PQC voor OT en ICS: kwantumbeveiliging van kritieke infrastructuur

Post-quantum cryptografie (PQC) voor operationele technologie (OT) en industriële controlesystemen (ICS) is het vakgebied dat zich bezighoudt met het vervangen van klassieke versleutelingsmethoden, zoals RSA en ECC, door algoritmen die bestand zijn tegen aanvallen door kwantumcomputers, specifiek in omgevingen waar systemen decennialang in productie blijven en niet zonder operationele risico’s kunnen worden bijgewerkt.

Waarom OT en ICS nu al worden getroffen door een kwantumdreiging

De kwantumdreiging voor OT en ICS is niet toekomstig; hij is actueel. Aanvallers die beschikken over voldoende middelen, zoals statelijke actoren, verzamelen vandaag versleuteld industrieel netwerkverkeer met de expliciete bedoeling dit te ontcijferen zodra een cryptografisch relevante kwantumcomputer beschikbaar komt. Dit staat bekend als de “harvest now, decrypt later”-aanval.

Het tijdsprobleem is bijzonder urgent voor de OT-sector:

Volgens NIST SP 800-82 Rev. 3, de gezaghebbende ICS Security Guide, bedraagt de gemiddelde operationele levensduur van industriële controlesystemen 15 tot 25 jaar. Dat betekent dat systemen die vandaag worden aangeschaft of nog in productie zijn, actief zullen zijn op het moment dat de cryptografische onderbouw van hun communicatie kwetsbaar wordt.

“Adversaries are already collecting encrypted data today with the expectation of decrypting it once a cryptographically relevant quantum computer becomes available. For ICS environments with decades-long asset lifespans, this is not a future problem — it is a present one.” (CISA, CISA Zero Trust OT Guidance)

De rekenkundige uitdaging van PQC op legacy OT-hardware

De directe implementatie van gestandaardiseerde PQC-algoritmen op bestaande veldapparaten stuit op fundamentele hardwarebeperkingen, die de migratie wezenlijk anders maken dan een gewone software-update.

ML-KEM (FIPS 203), de door NIST gestandaardiseerde sleutelencapsulatiemethode die Kyber als grondslag heeft, vereist aanzienlijk meer geheugen en rekencapaciteit dan het RSA-2048 of ECC-256 dat de meeste legacy OT-apparaten vandaag gebruiken. Concreet betekent dit:

• ML-KEM-768 genereert sleutels en cipher-teksten van respectievelijk 1.184 en 1.088 bytes, terwijl een typische embedded PLC slechts enkele kilobytes RAM beschikbaar heeft voor cryptografische bewerkingen.
• ML-DSA (FIPS 204), het bijbehorende handtekeningalgoritme, produceert handtekeningen van meer dan 2.400 bytes in de kleinste parametervariant, wat de communicatieoverhead op smalbandige veldbusbussen zoals Modbus RTU onacceptabel vergroot.
• Veel legacy processors in veldapparaten missen hardware-acceleratie voor de rekenintensieve lattice-operaties die ten grondslag liggen aan ML-KEM en ML-DSA.

Migratiestrategieën voor langlevende systemen

Omdat directe vervanging van veldapparaten in kritieke infrastructuur operationeel, financieel en logistiek onhaalbaar is op korte termijn, onderscheiden experts drie praktische migratielagen.

Laag 1: Cryptografische inventarisatie als vertrekpunt

Voordat een organisatie kan migreren, moet zij precies weten welke algoritmen, certificaten, sleutellenghtes en protocollen actief zijn in haar OT-omgeving. Dit “cryptografische bill of materials” is de basis voor risicoprioriteringen. NIST SP 800-82 Rev. 3 beveelt aan dit proces te integreren in het bestaande asset-managementprogramma dat IEC 62443 voorschrijft.

Laag 2: PQC aan de netwerkrand, niet op het veldapparaat

Voor apparaten die niet kunnen worden geüpdated, is de meest haalbare aanpak het inbrengen van een quantum-safe beveiligingslaag op netwerkniveau. Dit kan door:

• Quantum-safe VPN-concentrators of TLS 1.3-gateways te plaatsen die het OT-segment scheiden van het bedrijfsnetwerk en het internet.
• PQC-beveiligde IPsec-tunnels te gebruiken voor site-to-site verbindingen tussen SCADA-omgevingen, waarbij het veldprotocol zelf (Modbus TCP, DNP3, IEC 61850) ongewijzigd blijft.
• “Bump-in-the-wire”-encryptieapparaten in te zetten die transparant PQC-encryptie toevoegen aan bestaande seriële of Ethernet-verbindingen.

