Wat is IEC 62443-3-2?
IEC 62443-3-2 is de internationale norm uit de IEC 62443-serie die beschrijft hoe u een industrieel automatiserings- en besturingssysteem (IACS) met een cyberrisicobeoordeling indeelt in zones en conduits en per zone en conduit het benodigde doelbeveiligingsniveau (SL-T) vastlegt. De officiële titel is Security risk assessment for system design; editie 1.0 verscheen op 24 juni 2020, gelijktijdig met de Amerikaanse versie ANSI/ISA-62443-3-2-2020. De norm vormt de brug tussen risicobeoordeling en de technische beveiligingseisen uit IEC 62443-3-3: eerst bepaalt u wát u moet beschermen en hoe sterk, daarna kiest u de maatregelen.
IEC 62443-3-2 beantwoordt de vraag “welk security level heeft deze zone nodig, en waarom?”, met een onderbouwing die de asset owner formeel goedkeurt.
🧠 Wat regelt IEC 62443-3-2 precies?
De norm legt vast welke stappen een asset owner, samen met integrator en leveranciers, doorloopt om een OT-installatie veilig te ontwerpen. Volgens de samenvatting van de IEC gaat het om vijf resultaten:
- Afbakening - het System under Consideration (SuC) definiëren, inclusief grenzen en toegangspunten
- Opdeling - het SuC opdelen in zones en conduits volgens het Zone and Conduits-model
- Risicobeoordeling - het Cybersecurity-risico per zone en conduit beoordelen
- Doelniveau - per zone en conduit een target security level (SL-T) vaststellen
- Documentatie - de resulterende beveiligingseisen vastleggen
De norm is prestatiegericht: hij zegt wat u moet doen, niet welke risicomethode u gebruikt. Een eigen risicomatrix, een cyberrisicobeoordeling in HAZOP-stijl of een aanpak volgens ISO 27005 is toegestaan, zolang de stappen en resultaten herleidbaar zijn.
🔁 Welke zeven stappen (ZCR’s) kent IEC 62443-3-2?
Het werkproces is opgebouwd uit zeven Zone and Conduit Requirements (ZCR’s):
| ZCR | Stap | Resultaat |
|---|---|---|
| ZCR 1 | Identificeer het System under Consideration | Grens, toegangspunten en asset-inventaris |
| ZCR 2 | Voer een initiële risicobeoordeling uit | Worstcasegevolgen als het systeem wordt gecompromitteerd |
| ZCR 3 | Deel het SuC op in zones en conduits | Initieel zone- en conduitdiagram |
| ZCR 4 | Vergelijk het initiële risico met het aanvaardbare risico | Besluit of een gedetailleerde analyse nodig is |
| ZCR 5 | Voer een gedetailleerde risicobeoordeling uit | Restrisico en SL-T per zone en conduit |
| ZCR 6 | Documenteer eisen, aannames en randvoorwaarden | Cyber Security Requirements Specification (CSRS) |
| ZCR 7 | Laat de asset owner de resultaten goedkeuren | Formele acceptatie |
Bij ZCR 3 schrijft de norm vaste scheidingen voor. Business-assets staan los van IACS-assets (ZCR 3.2), veiligheidsgerelateerde systemen zoals een SIS krijgen een eigen zone (ZCR 3.3), en tijdelijk aangesloten apparaten (ZCR 3.4), draadloze apparaten (ZCR 3.5) en apparaten die via externe netwerken verbonden zijn (ZCR 3.6) worden apart gezet. Die regels maken een plat netwerk vrijwel onmogelijk.
🔍 Hoe werkt de gedetailleerde risicobeoordeling in ZCR 5?
ZCR 5 is het hart van de norm en bestaat uit dertien deelstappen. Samengevat:
- Dreigingen identificeren - wie kan de zone aanvallen en hoe? Threat modeling en MITRE ATT&CK for ICS maken dat concreet.
- Kwetsbaarheden identificeren - verouderde besturingssystemen, onbeveiligde protocollen, gedeelde wachtwoorden.
- Gevolgen en impact bepalen - voor veiligheid, milieu, productie en reputatie; een business impact analysis of HAZOP levert de procesgevolgen.
- Onbeheerste waarschijnlijkheid en risico bepalen - zonder rekening te houden met bestaande maatregelen.
- SL-T bepalen - welk security level is nodig om het risico terug te brengen?
- Bestaande maatregelen meewegen - firewalls, toegangsbeheer, procedures.
- Restrisico vergelijken met het aanvaardbare risico - en zo nodig aanvullende mitigerende maatregelen kiezen.
