IEC 62443: de standaard voor OT-security uitgelegd

Wat is IEC 62443?

IEC 62443 hoort bij het vakgebied cybersecurity, en binnen dat vakgebied bij de OT-security: de beveiliging van systemen die fysieke processen besturen. Volgens ISA definiëren de ISA/IEC 62443-standaarden eisen en processen voor het implementeren en onderhouden van elektronisch beveiligde IACS. Ze beschrijven best practices voor beveiliging en een manier om het beveiligingsniveau te beoordelen.

De aanpak is holistisch. De reeks overbrugt de kloof tussen operaties en informatietechnologie, en tussen procesveiligheid en cybersecurity. Dat betekent dat een IACS niet alleen met techniek wordt beveiligd, maar ook met de manier waarop het werk is georganiseerd.

ISA noemt als sectoren waarin de standaarden worden gebruikt onder meer gebouwautomatisering, opwekking en distributie van elektriciteit (zie ook energie en infrastructuur), medische hulpmiddelen, transport en procesindustrieën zoals chemie en olie en gas. In 2021 erkende de IEC de reeks als horizontale standaard. Volgens ISA betekent dat dat de reeks bewezen toepasbaar is op een breed scala van industrieën.

ISA richtte in 2002 het ISA99-comité op. ISA99 en IEC Technical Committee 65 Working Group 10 (TC 65 WG 10) werkten samen aan de reeks, en ISA biedt de standaarden aan de IEC aan voor wereldwijde adoptie. De ISA-edities heten ISA-62443-x-y en de IEC-edities IEC 62443-x-y. Volgens ISA zijn die edities identiek en verschijnen ze zo gelijktijdig mogelijk.

De reeks groeit, en delen hebben verschillende edities en jaartallen. Voor de actuele lijst kijk je bij ISA en IEC.

Waarom werkt OT-security anders dan IT-security?

Het NCSC definieert operationele technologie (OT) als een verzameling software- en hardwaresystemen die samen verantwoordelijk zijn voor het besturen, bewaken en beheren van fysieke processen. Het uitlezen van sensoren en het inschakelen van een pomp zijn voorbeelden van wat OT doet. In Aan de slag met het beveiligen van OT/IACS noemt het NCSC voor CISO's in de OT vijf basisprincipes: breng je risico's in kaart, bevorder veilig gedrag, bescherm systemen, applicaties en apparaten, beheer toegang tot data en diensten, en bereid je voor op incidenten.

Waarom de norm nodig is, legt de IEC uit in een blog over IEC 62443. Volgens de IEC zijn IT-standaarden niet geschikt voor IACS en andere OT-omgevingen, onder meer door andere prestatie- en beschikbaarheidseisen en een andere levensduur van apparatuur. Aanvallen op kritieke infrastructuur kunnen ook grote gevolgen hebben voor milieu en volksgezondheid.

De IEC schrijft dat de levensduur van een IACS meer dan twintig jaar kan zijn. Veel oudere systemen bevatten hardware en software die niet meer wordt ondersteund. Voor zulke systemen dekt het beveiligingsprogramma vaak maar een deel van de eisen, en compenserende maatregelen kunnen deel van het beleid zijn.

Het verschil zie je in het dagelijks werk. Op een kantoornetwerk kun je een computer herstarten om een update te installeren. Bij een systeem dat een productielijn of pomp aanstuurt, kan stilstand direct productie of veiligheid raken, en de apparatuur kan lang meegaan. Patchen, toegang en netwerkindeling zijn in OT daarom vaak een kwestie van plannen en afwegen. Dat is een verklaring, geen regel.

Hoe is de reeks IEC 62443 opgebouwd?

De IEC beschrijft de reeks in vier groepen. De tabel geeft per groep de delen en waar ze over gaan. De omschrijvingen komen uit de IEC-blog van 2021, en de titels van delen kunnen sindsdien zijn aangepast.

Deel 1-1 behandelt de terminologie, de concepten en de modellen, en daar komen ook de zeven foundational requirements uit voort. De groep beleid en procedures bevat de delen waarin de eigenaar van een installatie en de serviceprovider hun programma inrichten. Deel 2-1 is in de editie van 2024 gaan heten Security program requirements for IACS asset owners. Die editie specificeert de beleids- en procedurevereisten voor het beveiligingsprogramma van de asset owner voor een IACS in gebruik. De IEC-blog beschrijft hetzelfde deel nog als het opzetten van zo'n programma, wat laat zien dat titels tussen edities kunnen verschillen. Deel 2-4 uit 2023 gaat over de eisen aan serviceproviders.