Laag 3: Hybride cryptografie als overgangsperiode

Zowel CISA als ENISA bevelen aan om tijdens de transitieperiode hybride schema’s te gebruiken: een combinatie van een klassiek algoritme (zoals ECDH) en een PQC-algoritme (ML-KEM). Het gecombineerde sleutelmateriaal is veilig zolang ten minste één van de twee algoritmen niet is gekraakt. Dit geeft organisaties de tijd om systemen gefaseerd te vervangen zonder nu al afhankelijk te zijn van de volledige PQC-infrastructuur.

Industriële protocollen kwantumbestendig maken

Modbus, DNP3 en IEC 61850 zijn de ruggengraat van industriële communicatie, maar geen van deze protocollen heeft ingebouwde cryptografie als kernonderdeel van de protocolspecificatie.

Modbus (zowel RTU als TCP) heeft geen authenticatie of versleuteling in de basisspecificatie. DNP3 kent een optionele Secure Authentication v5-laag (DNP3-SA), die echter uitsluitend op symmetrische cryptografie is gebaseerd en daardoor niet kwantumresistent is. IEC 61850, dat breed wordt ingezet in elektriciteitsnetbeheersystemen, heeft wel encryptie-opties (via IEC 62351), maar de implementatie verschilt sterk per leverancier.

De praktische aanpak voor elk protocol:

• Modbus TCP: Tunnelen via quantum-safe TLS 1.3 of IPsec met ML-KEM; het protocol zelf hoeft niet te worden gewijzigd.
• DNP3: Aanvullen met een kwantumresistente transportlaag en de migratie van DNP3-SA naar PQC-gebaseerde authenticatie inplannen zodra de DNP3-werkgroep (IEEE) een gestandaardiseerde uitbreiding publiceert.
• IEC 61850 (GOOSE/Sampled Values): IEC 62351-6 biedt een kader voor beveiliging; organisaties moeten bij leveranciers vragen naar PQC-roadmaps voor IEC 62351-implementaties.

“The migration to post-quantum cryptography must be treated as a systemic risk management challenge, not merely a software update, particularly where embedded systems and legacy fieldbus protocols are concerned.” (ENISA, OT Threat Landscape)

NIS-2 en sectorale verplichtingen voor OT-beheerders

De NIS-2 Richtlijn (EU 2022/2555) legt specifieke beveiligingsverplichtingen op aan aanbieders van essentiële diensten. Bijlage I van NIS-2 noemt expliciet de sectoren energie, drinkwater, afvalwater, digitale infrastructuur en transport als kritieke sectoren waar de strengste eisen gelden. Organisaties in deze sectoren zijn wettelijk verplicht om passende technische maatregelen te nemen, waaronder cryptografische beveiliging, als onderdeel van een risicobeheersysteem.

Concreet vertaalt dit zich naar de volgende verplichtingen die direct raken aan PQC:

• Artikel 21 NIS-2 verplicht het gebruik van “versleuteling en, indien van toepassing, sterke authenticatie”, zonder een specifiek algoritme te noemen. Dit geeft toezichthouders de ruimte om bij audits te toetsen of een organisatie aantoonbaar rekening houdt met kwantumrisico’s in haar cryptografische keuzes.
• IEC 62443, de sectorale OT-beveiligingsstandaard, wordt door meerdere EU-lidstaten en toezichthouders gezien als de technische invulling van de NIS-2-verplichtingen voor industriële omgevingen. Beveiligingsniveaus (SL) binnen IEC 62443 bepalen welke cryptografische sterkte vereist is per asset.
• NIST SP 800-82 Rev. 3 biedt aanvullende technische richtlijnen die door Europese sectorale toezichthouders als referentiekader worden gebruikt, met name in de energiesector.

Statistiek: het NSA-beleid (CNSA 2.0, 2022) stelt dat organisaties met langlevende systemen en geclassificeerde communicatievereisten uiterlijk in 2030 moeten zijn overgegaan op kwantumresistente algoritmen. Hoewel dit Amerikaans beleid is, fungeert het als referentietijdlijn voor Europese toezichthouders bij de beoordeling van what “adequate maatregelen” betekent.

