Wat is de cloud?
Cloud computing is een model waarbij u rekenkracht, opslag, netwerken en applicaties via een netwerk op aanvraag afneemt uit een gedeelde pool van een provider, die u snel kunt op- en afschalen en betaalt naar gebruik. In plaats van zelf servers te kopen en te beheren (On-Premise), huurt u capaciteit en diensten bij een cloudprovider zoals Microsoft Azure, Amazon Web Services (AWS), Google Cloud of Europese aanbieders als OVHcloud en STACKIT. In industriële omgevingen gebruikt u de cloud vooral voor data-opslag, analyse en beheer op afstand, terwijl de procesbesturing zelf lokaal blijft.
🧠 Wat zijn de kenmerken van cloud computing?
De meest gebruikte definitie komt uit NIST SP 800-145 (2011). Die noemt vijf essentiële kenmerken:
| Kenmerk | Betekenis | Gevolg voor u |
|---|---|---|
| On-demand self-service | U regelt zelf capaciteit, zonder tussenkomst van de provider | Een server of database staat binnen minuten klaar |
| Brede netwerktoegang | Diensten zijn bereikbaar via standaard netwerkprotocollen | Toegang vanaf elke locatie, ook via private verbindingen |
| Resource pooling | Hardware wordt gedeeld door meerdere klanten (multi-tenant) | Lagere kosten, maar u deelt infrastructuur met anderen |
| Snelle elasticiteit | Capaciteit groeit en krimpt automatisch mee met de vraag | Goede schaalbaarheid bij pieken |
| Gemeten dienst | Gebruik wordt gemeten en afgerekend | Pay-as-you-go in plaats van een grote investering vooraf |
Een netwerkverbinding is dus altijd nodig, maar dat hoeft niet het openbare internet te zijn. Veel bedrijven koppelen hun locaties via een private verbinding, zoals Azure ExpressRoute of AWS Direct Connect, aan de cloud.
☁️ Welke servicemodellen zijn er: IaaS, PaaS en SaaS?
NIST onderscheidt drie servicemodellen. Hoe hoger in de stapel, hoe meer de provider voor u regelt. Dat bepaalt ook wie welke beveiligingstaak heeft, het model van gedeelde verantwoordelijkheid:
| Laag | IaaS | PaaS | SaaS |
|---|---|---|---|
| Datacenter, hardware, hypervisor | Provider | Provider | Provider |
| Besturingssysteem en patches | Klant | Provider | Provider |
| Middleware en runtime | Klant | Provider | Provider |
| Applicatie | Klant | Klant (eigen code) | Provider |
| Data, gebruikers en toegangsrechten | Klant | Klant | Klant |
| Voorbeeld | Virtuele machines, opslag, netwerken | Databases, IoT-hubs, containerplatforms | Microsoft 365, cloud-ERP, cloud-MES |
De onderste rij geldt altijd: welke data u opslaat, wie erbij mag en hoe u authenticatie regelt, blijft uw verantwoordelijkheid. Updates zijn bij IaaS dus niet automatisch geregeld; daar patcht u het besturingssysteem zelf.
🧱 Welke implementatiemodellen bestaan er?
NIST noemt vier implementatiemodellen: public, private, hybride en community cloud. Multicloud is een later ontstane praktijkterm voor het combineren van meerdere providers.
- Public cloud — gedeelde infrastructuur van een provider, voor iedereen af te nemen. Grootste schaal en laagste instapkosten.
- Private cloud — cloudtechniek (virtualisatie, self-service, automatisering) voor één organisatie, in het eigen datacenter of bij een hoster.
- Hybride cloud — een combinatie van on-premise of private cloud met public cloud. In de industrie de gangbaarste vorm: besturing en historian lokaal, analyse en rapportage in de cloud.
- Community cloud — gedeeld door een groep organisaties met vergelijkbare eisen, zoals overheden of zorginstellingen.
