Wat is een conduit?
Een conduit is in IEC 62443 een logische groepering van communicatiekanalen die twee of meer zones met elkaar verbindt en waarvoor gemeenschappelijke beveiligingseisen gelden. Alle communicatie die een zonegrens passeert, loopt via een conduit; verkeer binnen één zone heeft er geen nodig. Een conduit omvat zowel de fysieke middelen (kabels, switches, firewalls, radioverbindingen) als de logische (protocollen, VPN-tunnels, toegestane datastromen). Samen met de zone vormt de conduit de kern van het Zone and Conduits-model, de manier waarop u een industrieel netwerk risicogestuurd opdeelt.
🧠 Wat is een conduit precies volgens IEC 62443?
De begrippen komen uit IEC 62443-1-1 en worden in IEC 62443-3-2 (editie 1.0, juni 2020) uitgewerkt tot een ontwerpproces. Een conduit is geen apparaat, maar een afgebakende verzameling communicatiekanalen waarvoor u als geheel eisen stelt, een risicobeoordeling uitvoert en een doelbeveiligingsniveau (SL-T) vastlegt.
| Begrip | Betekenis | Voorbeeld |
|---|---|---|
| Zone | Groep assets met gemeenschappelijke beveiligingseisen en een duidelijke grens | PLC-zone, SCADA/HMI-zone |
| Communicatiekanaal | Eén specifieke logische of fysieke verbinding tussen assets in twee zones | Modbus TCP-verbinding van SCADA-server naar PLC 12 |
| Conduit | Bundel van kanalen tussen dezelfde zones met dezelfde eisen | Alle procescommunicatie tussen de supervisielaag en de basisbesturing |
| Toegangspunt | Plek waar een kanaal de zonegrens passeert | Firewallpoort, VPN-gateway, seriële gateway |
| SL-T | Beveiligingsniveau 1–4 dat de conduit moet halen | SL-T 2 voor een interne procesconduit |
Een paar eigenschappen die vaak over het hoofd worden gezien:
- Een conduit kan meer dan twee zones verbinden - bijvoorbeeld één beheernetwerk dat meerdere procesgebieden bereikt, mits alle kanalen dezelfde eisen delen.
- Een conduit kan uit één dienst of meerdere dragers bestaan - een enkel Ethernet-segment, maar ook een combinatie van glasvezel, radio en een seriële verbinding.
- Een conduit mag door een andere zone lopen - alleen als die zone de kanalen niet kan compromitteren, bijvoorbeeld via een versleutelde tunnel over een gedeeld netwerk.
- Een conduit is feitelijk een bijzonder soort zone - met eigen grens, assets en risicobeoordeling, maar zonder sub-conduits. Waar zones genest mogen worden, kan een conduit niet worden opgesplitst in onderliggende conduits.
🔄 Wat is het verschil tussen een conduit, een firewall en een VLAN?
Een conduit is een ontwerpbegrip met een eisenpakket; een Firewall of VLAN is een middel om die eisen technisch in te vullen. Die verwarring leidt in de praktijk tot zwakke ontwerpen, bijvoorbeeld wanneer een VLAN zonder filtering als “conduit” wordt beschouwd. Een VLAN scheidt broadcastdomeinen, maar bewaakt de zonegrens niet: zonder toegangsregels op laag 3 kan elk apparaat in het ene VLAN nog steeds elk apparaat in het andere bereiken zodra er gerouteerd wordt.
| Middel | Wat het doet | Rol in een conduit |
|---|---|---|
| Managed Switch met VLAN’s | Logische scheiding van segmenten | Basis voor segmentatie, onvoldoende als enige grensbescherming |
| Industrial Firewall / Next-Gen Firewall | Verkeer toestaan of blokkeren op adres, poort en protocol | Kern van grensbescherming met default deny |
| Protocolfiltering / DPI | Inspectie van industriële functiecodes | Bijvoorbeeld alleen lezende Modbus-opdrachten toestaan |
| Datadiode | Fysiek afgedwongen eenrichtingsverkeer | Conduits waar data alleen naar buiten hoeft |
| VPN / TLS | Encryptie en integriteit van het kanaal | Conduits over gedeelde of externe netwerken |
| Jump Server in de IDMZ | Gecontroleerde beheertoegang met authenticatie | Remote-access- en leveranciersconduits |
| IDS / IPS | Detectie of blokkade van afwijkend verkeer | Zicht op wat er werkelijk over de conduit gaat |
🔐 Welke eisen stelt IEC 62443-3-3 aan een conduit?
