ENGINEERING NOTES · Jun 2026

Por qué NERC-CIP e IEC 62443 no compiten, se complementan

Uno es la ley. El otro es la ingeniería. He visto equipos perder meses tratándolos como alternativas.

Es un error que veo seguido, incluso en equipos con buena intención: tratar NERC CIP e IEC 62443 como dos caminos alternativos para 'hacer seguridad OT', cuando en realidad responden preguntas distintas.

CIP responde '¿qué estoy legalmente obligado a hacer si opero el sistema eléctrico masivo de Norteamérica?'. Es específico de sector y de región, y su incumplimiento tiene consecuencias regulatorias reales.

62443 responde '¿cómo diseño técnicamente una arquitectura de control industrial segura?'. Es agnóstico de sector y de región — sirve igual para una planta eléctrica en Quito que para una manufacturera en Baviera.

La forma correcta de usarlos juntos: CIP define el qué obligatorio (categorización de activos, perímetro electrónico, gestión de cambios), y 62443 provee el cómo técnico para implementarlo con rigor — zonas y conductos, niveles de seguridad, requisitos de componente. Diseñar la arquitectura solo mirando CIP suele producir un cumplimiento válido en el papel pero frágil en la práctica.