Wat is IEC 62443-2-4?
IEC 62443-2-4 is het deel van de IEC 62443-reeks dat vastlegt welke securityprocessen een dienstverlener moet kunnen aanbieden wanneer hij een industrieel automatiseringssysteem (IACS) integreert of onderhoudt. De norm richt zich dus niet op producten, maar op het werk van system integrators in de industriële automatisering, onderhoudspartijen en hun onderaannemers. Een asset owner gebruikt IEC 62443-2-4 om in contracten vast te leggen wat hij van die partijen mag verwachten, en een dienstverlener gebruikt de norm om zijn eigen securityprogramma in te richten en te laten certificeren. De huidige versie is editie 2.0 uit december 2023.
🧠 Wat regelt IEC 62443-2-4 precies?
IEC 62443-2-4 beschrijft het securityprogramma (Security Program, SP) van een IACS-dienstverlener: het geheel van beleid, procedures, werkwijzen en personeel waarmee hij beveiliging en cybersecurity borgt tijdens integratie en onderhoud van een Automation Solution. Dat is de concrete, klantspecifieke installatie van een besturingssysteem, zoals een DCS of SCADA-systeem met bijbehorende safety-functies.
Drie uitgangspunten bepalen hoe u de norm moet lezen:
- Capabilities, geen projectverplichtingen - een eis betekent dat de dienstverlener een maatregel kan leveren als de asset owner erom vraagt. Niet elke eis hoeft in elk project te worden toegepast.
- Processen, geen techniek - de eisen gaan over hoe de dienstverlener werkt. Editie 2 heeft eisen die als technische productfunctie gelezen konden worden expliciet herschreven als eisen aan het gebruik en de configuratie van technische functies. Technische eisen aan systemen en componenten staan in IEC 62443-3-3 en IEC 62443-4-2.
- Profielen - omdat niet alle eisen in elke sector passen, staat de norm toe dat brancheorganisaties een profiel maken: een gekozen subset van eisen voor een specifieke omgeving.
De eisen staan in de normatieve bijlage A als één grote tabel, met per eis een ID (bijvoorbeeld SP.07.xx), een functioneel gebied, onderwerp en subonderwerp, een kolom voor vereiste documentatie en een toelichting. Elke eis is een Base Requirement (BR) of een Requirement Enhancement (RE) die een basiseis aanscherpt. De IEC levert de tabel ook als CSV-bestand mee, zodat u hem kunt filteren en in een inkoopspecificatie kunt overnemen.
🧱 Voor wie is IEC 62443-2-4 bedoeld?
De norm onderscheidt vier rollen rond een installatie:
| Rol | Wat doet deze partij? | Relevante norm |
|---|---|---|
| Asset owner | Eigenaar en exploitant van de installatie, stelt de eisen | IEC 62443-2-1, IEC 62443-3-2 |
| Integration service provider | Ontwerp, installatie, configuratie, test, inbedrijfstelling en overdracht; vaak integrator of Main Automation Contractor (MAC) genoemd | IEC 62443-2-4 |
| Maintenance service provider | Ondersteuning na overdracht, zoals accountbeheer, monitoring, patchen en securityassessments | IEC 62443-2-4 |
| Product supplier | Fabrikant van hard- en software, bijvoorbeeld een OEM of besturingsleverancier | IEC 62443-4-1, IEC 62443-4-2 |
In de praktijk vervullen veel bedrijven meerdere rollen. Een besturingsleverancier levert producten (4-1/4-2), bouwt als integrator de installatie (2-4) en sluit daarna een servicecontract voor onderhoud op afstand (ook 2-4). Ook een machinebouwer die zijn machine bij de klant in bedrijf stelt en via Remote Access ondersteunt, handelt op dat moment als dienstverlener in de zin van IEC 62443-2-4.
🔧 Welke twaalf functionele gebieden kent de norm?
