Operationele technologie (OT), waaronder SCADA-systemen, gedistribueerde controlesystemen (DCS) en programmeerbare logische controllers (PLC), vormt de ruggengraat van Europese kritieke infrastructuur. Waar deze systemen vroeger volledig geïsoleerd draaiden, zijn ze in toenemende mate verbonden met clouddiensten van grote, veelal Amerikaanse leveranciers. Die verbinding introduceert jurisdictierisico’s die fundamenteel afwijken van gewone IT-privacyvraagstukken: bij een beveiligingsincident of een overheidsvordering gaat het niet om verlies van persoonsgegevens, maar om verstoringen van energielevering, drinkwaterproductie of transportnetwerken.
Jurisdictierisico’s van cloudverbonden OT-systemen
De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht Amerikaanse bedrijven om op vordering van Amerikaanse overheidsinstanties gegevens te overhandigen, ongeacht waar die gegevens fysiek zijn opgeslagen. Dit geldt ook voor operationele telemetrie, procesconfiguratiebestanden en onderhoudslogboeken die OT-cloudplatformen zoals Siemens MindSphere, Honeywell Forge of Schneider Electric EcoStruxure naar Amerikaanse servers sturen.
Welke data stroomt daadwerkelijk naar derde landen? In de praktijk gaat het om meer dan alleen procesmetingen. Softwarelicentiebeheer, remote access voor onderhoud, diagnostische data van veldapparaten, firmwareversies van PLC’s en alarmmeldingen worden routinematig naar cloudbackends gestuurd. Al deze datapunten vormen samen een gedetailleerd beeld van de operationele staat van een energie-installatie of waterbehandelingsstation, informatie die een buitenlandse overheid of actor grote strategische waarde biedt.
“The CLOUD Act fundamentally changes the calculus for any organization storing sensitive operational data with a US-headquartered provider, because US law can compel disclosure regardless of where the data physically resides.”
Andrew Crocker, Senior Staff Attorney, Electronic Frontier Foundation
Uit onderzoek van Claroty blijkt dat in 2023 maar liefst 31 procent van alle OT-omgevingen minstens één keer per kwartaal te maken had met een cyberaanval, een stijging van 24 procent ten opzichte van het jaar daarvoor (Claroty Global State of CPS Security 2023). Dit onderstreept dat cloudverbondenheid niet alleen een juridisch maar ook een operationeel risico is.
NIS-2 artikel 21 en de CER-richtlijn: wat betekent dit voor OT?
NIS-2 (Richtlijn (EU) 2022/2555) legt in artikel 21 aan essentiële en belangrijke entiteiten een reeks verplichte beveiligingsmaatregelen op. De bijlage I van de richtlijn noemt expliciet de sectoren energie (elektriciteit, gas, olie, waterstof), drinkwater, afvalwater en transport. Voor OT-omgevingen in deze sectoren zijn de volgende eisen van artikel 21 direct van toepassing: risicoanalyse en beveiligingsbeleid voor informatiesystemen (inclusief OT), beveiliging van de toeleveringsketen, toegangsbeheer, asset management, en melding van significante incidenten aan de nationale autoriteit binnen 24 uur.
De CER-richtlijn (EU) 2022/2557, gericht op de veerkracht van kritieke entiteiten, voegt een fysieke dimensie toe die NIS-2 niet volledig dekt. Waar NIS-2 zich richt op cyber- en informatierisico’s, schrijft de CER-richtlijn voor dat kritieke entiteiten ook fysieke beveiliging, personeelsbetrouwbaarheid en bedrijfscontinuïteitsplannen moeten borgen. Voor OT-omgevingen betekent dit dat een zuiver technische aanpak onvoldoende is: ook de fysieke toegang tot substations, pompstations en verkeersbeheerscentra valt onder de complianceverplichting.
“OT security is fundamentally different from IT security because the consequences of a breach are not data loss but physical harm, disruption of essential services, and in the worst case, loss of life.”
Juhan Lepassaar, Uitvoerend directeur ENISA, ENISA OT Security Guidance 2023
ENISA rapporteerde in haar Threat Landscape 2023 dat aanvallen gericht op kritieke infrastructuur, waaronder energie, water en transport, met 35 procent zijn toegenomen ten opzichte van 2022 (ENISA Threat Landscape 2023, https://www.enisa.europa.eu). Dit maakt duidelijk dat de wetgevende urgentie achter NIS-2 en de CER-richtlijn reëel is en geen papieren exercitie.
