que el SL declarado coincida con tus necesidades.
• 3-3 lo certificas tú (o un auditor externo) sobre tu sistema integrado. Es la sumatoria de los componentes más la arquitectura, las zonas, los conduits, las políticas operativas, y la gestión de seguridad continua.

Un data center con todos sus componentes certificados 4-2 SL 3 todavía no cumple 3-3 SL 3 si la arquitectura de integración no satisface los requisitos de zonas, conduits, monitoreo centralizado, y respuesta a incidentes. Y un data center con arquitectura perfecta 3-3 SL 3 no cumple si los componentes son legacy sin ninguna capacidad de seguridad.

Lo que un data center mexicano necesita en 2026

Para un data center en México operando en 2026, el target razonable es:

• Componentes certificados 4-2 SL 2 como mínimo. UPS, BMS, chillers, generadores, switches de red industrial, con certificación documentada.
• Sistema integrado certificado o auto-evaluado en 3-3 SL 2. Con plan documentado para llegar a SL 3 en 18-24 meses.
• Procesos de gestión bajo 62443-2-x. Calificación de proveedores de servicio, gestión de parches OT, gestión de cuentas, manejo de incidentes.

La presión regulatoria hacia IEC 62443 viene de tres vectores:

1. NIS2 europea (EU 2022/2555) que aplica a entidades que prestan servicio a empresas europeas. Si tu data center sirve a clientes europeos, o a empresas mexicanas con operaciones europeas, NIS2 te aplica indirectamente vía contrato.
2. Banxico y CNBV que han emitido disposiciones técnicas que referencian IEC 62443 explícitamente o implícitamente para sectores financieros regulados. Las instituciones financieras mexicanas que reciben auditoría de Banxico van a empezar a pedir 3-3 a sus proveedores de OT.
3. NIST SP 800-82 Rev. 3 (septiembre 2023) que es la guía estadounidense para seguridad OT, alineada con NIST CSF 2.0 y que mapea directamente a IEC 62443. NIST es referenciada internacionalmente por defecto, y 800-82 Rev. 3 aumenta la presión de implementación concreta.

El plan operativo para llegar a 3-3 SL 3

Para un data center mexicano que opera con SL 2 hoy y quiere llegar a SL 3 en 18-24 meses, la secuencia operativa:

Fase 1 (meses 1-3): Inventario y gap analysis.

• Inventario completo de componentes OT: UPS, generadores, chillers, BMS, accesos físicos, switches, sensores.
• Para cada componente, identificar certificación 4-2 actual y SL declarado.
• Gap analysis contra los SR de 3-3 SL 3 en las siete FR.

Fase 2 (meses 4-9): Componentes críticos.

• Reemplazar componentes legacy sin certificación 4-2 o con SL menor al objetivo. Priorizar los que están en perímetro de red o tienen interfaz de gestión remota.
• Documentar arquitectura de zonas y conduits: identificar las zonas lógicas (ej. BMS, control chillers, acceso físico, sensores ambientales) y definir los conduits con reglas de firewall.

Fase 3 (meses 10-15): Monitoreo y respuesta.

• Implementar o contratar SOC/NOC con visibilidad sobre la red OT.
• Configurar logging centralizado con retención mínima de 90 días para eventos de seguridad.
• Establecer procedimientos de respuesta a incidentes OT documentados y probados.

Fase 4 (meses 16-24): Certificación y mantenimiento.

• Auditoría externa contra IEC 62443-3-3 SL 3.
• Certificación de procesos bajo IEC 62443-2-x.
• Plan de mejora continua con ejercicios tabletop anuales.

Lo que tu próximo RFP de OT debería preguntar

Para especificar correctamente los requerimientos de ciberseguridad OT en un data center nuevo o un refresh, las preguntas que tienen que aparecer:

• ¿Qué nivel de IEC 62443 SL es el objetivo para el sistema integrado? ¿Y para los componentes individuales?
• ¿Qué componentes OT del data center cuentan con certificación IEC 62443-4-2 vigente? ¿A qué SL?
• ¿Cómo se segmenta la red OT del data center? ¿Qué zonas y conduits están definidos?
• ¿Existe logging centralizado de eventos de seguridad OT? ¿Con qué retención?
• ¿Quién responde a incidentes de seguridad OT? ¿Cuál es el SLA de respuesta?
• ¿Cuál es el plan de gestión de parches para componentes OT? ¿Cómo se manejan vulnerabilidades sin parche disponible?
• ¿El data center tiene experiencia con auditorías IEC 62443-3-3? ¿Puede proporcionar informes de auditoría previos?

Las respuestas a esas preguntas indican si el data center tiene la madurez operativa para operar infraestructura crítica en un entorno regulatorio cada vez más estricto.

Fuentes

1. International Society of Automation (2023). IEC 62443-3-3:2023 — Industrial communication networks — Network and system security — Part 3-3: System security requirements and security levels. https://www.iec.ch
2. Undercode Testing (2025). Breaking Down ISA/IEC 62443 Security Levels: Your OT Cybersecurity Blueprint. https://undercodetesting.com/breaking-down-isa-iec-62443-security-levels-your-ot-cybersecurity-blueprint-and-how-to-implement-them-video
3. TeepTrak (2026). IEC 62443 Implementation Guide. https://teeptrak.com/en/iec-62443-industrial-cybersecurity-2026
4. Security Boulevard (2025). Securing IIoT with IEC 62443: A Technical Guide to Breach-proof Architectures. https://securityboulevard.com/2025/05/securing-iiot-with-iec-62443-a-technical-guide-to-breach-proof-architectures-2
5. Qu3ry (abril 2026). IEC 62443 Industrial Cybersecurity. https://qu3ry.net/articles/health-monitoring/iec-62443-industrial-cyber