- Resultaten documenteren en communiceren - bijvoorbeeld in een risicoregister.
Het aanvaardbare risico (tolerable risk) bepaalt de asset owner zelf, meestal via de risicomatrix van het bedrijf. Daardoor sluit de OT-beoordeling aan op hoe veiligheid en bedrijfsrisico elders worden gewogen.
🎯 Hoe vertaalt een risico zich naar een security level?
Het SL-T beschrijft tegen welk type aanvaller een zone bestand moet zijn. De niveaus komen uit IEC 62443-3-3:
| Niveau | Bescherming tegen | Typische zone (illustratief) |
|---|---|---|
| SL 1 | Toevallige of onbedoelde overtreding | Monitoringzone zonder sturing |
| SL 2 | Opzettelijke aanval met eenvoudige middelen, weinig resources en algemene kennis | SCADA- en HMI-zone in een gewone fabriek |
| SL 3 | Opzettelijke aanval met geavanceerde middelen, gemiddelde resources en IACS-specifieke kennis | Besturingszone met PLC’s en RTU’s in kritieke infrastructuur |
| SL 4 | Opzettelijke aanval met geavanceerde middelen, uitgebreide resources, IACS-specifieke kennis en hoge motivatie | Zeer kritieke systemen, bijvoorbeeld tegen statelijke actoren |
In toelichtingen ziet u ook SL 0: geen specifieke eisen. Formeel is het SL-T een vector met zeven waarden, één per foundational requirement uit IEC 62443-1-1, zodat een zone bijvoorbeeld een hoog niveau voor integriteit en een lager niveau voor vertrouwelijkheid kan krijgen. Na de bouw toetst u of het bereikte niveau (SL-A) minstens gelijk is aan het SL-T, met componenten waarvan de capability (SL-C) via IEC 62443-4-2 is aangetoond.
🏭 Hoe ziet een zone-indeling er in de praktijk uit?
Een vereenvoudigd voorbeeld voor een productielocatie:
| Zone | Componenten | SL-T (illustratief) | Voorbeeldmaatregelen |
|---|---|---|---|
| Engineeringzone | Engineering Station, projectserver | SL 2 | Access Control, Patchmanagement |
| Besturingszone | PLC, RTU, IO-modules | SL 3 | Protocol Filtering, Firewall |
| Veiligheidszone | SIS, safety-PLC | SL 3 | Eigen zone volgens ZCR 3.3, geen schrijftoegang van buiten |
| IDMZ | Remote Access, rapportagesystemen | SL 3 | Jump Server, MFA, Monitoring |
| Leverancierstoegang | Remote-onderhoudsverbinding | SL 2–3 | Eigen zone volgens ZCR 3.6, tijdgebonden toegang |
De SL-waarden zijn geen normwaarden: ze volgen uit uw eigen risicobeoordeling. De indeling sluit vaak aan op de lagen van het Purdue Model, maar het risico bepaalt de grenzen, niet het model.
Dat is ook de grootste winst van de aanpak: u richt de beveiliging op de zones met het hoogste risico en voorkomt overbeveiliging elders. Bovendien geeft een onderbouwd SL-T per zone IT, OT en management een gemeenschappelijke taal om over investeringen en restrisico te beslissen.
🧭 Hoe past u IEC 62443-3-2 stap voor stap toe?
- Zorg voor een actuele asset-inventaris en netwerktekening - zonder die basis is ZCR 1 niet uit te voeren.
- Stel het aanvaardbare risico vast - leg de risicomatrix en acceptatiecriteria vast, aansluitend op het securityprogramma uit IEC 62443-2-1.
- Organiseer een multidisciplinaire sessie - procesveiligheid, OT-engineering, IT-security en operations samen; hergebruik de HAZOP-scenario’s.
- Teken zones en conduits - pas de scheidingen van ZCR 3 toe en geef elke zone een verantwoordelijke eigenaar.
- Beoordeel elke zone en conduit - volgens de deelstappen van ZCR 5 en leg de SL-T vast.
- Schrijf de CSRS - met zone- en conduittekeningen, kenmerken per zone (ZCR 6.3 en 6.4), aannames over de omgeving, het dreigingsbeeld en wettelijke eisen.
- Laat de asset owner tekenen - ZCR 7 maakt de keuzes expliciet en controleerbaar.
- Herhaal de beoordeling - na grote wijzigingen, nieuwe dreigingen of incidenten.
Integrators en leveranciers gebruiken de CSRS daarna als bestek; IEC 62443-2-4 beschrijft welke capaciteiten zo’n dienstverlener moet hebben.
