Wat is IEC 60870-5-104?
IEC 60870-5-104 (kortweg IEC 104) is een internationale telecontrolnorm die beschrijft hoe een SCADA-systeem in een meldkamer via TCP/IP meetwaarden, meldingen en bedieningscommando’s uitwisselt met RTU’s en stationsautomatisering in onder meer elektriciteitsnetten. De norm neemt de applicatielaag over van de seriële variant IEC 60870-5-101 en legt die over een standaard netwerkverbinding. Daardoor is IEC 104 in Europa, en ook in Nederland, het gangbare protocol tussen netbeheerders en hun onderstations, een kernonderdeel van de vitale infrastructuur. Het protocol kent standaard geen authenticatie of versleuteling, wat security tot een expliciete ontwerptaak maakt.
🧠 Waar komt IEC 104 vandaan?
IEC 104 hoort bij de reeks IEC 60870-5 van technisch comité TC 57 van de IEC, het comité voor communicatie in de energiesector. De reeks bestaat uit basisdelen (frameformaten, datastructuur, applicatiefuncties) en vier zogeheten companion standards:
| Deel | Onderwerp | Transport |
|---|---|---|
| IEC 60870-5-101 | Basis-telecontrol tussen meldkamer en station | Serieel (FT1.2-frames) |
| IEC 60870-5-102 | Overdracht van tellerstanden (energiemeting) | Serieel |
| IEC 60870-5-103 | Koppeling met beveiligingsrelais | Serieel |
| IEC 60870-5-104 | Netwerktoegang voor IEC 101 via standaard transportprofielen | TCP/IP over Ethernet en WAN |
De eerste editie van IEC 104 verscheen in 2000. Editie 2 volgde op 13 juni 2006 en kreeg in 2016 een amendement; de huidige geconsolideerde versie heet IEC 60870-5-104:2006+AMD1:2016. Conformiteitstesten staan in IEC TS 60870-5-604. In Noord-Amerika werd vanuit dezelfde basisdelen DNP3 ontwikkeld, dat daar dezelfde rol vervult.
🔧 Hoe werkt IEC 104 technisch?
Een IEC 104-verbinding loopt tussen een controlling station (de SCADA-server of gateway
in de meldkamer, TCP-client) en een controlled station (de RTU of stationscomputer,
TCP-server op poort 2404). Elk bericht is een APDU die begint met startbyte 0x68, gevolgd door een lengtebyte en vier controlbytes; samen vormen die zes bytes de APCI. De
maximale APDU-lengte is 253 bytes, waarvan maximaal 249 voor de eigenlijke data (de ASDU).
Er zijn drie frametypen:
- I-frames (information) - dragen de ASDU met meetwaarden of commando’s, met zend- en ontvangstvolgnummers
- S-frames (supervisory) - bevestigen ontvangen I-frames zonder eigen data
- U-frames (unnumbered) - besturen de verbinding: STARTDT en STOPDT starten of stoppen de dataoverdracht, TESTFR controleert of de verbinding nog leeft
Binnen de ASDU staan het type (Type Identification), de reden van verzending (Cause of Transmission), het stationsadres (Common Address) en per datapunt een Information Object Address. In IEC 104 hebben die velden een vaste lengte van 2, 2 en 3 octets; in IEC 101 zijn ze configureerbaar.
Welke datatypen komen het meest voor?
| Type ID | Naam | Betekenis |
|---|---|---|
| 1 | M_SP_NA_1 | Enkelvoudige melding (aan/uit) |
| 3 | M_DP_NA_1 | Dubbelmelding, bijvoorbeeld stand van een vermogensschakelaar |
| 13 | M_ME_NC_1 | Meetwaarde als kommagetal (short float) |
| 30 | M_SP_TB_1 | Enkelvoudige melding met tijdstempel CP56Time2a |
| 45 / 46 | C_SC_NA_1 / C_DC_NA_1 | Enkel- en dubbelcommando, bijvoorbeeld schakelaar open of dicht |
| 50 | C_SE_NC_1 | Setpoint als kommagetal |
| 100 | C_IC_NA_1 | Generale ondervraging (alle actuele waarden opvragen) |
| 103 | C_CS_NA_1 | Kloksynchronisatie |
Voor real-time bewaking gaan meldingen meestal spontaan (Cause of Transmission 3) naar de meldkamer zodra er iets verandert. Na het opbouwen van een verbinding vraagt de meldkamer met een generale ondervraging het volledige beeld op. Schakelcommando’s gebruiken vaak select-before-operate: eerst selecteren, dan pas uitvoeren, zodat een verminkt bericht niet direct tot een schakelhandeling leidt. Tijdstempels van zeven bytes (CP56Time2a) geven millisecondenresolutie; daarvoor moet de klok van de RTU wel betrouwbaar gesynchroniseerd zijn, bijvoorbeeld met NTP of GPS.