- Multicloud — diensten van meerdere providers tegelijk, vaak om afhankelijkheid van één leverancier te beperken.
🔄 Wat is het verschil tussen cloud en on-premise?
| Aspect | Cloud | On-Premise |
|---|---|---|
| Hostinglocatie | Datacenter van de provider | Eigen terrein of eigen datacenter |
| Kostenmodel | Abonnement of verbruik (opex) | Eenmalige investering plus onderhoud (capex) |
| Beheer | Gedeeld, afhankelijk van IaaS, PaaS of SaaS | Volledig intern |
| Schaalbaarheid | Flexibel, binnen minuten | Beperkt tot de eigen hardware |
| Netwerk nodig? | Ja, internet of private verbinding | Nee, werkt ook geïsoleerd |
| Updates | Bij SaaS/PaaS door de provider, bij IaaS door uzelf | Door het eigen team, in eigen tempo |
| Beschikbaarheid | SLA’s van typisch 99,9–99,99% per dienst | Afhankelijk van eigen redundantie |
| Geschikt voor OT-besturing? | Nee, wel voor toezicht en analyse | Ja |
Ter vergelijking: 99,9% beschikbaarheid betekent tot ruim 8,7 uur uitval per jaar, 99,99% ongeveer 53 minuten. Voor een kantoorapplicatie is dat acceptabel; voor een regelkring die elke 10 milliseconden moet reageren niet.
🏭 Waarvoor gebruikt de industrie de cloud?
- Data-opslag en analyse — productie-, energie- en onderhoudsdata uit meerdere fabrieken centraal opslaan en vergelijken
- Predictive Maintenance en condition monitoring — AI- en ML-modellen trainen op grote hoeveelheden historische sensordata; zie ook Industrial AI
- Industrial Internet of Things-platforms — centrale monitoring van verspreide assets zoals gemalen, windturbines of laadpalen
- Digitale tweelingen — simulatie en optimalisatie met veel rekenkracht, gevoed met actuele procesdata
- Cloud-hosted SCADA en MES — vooral bij geografisch verspreide installaties, meestal als hybride oplossing met lokale besturing
- Backup en Disaster Recovery — kopieën van configuraties, PLC-programma’s en historiandata buiten de locatie bewaren
- Onderhoud op afstand — leveranciers en eigen engineers ondersteunen installaties zonder ter plaatse te zijn
🔧 Hoe koppelt u OT veilig aan de cloud?
Een directe verbinding tussen de cloud en het besturingsnetwerk is het grootste risico. In de praktijk zijn er vier gangbare patronen:
| Patroon | Werking | Geschikt voor |
|---|---|---|
| Edge-gateway, alleen uitgaand | Een edge device leest lokaal data via OPC UA of Modbus en publiceert die versleuteld naar de cloud, bijvoorbeeld via MQTT over TLS (poort 8883) of HTTPS (443). Er staan geen inkomende poorten open. | De meeste IIoT- en analysetoepassingen |
| Via de IDMZ | Data loopt van het OT-netwerk naar een replica-historian of broker in de IDMZ en pas daarvandaan naar de cloud. Er is geen directe route van cloud naar OT. | Bestaande fabrieken volgens het Purdue Model |
| Datadiode | Hardware die verkeer fysiek maar in één richting doorlaat, van OT naar buiten. Terugschrijven is onmogelijk. | Kritieke infrastructuur en hoge security levels |
| Cloud-hosted SCADA | SCADA-server in de cloud, besturingen en lokale HMI blijven ter plaatse en werken zelfstandig door bij verbindingsverlies. | Verspreide assets met trage processen, zoals water en energie |
Bij alle patronen hoort store-and-forward: de edge buffert data lokaal als de verbinding wegvalt, en stuurt die later na. Edge-runtimes zoals AWS IoT Greengrass en Azure IoT Edge bieden dat standaard. Een Unified Namespace op de edge maakt dezelfde data tegelijk beschikbaar voor lokale en cloudtoepassingen. Zie ook Edge Computing.