🔐 Hoe verhoudt IEC 62443-3-2 zich tot andere normen en wetgeving?
| Norm of kader | Relatie met IEC 62443-3-2 |
|---|---|
| IEC 62443-2-1 | Securityprogramma (CSMS) van de asset owner; levert risicobeleid en acceptatiecriteria |
| IEC 62443-3-3 | Technische systeemeisen per security level; invulling van het SL-T |
| IEC 62443-2-4 | Eisen aan integrators en servicepartners die het ontwerp uitvoeren |
| IEC 61511 | Vraagt sinds editie 2016 een security-risicobeoordeling van het SIS; 3-2 levert de methode |
| Cyberbeveiligingswet | Sinds 15 augustus 2026 zorgplicht met risicoanalyse en criteria voor risicoacceptatie |
| ISO 27001 en NIST CSF | Organisatiebrede kaders; 3-2 vult het OT-deel concreet in |
Voor organisaties onder NIS2 en de Cyberbeveiligingswet is een gedocumenteerde beoordeling volgens IEC 62443-3-2 een sterke manier om de zorgplicht voor OT aantoonbaar te maken en compliance te onderbouwen. De norm is niet wettelijk verplicht, maar wordt in bestekken en audits steeds vaker gevraagd. Het ISASecure-programma ACSSA toetst het securityprogramma van een asset owner onder meer aan deze norm.
❓ Veelgestelde vragen
Is IEC 62443-3-2 verplicht?
IEC 62443-3-2 is een vrijwillige internationale norm en niet als zodanig wettelijk verplicht. Wel vragen de Cyberbeveiligingswet en NIS2 om een risicoanalyse en passende maatregelen, en IEC 62443-3-2 is de internationaal erkende, op OT toegespitste methode om dat aantoonbaar te doen. Opdrachtgevers nemen de norm daarnaast vaak op in bestekken.
Wie voert een risicobeoordeling volgens IEC 62443-3-2 uit?
De asset owner, de organisatie die de installatie bezit en exploiteert, is eindverantwoordelijk voor een risicobeoordeling volgens IEC 62443-3-2 en keurt het resultaat goed in ZCR 7. Het werk gebeurt meestal samen met de systeemintegrator, procesveiligheidsdeskundigen en OT-security. Leveranciers leveren informatie over de capability van hun componenten.
Wat is het verschil tussen IEC 62443-3-2 en IEC 62443-3-3?
IEC 62443-3-2 beschrijft hoe u een systeem met een risicobeoordeling indeelt in zones en conduits en per zone het benodigde security level (SL-T) bepaalt. IEC 62443-3-3 beschrijft welke technische systeemeisen horen bij elk security level. De twee normen worden daarom vrijwel altijd samen gebruikt.
Wat is een CSRS?
Een Cyber Security Requirements Specification (CSRS) is het eindproduct van ZCR 6 in IEC 62443-3-2. De CSRS bevat onder meer de beschrijving van het systeem, zone- en conduittekeningen, de kenmerken en SL-T per zone en conduit, aannames over de omgeving, het dreigingsbeeld en het aanvaardbare risico. Integrators gebruiken het document als basis voor ontwerp en bestek.
Kan IEC 62443-3-2 ook voor bestaande installaties worden gebruikt?
IEC 62443-3-2 is geschreven voor systeemontwerp, maar wordt in de praktijk ook veel toegepast op bestaande installaties. De beoordeling laat dan zien waar het bereikte security level achterblijft bij het doel. Op basis daarvan plant u segmentatie en compenserende maatregelen, vaak in fasen.
Hoe vaak moet een IEC 62443-3-2-beoordeling worden herhaald?
IEC 62443-3-2 verwacht dat de risicobeoordeling actueel blijft, maar schrijft geen vaste termijn voor. Gangbaar is herhalen bij grote wijzigingen aan de installatie, bij nieuwe dreigingen of kwetsbaarheden, na incidenten en daarnaast periodiek, bijvoorbeeld elke één tot drie jaar.
📌 Samengevat
IEC 62443-3-2 is de methode waarmee u een OT-installatie met een risicobeoordeling opdeelt in zones en conduits en per zone en conduit het benodigde security level vastlegt. Via zeven ZCR’s, van afbakening tot goedkeuring door de asset owner, levert de norm een onderbouwde CSRS op die de technische eisen uit IEC 62443-3-3 richting geeft en de zorgplicht uit de Cyberbeveiligingswet voor OT concreet maakt.