Converged Plantwide Ethernet

Wat is Converged Plantwide Ethernet (CPwE)?

Converged Plantwide Ethernet (CPwE) is een gevalideerde referentiearchitectuur van Rockwell Automation en Cisco die beschrijft hoe u een industrieel Ethernet- en IP-netwerk voor een complete fabriek ontwerpt, segmenteert, redundant uitvoert en beveiligt, en veilig koppelt aan het kantoornetwerk. CPwE brengt IT- en OT-netwerken samen in één samenhangende architectuur, zonder dat de besturing van het productieproces afhankelijk wordt van het kantoornetwerk. De architectuur is gebouwd op het Ethernet-to-the-Factory-ontwerp van Cisco en de Integrated Architecture van Rockwell Automation.

CPwE is geen formele norm, maar een reeks ontwerp- en implementatiegidsen die beide bedrijven in hun labs hebben getest. Het kerndocument is de Design and Implementation Guide (DIG), waarvan Rockwell Automation in april 2010 versie 2.0 aankondigde. Daarnaast zijn er meer dan twintig aanvullende gidsen uitgebracht, onder meer over de IDMZ, redundantie, draadloze netwerken, NAT, tijdsynchronisatie en security monitoring.

🧠 Hoe is de CPwE-architectuur opgebouwd?

CPwE volgt de lagen van het Purdue Model en verdeelt het netwerk in zones met elk een eigen functie en een eigen beveiligingsniveau:

De Cell/Area Zone is de bouwsteen van CPwE. Elke productiecel of machine krijgt een eigen VLAN en subnet, zodat een storing of broadcaststorm in de ene cel de andere niet raakt. Tussen de cellen routeren distributieswitches, en een core-switch verbindt alles met Site Operations. Daarmee legt CPwE de basis voor segmentatie volgens het zones-en-conduitsmodel van IEC 62443.

🔧 Welke componenten en technologieën gebruikt CPwE?

Het applicatieprotocol in CPwE is EtherNet/IP met CIP. De switches labelen dat verkeer met standaard DSCP-waarden uit het CIP-QoS-object, bijvoorbeeld 55 voor urgent en 47 voor scheduled I/O, zodat besturingsverkeer voorrang krijgt boven bijvoorbeeld een grote back-up. Voor EtherNet/IP-multicast schakelt u IGMP-snooping in, anders overspoelt I/O-verkeer elke poort in het VLAN.

🔄 Hoe regelt CPwE redundantie en hersteltijden?

Een industrieel netwerk moet een kabelbreuk opvangen voordat de PLC zijn verbindingen afbreekt. CPwE koppelt de keuze voor een topologie daarom aan de hersteltijd (convergentietijd) die een applicatie verdraagt. De REP-ontwerpgids van Cisco en Rockwell uit 2014 geeft deze indeling:

De vuistregels uit de gidsen: gebruik glasvezel voor alle verbindingen tussen switches, houd de standaard Requested Packet Interval (RPI) van de controller aan, en kies nooit een verbindingstime-out die dicht bij de convergentietijd van het netwerk ligt. Op Layer 3 zorgen first-hop-redundantieprotocollen zoals HSRP of VRRP ervoor dat de standaardgateway van een cel niet uitvalt. Zie ook Redundantie en Ring Redundancy.

🔐 Hoe beveiligt CPwE de grens tussen IT en OT?

De kern van de CPwE-beveiliging is de IDMZ. Rockwell Automation en Cisco formuleren daarvoor een aantal ontwerpprincipes:

• Verkeer eindigt in de IDMZ - er is geen directe verbinding tussen de Enterprise Zone en de Industrial Zone; elke sessie stopt in de IDMZ.
• Geen gemeenschappelijke protocollen - een protocol dat aan de IT-kant de IDMZ binnenkomt, gaat er aan de OT-kant niet ongewijzigd weer uit.
• EtherNet/IP blijft binnen - besturingsverkeer komt nooit in de IDMZ en blijft in de Industrial Zone.
• Geen permanente data - de IDMZ slaat geen gegevens blijvend op en bevat geen primaire diensten.
• Functionele subzones - aparte segmenten voor bijvoorbeeld IT-diensten, operations en externe partijen.
• Los te koppelen - een goed ontworpen IDMZ kunt u loskoppelen als die gecompromitteerd is, terwijl de productie gewoon doordraait.

Daaromheen gebruikt CPwE een defense-in-depth-model dat is afgestemd op ISA/IEC 62443 en NIST SP 800-82:

Binnen de Cell/Area Zone voegen latere gidsen industriële firewalls per cel en CIP Security toe, waarmee EtherNet/IP-apparaten elkaar met certificaten authenticeren en verkeer versleutelen. Dat sluit aan bij microsegmentatie en Zero Trust.

🏗️ Hoe implementeert u CPwE in de praktijk?

CPwE is ontworpen voor industriële automatisering met Rockwell- en Cisco-apparatuur, maar de principes zijn leveranciersonafhankelijk. Een praktische aanpak in vijf stappen:

1. Inventariseer - breng alle assets, verbindingen en datastromen in kaart; zonder actuele inventaris kunt u niet zinvol segmenteren.
2. Deel zones in - groepeer assets per productiecel en per risico, conform een risicoanalyse volgens IEC 62443-3-2.
3. Kies topologie en redundantie - bepaal per cel welke hersteltijd het proces verdraagt en kies daarbij ster, REP-ring, DLR of PRP.
4. Bouw de IDMZ - plaats historian-replicatie, patchserver en remote desktop gateway in de IDMZ en sta alleen verkeer toe dat daar eindigt.
5. Monitor en beheer - koppel switches, firewalls en OT-monitoring aan een SIEM of OT SOC en neem het OT-netwerk op in de centrale incident response.

