Wat zijn assets?
Een asset is alles wat waarde heeft voor een organisatie en waarvan de beschikbaarheid, integriteit of vertrouwelijkheid beschermd moet worden: hardware, software, data en ook mensen en processen. In de context van IT en OT (Operationele Technologie) gaat het om fysieke, digitale en logische componenten die een rol spelen in productie, procesbesturing of informatieverwerking, van een PLC in het veld tot een configuratiebestand op een engineering station. Assets zijn het vertrekpunt van elke risicoanalyse en van vrijwel elke beveiligingsnorm, want u kunt alleen beschermen wat u kent.
🧠 Wat valt er onder het begrip asset?
De norm ISO 55000 voor assetmanagement definieert een asset als een item, ding of entiteit met potentiële of daadwerkelijke waarde voor een organisatie. Die waarde kan financieel of niet-financieel zijn. In informatiebeveiliging (ISO 27001 en ISO 27002, maatregel 5.9) ligt de nadruk op informatie en de “bijbehorende assets” die informatie opslaan, verwerken of transporteren.
Bij risicoanalyses volgens onder meer ISO 27005 wordt vaak onderscheid gemaakt tussen twee soorten:
- Primaire assets - de bedrijfsprocessen en informatie die echte waarde vertegenwoordigen, zoals een productieproces, een recept of een levering van drinkwater
- Ondersteunende assets - de componenten waarop die primaire assets draaien: besturingen, servers, netwerken, software, locaties en mensen
Dat onderscheid voorkomt dat een assetlijst een technisch inventarislijstje blijft. Een historian is niet waardevol omdat het een server is, maar omdat het proces erop leunt.
🧱 Welke typen assets zijn er in IT en OT?
| Type asset | Voorbeelden |
|---|---|
| Fysieke assets | PLC’s, RTU’s, SCADA-servers, werkstations, netwerkswitches, sensoren, actuatoren |
| Software en logische assets | Applicaties, besturingssystemen, firmware, PLC-programma’s, configuratiebestanden, setpoints |
| Informatie-assets | Historische procesdata, receptuurgegevens, alarmmeldingen, tekeningen, rapportages |
| Netwerk-assets | Routers, firewalls, VLAN-segmenten, conduits, IP-adresplannen en firewallregels als configuratie |
| Mensen en processen | Kennis van operators, beheerders en externe leveranciers; procedures en werkinstructies |
In de praktijk richt een OT-asset-inventaris zich vooral op de eerste twee rijen. Informatie, netwerkconfiguratie en kennis worden als attribuut of afhankelijkheid aan die technische assets gekoppeld.
🏭 Welke OT-assets vindt u op elk Purdue-niveau?
Het Purdue Model helpt om OT-assets te ordenen naar functie en positie in het netwerk:
| Niveau | Functie | Typische assets |
|---|---|---|
| 0 – Proces | Meten en schakelen | Sensoren, actuatoren, kleppen, motoren, aandrijvingen |
| 1 – Basisbesturing | Lokale logica en regeling | PLC, RTU, IED, veiligheidssystemen (SIS) |
| 2 – Toezicht | Bewaking en bediening | SCADA-servers, HMI’s, engineering stations |
| 3 – Operations | Productiebeheer en data | Historian, MES, domeincontrollers, back-upservers |
| 3.5 – IT/OT-grens | Gecontroleerde koppeling | DMZ, jump servers, patchservers, firewalls |
| 4–5 – Bedrijf | Planning en kantoor-IT | ERP, e-mail, kantoorwerkplekken, cloudapplicaties |
Hoe lager het niveau, hoe directer de invloed op het fysieke proces en op veiligheid. Lagere niveaus bevatten bovendien vaker legacy systemen die jarenlang niet gepatcht kunnen worden.
🎯 Waarom is een assetoverzicht zo belangrijk?
