Wat is 2FA?
2FA (Two-Factor Authentication, tweefactorauthenticatie) is een vorm van authenticatie waarbij een gebruiker zijn identiteit aantoont met precies twee onafhankelijke factoren uit verschillende categorieën, meestal een wachtwoord plus een code of bevestiging op een apparaat dat hij bij zich heeft. Een gestolen of uitgelekt wachtwoord is dan niet meer genoeg om binnen te komen. 2FA is een veelgebruikte vorm van MFA en is in OT-omgevingen vooral belangrijk bij toegang op afstand, VPN-verbindingen en beheertoegang tot SCADA, HMI en engineeringstations.
🧠 Welke twee factoren combineert 2FA?
Een authenticatiefactor is een categorie van bewijs. 2FA telt alleen als beide factoren uit verschillende categorieën komen:
| Categorie | Voorbeeld | Typische zwakte |
|---|---|---|
| Iets wat u weet | Wachtwoord, pincode | Phishing, hergebruik, raden |
| Iets wat u hebt | Authenticator-app, hardwaretoken, smartcard, security key | Verlies, diefstal, onderschepping van codes |
| Iets wat u bent | Vingerafdruk, gezichtsherkenning | Werkt slecht met handschoenen of in stoffige omgevingen |
Twee wachtwoorden achter elkaar, of een wachtwoord plus een beveiligingsvraag, is dus geen 2FA: dat zijn twee stappen met dezelfde factor. Dit wordt wel tweestapsverificatie genoemd. Een code per e-mail is in de praktijk ook zwak, omdat de mailbox vaak met hetzelfde wachtwoord is beveiligd.
🔧 Hoe werkt 2FA technisch?
De meeste 2FA-oplossingen gebruiken een van de volgende methoden voor de tweede factor:
- TOTP (Time-based One-Time Password) - vastgelegd in RFC 6238 (mei 2011). App en server delen een geheime sleutel en berekenen elke 30 seconden dezelfde code van meestal zes cijfers uit de sleutel en de huidige tijd. TOTP is een uitbreiding van HOTP (RFC 4226, december 2005), dat een teller gebruikt in plaats van de tijd. Bekende apps zijn Microsoft Authenticator en Google Authenticator. Omdat de berekening offline werkt, is TOTP geschikt voor afgeschermde netwerken, mits de klokken gesynchroniseerd zijn.
- Pushmelding - de server stuurt een verzoek naar een app, de gebruiker keurt goed. Gebruiksvriendelijk, maar gevoelig voor MFA fatigue: een aanvaller blijft verzoeken sturen tot iemand per ongeluk goedkeurt, zoals bij de inbraak bij Uber in september 2022. Number matching (een getal overtypen) beperkt dit.
- Sms of spraak - een code via het mobiele netwerk. Kwetsbaar voor SIM-swapping en onderschepping; NIST SP 800-63B-4 (juli 2025) noemt sms en spraak restricted.
- Hardwaretoken, smartcard of security key - een fysiek apparaat met een cryptografische sleutel. FIDO U2F (2014) en de opvolger FIDO2/WebAuthn binden de sleutel aan het domein van de dienst, waardoor een nagemaakte inlogpagina niets bruikbaars ontvangt.
In bedrijfsnetwerken loopt de controle vaak via Active Directory of een IAM-platform, met RADIUS als koppeling naar VPN-concentrators, firewalls en jump servers.
🔄 Wat is het verschil tussen 2FA, MFA en tweestapsverificatie?
| Begrip | Betekenis | Voorbeeld |
|---|---|---|
| 2FA | Precies twee factoren uit verschillende categorieën | Wachtwoord + TOTP-code |
| MFA | Twee of meer factoren; 2FA is een deelverzameling | Smartcard + pincode + vingerafdruk |
| Tweestapsverificatie | Twee stappen, niet per se twee categorieën | Wachtwoord + beveiligingsvraag |
| Phishingbestendige MFA | Factoren die niet via een nagemaakte site te misbruiken zijn | FIDO2-security key, PKI-smartcard |
Wetten en normen spreken meestal over MFA. Een goed ingerichte 2FA-oplossing voldoet daar in de regel aan, maar normen als IEC 62443-3-3 en richtlijnen van CISA stellen op hogere niveaus aanvullende eisen aan de sterkte van de factoren.
