Wat is IEC 62443-2-1?
IEC 62443-2-1 is het deel van de normenreeks IEC 62443 dat vastlegt aan welke eisen het securityprogramma van een asset owner moet voldoen: de beleidsregels en procedures waarmee de eigenaar en exploitant van een industrieel automatiserings- en besturingssysteem (IACS) dat systeem tijdens bedrijf beschermt. De huidige tweede editie verscheen op 7 augustus 2024 onder de titel Security program requirements for IACS asset owners en verving de eerste editie uit 2010. Waar IEC 62443-3-3 en IEC 62443-4-2 technische eisen aan systemen en componenten stellen, gaat 2-1 over de organisatie eromheen: wie doet wat, hoe wijzigingen verlopen, hoe u patcht, back-ups maakt en incidenten afhandelt.
IEC 62443-2-1 is daarmee het “managementdeel” van de reeks voor de eigenaar van SCADA-, PLC- en DCS-omgevingen: het beschrijft niet welke firewall u koopt, maar welke security-afspraken er rondom uw installatie moeten bestaan.
🧠 Wat regelt IEC 62443-2-1 precies?
De norm stelt eisen aan het security program (SP) van de asset owner, de organisatie die verantwoordelijk is voor de assets van het IACS. In de context van de norm valt ook de operator van het IACS onder het begrip asset owner, dus bijvoorbeeld een exploitatiebedrijf dat een installatie namens de eigenaar bedrijft. Een paar uitgangspunten uit de scope zijn voor de praktijk belangrijk:
- Gericht op systemen in bedrijf - 2-1 gaat over het veilig bedrijven van een bestaand IACS. Risicoanalyse en zone-indeling bij het ontwerp staan in IEC 62443-3-2, de eisen aan integrators en onderhoudspartijen in IEC 62443-2-4.
- Beleid en procedures, geen techniek - de norm eist niet dat elk systeem een bepaalde technische functie heeft, maar dat u beleid en procedures hebt voor onderwerpen als patchen, malwarebescherming en back-ups.
- Ruimte voor legacy systemen - een IACS gaat vaak meer dan twintig jaar mee. Wordt software niet meer ondersteund, dan kunt u niet patchen; de norm accepteert dan compenserende maatregelen, mits die in uw beleid zijn vastgelegd.
- Niet alles geldt overal - eisen over draadloze netwerken of externe toegang vervallen als uw installatie die functies niet heeft. U moet zelf vaststellen welke eisen op uw IACS van toepassing zijn.
- Implementatieonafhankelijk - u kiest zelf hoe u een eis invult: technisch, fysiek, procedureel of met een combinatie.
🔄 Wat is er veranderd tussen de editie van 2010 en die van 2024?
De eerste editie (2010) was gebaseerd op ANSI/ISA-99.02.01-2009 en sprak van een Cyber Security Management System (CSMS): een managementsysteem dat sterk leek op een ISMS. Organisaties die al ISO 27001 hadden, deden daardoor veel dubbel werk. De tweede editie is ontwikkeld door IEC TC 65 samen met de Amerikaanse ISA99-commissie; ISA bracht de identieke tekst in januari 2025 uit als ANSI/ISA-62443-2-1-2024.
| Aspect | Editie 1 (2010) | Editie 2 (2024) |
|---|---|---|
| Kernbegrip | Cyber Security Management System (CSMS) | Security program (SP) |
| Opbouw | Drie hoofdcategorieën: risicoanalyse, risico’s aanpakken, CSMS bewaken en verbeteren | Acht security program elements (SPE’s) met genummerde eisen |
| Relatie met ISMS | Veel overlap met ISO 27001 | Dubbele ISMS-eisen geschrapt; koppeling via eis ORG 1.1 |
| Beoordeling | Geen formeel niveau | Volwassenheidsmodel met maturity levels (ML) |
| Kruisverwijzingen | Beperkt | Bijlage A: tabellen naar 2-4, 3-3, 4-2, ISO/IEC 27001 en NIST CSF |
De Europese versie EN IEC 62443-2-1:2024 is ongewijzigd overgenomen en in Nederland via NEN verkrijgbaar. Tegenstrijdige nationale normen moeten uiterlijk 11 september 2027 zijn ingetrokken.
🧱 Welke acht security program elements kent de norm?
De kern van editie 2 zijn acht SPE’s. Elk element bevat genummerde eisen met een eigen code, zodat u ze één op één kunt toetsen.