IEC 62443-3-3 (2013) bevat de technische systeemeisen per foundational requirement. Voor conduits zijn vooral deze relevant:
| Eis | Titel | Betekenis voor de conduit |
|---|---|---|
| SR 1.13 | Access via untrusted networks | Toegang via onvertrouwde netwerken bewaken en expliciet goedkeuren |
| SR 3.1 | Communication integrity | Het kanaal beschermen tegen manipulatie van berichten |
| SR 4.1 | Information confidentiality | Vanaf SL 2 vertrouwelijkheid bij transport over onvertrouwde netwerken; op SL 4 ook over elke zonegrens |
| SR 5.1 | Network segmentation | Het controlesysteemnetwerk logisch of fysiek scheiden van andere netwerken |
| SR 5.2 | Zone boundary protection | Verkeer op de zonegrens bewaken en beheersen; uitbreidingen voor deny by default, allow by exception, island mode en fail close |
| SR 6.2 | Continuous monitoring | Het verkeer en de beveiligingsstatus doorlopend monitoren |
Welke eisen en uitbreidingen gelden, volgt uit de SL-T van de conduit. Een conduit met SL-T 1 kan volstaan met eenvoudige filtering; een conduit met SL-T 3 vraagt doorgaans om sterke authenticatie, versleuteling over onvertrouwde netwerken en continue monitoring. In de praktijk krijgt een conduit vaak minimaal het niveau van de hoogst geclassificeerde zone die hij verbindt: de verbinding is anders de zwakste schakel naar die zone.
🔧 Hoe ontwerpt en documenteert u een conduit?
IEC 62443-3-2 beschrijft het proces in Zone and Conduit Requirements (ZCR’s). Voor conduits komt het neer op zes stappen:
- Breng de werkelijke datastromen in kaart - combineer de asset-inventaris met passieve verkeersanalyse; in bestaande installaties blijken vaak verbindingen te bestaan die niemand kent.
- Groepeer kanalen tot conduits (ZCR 3.1) - kanalen tussen dezelfde zones met dezelfde eisen vormen één conduit. Draadloze verbindingen, externe netwerken en tijdelijk aangesloten apparaten krijgen volgens ZCR 3.4 tot en met 3.6 eigen zones en dus eigen conduits.
- Beoordeel het risico per conduit (ZCR 5) - welke dreigingen gelden, wat is het gevolg als de verbinding wordt misbruikt, en welke SL-T is daarvoor nodig. Een cyberrisicobeoordeling in HAZOP-stijl koppelt dit aan procesveiligheid.
- Leg de kenmerken vast (ZCR 6.3 en 6.4) - conduittekening plus een beschrijving per conduit.
- Implementeer en verifieer - firewallregels, protocolfiltering en logging inrichten, daarna testen of alleen het benoemde verkeer passeert. Het bereikte niveau (SL-A) moet minimaal gelijk zijn aan de SL-T.
- Beheer de conduit - elke nieuwe verbinding loopt via wijzigingsbeheer; firewallregelbeheer voorkomt dat tijdelijke uitzonderingen permanent worden.
Een conduitbeschrijving bevat volgens ZCR 6.4 onder meer de volgende kenmerken:
| Kenmerk | Voorbeeld voor conduit C3 |
|---|---|
| Naam en identificatie | C3 – Supervisie ↔ Basisbesturing |
| Verantwoordelijke organisatie | Afdeling procesautomatisering, locatie Rotterdam |
| Logische en fysieke grens | Industriële firewall FW-03 en de glasvezelring tussen controlekamer en installatie |
| Verbonden zones | Supervisie (SCADA, HMI) en Basisbesturing (PLC’s, Remote IO) |
| Toegestane datastromen | Modbus TCP 502 en OPC UA 4840, alleen van SCADA-servers naar bekende PLC-adressen |
| Richting en functies (onderdeel van de datastromen) | Verbindingen alleen opgezet vanuit de supervisielaag; schrijven beperkt tot benoemde registers |
| SL-T | 2 (illustratief, volgt uit de risicobeoordeling) |
| Aannames | Engineeringtoegang loopt niet via C3 maar via een aparte beheerconduit |
🏭 Welke conduits komt u in een fabriek tegen?
| Van | Naar | Typische conduitinvulling |
|---|---|---|
| PLC-zone | SCADA/HMI-zone | Industriële firewall of laag-3-switch met toegangslijsten, alleen de benodigde protocollen |
| SCADA-zone | MES-zone | Firewall met protocolfiltering en vaste servers aan beide kanten |
| MES-zone | ERP/IT-zone | Altijd via de IDMZ: replica-historian of databroker, geen directe sessies tussen IT en OT |
| Leverancier of extern netwerk | Onderhoudszone | Remote access via een Jump Server in de IDMZ met MFA, alleen tijdelijk geopend |
| Basisbesturing | SIS-zone | Alleen-lezen statusdata, schrijven uitsluitend via een vaste engineeringprocedure |
| Procesnetwerk | Monitoringplatform | Datadiode wanneer data alleen naar buiten mag |
Een Gastnetwerk hoort geen conduit naar OT-zones te hebben. Bezoekers en servicemonteurs die toegang nodig hebben, gaan via een gecontroleerde remote-access- of onderhoudsconduit. Het voorkomen van laterale beweging over die verbindingen is precies waarvoor conduits bestaan.