🎯 Waarom is 2FA belangrijk voor OT-omgevingen?
Gestolen inloggegevens zijn een van de meest gebruikte toegangswegen bij aanvallen, ook op industriële bedrijven. Twee voorbeelden laten zien wat er gebeurt zonder tweede factor:
- Colonial Pipeline (mei 2021) - aanvallers kwamen binnen via een oud VPN-account dat alleen met een wachtwoord was beveiligd. Het wachtwoord dook later op in een gelekte verzameling. De ransomware-aanval trof de IT, maar uit voorzorg werd de pijpleiding enkele dagen stilgelegd.
- Hof van Twente (december 2020) - een beheeraccount met het wachtwoord “Welkom2020” zonder tweede factor gaf aanvallers toegang tot het netwerk van de gemeente; back-ups werden vernietigd.
| Risico zonder 2FA | Gevolg in OT |
|---|---|
| Gelekt of hergebruikt wachtwoord | Directe toegang via VPN of onderhoud op afstand |
| Phishing van inloggegevens | Overname van een engineering- of beheeraccount |
| Gedeelde accounts van leveranciers | Geen zicht op wie wanneer heeft ingelogd |
| Overgenomen domeinaccount | Laterale beweging van IT naar OT via de domain controller |
2FA is geen volledige bescherming. Phishingkits die als adversary-in-the-middle tussen gebruiker en dienst zitten, kunnen een TOTP-code of push-goedkeuring doorsturen en de sessiecookie stelen (session hijacking). Daarom combineert u 2FA met toegangscontrole, Zero Trust en security awareness.
🏭 Waar zet u 2FA in binnen OT?
| Locatie | Toepassing van 2FA |
|---|---|
| Toegang op afstand | 2FA op de VPN of jump server in de DMZ, nooit rechtstreeks tot de besturing |
| Engineering Station | Inloggen met smartcard of security key, zeker voor het wijzigen van PLC-logica |
| Historian of SCADA-webinterface | Extra factor bij toegang vanuit het kantoornetwerk |
| Cloud-portalen | 2FA verplicht voor dashboards, leveranciersportalen en beheerconsoles |
| Bevoorrechte accounts | 2FA via een PAM-oplossing met sessieopname |
| Operator-HMI in de controlekamer | Vaak geen 2FA; compenseren met fysieke toegangscontrole en badge-login |
Op een operatorwerkplek mag beveiliging nooit een noodingreep blokkeren. IEC 62443-3-3 houdt daar rekening mee: toegangsbeveiliging mag essentiële functies niet hinderen. Daarom ligt de nadruk in OT op 2FA bij toegang van buitenaf en bij beheer- en engineeringfuncties.
🔐 Wat eisen NIS2, de Cyberbeveiligingswet en IEC 62443?
- NIS2 artikel 21, lid 2, onder j - noemt “het gebruik van multifactorauthenticatie of oplossingen voor continue authenticatie” als maatregel, waar passend. De uitvoeringsverordening (EU) 2024/2690 werkt dit uit voor digitale dienstverleners.
- Cyberbeveiligingswet - de Nederlandse omzetting van NIS2, van kracht sinds 15 augustus 2026, neemt deze zorgplicht over voor essentiële en belangrijke entiteiten.
- IEC 62443-3-3 - SR 1.1 RE 2 vraagt MFA voor menselijke gebruikers via een onvertrouwd netwerk vanaf Security Level 3; RE 3 vraagt MFA op alle netwerken op SL 4.