Statistiek: ENISA constateerde in zijn OT Threat Landscape rapport dat meer dan 40% van de gemelde OT-beveiligingsincidenten betrekking had op energie- en productiesectoren, de sectoren die ook onder NIS-2 Bijlage I vallen.

Een gefaseerd actieplan voor de OT-PQC-migratie

Een gestructureerd migratietraject voor OT-omgevingen verloopt in vijf opeenvolgende fasen, waarbij elke fase bouwt op de vorige.

1. Fase 1 (nu): Cryptografische inventarisatie. Documenteer elk algoritme, elke certificeringsinstantie, sleutellengte en protocol in de OT-omgeving. Gebruik dit als invoer voor risicoclassificatie per IEC 62443-beveiligingsniveau.
2. Fase 2 (2025-2026): Risicoprioritering. Identificeer welke systemen het meest kwetsbaar zijn voor harvest-now-decrypt-later: systemen die langlopende gevoelige data versleutelen, zoals historische procesdata of operationele certificaten, hebben de hoogste urgentie.
3. Fase 3 (2025-2027): Netwerkrandbeveiliging met hybride PQC. Implementeer quantum-safe gateways en VPN-concentrators op de grens tussen het OT-netwerk en externe verbindingen. Gebruik hybride ML-KEM plus ECDH tijdens de overgangsperiode.
4. Fase 4 (2027-2030): Hardware-vervanging met PQC-native apparaten. Neem PQC-vereisten op in alle nieuwe aanbestedingen voor veldapparaten, PLCs en SCADA-systemen. Vervang apparaten die het einde van hun levensduur naderen prioritair door PQC-capabele alternatieven.
5. Fase 5 (doorlopend): Auditering en compliance. Voer jaarlijkse cryptografische audits uit conform NIST SP 800-82 en NIS-2 artikel 21. Documenteer voortgang als bewijs van “adequate maatregelen” voor toezichthouders.

Veelgestelde vragen (FAQ)

Wat is “harvest now, decrypt later” en waarom is dit zo gevaarlijk voor OT-systemen?

Bij harvest-now-decrypt-later onderscheppen aanvallers versleuteld verkeer vandaag en bewaren dit totdat een kwantumcomputer de versleuteling kan kraken. OT-systemen zijn extra kwetsbaar omdat hun levensduur van 15 tot 25 jaar garandeert dat de versleutelde data nog steeds waardevol is op het moment dat kwantumcomputers beschikbaar komen.

Kunnen oude PLCs en SCADA-systemen ML-KEM draaien zonder hardware-vervanging?

Meestal niet direct. ML-KEM (FIPS 203) vereist meer geheugen en rekenkracht dan RSA of ECC. Voor legacy hardware zonder firmware-updatemogelijkheid is een PQC-gateway of quantum-safe VPN-concentrator aan de netwerkrand de meest praktische tussenoplossing, totdat hardware-vervanging haalbaar is.

Welke verplichtingen legt NIS-2 op aan organisaties met OT-infrastructuur op het gebied van cryptografie?

NIS-2 (EU 2022/2555) verplicht aanbieders van essentiële diensten, waaronder energie, water en transport, tot het gebruik van adequate cryptografische maatregelen als onderdeel van hun risicobeheersysteem. Dit omvat de verplichting om nieuwe kwetsbaarheden, inclusief kwantumrisico’s, te identificeren en te mitigeren. De concrete invulling sluit aan op IEC 62443 en NIST SP 800-82.

Zijn industriële protocollen zoals Modbus en DNP3 kwantumbestendig te maken?

Modbus en DNP3 hebben zelf geen ingebouwde encryptie en zijn niet ontworpen voor cryptografische uitbreiding. De meest haalbare aanpak is het tunnelen van deze protocollen via een PQC-beveiligd transportprotocol, zoals een quantum-safe TLS 1.3-implementatie of IPsec met ML-KEM, op het netwerkniveau, zonder het veldprotocol zelf te wijzigen.

Wanneer moet een organisatie beginnen met de PQC-migratie voor haar OT-omgeving?

Direct. De eerste stap is een cryptografische inventarisatie: breng alle algoritmen, certificaten en protocollen in kaart die worden gebruikt binnen de OT-omgeving. Gezien de lange procurementtijden en validatievereisten in industriële sectoren, moeten organisaties die nieuwe hardware inkopen al nu PQC-vereisten opnemen in hun aanbestedingsdocumenten.