IEC 62443

Wat is IEC 62443?

IEC 62443 is de internationale normenreeks voor de cybersecurity van industriële automatiserings- en besturingssystemen (IACS), met eisen voor asset owners, serviceproviders en productleveranciers over de hele levenscyclus van een installatie. De reeks richt zich op omgevingen waar Operational Technology (OT) de fysieke wereld aanstuurt, zoals fabrieken, energiecentrales, waterzuivering en andere kritieke infrastructuur. Waar ISO 27001 een managementsysteem voor informatiebeveiliging beschrijft, gaat IEC 62443 ook over de technische eigenschappen van systemen en componenten zoals PLC’s, RTU’s en HMI’s.

De norm wordt gezamenlijk ontwikkeld door de ISA (International Society of Automation) en de IEC (International Electrotechnical Commission). Daarom spreekt men vaak van ISA/IEC 62443; de oudere naam is ISA-99.

🕰️ Hoe is IEC 62443 ontstaan uit ISA-99?

De ISA richtte in 2002 de commissie ISA99 op om industriële besturingssystemen te beschermen tegen cyberaanvallen. Het eerste resultaat was ANSI/ISA-99.00.01-2007, goedgekeurd in oktober 2007, over terminologie, concepten en modellen.

Rond 2010 werd de nummering aangepast naar ANSI/ISA-62443, zodat die aansluit op de IEC-nummering. Sindsdien werken ISA99 en IEC TC65 WG10 samen aan dezelfde teksten: ISA publiceert ze in de VS, de IEC internationaal, met identieke technische inhoud. In november 2021 wees de IEC de reeks aan als horizontale norm: een basisnorm die voor alle sectoren geldt, niet alleen voor de procesindustrie. In Europa is een groot deel overgenomen als EN IEC 62443, in Nederland verkrijgbaar via NEN.

📚 Uit welke delen bestaat IEC 62443?

De reeks is verdeeld in vier groepen. Elk deel is een internationale norm (IS), een technische specificatie (TS) of een technisch rapport (TR).

Groep 1 legt de basis, groep 2 gaat over beleid en processen, groep 3 over het systeem en groep 4 over afzonderlijke producten.

🧱 Voor wie is IEC 62443 bedoeld?

IEC 62443 verdeelt de verantwoordelijkheid over drie rollen. Dat is een belangrijk verschil met normen die alleen naar de gebruiker kijken.

• Asset owner — de eigenaar en exploitant van de installatie, zoals een fabriek, waterschap of netbeheerder. Deze partij is eindverantwoordelijk, voert de risicobeoordeling uit en richt een securityprogramma in volgens 2-1.
• Serviceprovider — de integrator die het systeem ontwerpt en bouwt, en de partij die het onderhoudt. Eisen staan in 2-4, bijvoorbeeld voor toegang op afstand, back-up en patchen.
• Productleverancier — de fabrikant van componenten en systemen zoals PLC’s, DCS’en en SCADA-software. Deze partij volgt 4-1 voor het ontwikkelproces en 4-2 of 3-3 voor de technische eigenschappen.

Interne beheerders en IT/OT-teams vallen formeel onder de asset owner. Zij voeren het securityprogramma in de praktijk uit.

🧠 Wat zijn de kernconcepten van IEC 62443?

Zones en conduits

Een zone is een groep assets met dezelfde securityeisen; een conduit is de gecontroleerde verbinding tussen zones. Het zone-en-conduitmodel vormt de basis voor segmentatie en sluit aan op het Purdue Model. Elke zone en elk conduit krijgt een eigen beveiligingsdoel.

Security levels

Een security level (SL) drukt uit tegen welk type aanvaller een zone of component bestand is:

De norm gebruikt drie varianten: SL-T (target, het doel uit de risicobeoordeling), SL-C (capability, wat een product kan) en SL-A (achieved, wat in de praktijk is bereikt). Het doel is dat SL-A minstens gelijk is aan SL-T.

Zeven fundamentele eisen

Alle technische eisen zijn gegroepeerd in zeven foundational requirements: identificatie en authenticatie (FR 1), gebruikscontrole (FR 2), systeemintegriteit (FR 3), vertrouwelijkheid van data (FR 4), beperkte datastromen (FR 5), tijdige reactie op gebeurtenissen (FR 6) en beschikbaarheid van middelen (FR 7). Deel 3-3 werkt die uit in 51 systeemeisen met aanvullende eisen per security level.

Maturity levels

Voor processen gebruikt de reeks vier volwassenheidsniveaus: 1 Initial (ad hoc), 2 Managed (volgens vastgelegde richtlijnen), 3 Defined (herhaalbaar in de hele organisatie) en 4 Improving (gestuurd op metingen). Security levels gaan dus over techniek, maturity levels over processen.

Daaromheen staan principes als Defense in Depth, meerdere beveiligingslagen achter elkaar, en Security by Design, security vanaf het ontwerp meenemen.

🔄 Hoe verhoudt IEC 62443 zich tot NIS2, CRA en de Machineverordening?

IEC 62443 is zelf geen wet. De norm wordt wel steeds vaker de technische vertaling van wettelijke eisen, en asset owners nemen haar op in inkoopvoorwaarden als onderdeel van leveranciersbeveiliging en compliance.

🏅 Hoe kunt u IEC 62443-conformiteit laten certificeren?