- ISO 27001 - beheersmaatregel 8.5 verwacht veilige authenticatie, in de praktijk MFA voor beheer- en externe toegang.
🧭 Hoe voert u 2FA stapsgewijs in?
- Inventariseer toegangspunten - VPN’s, remote-supporttools, jump servers, cloudportalen en lokale beheeraccounts op OT-systemen.
- Begin bij de grootste risico’s - eerst toegang van buitenaf en accounts van leveranciers, daarna beheer- en engineeringaccounts.
- Kies de methode per groep - security keys of smartcards voor beheerders, TOTP waar het netwerk offline is, sms alleen als tijdelijke uitzondering.
- Centraliseer - koppel 2FA aan Active Directory of IAM, en beperk rechten met RBAC en least privilege.
- Regel herstel en noodtoegang - reservetokens, een verzegeld break-glass-account en een getest proces voor verloren tokens.
- Monitor - stuur mislukte 2FA-pogingen en ongebruikelijke goedkeuringen naar de SIEM.
❓ Veelgestelde vragen
Is 2FA hetzelfde als MFA?
2FA is een vorm van MFA waarbij precies twee factoren worden gebruikt. MFA betekent twee of meer factoren uit verschillende categorieën. In de praktijk gebruiken de meeste organisaties 2FA om aan MFA-eisen uit NIS2 of IEC 62443 te voldoen.
Welke 2FA-methode is het veiligst?
Een FIDO2-security key of PKI-smartcard is de veiligste vorm van 2FA, omdat de sleutel aan het echte domein is gebonden en niet via phishing te misbruiken is. TOTP-apps zijn een goede middenweg. Sms is de zwakste 2FA-methode door SIM-swapping en onderschepping.
Kan 2FA worden omzeild?
Ja, 2FA met eenmalige codes of pushmeldingen kan worden omzeild met adversary-in-the-middle-phishing, MFA fatigue of SIM-swapping. Ook een gestolen sessiecookie na het inloggen omzeilt de tweede factor. Phishingbestendige methoden en monitoring maken dit veel moeilijker.
Werkt 2FA zonder internetverbinding?
Ja, TOTP-codes en smartcards werken zonder internet, omdat de controle lokaal plaatsvindt tegen een on-premises server. Dat maakt deze vormen van 2FA geschikt voor afgeschermde OT-netwerken. Pushmeldingen en sms vereisen wel een verbinding met internet of het mobiele netwerk.
Is 2FA verplicht onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet noemt geen specifieke techniek, maar volgt NIS2, waarin multifactorauthenticatie expliciet als maatregel staat. Voor essentiële en belangrijke entiteiten is 2FA op externe en beheertoegang daarom de verwachte basismaatregel. Wie het niet invoert, moet kunnen uitleggen waarom het niet passend is.
Moet een leverancier 2FA gebruiken voor onderhoud op afstand?
Ja, onderhoud op afstand door leveranciers is een van de belangrijkste plekken voor 2FA in OT. Elke technicus hoort een persoonlijk account met tweede factor te hebben, bij voorkeur via een jump server met sessieopname. Gedeelde leveranciersaccounts zonder 2FA zijn een bekende oorzaak van incidenten.
📌 Samengevat
2FA combineert twee factoren uit verschillende categorieën, meestal een wachtwoord met een app, token of security key. In OT beschermt het vooral toegang op afstand, leverancierstoegang en beheer- en engineeringaccounts, en NIS2, de Cyberbeveiligingswet en IEC 62443 verwachten het daar ook.
2FA is een fundamentele laag in moderne OT/IT-beveiliging: het houdt aanvallers buiten, zelfs als een wachtwoord is gelekt of gephisht. Kies waar mogelijk phishingbestendige methoden, dwing 2FA af op elke toegang van buitenaf en zorg dat het nooit een noodingreep van de operator blokkeert.