OT-beveiliging en soevereiniteit voor industriële controlesystemen vormen een toenemend knelpunt voor Europese organisaties in sectoren als energie, drinkwater en transport. Operationele technologie (OT), waaronder SCADA-systemen, programmeerbare logische controllers (PLC’s) en gedistribueerde controlesystemen (DCS), was traditioneel fysiek geïsoleerd. Die isolatie bestaat in veel gevallen niet langer: remote monitoring, predictive maintenance en cloudintegratie hebben OT verbonden met netwerken die blootstaan aan jurisdictierisico’s, cyberaanvallen en toeleveringsketenafhankelijkheden buiten de EU.
Jurisdictierisico’s bij cloudgebonden OT-systemen
Zodra een niet-EU-leverancier cloudtoegang heeft tot uw OT-omgeving, gelden de wetten van het land waar die leverancier is gevestigd, ook als de servers in Europa staan.
De Amerikaanse CLOUD Act (2018) verplicht US-bedrijven om procesdata te verstrekken aan Amerikaanse autoriteiten op diens verzoek, ongeacht de fysieke opslaglocatie. Voor een SCADA-systeem in een Nederlandse elektriciteitscentrale of een waterbehandelingsinstallatie betekent dit concreet: storingslogs, bedrijfsprocessen, configuratiebestanden en alarmhistorie van de installatie kunnen worden opgevraagd via de Amerikaanse moedermaatschappij van de OT-leverancier, zonder tussenkomst van een Europese rechter en zonder dat de betrokken organisatie hiervan op de hoogte wordt gesteld.
Dit is geen theoretisch risico. ENISA stelt in haar OT Security Guidelines uitdrukkelijk:
“OT-systemen worden steeds vaker verbonden met cloudplatformen van derden, wat nieuwe en ernstige risico’s introduceert voor de veiligheid van kritieke infrastructuur. Organisaties moeten de herkomst en jurisdictie van elke schakel in hun toeleveringsketen kennen.” (ENISA OT Security Guidelines 2023)
De risico’s zijn niet uitsluitend juridisch van aard. Cloudverbonden OT-systemen vergroten ook het aanvalsoppervlak. Volgens het ENISA Threat Landscape for Energy 2023 begon meer dan 80% van de OT-incidenten in de energiesector in 2022 via een IT-aanvalsvector. Dat maakt de scheiding tussen IT en OT geen aanbeveling maar een architecturele noodzaak.
NIS-2-zorgplicht voor OT en de rol van ISA/IEC-62443
NIS-2 (Richtlijn (EU) 2022/2555) legt een uitgebreide zorgplicht op aan organisaties in Annex I-sectoren, waaronder energie, drinkwater, afvalwater en transport. Die zorgplicht omvat uitdrukkelijk OT-omgevingen.
De NIS-2 Implementing Regulation (EU) 2024/2690 preciseert de technische maatregelen: netwerksegmentatie, toegangsbeheer, kwetsbaarheidsbeheer en beveiliging van de toeleveringsketen. Organisaties moeten deze maatregelen documenteren, testen en aantoonbaar implementeren. De Europese Commissie legt in de toelichting bij deze Implementing Regulation vast:
“De NIS2-richtlijn vereist dat organisaties in kritieke sectoren de risico’s van hun toeleveringsketen beheren, inclusief de software en diensten die zij gebruiken voor het beheer van operationele technologie.” (Europese Commissie, toelichting bij (EU) 2024/2690)
ISA/IEC-62443 is de internationale normenreeks die dit concreet maakt. De norm onderscheidt Security Levels (SL 1 tot SL 4) op basis van de dreigingsactor waartegen beschermd moet worden: van onbedoelde fouten (SL 1) tot staatsactoren (SL 4). Kritieke infrastructuur in de energiesector werkt doorgaans op SL 3. De norm hanteert ook een zone- en conduit-aanpak: elke functionele zone in het OT-netwerk krijgt een eigen beveiligingsniveau en communicatie tussen zones verloopt uitsluitend via gedefinieerde conduits met expliciete toegangsregels.
Voor soevereine inkoop heeft ISA/IEC-62443 een directe implicatie: de norm vereist dat beveiligingsproducten en -diensten voldoen aan de eisen van de zone waarvoor zij worden ingezet. Leveranciers die niet kunnen aantonen dat hun product aan het vereiste Security Level voldoet, en die hun compliance-documentatie niet in een Europese juridische context kunnen verankeren, zijn vanuit dit kader ongeschikt voor gebruik in kritieke OT-omgevingen.
