IT OT Security Reference Architecture

Wat is een IT/OT Security Reference Architecture?

Een IT/OT Security Reference Architecture is een herbruikbare blauwdruk die vastlegt hoe kantoor-IT en operationele technologie (OT) veilig met elkaar verbonden worden, door zones, beveiligde koppelvlakken, toegangscontrole en monitoring volgens erkende normen te beschrijven. De architectuur geldt voor kantoor-IT en voor systemen zoals SCADA, PLC, HMI en industriële netwerken en vertaalt IEC 62443, het Purdue-model en Zero Trust-principes naar een standaardontwerp. Een organisatie gebruikt dit model als basis voor netwerktekeningen, toolselectie en beleid, zodat elke fabriek of locatie volgens hetzelfde patroon wordt ingericht.

🧠 Wat maakt een architectuur een referentiearchitectuur?

Een referentiearchitectuur is geen netwerktekening van één fabriek, maar een generiek patroon dat u per locatie concreet maakt. Het verschil met een oplossingsarchitectuur is belangrijk:

Een goede referentiearchitectuur is technologie-agnostisch: ze schrijft voor dat er een IDMZ moet zijn en welk verkeer daar mag lopen, maar niet welk merk firewall u koopt. Toch moet ze uitvoerbaar blijven in uw specifieke omgeving, met oudere systemen die niet te patchen zijn en installaties die jaren onafgebroken draaien.

🧱 Uit welke zones en lagen bestaat de architectuur?

De meeste referentiearchitecturen volgen de niveaus van het Purdue-model, ook wel Purdue Enterprise Reference Architecture (PERA), dat begin jaren negentig aan Purdue University is ontwikkeld. Het model deelt systemen in naar functie en tijdschaal en is via ISA-95 en IEC 62443 de gemeenschappelijke taal geworden voor netwerksegmentatie.

De kernregel is dat verkeer tussen enterprise IT en de OT-zones niet rechtstreeks loopt, maar eindigt in een dienst in de IDMZ. NIST SP 800-82 (revisie 3, september 2023) beschrijft precies dit patroon. Waar alleen data naar buiten hoeft, kan een datadiode de verbinding fysiek eenrichtingsverkeer maken.

🔧 Welke beveiligingsbouwstenen horen erbij?

Tussen de zones brengt de architectuur beveiligingslagen aan. Elke bouwsteen heeft een vaste plek en een vaste verantwoordelijkheid:

De combinatie van macrosegmentatie (zones) en microsegmentatie (binnen zones) vormt het hart van segmentatie in deze architectuur. Detectie in OT gebeurt bij voorkeur passief, via een SPAN-poort of netwerktap, omdat actief scannen oudere PLC’s kan verstoren.

🔄 Op welke normen en modellen is de architectuur gebaseerd?

Een security-referentiearchitectuur verzint zelden iets nieuws. Ze bundelt bestaande normen en richtlijnen tot één samenhangend ontwerp:

In januari 2026 publiceerden het Britse NCSC en partners, waaronder CISA, het Duitse BSI en het Nederlandse NCSC, de Secure connectivity principles for operational technology. Die acht principes sluiten direct aan op een referentiearchitectuur: weeg risico tegen nut af voordat u verbindt, beperk blootstelling, centraliseer en standaardiseer verbindingen, gebruik standaard beveiligde protocollen, verhard de OT-grens, beperk de impact van een compromittering, log en monitor alle verbindingen en zorg voor een isolatieplan.

🏭 Waarom is een referentiearchitectuur belangrijk in OT?

• Beschikbaarheid eerst - de architectuur beveiligt de overgang tussen IT en OT zonder de beschikbaarheid van productie te schaden.
• Duidelijke verantwoordelijkheden - IT- en OT-teams weten wie welke zone en welk koppelvlak beheert.
• Gefaseerd verbeteren - beveiligingsupgrades kunnen per laag of zone worden uitgevoerd, passend bij stilstandvensters.
• Herhaalbaarheid - nieuwe locaties, overnames en projecten volgen hetzelfde patroon, wat ontwerp- en auditkosten verlaagt.
• Aantoonbare compliance - de NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet, van kracht sinds 15 augustus 2026, verlangen van essentiële en belangrijke entiteiten passende maatregelen voor onder meer netwerkbeveiliging. De wet schrijft geen specifieke architectuur voor, maar een gedocumenteerde referentiearchitectuur is een van de best controleerbare bewijzen dat die maatregelen er zijn.
• Nieuwe technologie - de architectuur geeft houvast bij integratie van externe toegang, cloudtoepassingen en IIoT.