🔐 Wie is verantwoordelijk voor de beveiliging in de cloud?
De provider beveiligt de cloud zelf, u beveiligt wat u erin zet. De grootste risico’s voor IT/OT-organisaties zijn:
- Verkeerde configuratie — openbaar bereikbare opslag of te ruime rechten zijn een veel voorkomende oorzaak van datalekken
- Gestolen accounts — beheeraccounts horen achter meerfactor-authenticatie; veel organisaties koppelen hun on-premise Active Directory aan Entra ID (tot juli 2023 Azure Active Directory)
- Nieuwe aanvalspaden naar OT — elke cloudkoppeling is een conduit in de zin van IEC 62443 en hoort in de risicoanalyse
- Afhankelijkheid en uitval — storingen bij de provider of het wegvallen van de verbinding mogen het proces niet stilleggen
- Diensten die verdwijnen — Google stopte op 16 augustus 2023 met Cloud IoT Core, waardoor gebruikers binnen een jaar moesten migreren
Basismaatregelen zijn versleuteling van data in rust en tijdens transport, Zero Trust-toegang in plaats van een permanente VPN, een firewall die alleen de benodigde uitgaande verbindingen toestaat, en logging naar uw eigen monitoring. Voor compliance vraagt u de provider om certificeringen zoals ISO 27001, ISO/IEC 27017 (cloudbeveiliging) en ISO/IEC 27018 (persoonsgegevens in de public cloud). IEC 62443 past u toe op uw eigen OT-omgeving en op de koppeling met de cloud.
🧭 Welke Europese regels gelden voor cloudgebruik?
| Regeling | Wat het betekent voor cloud | Sinds |
|---|---|---|
| Data Act | Recht om over te stappen naar een andere provider: maximaal 2 maanden opzegtermijn en 30 dagen overgangsperiode. Overstapkosten mogen alleen de werkelijke kosten dekken en vervallen helemaal per 12 januari 2027. | 12 september 2025 |
| NIS2 | Middelgrote en grote cloudproviders vallen onder digitale infrastructuur. Uitvoeringsverordening (EU) 2024/2690 legt hun technische maatregelen vast. Als afnemer moet u de beveiliging van uw leveranciers beheersen. | 17 oktober 2024 (omzettingstermijn) |
| Cyberbeveiligingswet | Nederlandse uitvoering van NIS2, inclusief zorgplicht voor ketenbeveiliging | 15 augustus 2026 |
| AVG | Persoonsgegevens buiten de EU vragen een geldige doorgiftegrondslag | 25 mei 2018 |
Daarnaast speelt digitale soevereiniteit. De Amerikaanse CLOUD Act (2018) geeft Amerikaanse autoriteiten onder voorwaarden toegang tot data bij Amerikaanse providers, ook als die in Europa staat. Providers reageren met Europese varianten: Microsoft rondde in februari 2025 zijn EU Data Boundary af en AWS opende begin 2026 de AWS European Sovereign Cloud in Brandenburg. De Europese certificering EUCS van ENISA, in ontwikkeling sinds 2020, is nog niet vastgesteld. Neem soevereiniteit en leveranciersbeveiliging daarom zelf mee in uw keuze; zie ook Supply Chain-risico.
🎯 Wanneer moet de besturing lokaal blijven?
Regelkringen, interlocks en veiligheidsfuncties horen altijd lokaal. Een PLC werkt met cyclustijden van enkele tot tientallen milliseconden en realtime gedrag, terwijl de latency naar een cloudregio al snel enkele tot tientallen milliseconden bedraagt, met onvoorspelbare variatie (jitter) en het risico dat de verbinding helemaal wegvalt. Het Britse NCSC publiceerde op 18 maart 2024 richtlijnen voor cloud-hosted SCADA en vraagt organisaties drie dingen te beoordelen: de zakelijke aanleiding, de eigen organisatorische gereedheid en de geschiktheid van de technologie. Een praktische aanpak:
- Bepaal het doel — analyse, rapportage of beheer op afstand? Alleen lezen of ook schrijven?