⏱️ Welke parameters en typische waarden gelden?
IEC 104 regelt flow control en foutdetectie met een klein aantal parameters. De standaardwaarden uit de norm zijn:
| Parameter | Standaardwaarde | Functie |
|---|---|---|
| t0 | 30 s | Time-out voor het opbouwen van de TCP-verbinding |
| t1 | 15 s | Maximale wachttijd op bevestiging van een verzonden I- of testframe |
| t2 | 10 s | Uiterlijke tijd waarna de ontvanger met een S-frame bevestigt |
| t3 | 20 s | Bij stilte een TESTFR sturen om de verbinding te controleren |
| k | 12 | Maximaal aantal onbevestigde I-frames voordat de zender stopt |
| w | 8 | Na uiterlijk zoveel ontvangen I-frames volgt een bevestiging |
Verloopt t1 zonder bevestiging, dan sluit het station de verbinding en bouwt het die opnieuw op. Bij satellietverbindingen of trage mobiele netwerken worden deze time-outs vaak verruimd. Editie 2 beschrijft daarnaast redundante verbindingen: een station kan meerdere TCP-verbindingen open hebben, waarvan er per redundantiegroep één actief is. Dat sluit aan bij redundante meldkamers en dubbele WAN-routes.
🏭 Waar wordt IEC 104 gebruikt?
- Transport- en distributienetten - telecontrol tussen de meldkamer van een netbeheerder en hoog- en middenspanningsstations
- Onderstations met IEC 61850 - binnen het station praten IED’s via IEC 61850, terwijl een gateway of RTU de data via IEC 104 doorgeeft aan het regionale of landelijke controlecentrum
- Opwek en opslag - windparken, zonneparken, waterkrachtcentrales en batterijopslag die meetwaarden en setpoints met de netbeheerder uitwisselen, bijvoorbeeld voor energiebeheer en het balanceren van vraag en aanbod
- Andere nutsvoorzieningen - gas-, warmte- en waternetten waar dezelfde SCADA-pakketten worden ingezet
Hoe verhoudt IEC 104 zich tot DNP3, IEC 61850 en Modbus?
| Kenmerk | IEC 104 | DNP3 | IEC 61850 | Modbus TCP |
|---|---|---|---|---|
| Typisch gebied | Europa, Azië, Midden-Oosten | Noord-Amerika, Australië | Binnen onderstations, wereldwijd | Industrie, kleinere installaties |
| Rol | Meldkamer ↔ station | Meldkamer ↔ station | Station- en procesbus | Besturing ↔ apparaat |
| Gebeurtenisgedreven | Ja, spontane meldingen | Ja, event buffers | Ja, rapporten en GOOSE | Nee, alleen polling |
| Tijdstempels | Ja, 7 bytes | Ja | Ja | Nee |
| Beveiliging in de norm | Via IEC 62351 | Secure Authentication, TLS | Via IEC 62351 | Modbus/TCP Security (TLS) |
🔐 Hoe beveiligt u IEC 104?
IEC 104 is ontworpen voor gesloten netwerken. Elk systeem dat een geldig I-frame naar poort 2404 kan sturen, kan in principe een schakelcommando geven. Dat dit geen theorie is, bewees Sandworm: de Industroyer-malware zette in december 2016 een deel van Kyiv zonder stroom met modules voor IEC 101, IEC 104, IEC 61850 en OPC DA. De opvolger Industroyer2 sprak uitsluitend IEC 104 en was gepland voor 8 april 2022 tegen hoogspanningsstations van een Oekraïense energieleverancier; die aanval werd verijdeld.
Belangrijke maatregelen:
- Netwerksegmentatie - plaats RTU’s en gateways in eigen zones volgens het Zone and Conduits-model uit IEC 62443 en maak ze nooit vanaf internet bereikbaar (zie Internetblootstelling van OT)
- Firewalls met protocolfiltering - sta alleen bekende IP-adressen toe en filter met een industriële firewall of DPI op Type ID, zodat alleen de meldkamer commando’s mag sturen
- Versleutelde transportlagen - gebruik TLS volgens IEC 62351-3 of een VPN-tunnel over WAN-verbindingen; voor beveiligd IEC 104 is bij IANA TCP-poort 19998 geregistreerd, die onder meer de open-source bibliotheek lib60870 standaard gebruikt
- Authenticatie op applicatieniveau - IEC 62351-5 en IEC TS 60870-5-7 voegen berichtauthenticatie toe, al ondersteunt lang niet alle bestaande apparatuur dat
- Netwerkmonitoring - passieve OT-IDS’en herkennen ongebruikelijke commando’s, nieuwe stations of afwijkende generale ondervragingen en sturen meldingen naar de SIEM
- Sleutel- en certificaatbeheer - TLS vraagt om goed certificaatbeheer over de hele levensduur van een station
Netbeheerders en grote energieproducenten vallen onder NIS2 en de Nederlandse Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is. Veel organisaties gebruiken daarnaast ISO 27001 als managementsysteem. Een onbeveiligde IEC 104-koppeling met een extern park of een onderhoudspartij is dan een risico dat u aantoonbaar moet beheersen.