Bijlage A groepeert de eisen in twaalf functionele gebieden. Samen dekken ze de hele levenscyclus, van het samenstellen van het projectteam tot back-up en herstel:
| Code | Functioneel gebied | Voorbeelden van eisen |
|---|---|---|
| SP.01 | Solution staffing | Securitytraining en screening van projectpersoneel, aanwijzen van een securityverantwoordelijke |
| SP.02 | Assurance | Aantonen dat het securitybeleid van de installatie werkelijk wordt nageleefd, bijvoorbeeld met hardeningrichtlijnen en securitytests tijdens FAT en SAT |
| SP.03 | Architecture | Netwerkontwerp met zones en conduits, scheiding van netwerken, protocolfiltering en firewalls |
| SP.04 | Wireless | Veilig ontwerp en beheer van draadloze verbindingen, zoals WirelessHART |
| SP.05 | SIS | Bescherming van het veiligheidssysteem tegen onbedoelde of ongeautoriseerde wijzigingen |
| SP.06 | Configuration management | Configuratiebeheer, asset-inventaris en wijzigingsbeheer |
| SP.07 | Remote access | Gecontroleerde toegang op afstand, bijvoorbeeld via een Jump Server met MFA |
| SP.08 | Event management | Logging, monitoring en ondersteuning bij incidentrespons |
| SP.09 | Account management | Toegangsbeheer, persoonsgebonden accounts en wachtwoordbeleid |
| SP.10 | Malware protection | Inzet van antimalwaresoftware of allowlisting en het actueel houden van malwaredefinities |
| SP.11 | Patch management | Testen, goedkeuren en uitrollen van patches volgens Patchmanagement |
| SP.12 | Backup/restore | Backup en herstel van configuraties, programma’s en systeemimages, inclusief hersteltests |
Voor de asset owner is deze indeling handig als checklist: u ziet snel welke gebieden een leverancier aantoonbaar beheerst en waar u in het contract aanvullende afspraken moet maken.
📈 Hoe werkt het maturitymodel van IEC 62443-2-4?
IEC 62443-2-4 meet niet alleen óf een dienstverlener een eis invult, maar ook hoe volwassen dat proces is. Het maturitymodel is afgeleid van CMMI for Services (CMMI-SVC) en kent vier niveaus:
| Niveau | Naam | Betekenis in de praktijk |
|---|---|---|
| ML 1 | Initial | De dienstverlener kan de capability leveren, maar ad hoc en vaak zonder vastgelegde werkwijze |
| ML 2 | Managed | Er zijn geschreven beleid en procedures; de dienstverlener kan de levering ervan aantoonbaar sturen |
| ML 3 | Defined | De vastgelegde processen worden organisatiebreed en herhaalbaar uitgevoerd, met bewijs uit projecten |
| ML 4 | Improving | Processen worden gemeten en op basis van die metingen continu verbeterd |
Twee punten worden vaak verkeerd begrepen. Ten eerste staat een maturity level los van een security level: het eerste zegt iets over de volwassenheid van een proces, het tweede over de weerbaarheid van een zone of component. Ten tweede beschrijft een certificaat vaak verschillende niveaus per onderdeel. Gepubliceerde certificaten van integrators vermelden vaak ML 2, soms met ML 3 voor een deel van de eisen. Kijk dus altijd naar de scope en het assessmentrapport, niet alleen naar het getal.
🕰️ Hoe is IEC 62443-2-4 ontstaan?
IEC 62443-2-4 heeft een opvallend Nederlandse achtergrond. De norm is opgesteld door IEC-commissie TC 65 in samenwerking met de WIB, de International Instrument Users’ Association. De WIB werd in 1963 in Nederland opgericht door procesbedrijven als Shell, AKU (later AKZO), DSM, Hoogovens en Unilever, onder de naam Werkgroep voor Instrument Beoordeling, en is gevestigd in Den Haag.
| Jaar | Mijlpaal |
|---|---|
| 2010 | WIB publiceert het rapport Process Control Domain – Security Requirements for Vendors (M 2784-X-10), later dat jaar gevolgd door versie 2 |
| 2011 | Shell eist vanaf 1 januari conformiteit met de WIB-eisen van leveranciers van procesbesturingssystemen |
| 2015 | Eerste editie IEC 62443-2-4, gebaseerd op het WIB-document |
| 2017 | Amendement 1; in 2018 door ISA overgenomen als ANSI/ISA-62443-2-4-2018 |
| 2023 | Editie 2.0 (december): redactionele verduidelijkingen, geen ingrijpende inhoudelijke wijzigingen |
| 2024 | Europese overname als EN IEC 62443-2-4:2024 en publicatie van evaluatiemethode IEC TS 62443-6-1 (maart) |
Met IEC TS 62443-6-1 kregen assessoren en certificerende instellingen een uniforme methode om conformiteit met 2-4 vast te stellen, zodat beoordelingen herhaalbaar en vergelijkbaar zijn.
🧭 Hoe past u IEC 62443-2-4 toe in een OT-project?
Voor een asset owner die een nieuwe installatie laat bouwen of een onderhoudscontract afsluit, werkt deze aanpak goed:
- Bepaal eerst uw eigen kader - leg uw securityprogramma vast volgens IEC 62443-2-1 en voer een risicobeoordeling uit volgens IEC 62443-3-2. Daaruit volgen zones, conduits en het beoogde security level.
- Selecteer de relevante eisen - kies uit bijlage A de eisen die bij het project passen, of gebruik een bestaand brancheprofiel. Een onderhoudscontract vraagt vooral SP.06 tot en met SP.12, een nieuwbouwproject alle twaalf gebieden.
- Neem ze op in de inkoopspecificatie - verwijs naar concrete eis-ID’s en vraag naar het maturity level. Zo worden offertes vergelijkbaar.