Zonder actueel overzicht van uw assets werkt geen enkele andere beveiligingsmaatregel goed:
- Risicoanalyse - een risicobeoordeling of business impact analysis begint bij de vraag welke assets er zijn en wat ze waard zijn
- Kwetsbaarheden - alleen met fabrikant, model en firmwareversie kunt u nieuwe CVE’s koppelen aan uw installatie (vulnerability management en patchmanagement)
- Detectie - Monitoring met een SIEM of een IDS herkent afwijkingen pas als bekend is wat normaal is
- Configuratie en wijzigingen - configuratiebeheer en change management steunen op een betrouwbare basislijn
- Incidentrespons - een CSIRT of CERT moet snel weten welke systemen geraakt zijn en wie de eigenaar is (incident response)
- Herstel - bedrijfscontinuïteit vraagt per kritiek asset een back-up en een herstelplan
🔍 Zonder inzicht in uw assets weet u niet wat u moet beschermen.
🔐 Welke normen en wetten eisen een asset-inventaris?
Vrijwel elk relevant kader begint bij assets:
| Kader | Eis rond assets |
|---|---|
| IEC 62443 | IEC 62443-2-1 vraagt een inventaris als onderdeel van het beveiligingsprogramma; IEC 62443-3-3 eist met SR 7.8 vanaf security level 2 een actuele inventaris van alle componenten van het besturingssysteem |
| NIS2 / Cyberbeveiligingswet | Artikel 21 noemt assetbeheer als verplichte maatregel; de Cyberbeveiligingswet geldt in Nederland sinds 15 augustus 2026 |
| Uitvoeringsverordening (EU) 2024/2690 | Voor digitale infrastructuur- en ICT-dienstverleners, zoals cloud- en datacenteraanbieders en managed (security) service providers: een volledige, juiste en actuele inventaris waarin wijzigingen herleidbaar worden vastgelegd |
| ISO 27001 | Annex A-maatregel 5.9 vraagt een inventaris van informatie en bijbehorende assets, inclusief eigenaren |
| CIS Controls v8.1 | Control 1 (bedrijfsassets, zoals apparaten en servers) en Control 2 (software-assets) zijn de eerste twee van achttien maatregelen |
| NIST CSF 2.0 | De functie Identify begint met de categorie Asset Management (ID.AM) |
| BIO | Gebaseerd op ISO 27001/27002; de BIO2 (september 2025) verving de drie BBN-niveaus door een risicogerichte aanpak |
🔧 Welke gegevens legt u per asset vast?
In augustus 2025 publiceerden CISA en partners, waaronder het Nederlandse NCSC en het Duitse BSI, de richtlijn Foundations for OT Cybersecurity: Asset Inventory Guidance. Die noemt veertien attributen met hoge prioriteit:
- Identificatie - assetnummer, hostnaam, rol/type en fysieke locatie
- Netwerk - IP-adres, MAC-adres, actieve communicatieprotocollen en open poorten/diensten
- Kwetsbaarheid - fabrikant, model en besturingssysteem
- Beheer en detectie - kritikaliteit, gebruikersaccounts en hoe logging van het asset is ingericht
Met middelhoge prioriteit volgen onder meer back-upfrequentie, een bekende goede basisimage en de afdeling of eigenaar. Voeg daar in de praktijk firmwareversie, levenscyclusstatus (zoals einde ondersteuning door de leverancier) en de leverancier met onderhoudscontract aan toe.
🔄 Hoe ontdekt u assets: passief of actief?
Asset Discovery vult de inventaris met drie methoden die elkaar aanvullen:
- Passief - een sensor luistert via een SPAN-poort of netwerk-TAP mee en herkent apparaten uit het verkeer met deep packet inspection (passive monitoring). Veilig, maar ziet alleen wat communiceert.
- Actief - gerichte vragen aan apparaten in hun eigen protocol, bijvoorbeeld een S7- of Modbus TCP-uitlezing van type en firmware. Completer, maar een agressieve netwerkscan kan kwetsbare oudere besturingen laten vastlopen.
- Fysiek en documentair - rondgang door de installatie, kasten en tekeningen nalopen. Onmisbaar voor seriële en niet-netwerkgebonden apparatuur.
Gespecialiseerde OT-platforms als Claroty, Dragos en Tenable OT combineren passieve detectie met veilige actieve uitvraag.
🛡️ Hoe bouwt u in de praktijk een assetbeheerproces op?
