Beveiligings Normen

Wat zijn beveiligingsnormen voor IT en OT?

Beveiligingsnormen voor IT en OT zijn vastgelegde kaders van eisen en maatregelen waarmee organisaties hun informatie en hun industriële besturingssystemen aantoonbaar beschermen; in Nederland zijn ISO 27001, IEC 62443, de BIO en de CSIR de vier kaders die het vaakst naast elkaar worden gebruikt. Ze overlappen gedeeltelijk, maar elk heeft een eigen doelgroep en focus. ISO 27001 regelt het managementsysteem, IEC 62443 de techniek en rolverdeling in industriële automatisering, de BIO de verplichte baseline voor de overheid en de CSIR de vertaling daarvan naar objecten zoals gemalen en sluizen. Samen vormen ze de ruggengraat van cybersecurity op het snijvlak van IT en OT.

🧠 Waarom bestaan er verschillende beveiligingsnormen?

Kantoorautomatisering en procesautomatisering hebben andere prioriteiten. In IT staat vaak de vertrouwelijkheid van gegevens voorop; in OT gaan beschikbaarheid, integriteit van het proces en fysieke veiligheid voor. Een PLC die een sluisdeur bedient, kan niet zomaar herstarten voor een patch. Daarom ontstonden er naast de generieke ISO-normen aparte normen voor ICS en SCADA, en sectorkaders die beide werelden verbinden.

• Managementsysteemnormen - beschrijven hoe u beveiliging organiseert, met beleid, risicoanalyse, rollen en continue verbetering
• Technische normen - beschrijven welke eigenschappen een systeem of component moet hebben, zoals authenticatie, segmentatie en logging
• Baselines - leggen een verplicht minimumniveau vast voor een groep organisaties, zoals de overheid
• Implementatierichtlijnen - vertalen normen naar concrete eisen voor een specifiek type installatie

📋 Hoe verschillen ISO 27001, IEC 62443, BIO en CSIR?

🛡️ Wat regelt ISO 27001?

ISO/IEC 27001 is de internationale norm voor het opzetten, invoeren, onderhouden en verbeteren van een Information Security Management System (ISMS). De huidige versie is ISO/IEC 27001:2022, in Nederland verschenen als NEN-EN-ISO/IEC 27001:2023. Annex A bevat 93 beheersmaatregelen in vier thema’s: 37 organisatorische, 8 mensgerichte, 14 fysieke en 34 technologische. Voorbeelden zijn risicoanalyse, toegangsbeheer en autorisatie, back-up en herstel en incidentmanagement. De uitleg per maatregel staat in ISO 27002.

ISO 27001 beschermt de vertrouwelijkheid, integriteit en beschikbaarheid van alle informatie (CIA-triade), dus ook informatie in OT. De maatregelen zijn wel generiek: zones, security levels of eisen aan een PLC kent de norm niet. Een certificaat is drie jaar geldig, met jaarlijkse surveillance-audits. Certificaten tegen de versie van 2013 zijn sinds 31 oktober 2025 niet meer geldig.

🔧 Wat voegt IEC 62443 toe voor OT?

IEC 62443 is de normenreeks voor de beveiliging van industriële automatiserings- en besturingssystemen (IACS), zoals PLC’s, DCS’en, SCADA, sensoren en actuatoren. De reeks is modulair opgebouwd in vier groepen: algemeen, beleid en processen, systeem en componenten. Ze verdeelt verantwoordelijkheden over drie rollen: de asset owner, de serviceprovider (integrator en onderhoudspartij) en de productleverancier.

Kernconcepten zijn het Zone and Conduits-model, vijf security levels (SL 0 tot en met SL 4) en zeven fundamentele eisen, die IEC 62443-3-3 uitwerkt in 51 systeemeisen. De tweede editie van IEC 62443-2-1 uit 2024 is bewust zo opgezet dat zij naast een ISMS volgens ISO 27001 werkt. Certificering is mogelijk voor meer dan alleen componenten: ISASecure certificeert ontwikkelprocessen (4-1), componenten (4-2) en systemen (3-3), en via IECEE kunnen ook serviceproviders tegen 2-4 worden gecertificeerd. Meer hierover staat in OT-securitycertificeringen.

