Wat is een hoofdpost?
Een hoofdpost is de centrale SCADA-omgeving binnen een telemetrienetwerk die meetwaarden, statussen en alarmen van verspreide onderstations ontvangt, vastlegt en zichtbaar maakt, en van waaruit operators die installaties op afstand bewaken en bedienen. De term is vooral gangbaar in de Nederlandse water- en energiesector: een waterschap bewaakt vanuit één hoofdpost honderden gemalen, stuwen en rioolwaterzuiveringen, elk voorzien van een RTU of PLC als onderstation. Internationaal heet hetzelfde concept een master station of control centre. Omdat één hoofdpost veel assets tegelijk aanstuurt, is hij bepalend voor beschikbaarheid, cybersecurity, safety en operationele continuïteit.
🧠 Wat doet een hoofdpost?
De hoofdpost is het operationele knooppunt tussen de veldlocaties en de organisatie die ze beheert. Gegevens komen binnen via Ethernet, glasvezel, VPN-tunnels over mobiele netwerken, radio of nog altijd seriële verbindingen. De kerntaken:
- Data-acquisitie - meetwaarden, statussen, storingen en tellerstanden ophalen of ontvangen van alle onderstations
- Visualisatie - procesbeelden, overzichtskaarten en trends voor de operator via de HMI
- Alarmverwerking - alarmen prioriteren, buiten kantooruren doorzetten naar de storingsdienst en vastleggen volgens alarmmanagement
- Bediening op afstand - setpoints wijzigen, pompen starten of schuiven sturen; het onderstation voert het commando lokaal uit
- Historisering - tijdreeksen opslaan in een historian voor rapportage, analyse en verantwoording
- Integratie - data doorgeven aan MES, ERP, assetmanagement en hydrologische modellen
- Registratie - centrale logging en een audittrail van operatorhandelingen
Hoofdposten vindt u bij waterschappen en drinkwaterbedrijven, netbeheerders, tunnel- en brugbediening, spoor- en wegbeheer, pijpleidingen en grote gebouwcomplexen.
🔧 Uit welke onderdelen bestaat een hoofdpost?
Een hoofdpost is geen enkel apparaat maar een samenhangende architectuur binnen een gesegmenteerd OT-netwerk.
| Component | Functie |
|---|---|
| SCADA-server (front-end) | Communiceert met onderstations, verwerkt procesdata en alarmen |
| HMI / operatorstation | Bediening en visualisatie in de bedieningsruimte |
| Historian | Langetermijnopslag van tijdreeksen |
| Alarmserver en doormelding | Prioritering en doorzetten naar de storingsdienst |
| Engineering Station | Configuratie van SCADA en onderstations |
| Industrial Firewall en DMZ | Scheiding tussen IT en OT |
| Switch, Router en communicatieservers | Verbindingen naar het veld via vaste lijnen, 4G/5G of radio |
| Remote Access-voorziening | Gecontroleerde toegang voor leveranciers en piketdiensten |
| Tijdbron (NTP of GPS) | Eén klok voor de tijdstempels van alle gebeurtenissen |
🌐 Hoe communiceert de hoofdpost met onderstations?
De hoofdpost spreekt met het veld via telecontrolprotocollen die zijn ontworpen voor trage of onderbroken WAN-verbindingen. Klassiek vraagt de hoofdpost elk onderstation om de beurt om zijn waarden (polling); moderne protocollen laten het onderstation wijzigingen zelf melden (report by exception). Na het opbouwen van een verbinding volgt meestal een volledige ondervraging, daarna komen vooral wijzigingen binnen.
| Protocol | Typische toepassing | Kenmerk voor de hoofdpost |
|---|---|---|
| IEC 60870-5-104 | Europese energie- en utilitysector | TCP-poort 2404, spontane meldingen, select-before-operate |
| DNP3 | Water en energie, vooral Noord-Amerika | IEEE 1815, poort 20000, gebufferde events met tijdstempel |
| Modbus TCP | Eenvoudige onderstations en industrie | Alleen polling, geen tijdstempels |
| MQTT | IIoT en cloudkoppelingen | Publish/subscribe via een broker |
| OPC UA | Koppeling met andere systemen | Platformonafhankelijk, met ingebouwde beveiliging |
| IEC 61850 | Binnen elektriciteitsonderstations | Stationbus; richting meldkamer meestal via IEC 104 |
Daarnaast bewaakt de hoofdpost vaak de eigen netwerkcomponenten met SNMP. Bij IEC 104 gelden standaard time-outs zoals t1 = 15 seconden en t3 = 20 seconden en een venster van k = 12 onbevestigde berichten; integrators passen die waarden aan voor trage mobiele verbindingen. Klopt de tijdsynchronisatie van de onderstations niet, dan lopen de tijdstempels van gebeurtenissen uiteen en wordt een storingsanalyse achteraf onbetrouwbaar.
🔄 Wat is het verschil tussen hoofdpost, subpost en onderstation?
