IEC 62443 is een reeks normen voor het beveiligen van Industrial Automation and Control Systems (IACS): de systemen die uw productieproces aansturen. De norm is ontwikkeld door de International Society of Automation (het ISA99-comité) en later geharmoniseerd met de IEC, en heet daarom ook wel ISA/IEC 62443. De norm biedt een risicogebaseerde methode om die omgeving te beveiligen, met vaste bouwstenen zoals zones en conduits, security levels en een set foundational requirements.
De norm is breed toepasbaar, van een voedselverwerkingsfabriek tot een kas of een laboratorium. In OT gaan beschikbaarheid en veiligheid van het proces voor. IEC 62443 geeft daarvoor eisen per zone, conduit en component.
Is de eigenaar en gebruiker van de OT-omgeving, dus u als productiebedrijf. U bepaalt het gewenste beschermingsniveau en houdt het beveiligingsprogramma in stand.
In de praktijk kijken bedrijven vooral naar hun leveranciers als het over beveiliging gaat. Maar de norm legt de regie nadrukkelijk bij u als asset owner. U bepaalt wat er beschermd moet worden en welk beveiligingsniveau daarbij past.
beschrijven begrippen, modellen en definities die door de hele reeks worden gebruikt.
richten zich op de asset owner: hoe u een beveiligingsprogramma opzet, onderhoudt en patchmanagement organiseert.
behandelt de risicoanalyse, de indeling in zones en conduits en de technische eisen aan een systeem.
stelt eisen aan de afzonderlijke producten en aan het veilig ontwikkelen daarvan.
Daarnaast draait de norm om vijf kernonderwerpen: de foundational requirements, het principe van zones en conduits, de security levels, de beveiligingslevenscyclus en de risicoanalyse. Onder de foundational requirements vallen zeven gebieden: identificatie en authenticatie, gebruikscontrole, systeemintegriteit, vertrouwelijkheid van data, beperkte datastromen, tijdige respons op incidenten en beschikbaarheid van systemen.
In de praktijk komt u een paar deelnormen het vaakst tegen. IEC 62443-2-1 beschrijft het beveiligingsprogramma van de asset owner en 62443-2-4 de eisen aan dienstverleners. IEC 62443-3-2 gaat over de risicoanalyse en de indeling in zones en conduits, en 62443-3-3 over de systeemeisen en security levels. IEC 62443-4-1 en 4-2 richten zich op het veilig ontwikkelen van en de technische eisen aan losse componenten.
Let op het verschil tussen twee schalen die makkelijk door elkaar lopen. Security levels beoordelen de techniek; maturity levels beoordelen hoe volwassen uw processen zijn ingeregeld. Een hoog security level zegt dus niets over de kwaliteit van uw processen, en andersom.
De norm kent vier security levels. Ze beschrijven tegen welk type aanvaller een zone bestand moet zijn.
Welk niveau u nodig heeft, volgt uit een risicoanalyse. Niet elke zone hoeft SL 4. Een besturing die een kritiek proces aanstuurt, vraagt meer bescherming dan een geïsoleerd meetpunt.
IEC 62443 is de internationale norm voor cybersecurity in industriële automatisering en besturingssystemen (OT). De norm biedt een risicogebaseerde methode om productieomgevingen te beveiligen, met bouwstenen zoals zones en conduits, security levels en foundational requirements. Het vult ISO 27001 aan met eisen specifiek voor OT.
ISO 27001 richt zich op het managementsysteem voor informatiebeveiliging van de hele organisatie; IEC 62443 geeft de technische en organisatorische eisen voor de OT-omgeving, zoals productielijnen, SCADA en PLC's. De twee vullen elkaar aan. Heeft u al ISO 27001, dan geeft IEC 62443 de specifieke eisen voor uw OT.
Een zone is een groep systemen met dezelfde beveiligingsbehoefte, bijvoorbeeld alle besturingen op één productielijn. Een conduit is de gecontroleerde verbinding tussen zones, met eigen maatregelen zoals firewalling en logging. Verkeer tussen zones loopt alleen via een conduit, zodat een aanval zich niet ongehinderd verspreidt.
IEC 62443 kent vier security levels. SL 1 beschermt tegen toevallige fouten, SL 2 tegen eenvoudige opzettelijke aanvallen, SL 3 tegen geavanceerde aanvallen met OT-kennis, en SL 4 tegen aanvallen met uitgebreide resources tot statelijk niveau. Welk niveau een zone nodig heeft, volgt uit een risicoanalyse.
IEC 62443 is op zichzelf niet wettelijk verplicht, maar het is wel het erkende kader om aan te tonen dat uw OT-beveiliging op orde is. Voor bedrijven die onder NIS2 en de Cyberbeveiligingswet vallen, helpt werken volgens IEC 62443 om passende maatregelen aantoonbaar te maken.
Ja. Zowel producten als processen kunnen door onafhankelijke keuringsinstanties tegen IEC 62443 worden gecertificeerd. Voor de meeste productiebedrijven is een volledige certificering niet het doel; werken volgens de principes van de norm en dat kunnen aantonen is vaak genoeg, zeker in het kader van NIS2.
IEC 62443 verdeelt de rollen over asset owners, system integrators en product suppliers. Als productiebedrijf bent u meestal de asset owner: u bepaalt het gewenste beschermingsniveau en houdt het beveiligingsprogramma in stand. De norm is relevant voor elk bedrijf met een OT-omgeving.
Ja. De Cyberbeveiligingswet verwacht passende maatregelen voor de netwerk- en informatiesystemen waar uw bedrijfsvoering op draait, en in een productiebedrijf is dat ook de OT. IEC 62443 geeft u een erkend kader om die maatregelen te structureren en aantoonbaar te maken.
Begin klein en begin met inzicht. Breng eerst in kaart welke systemen en verbindingen u heeft, bepaal daarna de belangrijkste zones en het benodigde security level, en bouw de rest stap voor stap op. U hoeft niet in één keer de hele fabriek af te dekken.
“Elke nieuwe machine of leverancierskoppeling is een nieuwe doorgang in uw netwerk. Die wil ik vooraf kunnen uitleggen.”
Wordt u aangevallen?