Architectuurprincipes voor soevereine OT/IT-scheiding
Soevereine OT-architectuur combineert meerdere complementaire principes. Het vertrekpunt is de Purdue Enterprise Reference Architecture, die OT-netwerken in zones onderverdeelt van veldinstrumentatie (niveau 0-1) tot bedrijfsintegratie (niveau 4-5). Elke overgang tussen zones vereist een expliciete beveiligingsmaatregel.
Air-gapping: wanneer en hoe
Volledige air-gapping (volledige netwerksegmentatie zonder enige elektronische verbinding) is de meest rigide maatregel en geschikt voor de meest kritieke OT-segmenten, zoals reactorbesturing of noodstroomsystemen. In de praktijk is volledige air-gapping echter zelden vol te houden: updateprocedures, remote diagnostics en data-export voor procesoptimalisatie vereisen soms gecontroleerde verbindingen. Het risico is dan dat ad-hoc verbindingen via USB-media of niet-geautoriseerde laptops worden gemaakt, wat de isolatie effectief doorbreekt zonder dat daar beleid voor bestaat.
Data diodes en unidirectionele gateways
Data diodes bieden een technisch elegante oplossing voor het dilemma tussen isolatie en operationele behoefte. Een data diode is een hardwarematige component die op fysiek niveau alleen eenrichtingsverkeer toestaat: data kan het OT-netwerk verlaten richting het IT-netwerk of de cloud, maar er kan geen retourverkeer zijn. Leveranciers zoals Waterfall Security Solutions en Owl Cyber Defense bieden gecertificeerde producten die in energiecentrales, waterzuiveringsinstallaties en luchthavens worden ingezet. De combinatie van een data diode met een DMZ-zone (gedemilitariseerde zone) vormt het fundament van wat ENISA in haar OT-beveiligingsrichtlijnen 2023 aanbeveelt als “zone and conduit model” conform IEC 62443.
| Architectuuroptie | Beschermingsniveau | Operationele impact | Geschikt voor |
|---|---|---|---|
| Volledige air-gap | Maximaal | Hoog (handmatige updates, geen remote access) | Veiligheidssystemen, nucleaire installaties |
| Data diode (hardware) | Zeer hoog | Laag tot gemiddeld (eenrichtingsmonitoring mogelijk) | Energie, water, transport OT-kernsystemen |
| Unidirectionele gateway (software+HW) | Hoog | Laag (protocolomzetting, logging doorsturen) | OT/IT-integratie voor procesoptimalisatie |
| Gefirewalld OT-segment met DMZ | Gemiddeld | Minimaal | Minder kritieke OT-omgevingen |
Beoordeling van OT-leveranciers op soevereiniteitsrisico
Bij leveranciers als Siemens, Schneider Electric en Honeywell zijn cloudbeheerdiensten steeds vaker standaardonderdeel van het productaanbod. De beoordeling van hun soevereiniteitsrisico vraagt om een gestructureerde aanpak op drie niveaus.
Op juridisch niveau is de vraag welk recht van toepassing is op de verwerkingsovereenkomst en welke rechtsgebieden toegang kunnen vorderen tot de data. Een leverancier met hoofdkantoor in de VS of met Amerikaanse clouddiensten als backend (AWS, Azure, Google Cloud) valt per definitie onder de CLOUD Act. Contractueel zijn minimaal de volgende bedingen vereist: een expliciete gegevensverwerkingsovereenkomst met aanwijzing van verwerkingslocatie binnen de Europese Economische Ruimte, een verbod op datadeling met derde-land autoriteiten zonder voorafgaande kennisgeving, een auditrecht voor de klant en een meldingsplicht bij overheidsvordering. Cruciaal is ook te bedingen dat encryptiesleutels uitsluitend onder beheer van de Europese organisatie blijven, zodat een verstrekte dataset voor de ontvangende partij onleesbaar is.
Op technisch niveau moet worden geïnventariseerd welke data het OT-platform verzamelt, hoe het wordt verzonden (versleuteld of niet), en of het mogelijk is bepaalde datastromen uit te schakelen zonder de kernfunctionaliteit te verliezen. Veel leveranciers bieden een “on-premise” of “private cloud”-variant aan, waarbij de backend op infrastructuur van de klant draait. Dit verdient sterke voorkeur boven publieke cloudvaranten, mits de leverancier geen verborgen telemetrie stuurt naar zijn eigen infrastructuur.
Normen en kaders voor soevereine OT-beveiliging
IEC 62443 is de internationale norm voor industriële automatiserings- en controlesystemen (IACS). De norm is opgebouwd uit meerdere delen en adresseert rollen van systeemeigenaar, integrator en componentleverancier afzonderlijk. Beveiligingsniveaus (Security Levels 1-4) bepalen de mate van bescherming tegen opzettelijke aanvallen. Voor kritieke infrastructuur in de zin van NIS-2 bijlage I is minimaal SL 2 relevant, waarbij SL 3 wordt aanbevolen voor systemen met directe maatschappelijke impact. IEC 62443 is de de-facto technische onderbouwing voor NIS-2-conformiteit in OT-context en wordt door ENISA expliciet aangehaald.
