Operationele technologie (OT) en industriële controlesystemen zoals SCADA en PLC’s vormen de fysieke ruggengraat van de Europese energievoorziening. Wanneer de cloudlaag waarop deze systemen steunen voor monitoring, updates of telemetrie onder Amerikaanse of andere buitenlandse jurisdictie valt, ontstaat een soevereiniteitsprobleem dat kwalitatief verschilt van de risico’s bij gewone kantoorautomatisering: een datalek bij een HR-systeem is ernstig, maar ongeautoriseerde toegang tot of manipulatie van een energiebeheersysteem kan directe fysieke gevolgen hebben voor de openbare veiligheid.
Waarom cloudverbonden OT een jurisdictieprobleem is
Zodra telemetrie, configuratiedata of procesinformatie van SCADA-systemen worden opgeslagen bij of gerouteerd via een dienstverlener onder de Amerikaanse Clarifying Lawful Overseas Use of Data Act (CLOUD Act), kunnen Amerikaanse autoriteiten via een rechterlijk bevel toegang vorderen tot die data, ook als de servers fysiek in de EU staan. De CLOUD Act, van kracht sinds 2018, kent geen eis van wederzijdse rechtshulp voor dergelijke verzoeken.
Voor de energiesector is dit bijzonder risicovol. Topologische informatie over het elektriciteitsnet, parametrisering van transformatorstations of historische belastingsgegevens kunnen inzicht geven in kwetsbaarheden die een statelijke actor kan misbruiken. Combineer dit met de bepalingen van de Foreign Intelligence Surveillance Act (FISA) sectie 702, die gerichte surveillance van buitenlandse entiteiten door Amerikaanse inlichtingendiensten toestaat, en het wordt duidelijk dat “data in de EU hosten bij een Amerikaans bedrijf” geen afdoende bescherming biedt.
ENISA stelde in zijn Threat Landscape for OT and ICS (2023) vast dat meer dan 60 procent van de gerapporteerde OT-incidenten een toeleverancierscomponent had. Dat bevestigt dat de aanvalsvector niet alleen via directe netwerktoegang loopt, maar ook via software-updates, remote maintenance-verbindingen en clouddiensten van derden.
NIS-2-conforme OT-architectuur: van Purdue naar soevereine segmentatie
Een NIS-2-conforme OT-architectuur begint bij het principe van minimale blootstelling: elk communicatiepad naar buiten het OT-netwerk is een potentieel aanvalspad en moet worden gerechtvaardigd, beveiligd en gedocumenteerd.
Het Purdue-model als vertrekpunt
Het klassieke Purdue Enterprise Reference Architecture onderscheidt vijf niveaus, van het fysieke veld (niveau 0) tot de bedrijfsnetwerken (niveau 4 en 5). De kern van een soevereine OT-architectuur is het handhaven van strikte scheiding tussen niveau 3 (SCADA/DCS) en niveau 4 (bedrijfs-IT), met een goed gedocumenteerde DMZ ertussen. Eenrichtingscommunicatie via data diodes is daarbinnen een bewezen techniek: telemetrie gaat naar boven door, commando’s van boven naar beneden worden geblokkeerd tenzij via een aparte, strikt gecontroleerde kanaal.
Wanneer cloud niet te vermijden is
Sommige OT-functies, zoals grootschalige historische dataopslag of machine-learning voor predictief onderhoud, profiteren van cloudcapaciteit. De soevereine invulling hiervan vereist drie maatregelen. Ten eerste: gebruik uitsluitend Europese cloudaanbieders die contractueel en structureel buiten Amerikaanse jurisdictie vallen, zoals aanbieders gecertificeerd onder het Nederlandse of Europese EUCS-schema (EU Cybersecurity Certification Scheme for Cloud Services). Ten tweede: pseudonimiseer of aggregeer operationele data voordat die de OT-zone verlaten, zodat herleidbare topologische informatie niet wordt blootgesteld. Ten derde: vereis expliciete contractuele bepalingen over datalocatie en jurisdictie, inclusief auditrecht.