🏛️ Wat is de rol van de BIO?

De BIO (Baseline Informatiebeveiliging Overheid) is het gemeenschappelijke normenkader voor informatiebeveiliging van het Rijk, de provincies, gemeenten en waterschappen. Zij verving in 2020 de aparte baselines BIR2017 (Rijk), IBI (provincies), BIWA (waterschappen) en BIG (gemeenten). BIO 1.04 werkte met drie basisbeveiligingsniveaus (BBN1 tot en met 3) en was gebaseerd op ISO 27002:2013.

De opvolger BIO2, vastgesteld op 23 september 2025, sluit aan op ISO 27001:2023 en ISO 27002:2022 en laat de BBN-niveaus los ten gunste van een risicogestuurde selectie via risicomanagement. Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, is BIO2 wettelijk verplicht voor overheidsorganisaties die onder die wet vallen; voor de overige overheden blijft zij verplichtende zelfregulering. De BIO geldt uitdrukkelijk ook voor OT, en BIO2 staat toe dat OT-maatregelen gelijkwaardig worden ingevuld met de CSIR en IEC 62443.

🏗️ Waarvoor dient de CSIR?

De CSIR (Cybersecurity Implementatierichtlijn Objecten) is een richtlijn van Rijkswaterstaat en Het Waterschapshuis die de BIO en IEC 62443 samenvoegt tot één uitvoerbare set maatregelen voor objecten met industriële automatisering, zoals gemalen, sluizen, stuwen, bruggen en zuiveringen. De eerste versie verscheen in december 2013; versie 3.0 dateert van 16 september 2021 en is bruikbaar voor alle partners van het Bestuursakkoord Water.

Elk object krijgt een functiebox (A tot en met E) en een weerstandsniveau (1 tot en met 4) dat aansluit op de security levels van IEC 62443. De CSIR voert geen tweede managementsysteem in, maar hangt de OT-maatregelen in het bestaande ISMS. Zij is geen wet of formele norm, maar wordt via contracten bindend voor aannemers en leveranciers. In de watersector is zij de vaste basis.

🔄 Hoe vullen deze normen elkaar aan?

De vier kaders zijn geen concurrenten, maar lagen in één stapel:

• ISO 27001 als kapstok - het ISMS levert beleid, risicoproces, audits en directiebeoordeling voor de hele organisatie
• IEC 62443 als OT-invulling - zones, conduits en security levels maken de generieke maatregelen concreet voor de procesomgeving
• BIO als verplichte baseline - overheden voegen de verplichte overheidsmaatregelen toe aan hun Verklaring van toepasselijkheid
• CSIR als vertaling naar het object - de maatregelen worden per gemaal of sluis geschaald naar het risico

Een industrieel bedrijf kiest doorgaans voor ISO 27001 plus IEC 62443. Een waterschap combineert BIO2 met de CSIR, die op haar beurt IEC 62443 gebruikt. Daarnaast verwijzen veel organisaties naar het NIST CSF en NIST SP 800-82 (revisie 3, september 2023), de Amerikaanse handleiding voor OT-security van NIST.

🧭 Hoe kiest u welke normen u toepast?