Grote organisaties werken vaak met meerdere lagen. Het onderstation (ook buitenpost of outstation) staat bij de installatie zelf, een subpost bundelt soms een regio en de hoofdpost biedt het centrale overzicht.
| Eigenschap | Hoofdpost | Subpost | Onderstation |
|---|---|---|---|
| Locatie | Centrale bedieningsruimte of datacenter | Regionaal kantoor of rayon | Bij gemaal, stuw of station |
| Overzicht | Hele beheergebied | Deel van het gebied | Eén object |
| Historische opslag | Volledig | Beperkt | Buffer van events |
| Lokale regeling | Nee, alleen supervisory | Soms | Ja, zelfstandig |
| Redundantie | Hoog | Variabel | Meestal enkelvoudig |
| Koppeling met IT-systemen | Ja | Beperkt | Nee |
Een belangrijk ontwerpprincipe: het onderstation moet zelfstandig en veilig doordraaien als de verbinding met de hoofdpost wegvalt. De hoofdpost stuurt bij, maar regelt niet in realtime.
🏗️ Waar staat de hoofdpost in het Purdue Model?
In het Purdue Model valt de SCADA-functie van de hoofdpost op niveau 2 (supervisory control). Historian, rapportage en operationeel beheer staan op niveau 3, en de koppeling met kantoorsystemen loopt via een DMZ.
| Purdue-niveau | Rol rond de hoofdpost |
|---|---|
| Niveau 0 | Sensoren en actuatoren bij het object |
| Niveau 1 | Onderstation: RTU of PLC met lokale besturing |
| Niveau 2 | SCADA-server en operatorstations van de hoofdpost |
| Niveau 3 | Historian, rapportage, engineering en patchbeheer |
| Niveau 3.5 | DMZ tussen OT en IT |
| Niveau 4 | Kantoorautomatisering en ERP |
Bijzonder aan telemetrie is dat niveau 1 kilometers verderop staat. De WAN-verbinding naar de onderstations is een conduit in de zin van het zones-en-conduitsmodel van IEC 62443 en verdient eigen bescherming.
⚡ Hoe maakt u een hoofdpost redundant?
Valt de hoofdpost uit, dan verdwijnt in één klap het zicht op het hele beheergebied. Redundantie en hoge beschikbaarheid zijn daarom standaardeisen:
- Redundante SCADA-servers in hot standby, waarbij de stand-byserver de actuele procestoestand al kent
- Dubbele netwerkpaden en, waar mogelijk, twee verschillende dragers naar kritieke onderstations (bijvoorbeeld glasvezel plus 4G)
- Tweede bedieningslocatie op een andere geografische plek, voor calamiteiten zoals brand of hoogwater
- Noodstroom met UPS en aggregaat voor bedieningsruimte en communicatie
- Virtualisatie van servers, met replicatie van historian-data
- Buffering in onderstations, zodat events met tijdstempel na herstel van de verbinding alsnog binnenkomen
De eisen worden vastgelegd in plannen voor bedrijfscontinuïteit en disaster recovery, met een afgesproken RTO en RPO per functie.
🔐 Hoe beveiligt u een hoofdpost?
Een gecompromitteerde hoofdpost raakt alle aangesloten installaties tegelijk, wat hem tot een aantrekkelijk doelwit binnen ICS-omgevingen maakt. Typische risico’s zijn ransomware die zich lateraal vanuit IT verspreidt, misbruik van leverancierstoegang, gestolen operatoraccounts, manipulatie van commando’s en uitval van telemetrieverbindingen. IEC 104 en Modbus kennen van zichzelf geen authenticatie of versleuteling.
| Maatregel | Doel |
|---|---|
| Netwerksegmentatie met industriële firewalls | Hoofdpost, onderstations en kantoornetwerk scheiden |
| VPN of TLS (IEC 62351-3) op WAN-verbindingen | Telemetrieverkeer versleutelen en authenticeren |
| MFA en een jump server | Veilige toegang op afstand |
| IDS / IPS en netwerkmonitoring die IEC 104 en DNP3 begrijpt | Afwijkende commando’s detecteren |
| Logging naar een SIEM | Centrale detectie en forensisch onderzoek |
| Application Whitelisting | Alleen toegestane software op servers en operatorstations |
| Offline back-ups en geteste recovery | Snel herstel na een incident |
Steeds vaker wordt toegang ingericht volgens Zero Trust-principes: elke sessie wordt expliciet gecontroleerd, ook binnen het OT-netwerk.
Een compromis van de hoofdpost kan directe impact hebben op meerdere remote installaties tegelijk.
🏭 Hoe ziet een hoofdpost eruit in de Nederlandse praktijk?
Bij waterschappen is de hoofdpost het hart van het operationele waterbeheer. Objecten als gemalen, stuwen, vispassages en zuiveringen krijgen een onderstation dat lokaal meet, regelt en alarmeert en dat met de hoofdpost communiceert. Steeds vaker kiezen waterschappen voor één geïntegreerde hoofdpost voor gemalen, dijkbewaking en zuivering, die ook gegevens levert aan hoogwatervoorspellingen. Netbeheerders kennen een vergelijkbare opzet met een meldkamer die via IEC 104 met honderden onderstations communiceert.