Het ENISA NIS Investment Report 2023 stelt dat het aantal ICS/OT-gerelateerde incidenten in de EU tussen 2020 en 2022 verdubbelde. Hetzelfde rapport constateert dat in 2023 slechts circa 30% van de OT-beheerders in Annex I-sectoren aantoonbare segmentatie tussen IT- en OT-netwerken had ingevoerd. Dit gat tussen wettelijke verplichting en praktijk maakt de sector kwetsbaar en toezichthouders actief.
De Cyber Resilience Act: eisen aan verbonden OT-hardware
De Cyber Resilience Act (Verordening (EU) 2024/2847, CRA) richt zich op fabrikanten van producten met digitale elementen, waaronder industriële hardware zoals PLC’s, gateways, remote terminal units en HMI-systemen met een netwerkinterface.
De CRA verplicht fabrikanten tot het volgende tijdens de gehele levenscyclus van het product:
- Beveiligingsupdates leveren gedurende de verwachte gebruiksduur, minimaal vijf jaar.
- Actief kwetsbaarheden monitoren en melden bij ENISA binnen 24 uur na ontdekking van actief misbruik.
- Een Software Bill of Materials (SBOM) beschikbaar stellen, zodat inkopers de componentketen kunnen beoordelen.
- Producten conform de “security by design”-principes ontwikkelen, met standaard veilige configuraties.
Voor inkopers van OT-hardware in kritieke sectoren vertaalt dit zich naar concrete aanbestedingseisen. U mag als inkopende organisatie van een leverancier verlangen dat hij een actuele SBOM aanlevert, aantoont dat zijn updateproces functioneert en documenteert welke open source- of derde-partijcomponenten in de firmware zijn opgenomen. Zijn die componenten afkomstig van leveranciers met bekende sancties of hoge risico-ratings in de toeleveringsketen, dan is dat een aantoonbare grond om de inkoop te heroverwegen.
Toeleveringsketenveiligheid en soevereiniteit overlappen hier: een PLC waarvan de firmware deels bestaat uit modules van een Chinese of Amerikaanse aanbieder met eigen clouddiensten introduceert jurisdictierisico op hardwareniveau. De CRA maakt dit inzichtelijk; het is aan de inkopende organisatie om er consequenties aan te verbinden.
Soevereine IT/OT-segmentatie zonder Amerikaanse leveranciers
Netwerkscheiding tussen IT en OT is de meest fundamentele maatregel in zowel ISA/IEC-62443 als de NIS-2 Implementing Regulation. Het Purdue Enterprise Reference Architecture (PERA) biedt het meest gangbare referentiemodel: het deelt het netwerk op in lagen 0 (het fysieke proces) tot 5 (het bedrijfsnetwerk), waarbij elke laag strikt is afgeschermd van de aangrenzende lagen.
| Purdue-laag | Functie | Soevereine afschermingsmaatregel |
|---|---|---|
| Laag 0 tot 2 (OT-kern) | Sensoren, PLC’s, SCADA | Fysieke of logische isolatie, geen externe verbinding |
| Laag 3 (OT-management) | Historian, patch management OT | Datadiode of unidirectionele gateway richting IT |
| DMZ (laag 3.5) | Gecontroleerde uitwisseling IT/OT | Industriële firewall van EU/Europees gecertificeerde leverancier |
| Laag 4 tot 5 (IT) | ERP, kantoorautomatisering | Standaard IT-beveiliging, gescheiden van OT |
Voor soevereine implementatie van deze architectuur zijn Europese alternatieven beschikbaar. Datadiodes van het Zweedse Advenica of het Nederlandse Fox Crypto (gecertificeerd voor gerubriceerde omgevingen) bieden hardware-afgedwongen unidirectionele communicatie. Voor industriële firewalls zijn producten van het Duitse Genua (gespecialiseerd in overheids- en OT-toepassingen) of de Europese productlijn van Hirschmann/Belden beschikbaar. Geen van deze leveranciers valt onder de CLOUD Act of de US Patriot Act.
Remote monitoring en predictive maintenance: gegevenssoevereiniteit in de praktijk
Predictive maintenance en remote monitoring zijn economisch aantrekkelijk: minder ongeplande stilstand, lagere onderhoudskosten en betere capaciteitsplanning. Vrijwel alle grootschalige oplossingen op de markt, van Siemens MindSphere tot GE Predix en Schneider Electric EcoStruxure, koppelen OT-data aan clouddiensten die juridisch buiten de EU vallen of gedeeltelijk in handen zijn van US-moedermaatschappijen.