Het Europees Agentschap voor Netwerk- en Informatiebeveiliging formuleert het als volgt:
“Operational technology environments face unique challenges because availability and safety take priority over confidentiality, which means traditional IT security approaches cannot simply be transplanted into OT networks.” (ENISA, Threat Landscape for OT and ICS)
ENISA-aanbevelingen en soevereine inkoopcriteria
Het ENISA OT-rapport en de NCSC Good Practices Ketenbeveiliging convergeren in hun aanbevelingen voor supply chain security. Vertaald naar concrete inkoopcriteria voor essentiële-sectororganisaties betekent dit het volgende.
| Criterium | Minimale eis | Soevereine aanvullende eis |
|---|---|---|
| Certificering leverancier | ISO 27001 | IEC 62443-2-4 (leverancierprocessen) of hoger |
| Softwaretransparantie | Kwetsbaarhedenmeldingsprocedure | Software Bill of Materials (SBOM) per release |
| Jurisdictie | GDPR-verwerkersovereenkomst | Geen dataverwerking buiten EER, geen moederbedrijf onder CLOUD Act |
| Remote access | MFA verplicht | Jump server in DMZ, sessieregistratie, geen permanente verbindingen |
| Incidentrespons | SLA voor meldingen | Contractuele meldplicht binnen 24 uur conform NIS-2 artikel 23 |
Vattenfall heeft als praktijkvoorbeeld bij de Cbw-ketenbeveiliging (Commissie Beveiliging Vitale Infrastructuur) laten zien dat grote energiebedrijven hun leveranciersbeoordelingen steeds meer inrichten op basis van OT-specifieke veiligheidscriteria, inclusief periodieke audits en contractuele zeggenschap over software-updates. Dit gaat verder dan de traditionele IT-leveranciersaudits en vereist specifieke technische kennis van ICS-omgevingen bij de interne auditors.
PQC-migratie in OT: een ander tijdsperspectief
De overgang naar post-quantum cryptografie (PQC) is voor OT-omgevingen urgenter dan voor kantoorautomatisering, maar ook complexer. De reden zit in de levensduur: de gemiddelde levensduur van industriële controlesystemen bedraagt 15 tot 25 jaar (NIST SP 800-82 Rev. 3, 2023). Een PLC die vandaag wordt aangeschaft en klassieke RSA-2048 gebruikt voor firmware-authenticatie, kan in 2035 nog altijd in productie zijn, op een moment dat cryptografisch relevante kwantumcomputers mogelijk operationeel zijn.
Het zogenoemde “harvest now, decrypt later”-scenario is voor OT extra zorgwekkend. Configuratiedata en netwerktopologieën die nu worden onderschept, kunnen later worden ontsleuteld om aanvallen op toekomstige systemen voor te bereiden. Dit maakt PQC-readiness een inkoop- en aanbestedingseis die nu al verankerd moet worden in specificaties.
NIST publiceerde in 2024 de definitieve standaarden FIPS 203 (ML-KEM, gebaseerd op CRYSTALS-Kyber), FIPS 204 (ML-DSA, gebaseerd op CRYSTALS-Dilithium) en FIPS 205 (SLH-DSA, gebaseerd op SPHINCS+). Voor OT-omgevingen geldt dat niet alle embedded processors de rekenlast van deze algoritmen aankunnen. De praktische aanpak is een gefaseerde prioritering: begin met de beveiligde communicatiekanalen voor remote access en software-updates, waar de meeste aanvalswinst te behalen is, en werk daarna naar de embedded firmware-signing op componentniveau.
De Cyber Resilience Act en soevereine OT-inkoop
De Cyber Resilience Act (CRA), in 2024 vastgesteld als EU-verordening, introduceert bindende cybersecurityeisen voor alle producten met digitale elementen die op de EU-markt worden gebracht. Dit omvat uitdrukkelijk OT-componenten zoals PLC’s, RTU’s (Remote Terminal Units) en industriële gateways.
Concreet verplicht de CRA fabrikanten om: beveiligingsupdates te leveren gedurende de gehele verwachte levensduur van het product; kwetsbaarheden binnen 24 uur te melden aan ENISA en relevante nationale autoriteiten; en een conformiteitsverklaring te ondertekenen als basis voor CE-markering. Voor inkopers in de energiesector betekent dit dat CRA-conformiteit een harde aanbestedingseis wordt zodra de overgangstermijnen zijn verstreken, naast de al bestaande IEC 62443-certificeringseisen.
Wat de CRA niet regelt, is jurisdictie van de fabrikant of van de clouddiensten waarmee het product communiceert. Een CRA-conform product kan nog altijd telemetrie verzenden naar een server onder de CLOUD Act. Soevereine inkoopcriteria moeten de CRA daarom aanvullen met expliciete eisen over datastromen en jurisdictie van alle onderliggende diensten.