Drie ontwikkelingen dwingen tot modernisering:
- Wegvallende verbindingen - analoge huurlijnen zijn uitgefaseerd (waterschap Hunze en Aa’s moest zo’n 130 onderstations vervangen omdat de provider de analoge lijnen na 2019 beëindigde), 3G is in Nederland uitgeschakeld en 2G volgt de komende jaren. Onderstations met oude modems verliezen daardoor hun verbinding.
- Regelgeving - sinds 15 augustus 2026 gelden de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit, de Nederlandse uitvoering van NIS2. Waterbeheerders en energiebedrijven hebben een zorgplicht en een meldplicht; voor waterschappen is CERT-WM het CSIRT, voor de meeste andere sectoren het NCSC. Zie ook OT-security in de watersector.
- Leveranciersondersteuning - oudere onderstationtypes en SCADA-versies krijgen geen updates meer, waardoor patchmanagement onmogelijk wordt.
Een praktisch stappenplan bij modernisering:
- Inventariseer alle onderstations, protocollen, verbindingen en firmwareversies in een assetinventaris.
- Deel de omgeving op in zones en conduits volgens IEC 62443 en kies per zone een security level.
- Kies per object een toekomstvaste drager (glasvezel, 4G/5G of LoRaWAN voor eenvoudige meetpunten) en versleutel het verkeer.
- Toets de alarmlast: volgens ISA-18.2 geldt gemiddeld hooguit één alarm per tien minuten per operator als zeer waarschijnlijk acceptabel, en meer dan tien alarmen in tien minuten als een alarmvloed.
- Test failover en herstel periodiek, inclusief het nasturen van gebufferde events.
📈 Welke ontwikkelingen spelen er?
Hoofdposten verschuiven van gesloten SCADA-centra naar data-gedreven platformen. Belangrijke trends zijn het Industrial Internet of Things en edge computing in onderstations, cloudgebaseerde monitoring voor niet-kritieke functies, Industrial AI voor voorspellingen, een digital twin van het watersysteem en verdere OT-convergentie. Tegelijk groeit de aandacht voor cyberweerbaarheid en ketenbeveiliging. Normen als ISO 27001, NIST SP 800-82 en IEC 62443-3-3 geven daarvoor het kader, en voor vitale infrastructuur ligt de lat het hoogst.
❓ Veelgestelde vragen
Is een hoofdpost hetzelfde als een SCADA-systeem?
Een hoofdpost is de centrale omgeving waarin het SCADA-systeem draait, inclusief bedieningsplekken, historian, netwerk en communicatie. SCADA is de software die de data verwerkt; de hoofdpost is het geheel waarin die software, de operators en de onderstations samenkomen.
Wat is een onderstation in telemetrie?
Een onderstation is de RTU of PLC bij een gemaal, stuw of station die meetwaarden verzamelt, lokaal regelt en met de hoofdpost communiceert. Het onderstation blijft zelfstandig werken als de verbinding met de hoofdpost wegvalt.
Welk protocol gebruikt een hoofdpost?
In de Europese energiesector gebruikt een hoofdpost meestal IEC 60870-5-104, in Noord-Amerika DNP3. Waterschappen gebruiken daarnaast Modbus, leveranciersspecifieke telemetrieprotocollen en steeds vaker MQTT of OPC UA.
Waarom is een hoofdpost een interessant doelwit voor aanvallers?
Via een hoofdpost kan een aanvaller veel installaties tegelijk bekijken en bedienen, terwijl klassieke telecontrolprotocollen geen authenticatie hebben. Segmentatie, versleutelde verbindingen, MFA voor externe toegang en monitoring van het telemetrieverkeer zijn daarom essentieel voor elke hoofdpost.
Wat gebeurt er als de hoofdpost uitvalt?
Als de hoofdpost uitvalt, regelen de onderstations lokaal door volgens hun eigen programma, maar vervallen het centrale overzicht en de bediening op afstand. Daarom heeft een hoofdpost redundante servers, een tweede bedieningslocatie en buffering van events in de onderstations.
Valt een hoofdpost onder de Cyberbeveiligingswet?
Een hoofdpost valt onder de Cyberbeveiligingswet wanneer de organisatie een essentiële of belangrijke entiteit is, zoals een waterschap, drinkwaterbedrijf of netbeheerder. De zorgplicht geldt dan ook voor de netwerk- en informatiesystemen van de hoofdpost, en significante incidenten moeten worden gemeld.
📌 Samengevat
Een hoofdpost is de centrale SCADA-omgeving waar meetwaarden, alarmen en commando’s van verspreide onderstations samenkomen. Hij draait op niveau 2 en 3 van het Purdue Model, communiceert via protocollen als IEC 60870-5-104 en DNP3, en vraagt om redundantie, segmentatie en versleutelde verbindingen. Wegvallende analoge en mobiele verbindingen en de Cyberbeveiligingswet maken modernisering voor waterschappen en netbeheerders urgent.
Een hoofdpost is het zenuwcentrum van een telemetrienetwerk: wie hem beschikbaar en veilig houdt, beschermt alle aangesloten installaties tegelijk.