| SPE | Element | Code | Voorbeelden van eisen |
|---|---|---|---|
| SPE 1 | Organisatorische maatregelen | ORG | ISMS, antecedentenonderzoek, rollen en verantwoordelijkheden, awareness-training, supply chain security, fysieke toegang |
| SPE 2 | Configuratiebeheer | CM | Asset-inventaris als baseline, netwerktekeningen, configuratie-instellingen, wijzigingsbeheer |
| SPE 3 | Netwerk- en communicatiebeveiliging | NET | Scheiding van niet-IACS-zones, scheiding van veiligheidssystemen, tijdsynchronisatie, draadloze netwerken, externe toegang |
| SPE 4 | Componentbeveiliging | COMP | Hardening, toegewijde verwisselbare media, malwarebescherming, patchmanagement |
| SPE 5 | Bescherming van data | DATA | Dataclassificatie, vertrouwelijkheid, cryptografie en sleutelbeheer, bewaartermijnen, integriteit |
| SPE 6 | Toegangsbeheer voor gebruikers | USER | Identiteiten toekennen en intrekken, least privilege, MFA, wachtwoorden, functiescheiding |
| SPE 7 | Event- en incidentmanagement | EVENT | Detectie, rapportage, logging, analyse, incidentafhandeling, kwetsbaarheden |
| SPE 8 | Systeemintegriteit en beschikbaarheid | AVAIL | Continuïteitsbeheer, beschikbaarheid van middelen, back-up en herstel |
Wat opvalt is hoe concreet de eisen zijn. SPE 3 vraagt bijvoorbeeld expliciet om netwerkscheiding tussen het besturingssysteem en het veiligheidssysteem, en SPE 5 kent een aparte eis voor de configuratiemodus van veiligheidssystemen. SPE 6 telt met negentien USER 1-eisen de meeste onderwerpen, van gedeelde wachtwoorden tot schermvergrendeling.
📊 Hoe werken maturity levels en profielen?
In plaats van alleen “voldaan” of “niet voldaan” beoordeelt editie 2 per eis hoe volwassen de invulling is. De reeks gebruikt daarvoor dezelfde vier niveaus als IEC 62443-2-4:
| Niveau | Naam | Wat het betekent |
|---|---|---|
| ML1 | Initial | De eis wordt ad hoc ingevuld, vaak afhankelijk van individuele kennis |
| ML2 | Managed | Er zijn vastgelegde procedures, maar die zijn nog niet aantoonbaar overal toegepast |
| ML3 | Defined (practiced) | De procedures worden herhaalbaar en aantoonbaar in de hele organisatie toegepast |
| ML4 | Improving | De organisatie meet de effectiviteit en verbetert de procedures structureel |
Maturity levels zijn iets anders dan security levels (SL 1 tot 4). Een security level zegt hoe sterk een zone of component technisch bestand is tegen een aanvaller; een maturity level zegt hoe goed het proces eromheen is ingericht. Daarnaast introduceert de norm profielen: selecties van eisen, bijvoorbeeld voor een bepaalde sector of type installatie. Daarmee hoeft een waterbedrijf niet per se dezelfde set te hanteren als een raffinaderij.
🔧 Hoe richt u een securityprogramma volgens IEC 62443-2-1 in?
Bijlage B van de norm beschrijft hoe u een securityprogramma opzet en onderhoudt. In de praktijk volgen de meeste asset owners deze stappen:
- Leg mandaat en rollen vast - wijs een eigenaar aan, bijvoorbeeld een CISO voor het geheel, een Information Security Officer voor beleid en een OSO voor de dagelijkse uitvoering in de fabriek. De norm schrijft geen functietitels voor, wel heldere rollen en verantwoordelijkheden.
- Breng uw installatie in kaart - maak een asset-inventaris van hardware, software en netwerkverbindingen, inclusief tekeningen van zones en conduits.
- Voer een risicoanalyse uit - gebruik een cybersecurity risk assessment volgens IEC 62443-3-2 en veranker de uitkomst in uw risicomanagement.
- Bepaal de toepasselijke eisen - loop de acht SPE’s door, markeer wat niet van toepassing is en documenteer compenserende maatregelen voor legacy systemen.
- Doe een nulmeting - scoor per eis het huidige maturity level en kies een doelniveau. Een pragmatische aanpak is eerst ML2 voor alle toepasselijke eisen na te streven en ML3 voor de meest kritieke.
- Schrijf beleid en procedures - sluit aan op uw bestaande beveiligingsbeleid en informatiebeveiligingsbeleid, bijvoorbeeld voor toegangsbeheer, patchen en back-ups.
- Stel eisen aan leveranciers - vertaal uw programma naar contracteisen op basis van 2-4 voor integrators en 4-2 voor componenten, en beheer zo uw supply chain-risico’s.
- Monitor, toets en verbeter - combineer security monitoring, periodieke audits en reviews van het programma (eis ORG 2.4) in een PDCA-cyclus.
Typische valkuil: een IT-procedure één op één overnemen. De norm wijst er zelf op dat in een IACS beschikbaarheid vaak zwaarder weegt dan vertrouwelijkheid. Een automatische herstart na een patch of een te strenge accountblokkade kan in een controlekamer gevaarlijker zijn dan het risico dat ermee wordt afgedekt.
🔐 Welke technische maatregelen horen bij het programma?
Hoewel 2-1 een procesnorm is, raakt het programma veel technische onderwerpen die u in deze kennisbank verder uitgewerkt vindt:
- Toegang - access control, user-based access control, RBAC en MFA, met een jump server als gecontroleerde route voor remote access.
- Netwerk - netwerksegmentatie volgens het zones-en-conduitsmodel, met scheiding tussen kantoornetwerk, procesnetwerk en veiligheidssystemen.
- Componenten - hardening, antivirus of application whitelisting, en een gevalideerd patchproces.