- Toets de leverancier - vraag om een 2-4-certificaat met assessmentrapport, of laat een eigen audit uitvoeren met IEC TS 62443-6-1 als leidraad.
- Controleer tijdens het project - laat securitymaatregelen aantonen tijdens FAT en SAT en eis bij overdracht de documentatie: netwerktekeningen, asset-inventaris, accountoverzicht, back-ups en hardeningsrapporten.
- Borg het onderhoud - leg vast hoe patches, malwarebescherming, het gebruik van draagbare media zoals USB-sticks, toegang op afstand en het melden van incidenten verlopen zolang het systeem in bedrijf is.
In Nederland is dit extra relevant sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad. Net als NIS2 verplicht die wet essentiële en belangrijke entiteiten om risico’s in de toeleveringsketen te beheersen. IEC 62443-2-4 geeft daar een toetsbare invulling aan voor OT-dienstverleners, naast algemene leveranciersbeveiliging en Third Party Risk Management. De Cyber Resilience Act regelt producten met digitale elementen, maar niet de diensten van een integrator; daarvoor blijft 2-4 de aangewezen norm.
❓ Veelgestelde vragen
Is IEC 62443-2-4 verplicht?
IEC 62443-2-4 is een vrijwillige internationale norm en geen wet. De norm wordt verplicht zodra een asset owner hem in een contract of inkoopspecificatie opneemt. Omdat de Cyberbeveiligingswet en NIS2 ketenbeveiliging eisen, gebruiken steeds meer Nederlandse asset owners de norm als contractuele eis voor OT-dienstverleners.
Wat is het verschil tussen IEC 62443-2-4 en IEC 62443-2-1?
IEC 62443-2-1 beschrijft het securityprogramma van de asset owner, de organisatie die de installatie bezit en exploiteert. IEC 62443-2-4 beschrijft het securityprogramma van de dienstverlener die de installatie integreert of onderhoudt. Beide normen sluiten op elkaar aan: de asset owner stelt de eisen, de dienstverlener moet ze kunnen leveren.
Wat is het verschil tussen IEC 62443-2-4 en IEC 62443-4-1?
IEC 62443-4-1 stelt eisen aan het ontwikkelproces van een productleverancier, zoals een fabrikant van PLC’s of SCADA-software. IEC 62443-2-4 gaat over de diensten rond een specifieke installatie: ontwerp, integratie, inbedrijfstelling en onderhoud. Een leverancier die zowel producten maakt als projecten uitvoert, heeft met beide normen te maken.
Kan een integrator gecertificeerd worden volgens IEC 62443-2-4?
Een integrator of onderhoudspartij kan zijn securityprogramma laten certificeren door een geaccrediteerde certificerende instelling, vaak binnen het IECEE-schema. Het certificaat vermeldt de beoordeelde functionele gebieden en het behaalde maturity level, bijvoorbeeld ML 2 of ML 3. Een IEC 62443-2-4-certificaat zegt iets over de processen van de dienstverlener, niet over de beveiliging van één specifieke installatie.
Welk maturity level moet ik van een dienstverlener eisen?
Voor de meeste OT-projecten is IEC 62443-2-4 maturity level 2 een realistisch minimum, omdat het vastgelegde beleid en procedures vereist. Voor kritieke installaties, zoals vitale processen onder de Cyberbeveiligingswet, ligt ML 3 meer voor de hand, omdat de dienstverlener dan moet aantonen dat zijn processen in elk project herhaalbaar worden toegepast. Het gekozen niveau volgt uit uw eigen risicobeoordeling.
Wat is er veranderd in editie 2 van IEC 62443-2-4?
Editie 2.0 van IEC 62443-2-4 verscheen in december 2023 en verving de editie uit 2015 met amendement 1 uit 2017. Volgens de IEC bevat de nieuwe editie vooral redactionele verduidelijkingen en geen ingrijpende inhoudelijke wijzigingen. De belangrijkste verduidelijking is dat eisen nu duidelijk gaan over het gebruik en de configuratie van technische functies, niet over de functies zelf.
📌 Samengevat
IEC 62443-2-4 legt vast welke securityprocessen een integrator of onderhoudspartij moet kunnen leveren, verdeeld over twaalf functionele gebieden en beoordeeld op vier maturity levels. De norm komt voort uit Nederlands-internationaal gebruikerswerk van de WIB, is sinds december 2023 beschikbaar als editie 2.0 en vormt samen met IEC 62443-2-1, IEC 62443-3-3 en IEC 62443-4-1 de basis voor aantoonbaar veilige OT-installaties gedurende de hele levenscyclus. Voor asset owners is het hét instrument om ketenbeveiliging onder de Cyberbeveiligingswet concreet in contracten te maken.