NIST SP 800-82 (Guide to OT Security, herziene derde editie 2023) biedt een uitgebreide praktijkgids voor het beveiligen van SCADA-, DCS- en andere OT-systemen. Hoewel het een Amerikaanse publicatie is, is de inhoud internationaal toepasbaar en wordt de norm door Europese OT-beveiligingsprofessionals breed gebruikt als aanvulling op IEC 62443, met name voor de dreigingsmodellering en risicobeoordelingsmethodologie.
Gartner voorspelde in 2022 dat meer dan 50 procent van de kritieke infrastructuurorganisaties vóór 2025 te maken zal krijgen met een cyberaanval die operationele of mensenlevensbedreigende schade veroorzaakt (Gartner Security and Risk Management Summit 2022, https://www.gartner.com). Deze prognose onderstreept waarom de combinatie van IEC 62443, NIS-2 artikel 21 en soevereine architectuurkeuzen geen theoretische oefening is, maar een operationele noodzaak.
De ENISA OT-beveiligingsrichtlijnen van 2023 zijn specifiek gericht op operatoren van essentiële diensten en geven sectorale aanwijzingen voor energie, water en transport. Ze bevatten onder andere aanbevelingen voor assetinventarisatie, kwetsbaarheidsbeheer, incidentrespons en het evalueren van derde-leveranciers, en sluiten aan op zowel NIS-2 als de CER-richtlijn.
FAQ
Vallen SCADA- en OT-systemen onder de NIS-2-richtlijn?
Ja. NIS-2 artikel 21 is expliciet van toepassing op netwerk- en informatiesystemen, inclusief OT-systemen die essentiële diensten ondersteunen in sectoren als energie, drinkwater, afvalwater en transport (bijlage I). Organisaties in deze sectoren moeten passende technische en organisatorische maatregelen treffen voor risicobeheer, inclusief maatregelen specifiek voor OT-omgevingen.
Wat is het verschil tussen een data diode en een unidirectionele gateway?
Een data diode is een hardwarematige oplossing die op fysiek niveau alleen eenrichtingsverkeer toestaat: data kan uitsluitend van het OT-netwerk naar het IT-netwerk stromen, nooit in de andere richting. Een unidirectionele gateway is een breder concept dat ook softwarematige protocolomzettingen kan bevatten. Leveranciers zoals Waterfall Security en Owl Cyber Defense bieden gecertificeerde producten in beide categorieën voor gebruik in kritieke infrastructuur.
Wat betekent de CLOUD Act concreet voor Europese organisaties met een Siemens MindSphere- of Honeywell Forge-abonnement?
De CLOUD Act verplicht Amerikaanse aanbieders om op verzoek van Amerikaanse overheidsinstanties data te verstrekken, ongeacht waar die data fysiek is opgeslagen. Als MindSphere of Forge als moederbedrijf of cloudinfrastructuur Amerikaanse entiteiten gebruiken, kunnen operationele data, procestelemetrie en configuratiebestanden in principe onder dit verzoek vallen, ook zonder rechterlijk bevel in de EU.
Hoe verhoudt IEC 62443 zich tot NIS-2 voor OT-omgevingen?
IEC 62443 is de technische norm die concrete beveiligingseisen stelt aan industriële automatiserings- en controlesystemen, onderverdeeld naar beveiligingsniveaus (SL 1 tot SL 4) en rollen (eigenaar, integrator, leverancier). NIS-2 artikel 21 is een juridische verplichting die risicobeheer, incidentmelding en supply chain security vereist, maar geen specifieke technische invulling voorschrijft. IEC 62443 wordt in de praktijk gebruikt als bewijs van NIS-2-conformiteit voor OT-omgevingen.
Welke contractuele bedingen zijn minimaal nodig bij OT-cloudleveranciers buiten de EU?
Minimaal vereist zijn: een expliciete gegevensverwerkingsovereenkomst met aanwijzing van de verwerkingslocatie binnen de EER, een bepaling die de leverancier verbiedt data te delen met derde-land autoriteiten zonder voorafgaande kennisgeving, een auditrecht voor de klant of diens gemachtigde, en een contractuele verplichting tot melding bij overheidsvorderingen. Aanvullend verdient het aanbeveling te bedingen dat encryptiesleutels uitsluitend onder beheer van de Europese organisatie blijven, zodat een verstrekte dataset voor de ontvangende partij onleesbaar is.