De CISA-richtlijn beschrijft vijf stappen die ook in Nederlandse OT-omgevingen goed werken:
- Scope en doelen bepalen - welke locaties, zones en systemen vallen erin, wie is verantwoordelijk
- Assets identificeren en attributen verzamelen - passief, actief en fysiek, met de veertien kernattributen
- Taxonomie opstellen - assets indelen naar functie en kritikaliteit (hoog, middel, laag) en groeperen in zones en conduits volgens het zone- en conduitmodel
- Data beheren - de gegevens centraal en beveiligd vastleggen, bijvoorbeeld in een CMDB of het asset-inventarissysteem
- Levenscyclusbeheer - wijzigingen, vervanging en uitfasering vastleggen en de inventaris periodiek valideren
Kritikaliteit bepaalt daarna de maatregelen: hoog-kritieke assets krijgen de strengste maatregelen, zoals netwerksegmentatie en rolgebaseerd toegangsbeheer (RBAC) binnen een gelaagde defense-in-depth-aanpak. Middel-kritieke assets krijgen robuuste monitoring en regelmatige updates, en laag-kritieke assets basismaatregelen; die laatste staan vooral voor de volledigheid in de inventaris.
❓ Veelgestelde vragen
Wat is het verschil tussen een asset en een configuratie-item?
Een asset is iets met waarde voor de organisatie, zoals een PLC of een historian. Een configuratie-item is elk onderdeel dat onder configuratiebeheer valt, inclusief de onderlinge relaties, en wordt meestal in een CMDB vastgelegd. Veel assets zijn ook configuratie-items, maar een CMDB legt de nadruk op relaties en wijzigingen.
Wat is het verschil tussen assets, asset inventory en asset management?
Assets zijn de waardevolle componenten zelf. Een asset inventory is het actuele overzicht van die assets met hun attributen. Asset Management is het bredere proces om assets over hun hele levenscyclus te beheren, van aanschaf en onderhoud tot uitfasering.
Is passieve asset discovery veilig voor OT-netwerken?
Passieve asset discovery is veilig omdat er geen verkeer naar de apparaten wordt gestuurd; de sensor luistert alleen mee via een SPAN-poort of TAP. Het nadeel is dat apparaten die zelden of niet communiceren buiten beeld blijven. Daarom combineren de meeste organisaties passieve detectie met veilige, protocolspecifieke actieve uitvraag en een fysieke rondgang.
Hoe vaak moet een OT-asset-inventaris worden bijgewerkt?
Een OT-asset-inventaris moet bij elke wijziging in de installatie worden bijgewerkt en periodiek, bijvoorbeeld jaarlijks, volledig worden gevalideerd. NIS2 vraagt assetbeheer en de uitvoeringsverordening (EU) 2024/2690 werkt dat uit tot een actuele inventaris waarin wijzigingen herleidbaar zijn. Continue passieve monitoring helpt om nieuwe of verdwenen apparaten direct te signaleren.
Hoe bepaalt u de kritikaliteit van een asset?
De kritikaliteit van een asset volgt uit de gevolgen van uitval of manipulatie voor veiligheid, productie, milieu en dienstverlening. Een business impact analysis of risicobeoordeling volgens IEC 62443-3-2 geeft die gevolgen een score. CISA adviseert een eenvoudige indeling in hoog, middel en laag, met de strengste maatregelen voor hoog.
Tellen mensen en kennis ook als asset?
Mensen en kennis tellen als asset in de brede, risicogerichte betekenis, zoals ISO 55000 en ISO 27005 die hanteren. Het vertrek van de enige engineer die een oude besturing kent, is een reëel continuïteitsrisico. In een technische asset-inventaris worden mensen meestal niet als record opgenomen, maar wel als eigenaar, beheerder of contactpersoon.
📌 Samengevat
Een asset is alles wat waarde heeft en beschermd moet worden, van een fysieke PLC tot een digitaal configuratiebestand. Een actuele asset-inventaris met de juiste attributen en kritikaliteit is de basis voor risicoanalyse, kwetsbaarhedenbeheer, detectie, bedrijfscontinuïteit en Compliance met IEC 62443, NIS2 en ISO 27001.