🧭 Hoe pakt u een IEC 104-koppeling stap voor stap aan?
- Maak een signalenlijst - leg per datapunt het Information Object Address, het Type ID, de eenheid en de richting vast. Dit document is de basis van elke koppeling.
- Stem het interoperabiliteitsprofiel af - de norm bevat een interoperabiliteitslijst waarin beide partijen aankruisen welke typen, functies en parameters zij ondersteunen.
- Stel tijd en time-outs in - kies de klokbron, controleer t0–t3, k en w, en test het gedrag bij uitval van de WAN-verbinding.
- Ontwerp de beveiliging - bepaal zones en conduits, firewallregels, TLS of VPN en de rechten per station, bijvoorbeeld via een risicoanalyse volgens IEC 62443-3-2.
- Test met tooling - analyseer verkeer met Wireshark, dat een ingebouwde IEC 104-dissector heeft, en voer een factory en site acceptance test uit met de echte signalenlijst.
- Bewaak in bedrijf - monitor verbindingsonderbrekingen, ongewenste commando’s en nieuwe verbindingen continu.
❓ Veelgestelde vragen
Welke poort gebruikt IEC 60870-5-104?
IEC 60870-5-104 gebruikt standaard TCP-poort 2404, waarbij het gecontroleerde station (de RTU) als server luistert. Voor varianten met TLS volgens IEC 62351-3 is bij IANA de aparte poort 19998 geregistreerd. Firewalls moeten poort 2404 alleen openzetten voor bekende meldkamersystemen.
Wat is het verschil tussen IEC 101 en IEC 104?
IEC 101 is de seriële versie van het telecontrolprotocol en gebruikt FT1.2-frames over bijvoorbeeld RS-232 of modems. IEC 104 gebruikt dezelfde applicatiefuncties en datatypen, maar transporteert ze via TCP/IP met vaste veldlengtes. Een gateway kan de twee daardoor relatief eenvoudig omzetten.
Is IEC 104 versleuteld?
IEC 104 is van zichzelf niet versleuteld en controleert niet wie een commando stuurt. Versleuteling en authenticatie komen uit IEC 62351-3 (TLS) en IEC 62351-5 of IEC TS 60870-5-7 (authenticatie op applicatieniveau). Waar apparatuur dat niet ondersteunt, beschermt u IEC 104 met segmentatie, VPN-tunnels en protocolfiltering.
Wordt IEC 104 nog gebruikt naast IEC 61850?
IEC 104 blijft breed in gebruik voor de verbinding tussen meldkamer en onderstation, ook waar het station intern met IEC 61850 werkt. Een gateway vertaalt de IEC 61850-data dan naar IEC 104. Vervanging gaat langzaam, omdat netbeheerders duizenden bestaande stations en signalenlijsten hebben.
Wat is een generale ondervraging in IEC 104?
Een generale ondervraging (Type ID 100, C_IC_NA_1) is het commando waarmee de meldkamer alle actuele meldingen en meetwaarden van een station opvraagt. Dat gebeurt na het opbouwen van een verbinding en vaak periodiek. Daarna komen alleen nog wijzigingen spontaan binnen.
Waarom is IEC 104 interessant voor aanvallers?
IEC 104 stuurt schakelcommando’s naar onderstations zonder ingebouwde authenticatie, dus wie netwerktoegang heeft, kan stroomvoorziening beïnvloeden. De Industroyer-malware van 2016 en Industroyer2 van 2022 maakten precies daar gebruik van. Daarom zijn segmentatie en monitoring van IEC 104-verkeer kernmaatregelen voor netbeheerders.
📌 Samengevat
IEC 60870-5-104 is de Europese standaard voor telecontrol tussen meldkamer en onderstation, die de functies van IEC 101 via TCP-poort 2404 over IP-netwerken transporteert. Het protocol is efficiënt, gebeurtenisgedreven en breed ondersteund, maar kent zonder IEC 62351 geen authenticatie of versleuteling. Segmentatie volgens IEC 62443, protocolfiltering, versleutelde tunnels en monitoring zijn daarom onmisbaar in elke moderne OT-omgeving.