De systeemgroep gaat over het ontwerp. Deel 3-2 uit 2020 beschrijft de risicobeoordeling voor systeemontwerp, en deel 3-3 uit 2013 de systeemeisen voor beveiliging en de security levels. De componentgroep gaat over de producten zelf: deel 4-1 uit 2018 over de veilige ontwikkelcyclus van producten, en deel 4-2 uit 2019 over de technische eisen aan componenten. Deel 3-3 en deel 4-2 zijn ouder dan de recentste delen.

De reeks is risicogebaseerd en holistisch. Het is niet efficiënt of houdbaar om alle assets even sterk te beschermen. Gebruikers bepalen daarom wat het waardevolst is en waar de kwetsbaarheden zitten, en bouwen daarna een defence-in-depth-architectuur die de bedrijfscontinuïteit waarborgt. Volgens de IEC is de techniek maar een deel van het verhaal: het personeel dat een IACS beheert, moet de juiste training, kennis en vaardigheden hebben.

Wat zijn security levels en foundational requirements?

IEC 62443-1-1 beschrijft zeven foundational requirements:

• identificatie- en authenticatiecontrole (IAC)
• gebruikscontrole (UC)
• systeemintegriteit (SI)
• vertrouwelijkheid van gegevens (DC)
• beperkte gegevensstroom (RDF)
• tijdige reactie op gebeurtenissen (TRE)
• beschikbaarheid van middelen (RA)

IEC 62443-3-3 definieert vier security levels: SL1, SL2, SL3 en SL4. Ze koppelen de vereiste set tegenmaatregelen aan de sterkte van een mogelijke aanvaller. Een zone of conduit kan een security level hebben als vector met zeven elementen, één per foundational requirement. De IEC noemt als voorbeeld SL=(3,3,3,1,2,1,3). Zo kan een zone voor de ene foundational requirement een ander niveau hebben dan voor de andere.

Naast het niveau uit de vector komen drie termen terug. SL-C is wat een systeem of component technisch kan (capability). SL-T is het doel dat uit de risicobeoordeling volgt (target). SL-A is het niveau dat in de praktijk wordt gehaald (achieved). Het idee is dat het capability-niveau van wat je inkoopt en bouwt past bij het doel dat uit de risicoanalyse komt. Deel 4-2 gaat over het capability-niveau van componenten. Doel-niveaus (SL-T) en behaalde niveaus (SL-A) vallen daar buiten de scope, en de precieze definities staan in de norm zelf.

Wie doet wat: asset owners, integrators en leveranciers?

ISA noemt als uitgangspunt van de standaarden het principe van gedeelde verantwoordelijkheid. De standaarden stellen eisen aan vier groepen: asset owners (eindgebruikers), leveranciers van automatiseringsproducten, integrators die oplossingen en componenten bouwen en onderhouden, en serviceleveranciers die de werking van besturingssystemen ondersteunen. De veiligheid van zo'n systeem ligt dus niet bij één partij.

Per groep past een ander deel van de reeks. De asset owner richt het beveiligingsprogramma voor de installatie in gebruik in met deel 2-1. De integrator ontwerpt en bouwt het systeem en gebruikt daarbij de risicobeoordeling en systeemeisen uit deel 3-2 en 3-3. De productleverancier past de eisen van deel 4-1 en 4-2 toe op de ontwikkelcyclus en de componenten. De eisen van deel 4-1 gelden alleen voor de ontwikkelaar en beheerder van het product, niet voor de integrator of de gebruiker. De serviceprovider biedt integratie- en onderhoudsprocessen aan volgens deel 2-4. Profielen kunnen daarbij een deelverzameling van de eisen vastleggen, omdat niet alle eisen voor elke sector gelden.

Deel 3-2 werkt met zones en conduits. Een zone is een groep assets die je samen behandelt, omdat ze een vergelijkbaar risico en vergelijkbare beveiligingseisen hebben. Een conduit is de verbinding waarlangs zones met elkaar communiceren. Volgens deel 3-2 beoordeel je het risico per zone en per conduit, en bepaal je per zone en per conduit het doelniveau (SL-T). Daar sluiten netwerksegmentatie en firewalls en network security op aan.

Een voorbeeld maakt het concreet. Dit scenario is hypothetisch en bedoeld als illustratie, niet als aanbeveling voor een specifieke fabriek. Een voedingsmiddelenfabriek wil de besturing van een verpakkingslijn koppelen aan het kantoornetwerk voor productierapporten. Het te beschouwen systeem (system under consideration) is de besturing van de lijn. De fabriek verdeelt dat in zones: de machinebesturing, het bedieningsstation en de koppeling met het kantoor. Per zone en per verbinding beoordeelt ze het risico en kiest ze een doelniveau. De verbinding met het kantoor krijgt vermoedelijk strengere eisen dan de besturing zelf. Daarna vraagt de fabriek leveranciers om componenten waarvan het capability-niveau bij dat doel past. De integrator bouwt de oplossing en de asset owner richt het beleid en het onderhoud in. Zie ook security architecture en de sector industrie en productie.