- Detectie en respons - logging, een SIEM, incidentmanagement en een getest incident response plan.
- Herstel - back-ups die het proces niet verstoren, regelmatig worden getest en op geschikte media worden bewaard, als onderdeel van bedrijfscontinuïteit.
🏭 Hoe past IEC 62443-2-1 bij andere normen en wetgeving?
| Kader | Relatie met IEC 62443-2-1 |
|---|---|
| IEC 62443-1-1 | Levert de begrippen en het IACS-model waar 2-1 normatief naar verwijst |
| IEC 62443-2-4 | Eisen aan serviceproviders; de asset owner gebruikt 2-4 om integrators te contracteren |
| IEC 62443-3-3 en IEC 62443-4-2 | Technische eisen aan systemen en componenten die de SPE’s ondersteunen |
| ISO 27001 | Overkoepelend ISMS; 2-1 vult dat aan met OT-specifieke eisen zonder dubbel werk |
| NIST CSF | Bijlage A koppelt de 2-1-eisen aan de functies van het framework |
| NIS2 en Cyberbeveiligingswet | Wettelijke zorgplicht; 2-1 is een gangbare manier om die voor OT aantoonbaar in te vullen |
In Nederland is de Cyberbeveiligingswet, de implementatie van NIS2, op 15 augustus 2026 in werking getreden. De wet schrijft IEC 62443 niet voor, maar verlangt passende en evenredige maatregelen, risicobeheer en meldprocessen. Een securityprogramma volgens 2-1 helpt u die compliance voor uw OT-omgeving aan te tonen. Sinds 2026 kunnen asset owners hun programma bovendien laten beoordelen via het ACSSA-schema van ISASecure, dat in juni 2025 werd aangekondigd en toetst aan 2-1 samen met 2-4, 3-2 en 3-3.
❓ Veelgestelde vragen
Is IEC 62443-2-1 verplicht?
IEC 62443-2-1 is een vrijwillige norm en geen wet. In de praktijk gebruiken toezichthouders, verzekeraars en opdrachtgevers de norm wel als maatstaf voor goede OT-security, zeker voor organisaties die onder NIS2 of de Cyberbeveiligingswet vallen.
Wat is het verschil tussen IEC 62443-2-1 en ISO 27001?
ISO 27001 is een managementsysteem voor informatiebeveiliging in de hele organisatie, terwijl IEC 62443-2-1 specifieke eisen stelt aan het securityprogramma voor industriële automatiseringssystemen. Sinds de editie van 2024 is IEC 62443-2-1 zo opgezet dat het naast een bestaand ISMS werkt zonder dubbele managementsysteemeisen.
Wat betekent CSMS in IEC 62443-2-1?
CSMS staat voor Cyber Security Management System, het kernbegrip uit de eerste editie van IEC 62443-2-1 uit 2010. De editie van 2024 spreekt van een security program (SP), opgebouwd uit acht security program elements, en laat de algemene managementsysteemeisen over aan het ISMS.
Voor wie is IEC 62443-2-1 bedoeld?
IEC 62443-2-1 is bedoeld voor asset owners: de eigenaren en exploitanten van industriële installaties, zoals fabrieken, waterbedrijven en netbeheerders. Integrators en productleveranciers gebruiken andere delen, maar krijgen via de eisen van de asset owner wel met IEC 62443-2-1 te maken.
Kan een organisatie gecertificeerd worden voor IEC 62443-2-1?
Ja, ISASecure biedt met het ACSSA-schema, waarvan versie 1.0 in februari 2026 van kracht werd, een inspectie en certificering voor asset owners, waarin de eisen van IEC 62443-2-1 worden getoetst samen met delen 2-4, 3-2 en 3-3. Een ACSSA-certificaat is drie jaar geldig, met periodiek toezicht. Daarnaast laten veel organisaties een gap-analyse tegen IEC 62443-2-1 uitvoeren zonder formeel certificaat.
Hoe gaat IEC 62443-2-1 om met verouderde systemen?
IEC 62443-2-1 erkent dat veel installaties langer dan twintig jaar meegaan en dat oude software niet altijd te patchen of te back-uppen is. De norm staat dan compenserende maatregelen toe, zoals extra segmentatie of strengere toegangscontrole, zolang die in het beleid en de procedures zijn vastgelegd.
📌 Samengevat
IEC 62443-2-1 beschrijft het securityprogramma waarmee een asset owner zijn industriële automatiseringssystemen tijdens bedrijf beschermt, opgebouwd uit acht security program elements en beoordeeld met maturity levels.
De editie van 2024 heeft het oude CSMS-model vervangen door concrete, toetsbare eisen, sluit aan op ISO 27001 zonder dubbel werk en biedt ruimte voor compenserende maatregelen bij legacy systemen. Het levert u een gestructureerde aanpak, aantoonbare compliance, betere beschikbaarheid van uw processen en helder overzicht van risico’s en verantwoordelijkheden. Samen met IEC 62443-3-2 voor de risicoanalyse en IEC 62443-2-4 voor leveranciers vormt het de basis waarmee u cybersecurity in uw OT-omgeving structureel verankert.