Beschikbaarheid versus soevereiniteit: de operationele spanning
De NIS-2 Richtlijn (EU) 2022/2555 formuleert het als volgt in artikel 21:
“De NIS2-richtlijn vereist van essentiële entiteiten dat zij passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van netwerk- en informatiesystemen te beheersen.” (Europees Parlement en de Raad van de EU, 2022)
De term “passend en evenredig” geeft ruimte voor een risicogebaseerde afweging, maar ontslaat energiebedrijven niet van de plicht om beschikbaarheidsrisico’s mee te wegen. Strikte cloudsoevereiniteitsmaatregelen, zoals volledige air-gapping of verbod op elke externe dienst, kunnen de operationele continuïteit juist bedreigen als ze redundantievoorzieningen of externe expertise uitsluiten.
De balans is te vinden in gelaagde soevereiniteit. Het meest kritische deel van de OT-omgeving (niveau 0 tot 3 in het Purdue-model) wordt volledig on-premise of via een soevereine private cloud beheerd, zonder externe afhankelijkheden. De bedrijfslaag (niveau 4 en 5) kan gebruik maken van Europese clouddiensten, maar met strikt gedefinieerde dataclassificatie en netwerksegmentatie. Noodprocedures voor handmatig bedrijf moeten periodiek worden geoefend, zodat de organisatie niet volledig afhankelijk wordt van digitale verbindingen, ook niet van soevereine.
Ransomware-bescherming verdient in dit verband specifieke aandacht. Het IBM X-Force Threat Intelligence Index 2023 rapporteerde een stijging van 87 procent in cyberincidenten gericht op OT- en ICS-omgevingen in de energiesector in 2022 ten opzichte van 2021. Offline back-ups van PLC-programma’s, engineering workstation-configuraties en netwerktopologiedocumentatie, opgeslagen buiten het primaire OT-netwerk en op een locatie onder eigen jurisdictie, zijn geen luxe maar een operationele basiseis die ook NIS-2 artikel 21 impliciet vereist onder de noemer “bedrijfscontinuïteit”.
Veelgestelde vragen
Valt een SCADA-systeem dat naar een Amerikaanse clouddienst communiceert onder de CLOUD Act?
Ja. Zodra operationele data worden opgeslagen bij of verwerkt door een bedrijf dat onder Amerikaanse jurisdictie valt, kunnen Amerikaanse autoriteiten via de CLOUD Act toegang eisen tot die data, ongeacht of de servers fysiek in de EU staan. Dit geldt ook voor configuratiedata, logbestanden en telemetrie van SCADA-systemen.
Wat is het minimale netwerksegmentatiemodel dat NIS-2 accepteert voor OT-omgevingen?
NIS-2 schrijft geen specifieke technische architectuur voor, maar vereist op grond van artikel 21 passende maatregelen op basis van een risicoafweging. In de praktijk geldt een Purdue-gebaseerde segmentatie met een duidelijke DMZ tussen IT- en OT-netwerken als breed geaccepteerde invulling, aangevuld met strikt beheerd eenrichtingsverkeer via data diodes voor telemetrie-uitwisseling.
Wanneer moet een energiebedrijf beginnen met de PQC-migratie van OT-systemen?
Onmiddellijk, maar gefaseerd. Omdat industriële apparatuur een levensduur van 15 tot 25 jaar kent, moeten organisaties nu cryptografische inventarisaties maken en bij nieuwe aanbestedingen PQC-readiness als contracteis opnemen. De NIST-standaarden FIPS 203, 204 en 205 zijn in 2024 gepubliceerd en bieden de technische basis voor die eisen.
Hoe vertalen ENISA-aanbevelingen zich naar concrete inkoopcriteria voor OT-leveranciers?
ENISA beveelt aan om leveranciers te screenen op hun eigen beveiligingspraktijken, software-stuklijsten (SBOM) te eisen en contractueel te verankeren dat kwetsbaarheden tijdig worden gemeld. In soevereine inkoopprocedures betekent dit extra criteria: geen dataverwerking onder buitenlandse jurisdictie, aantoonbare IEC 62443-certificering en expliciete bepalingen over eigendom van operationele data.
Wat verandert de Cyber Resilience Act concreet voor de aankoop van een PLC of RTU?
De CRA verplicht fabrikanten van producten met digitale elementen, waaronder PLC’s en RTU’s, om tijdens de gehele verwachte productlevensduur beveiligingsupdates te leveren, kwetsbaarheden binnen 24 uur aan ENISA te melden en een CE-markering op basis van cybersecurityeisen te voeren. Voor inkopers betekent dit dat CRA-conformiteit een verplicht aanbestedingscriterium wordt, aanvullend op IEC 62443 en soevereiniteitseisen rond datastromen.