Typische toepassingen zijn real-time datatransport tussen PLC, SCADA, historian en MES, het ontsluiten van procesdata voor analyseplatforms, beveiligd onderhoud op afstand via een jump server in de IDMZ en centrale logging binnen het OT-netwerk.

Nederlandse context. Voor bedrijven onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2 die op 15 augustus 2026 in werking trad, biedt CPwE een concrete invulling van netwerksegmentatie, toegangsbeheer en logging. CPwE maakt u echter niet automatisch compliant: de wet vraagt ook om risicobeheer, incidentmelding en bestuurlijke verantwoordelijkheid, en voor managementsystemen blijft een kader als ISO 27001 of IEC 62443-2-1 nodig.

⚠️ Welke fouten ziet u vaak bij CPwE-implementaties?

• ❌ Geen duidelijke segmentatie tussen IT- en OT-verkeer, of één groot plantbreed VLAN
• ❌ Ongebruikte switchpoorten blijven open of ongedocumenteerd
• ❌ Remote access zonder sterke authenticatie of logging
• ❌ Verkeerde configuratie van ACL’s, VLAN’s, routers of firewalls, zoals een standaard native VLAN 1 of een te ruime any-any-regel
• ❌ Geen monitoring op de industriële DMZ
• ❌ Een IDMZ die toch directe verbindingen doorlaat “omdat het makkelijker is”
• ❌ Geen integratie met centrale incident-responseprocedures

Zulke fouten zijn de ingang voor cyberincidenten: aanvallen op kwetsbare OT-componenten via het IT-netwerk, malware die zich verspreidt over slecht gesegmenteerde VLAN’s, datadiefstal via een historian of onbewaakte remote access, en DDoS- of broadcaststormen die HMI-verkeer blokkeren.

🔁 Wat is het verschil tussen CPwE en een traditioneel OT-netwerk?

❓ Veelgestelde vragen

Wie heeft Converged Plantwide Ethernet ontwikkeld?

Converged Plantwide Ethernet is samen ontwikkeld door Rockwell Automation en Cisco. CPwE bouwt voort op het Ethernet-to-the-Factory-ontwerp van Cisco en de Integrated Architecture van Rockwell Automation. Panduit werkte mee aan de gidsen over fysieke infrastructuur en glasvezelbekabeling.

Is CPwE een officiële norm?

Nee, CPwE is een referentiearchitectuur met geteste ontwerpen van twee leveranciers, geen norm van IEC, ISO of ISA. De beveiligingsaanpak van CPwE is wel afgestemd op ISA/IEC 62443 en NIST SP 800-82. Veel organisaties gebruiken CPwE daarom als praktische invulling van die normen.

Kan ik CPwE gebruiken zonder Rockwell- of Cisco-apparatuur?

Ja, de principes van CPwE, zoals cellen en zones, een IDMZ en het kiezen van redundantie op basis van hersteltijd, zijn leveranciersonafhankelijk. Sommige onderdelen zijn wel merkgebonden, zoals het Cisco-protocol REP. In een omgeving met ProfiNET of Siemens-switches vertaalt u die onderdelen naar alternatieven zoals MRP of RSTP.

Wat is het verschil tussen CPwE en het Purdue-model?

Het Purdue-model is een conceptueel referentiemodel met niveaus van 0 tot 5 voor besturing en bedrijfssystemen. CPwE gebruikt die niveaus en voegt er een concreet netwerkontwerp aan toe, met VLAN’s, switches, redundantieprotocollen, firewalls en de IDMZ op niveau 3,5. Purdue zegt wat waar hoort, CPwE beschrijft hoe u het netwerk daarvoor bouwt.

Welke hersteltijd haalt een CPwE-netwerk?

De hersteltijd van een CPwE-netwerk hangt af van het gekozen redundantieprotocol. Volgens de ontwerpgidsen van Cisco en Rockwell herstelt een REP-switchring in 50 tot 150 ms, een DLR-ring op apparaatniveau in 1 tot 3 ms, en verliest PRP geen enkel frame omdat elk bericht over twee netwerken tegelijk gaat. Met RSTP of MSTP duurt herstel volgens dezelfde gidsen meer dan 250 ms.

Helpt CPwE bij NIS2 en de Cyberbeveiligingswet?

CPwE helpt bij NIS2 en de Cyberbeveiligingswet doordat het concrete maatregelen beschrijft voor segmentatie, toegangsbeheer, logging en beveiligde remote access. CPwE zorgt echter niet zelf voor compliance. Risicobeheer, meldprocedures en bestuurlijke verantwoordelijkheid moet u apart organiseren.

📌 Samengevat

Converged Plantwide Ethernet is de gevalideerde referentiearchitectuur van Rockwell Automation en Cisco voor een gesegmenteerd, redundant en veilig fabrieksnetwerk met een IDMZ als enige gecontroleerde brug tussen IT en OT.

CPwE verdeelt de fabriek in Cell/Area Zones, Site Operations, een IDMZ en de Enterprise Zone, koppelt de keuze voor redundantie aan de hersteltijd die het proces verdraagt en beveiligt het geheel met defense in depth volgens IEC 62443 en NIST SP 800-82. Het is geen norm, maar wel een veelgebruikte blauwdruk voor OT-convergentie en Industrie 4.0 in de maakindustrie.