🧱 Waarom zijn conduits belangrijk voor Nederlandse en Europese regelgeving?
Sinds 15 augustus 2026 zijn de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit van kracht, de Nederlandse uitvoering van NIS2. De zorgplicht vraagt om risicogestuurde beveiliging van netwerk- en informatiesystemen, ook in OT. Een gedocumenteerd zone- en conduitmodel maakt aantoonbaar welke verbindingen er zijn, waarom ze nodig zijn en hoe ze zijn beveiligd. Toezichthouders en auditors vragen daar steeds vaker om.
Ook sectorspecifiek is het model doorgedrongen. De spoornorm CLC/TS 50701 bouwt voor cybersecurity op IEC 62443, en ENISA publiceerde samen met het European Rail ISAC een handleiding om zones en conduits voor spoorsystemen in te richten. In de watersector en bij Brzo-bedrijven is netwerksegmentatie met gecontroleerde koppelingen een vast onderdeel van de beveiligingsaanpak.
❓ Veelgestelde vragen
Heeft communicatie binnen een zone een conduit nodig?
Nee, een conduit is alleen nodig voor communicatie die een zonegrens passeert. Binnen een zone gelden de gemeenschappelijke beveiligingseisen van die zone. Moet een deel van de zone strenger beschermd worden, dan maakt u daar een subzone van, met een eigen conduit naar de rest.
Welk security level krijgt een conduit?
Een conduit krijgt een eigen doelbeveiligingsniveau (SL-T) uit de risicobeoordeling volgens IEC 62443-3-2. In de praktijk ligt dat niveau vaak minimaal op dat van de hoogst geclassificeerde zone die de conduit verbindt. Een zwak beveiligde conduit naar een SL-T 3-zone ondermijnt anders de bescherming van die zone.
Is een VPN-verbinding een conduit?
Een VPN is een middel binnen een conduit, niet de conduit zelf. De conduit omvat alle kanalen tussen de betrokken zones plus de eisen, grens en toegestane datastromen. Een VPN zorgt voor versleuteling en integriteit, maar zonder filtering en authenticatie aan de zonegrens blijft de conduit open voor alles wat door de tunnel komt.
Is een VLAN genoeg om een conduit te beveiligen?
Een VLAN alleen is niet genoeg om een conduit te beveiligen. VLAN’s scheiden netwerksegmenten logisch, maar bewaken het verkeer tussen zones niet zoals IEC 62443-3-3 met SR 5.2 (zone boundary protection) vraagt. Daarvoor zijn toegangsregels op een firewall of laag-3-switch nodig, bij voorkeur met default deny.
Wanneer kiest u een datadiode voor een conduit?
Een datadiode is geschikt voor een conduit waar data uitsluitend van een hoger beveiligde naar een lager beveiligde zone hoeft te stromen. Denk aan historian-replicatie of monitoring vanuit een veiligheidskritische installatie. Omdat terugverkeer fysiek onmogelijk is, kan de conduit niet worden gebruikt om de bronzone aan te vallen.
Hoe vaak moet u conduits herzien?
IEC 62443 noemt geen vaste termijn, maar conduits moeten bij elke wijziging in de installatie opnieuw worden beoordeeld. Daarnaast is een periodieke controle van de firewallregels en datastromen verstandig, bijvoorbeeld jaarlijks. Zo verdwijnen vergeten tijdelijke regels en blijft de conduitdocumentatie in lijn met de werkelijkheid.
📌 Samengevat
Een conduit bundelt alle communicatiekanalen tussen zones die dezelfde beveiligingseisen delen. Volgens IEC 62443 krijgt elke conduit een eigen risicobeoordeling, een doelbeveiligingsniveau en een vastgelegde beschrijving van grens, toegestane datastromen en verantwoordelijke organisatie. Technisch wordt een conduit ingevuld met firewalls, protocolfiltering, versleuteling, datadiodes of jump servers. Een VLAN alleen volstaat niet.
Een conduit is het gecontroleerde en gedocumenteerde pad tussen zones: alleen benoemd en noodzakelijk verkeer mag de zonegrens over, zodat een incident in één zone zich niet ongehinderd door het OT-netwerk verspreidt.