Een praktische aanpak in vijf stappen:

1. Bepaal uw wettelijke kader - valt u onder NIS2 en de Cyberbeveiligingswet, bent u een overheid of levert u producten met digitale elementen onder de Cyber Resilience Act (meldplicht vanaf 11 september 2026, volledig van toepassing vanaf 11 december 2027)?
2. Kies het managementsysteem - ISO 27001 voor bedrijven, BIO2 voor overheden; beide leveren een ISMS met risicoanalyse en verklaring van toepasselijkheid.
3. Breng OT in de scope - inventariseer installaties en de grens met IT, bijvoorbeeld volgens het Purdue Model, en deel ze in zones in.
4. Leg de OT-eisen vast - gebruik IEC 62443-3-2 en 3-3 voor zones en security levels, of de CSIR voor overheidsobjecten, en vraag leveranciers om 2-4 en 4-1/4-2.
5. Toon het aan - via audits, certificering waar dat waarde heeft, en continue verbetering.

❓ Veelgestelde vragen

Welke beveiligingsnorm is verplicht in Nederland?

Van de vier beveiligingsnormen is alleen de BIO voor een deel van de organisaties wettelijk verplicht: BIO2 geldt sinds 15 augustus 2026 via de Cyberbeveiligingswet voor overheidsorganisaties die onder die wet vallen. ISO 27001 en IEC 62443 zijn vrijwillig, maar worden vaak gebruikt om de zorgplicht uit de Cyberbeveiligingswet aantoonbaar in te vullen. De CSIR wordt bindend via contracten.

Wat is het verschil tussen ISO 27001 en IEC 62443?

ISO 27001 beschrijft een managementsysteem voor informatiebeveiliging voor de hele organisatie, met generieke maatregelen. IEC 62443 richt zich op industriële besturingssystemen en beschrijft zones, conduits, security levels en technische eisen aan systemen en componenten. In de industrie worden beide normen meestal gecombineerd.

Kan een bedrijf zich laten certificeren voor IEC 62443?

Ja, maar een IEC 62443-certificaat geldt voor een afgebakend product, proces of organisatieonderdeel en nooit automatisch voor uw hele installatie. Programma’s als ISASecure en IECEE certificeren onder meer ontwikkelprocessen (4-1), componenten (4-2), systemen (3-3) en serviceproviders (2-4). Een ISO 27001-certificaat geldt daarentegen voor de scope van het ISMS van een organisatie.

Is de BIO hetzelfde als ISO 27001?

Nee, de BIO is gebaseerd op ISO 27001 en ISO 27002, maar voegt verplichte overheidsmaatregelen toe die niet via risicoacceptatie mogen worden weggelaten. BIO2 kent ook een publicatieplicht voor de ISMS-reikwijdte en de verklaring van toepasselijkheid. Een ISO 27001-certificaat is onder de BIO niet verplicht, maar vergemakkelijkt de verantwoording.

Moet een waterschap zowel de BIO als de CSIR volgen?

Een waterschap dat onder de Cyberbeveiligingswet valt, moet BIO2 toepassen, ook op zijn gemalen en zuiveringen. De CSIR is de gangbare manier om de OT-maatregelen daarvan gelijkwaardig in te vullen, omdat zij de BIO combineert met IEC 62443. Versie 3.0 van de CSIR volgt nog de oude BIO-nummering, dus een koppeltabel naar BIO2 is vaak nodig.

Volstaat ISO 27001 voor OT-security?

ISO 27001 alleen volstaat meestal niet voor OT-security, omdat de beheersmaatregelen geen zones, security levels of eisen aan besturingscomponenten bevatten. Het ISMS biedt wel het organisatorische kader waarin OT-risico’s worden beheerst. Daarom vullen industriële organisaties ISO 27001 aan met IEC 62443.

📌 Samengevat

ISO 27001, IEC 62443, de BIO en de CSIR vormen samen een gelaagd stelsel: ISO 27001 levert het managementsysteem, IEC 62443 de OT-techniek, de BIO de verplichte overheidsbaseline en de CSIR de vertaling naar concrete objecten. Wie IT en OT samen beveiligt, kiest één managementsysteem en vult dat voor de procesomgeving in met IEC 62443 of de CSIR, afgestemd op de Cyberbeveiligingswet en de Cyber Resilience Act.