- Classificeer de data — welke procesdata is gevoelig, en welke persoonsgegevens zitten erin?
- Kies het koppelpatroon — uitgaand via edge of IDMZ, of een datadiode bij hoge eisen. Schrijven vanuit de cloud naar OT alleen met aparte goedkeuring.
- Ontwerp voor verbindingsverlies — lokale besturing, lokale HMI en store-and-forward moeten blijven werken zonder cloud.
- Leg verantwoordelijkheden vast — wie beheert wat in IaaS, PaaS of SaaS, en welke SLA en exitstrategie gelden?
- Toets regelgeving — NIS2, Cyberbeveiligingswet, AVG en de overstaprechten uit de Data Act.
❓ Veelgestelde vragen
Wat is het verschil tussen IaaS, PaaS en SaaS?
Bij IaaS huurt u virtuele servers, opslag en netwerken en beheert u zelf het besturingssysteem en de applicaties. Bij PaaS levert de provider ook het platform, zoals een database of IoT-hub, en schrijft u alleen de applicatie. Bij SaaS neemt u kant-en-klare software af en beheert u alleen gebruikers en data.
Kan een PLC of DCS in de cloud draaien?
Een PLC of DCS hoort niet in de public cloud, omdat regelkringen en veiligheidsfuncties deterministisch en zonder netwerkafhankelijkheid moeten werken. De latency en mogelijke uitval van een cloudverbinding passen daar niet bij. Wel kunnen toezicht, historie en analyse in de cloud draaien, met de besturing lokaal.
Is de cloud veiliger dan on-premise?
De cloud is niet vanzelf veiliger of onveiliger dan on-premise. Grote providers beveiligen hun datacenters en platforms vaak beter dan een individueel bedrijf, maar configuratie, toegangsrechten en data blijven de verantwoordelijkheid van de klant. Veel cloudincidenten ontstaan door verkeerde configuratie of gestolen accounts.
Hoe koppel ik een fabriek veilig aan de cloud?
Een fabriek koppelt u het veiligst aan de cloud met alleen uitgaande, versleutelde verbindingen vanaf een edge-gateway of vanuit de IDMZ, zonder inkomende poorten naar het OT-netwerk. Bij hoge beveiligingseisen gebruikt u een datadiode die verkeer fysiek in één richting doorlaat. Lokale besturing moet blijven werken als de cloudverbinding wegvalt.
Wat regelt de Data Act voor cloudgebruikers?
De Data Act geeft cloudgebruikers sinds 12 september 2025 het recht om over te stappen naar een andere provider, met maximaal twee maanden opzegtermijn en dertig dagen overgangsperiode. Overstapkosten mogen tot 12 januari 2027 alleen de werkelijke kosten dekken en vervallen daarna volledig. Dat verkleint de afhankelijkheid van één cloudprovider.
Vallen cloudproviders onder NIS2?
Middelgrote en grote cloudproviders vallen onder NIS2 als aanbieder van digitale infrastructuur en moeten voldoen aan de technische eisen uit Uitvoeringsverordening (EU) 2024/2690. Als afnemer blijft u onder NIS2 en de Nederlandse Cyberbeveiligingswet zelf verantwoordelijk voor de beveiliging van uw toeleveringsketen. De keuze en het beheer van een cloudprovider horen dus in uw eigen risicobeheer.
📌 Samengevat
De cloud levert schaalbare IT-capaciteit als dienst; in de industrie is hij sterk in opslag, analyse en beheer op afstand, maar de procesbesturing blijft lokaal. Kies bewust tussen IaaS, PaaS en SaaS, ken uw deel van de gedeelde verantwoordelijkheid, koppel OT alleen via uitgaande verbindingen, IDMZ of datadiode, en neem de Data Act, NIS2 en digitale soevereiniteit mee in uw keuze.