De gegevens die deze platforms verwerken zijn bedrijfsgevoelig en soms strategisch: productiecapaciteit, onderhoudscycli, grondstofinzet en storingspredictie. In de energiesector gaat het bovendien om data die de operationele staat van kritieke infrastructuur blootlegt. Inzage door een buitenlandse overheid in deze data kan concurrentienadeel, veiligheidsrisico’s en schendingen van GDPR en NIS-2 opleveren tegelijk.
Soevereine alternatieven voor predictive maintenance zijn technisch volwassen. Een on-premise of privécloud-architectuur gebaseerd op open industriestandaarden zoals OPC-UA voor dataverzameling, gecombineerd met een lokaal gehoste tijdreeksdatabase (zoals InfluxDB of TimescaleDB, beide open source) en een analysepijplijn zonder externe clouddiensten, biedt vergelijkbare functionaliteit. De procesdata verlaat dan nooit het eigen netwerk. AI-modellen voor anomaliedetectie kunnen lokaal worden getraind op eigen data, zonder dat trainingsdata wordt gedeeld met een externe aanbieder.
Voor de maakindustrie en energiesector geldt als praktische eis: leg in elk servicecontract vast dat de OT-leverancier of het remote monitoring-platform geen procesdata opslaat buiten de EU, geen subverwerkers inschakelt buiten de EER zonder uitdrukkelijke toestemming, en dat bij een juridisch verzoek van een buitenlandse autoriteit onmiddellijk melding wordt gedaan aan de betrokken organisatie. Dat is niet voldoende als de leverancier een US-rechtspersoon is (de CLOUD Act verbiedt melding in bepaalde gevallen), maar het legt de due diligence vast en maakt toezichthouders inzichtelijk hoe u het risico hebt geïnventariseerd.
FAQ: OT-beveiliging, soevereiniteit en NIS-2
Vallen SCADA- en PLC-systemen direct onder de NIS-2-zorgplicht?
Ja. NIS-2 verplicht organisaties in Annex I-sectoren, zoals energie, water en transport, om ook de beveiliging van hun operationele technologie aantoonbaar te borgen. De NIS-2 Implementing Regulation (EU) 2024/2690 preciseert de technische maatregelen, waaronder netwerksegmentatie en toeleveringsketenbeheer, die ook op OT-omgevingen van toepassing zijn.
Wat is het concrete risico als een Amerikaanse leverancier cloudbewaking biedt voor mijn SCADA-systeem?
De Amerikaanse CLOUD Act (2018) geeft Amerikaanse autoriteiten het recht om bij US-bedrijven procesdata op te vragen, ook als die data in Europa is opgeslagen. Voor een OT-leverancier met een US-moedermaatschappij betekent dit dat procesgegevens, storingslogs en configuratiedata van uw SCADA-systeem juridisch toegankelijk kunnen zijn voor niet-EU-overheden, zonder dat u daar als Europese organisatie controle over heeft.
Hoe sluit ISA/IEC-62443 aan op de NIS-2-vereisten voor OT-beveiliging?
ISA/IEC-62443 is de internationale normenreeks voor beveiliging van industriële automatiserings- en controlesystemen. NIS-2 verplicht tot passende technische en organisatorische maatregelen; ISA/IEC-62443 biedt het concrete raamwerk om dat te operationaliseren via Security Levels (SL 1 tot 4) en de zone- en conduit-aanpak. ENISA noemt deze norm uitdrukkelijk als referentiekader in haar OT Security Guidelines.
Wat verandert de Cyber Resilience Act voor inkopers van verbonden OT-hardware?
De CRA (Verordening (EU) 2024/2847) verplicht fabrikanten van verbonden producten, inclusief industriële hardware zoals gateways en PLC’s met netwerkinterface, om gedurende de gehele levenscyclus beveiligingsupdates te leveren en kwetsbaarheden te melden. Voor inkopers betekent dit dat zij bij aanbesteding moeten eisen dat leveranciers een Software Bill of Materials (SBOM) aanleveren en aantonen dat hun toeleveringsketen vrij is van componenten met bekende hoge risico’s.
Kan ik voor IT/OT-segmentatie volledig afzien van Amerikaanse leveranciers?
In principe wel. Europese alternatieven voor firewalls, datadiodes en industriële DMZ-oplossingen zijn beschikbaar van fabrikanten als Advenica (Zweeds), Genua (Duits) en Fox Crypto (Nederlands). Voor een soevereine architectuur gebaseerd op het Purdue Enterprise Reference Architecture kunt u lagen 0 tot 3 volledig isoleren met hardware van leveranciers die geen verplichtingen hebben onder de CLOUD Act of de US Patriot Act.