Kun je je laten certificeren voor IEC 62443?

Er zijn twee soorten certificering: die van producten, systemen en ontwikkelprocessen, en die van personen.

Voor producten test en certificeert het IECEE Industrial Cyber Security Programme op standaarden uit de IEC 62443-reeks. ISA noemt daarnaast de ISA Security Compliance Institute (ISCI), die ISASecure-certificeringsschema's aanbiedt voor kant-en-klare industriële automatiserings- en besturingstechnologie: Component Security Assurance, IOT Component Security Assurance en System Security Assurance. Voor de ontwikkelprocessen van leveranciers is er de Security Development Lifecycle Assurance-certificering.

Voor personen biedt ISA vier certificaten, het ISA/IEC 62443-certificatenprogramma: Cybersecurity Fundamentals Specialist, Cybersecurity Risk Assessment Specialist, Cybersecurity Design Specialist en Cybersecurity Maintenance Specialist. Het eerste certificaat is vereist voor de andere drie, die in elke volgorde kunnen worden gehaald. Wie alle vier haalt, wordt erkend als ISA/IEC 62443 Cybersecurity Expert. Voor elk certificaat zijn een cursus en een examen nodig.

Een gecertificeerd product laat zien dat dat product, of die ontwikkelcyclus, aan de eisen voldoet. Het zegt niets over de configuratie en het beheer bij een klant. Een persoonscertificaat laat zien dat iemand de cursus en het examen heeft afgerond.

Is IEC 62443 verplicht en hoe past het naast NCSC, BIO en NIS2?

Het NCSC eindigt Aan de slag met het beveiligen van OT/IACS met een verwijzing naar de internationale standaard IEC 62443, voor wie de onderwerpen uitgebreider wil terugvinden. De vijf basisprincipes van het NCSC zijn op hoofdlijnen en praktischer geschreven dan de norm. De norm gaat dieper en is bedoeld als referentie. Het een vervangt het andere niet.

De Baseline Informatiebeveiliging Overheid 2 (BIO2, versie 1.3, Staatscourant 2026, 7416 van 2 maart 2026) schrijft dat beheersmaatregelen uit ISO 27002 en de BIO kunnen worden vervangen of gecombineerd met maatregelen uit andere normen en richtlijnen. Voor operationele technologie noemt de BIO2 de Cybersecurity implementatierichtlijn (CSIR) en IEC 62443 Industriële cybersecurity. Meer over de BIO vind je bij de BIO-baseline.

In die NCSC- en BIO2-publicaties staat IEC 62443 als verwijzing en als alternatief of aanvulling op maatregelen uit andere normen. Een wettelijke verplichting stellen ze niet. Of een specifieke wet, sector of opdrachtgever de norm vraagt, hangt af van de situatie. Ga voor een organisatie de actuele wet- en regelgeving en de eisen van opdrachtgevers na.

De NIS2-regels en de Cyberbeveiligingswet vragen passende maatregelen op basis van een risicoanalyse. Ze noemen sectoren zoals energie, vervoer en drinkwater. Lees het artikel over NIS2 en de Cyberbeveiligingswet voor de details. IEC 62443 is een van de kaders waarmee een organisatie met OT zulke maatregelen kan invullen. De wet schrijft zelf geen norm voor.

De editie van 2024 van deel 2-1 heeft volgens de IEC geen overlap meer met een ISMS. Wie al met een informatiebeveiligingssysteem werkt, kan de ISO 27001-uitleg naast deze norm lezen. Voor producten met digitale elementen bestaat daarnaast de Cyber Resilience Act.

Welke functies werken met IEC 62443?

De term IEC 62443 kan in vacatures voorkomen als "IEC 62443", "ISA/IEC 62443" of "OT-security". Een aantal functies werkt er direct mee of ernaast.

De OT-security-specialist beveiligt de systemen die fysieke processen aansturen en werkt samen met procesingenieurs en beheerders van installaties. In het beroep van OT-security-specialist lees je meer over het werk. Op de werkgeverspagina voor deze functie zie je welke werkgevers de functie hebben.

De security architect ontwerpt hoe OT- en IT-netwerken gescheiden en gekoppeld worden. Zones en conduits zijn daarbij een denkmodel uit de reeks.

De netwerkbeveiliger richt segmentatie, firewalls en toegang tussen netwerkzones in.

De security engineer bouwt en beheert beveiligingsmaatregelen, bijvoorbeeld monitoring in een industriële omgeving.

De IT-auditor toetst of het beveiligingsprogramma van een organisatie werkt zoals beschreven.

Zoek vacatures waarin IEC 62443 wordt genoemd. Wie in industrie of energie wil werken, vindt meer over die sectoren bij security in industrie en productie en security in energie en infrastructuur. Meer artikelen staan in de kennisbank.