• ISASecure — het programma van het ISA Security Compliance Institute (ISCI), opgericht in 2007 en sinds 2010 actief met certificering. Het kent onder meer SDLA (ontwikkelproces, 4-1), CSA (componenten, 4-2), SSA (systemen, 3-3), ICSA (IIoT-componenten) en ACSSA (het OT-securityprogramma van een asset owner).
• IECEE — het conformiteitssysteem van de IEC zelf. Via het Industrial Cyber Security Programme certificeren aangesloten certificatie-instellingen en testlaboratoria tegen onder meer 2-4, 4-1 en 4-2.

Een certificaat geldt voor een product, proces of organisatie, nooit automatisch voor uw hele installatie. Het uiteindelijke niveau (SL-A) hangt af van hoe u componenten inzet en configureert.

🧭 Hoe past u IEC 62443 stap voor stap toe als asset owner?

1. Inventariseer — breng alle OT-assets, verbindingen en leveranciers in kaart.
2. Beoordeel het risico — doe een risicobeoordeling volgens 3-2 en bepaal de gevolgen voor veiligheid, milieu en productie.
3. Deel in zones en conduits in — groepeer assets en leg per zone en conduit een SL-T vast. Deel 3-2 vraagt om veiligheidsgerelateerde assets, zoals een veiligheidssysteem volgens IEC 61511, in een eigen zone onder te brengen.
4. Vergelijk met 3-3 — toets per zone welke systeemeisen ontbreken en kies maatregelen zoals netwerksegmentatie, minimale rechten en logging.
5. Stel eisen aan leveranciers — vraag om 2-4 voor integrators en 4-1/4-2 of ISASecure-certificaten voor producten.
6. Richt het securityprogramma in — leg beleid, rollen, patchmanagement en incidentrespons vast volgens 2-1.
7. Meet en verbeter — controleer periodiek of SL-A nog voldoet en herhaal de risicobeoordeling bij wijzigingen.

In de praktijk is SL 2 een veelgekozen basis voor productiezones, met SL 3 voor kritieke of veiligheidsgerelateerde zones. Dat is geen voorschrift van de norm; het SL-T volgt altijd uit uw eigen risicobeoordeling.

❓ Veelgestelde vragen

Is IEC 62443 verplicht?

IEC 62443 is als norm niet wettelijk verplicht. Wetten zoals NIS2, de Cyberbeveiligingswet, de Cyber Resilience Act en de Machineverordening vragen wel om passende cybersecuritymaatregelen, en IEC 62443 is de meest gebruikte manier om dat voor OT aan te tonen. Daarnaast eisen steeds meer opdrachtgevers IEC 62443 contractueel.

Wat is het verschil tussen ISA-99 en IEC 62443?

ISA-99 is de oorspronkelijke naam van de normenreeks die de ISA99-commissie sinds 2002 ontwikkelde. Rond 2010 is de nummering veranderd in ISA-62443, zodat de reeks gelijkloopt met IEC 62443. Inhoudelijk gaat het om dezelfde normen, die ISA en IEC samen beheren.

Wat is het verschil tussen IEC 62443 en ISO 27001?

ISO 27001 beschrijft een managementsysteem voor informatiebeveiliging in elke organisatie, waarbij vertrouwelijkheid van informatie traditioneel zwaar weegt. IEC 62443 richt zich specifiek op industriële automatiseringssystemen, waar beschikbaarheid en veiligheid voorop staan, en bevat ook technische eisen voor systemen en componenten. Veel organisaties combineren beide.

Welk security level heeft mijn installatie nodig?

Het benodigde security level (SL-T) volgt uit een risicobeoordeling volgens IEC 62443-3-2 en wordt per zone en conduit bepaald, niet voor de hele installatie. Een zone met een veiligheidssysteem krijgt vaak een hoger niveau dan een kantoorachtige monitoringzone. SL 2 en SL 3 zijn in de industrie de meest gekozen doelen.

Met welk deel van IEC 62443 moet ik beginnen?

Als asset owner begint u meestal met IEC 62443-3-2 voor de risicobeoordeling en zone-indeling, en met 2-1 voor het securityprogramma. Een integrator begint met IEC 62443-2-4, een productleverancier met 4-1 en 4-2. Deel 1-1 is handig om de begrippen te leren kennen.

Kan een product IEC 62443-gecertificeerd zijn?

Een product kan worden gecertificeerd tegen IEC 62443-4-2 (componenten) of 3-3 (systemen), bijvoorbeeld via ISASecure CSA of SSA of via het IECEE-schema. Het certificaat noemt het security level dat het product kan halen (SL-C). Of uw installatie dat niveau ook bereikt, hangt af van de inrichting en het beheer.

📌 Samengevat

IEC 62443 is de internationale standaard voor OT-security: één samenhangende reeks die asset owners, serviceproviders en productleveranciers elk hun eigen eisen geeft. Met zones en conduits, security levels SL 1–4, zeven fundamentele eisen en vier maturity levels vertaalt de reeks risico’s naar concrete maatregelen. Sinds de ISA-99-tijd uitgegroeid tot horizontale IEC-norm, is IEC 62443 nu de technische basis waarmee organisaties en fabrikanten invulling geven aan NIS2, de Cyber Resilience Act en de Machineverordening.