Voor kritieke infrastructuur zoals energie en water stellen ook klanten en verzekeraars steeds vaker eisen aan zonering en externe toegang. Een referentiearchitectuur maakt die eisen meetbaar.

🧭 Hoe stelt u stap voor stap een referentiearchitectuur op?

De aanpak volgt in grote lijnen het zones-en-conduits-proces (ZCR 1 tot en met 7) uit IEC 62443-3-2:

1. Bepaal het systeem in scope - leg vast welke installaties, netwerken en verbindingen meedoen, op basis van een actuele asset-inventaris.
2. Voer een eerste risicoanalyse uit - beoordeel het slechtste geval per proces: welke gevolgen heeft uitval of manipulatie voor veiligheid, milieu en productie?
3. Deel in zones en conduits - groepeer assets met gelijke functie, risico en eigenaar; leg elke verbinding tussen zones vast als conduit.
4. Toets aan het aanvaardbare risico - vergelijk het initiële risico per zone met wat de organisatie aanvaardbaar vindt; ligt het hoger, dan volgt een gedetailleerde analyse.
5. Werk de risicoanalyse per zone uit en ken een doel-securityniveau toe - breng dreigingen, kwetsbaarheden en bestaande maatregelen in kaart en kies per zone en conduit een SL-T: SL 1 beschermt tegen toevallig misbruik, SL 2 tegen opzet met eenvoudige middelen, SL 3 tegen geavanceerde aanvallers met IACS-kennis en SL 4 tegen aanvallers met veel middelen, zoals statelijke actoren.
6. Leg de eisen vast - beschrijf per zone en conduit de maatregelen, aannames en randvoorwaarden en vertaal die naar standaard bouwstenen.
7. Laat de eigenaar goedkeuren en houd het actueel - de asset owner keurt het resultaat goed; herzie de architectuur daarna bij grote wijzigingen, nieuwe dreigingen of nieuwe normen, en in de praktijk minstens eens per jaar.

Typische waarden in de praktijk: de IDMZ en site-operations-zones krijgen vaak SL 2, procesbesturing van kritieke installaties SL 2 tot 3, en veiligheidssystemen een eigen zone met de strengste conduits. Firewallregels tussen IT en OT worden op deny-by-default gezet, met alleen benoemde poorten naar benoemde systemen in de IDMZ.

🔐 Welke ontwerpprincipes maken de architectuur sterk?

• Defense in Depth - meerdere onafhankelijke verdedigingslagen per zone, zodat één fout geen open deur oplevert.
• Traceerbare communicatiepaden - elke verbinding tussen IT en OT is gedocumenteerd, heeft een eigenaar en wordt gelogd.
• Gescheiden updateprocessen - patchmanagement loopt via een patchserver in de IDMZ, getest per zone en gepland in onderhoudsvensters.
• Containment - goede segmentatie beperkt de impact van incidenten; een besmet kantoornetwerk mag de productie niet meenemen.
• Isolatie als noodmaatregel - de architectuur bepaalt vooraf hoe OT bij een incident van IT wordt losgekoppeld en hoe lang productie dan doordraait.

Zo verlaagt de architectuur het risico op ransomware, spionage, sabotage en insider threats. Veel OT-incidenten beginnen in het kantoornetwerk; de IDMZ en strikte conduits voorkomen dat zo’n aanval de procesbesturing bereikt.

❓ Veelgestelde vragen

Is een IT/OT Security Reference Architecture verplicht?

Een IT/OT Security Reference Architecture is als document nergens letterlijk verplicht. NIS2 en de Cyberbeveiligingswet eisen wel passende maatregelen voor netwerkbeveiliging en risicobeheer. Een gedocumenteerde referentiearchitectuur is een praktische manier om die maatregelen aantoonbaar te maken.

Wat is het verschil tussen een referentiearchitectuur en het Purdue-model?

Het Purdue-model is een indeling in niveaus van 0 tot en met 5 en zegt weinig over concrete beveiliging. Een IT/OT Security Reference Architecture gebruikt die niveaus als basis en voegt zones, conduits, beveiligingsniveaus, bouwstenen en ontwerpregels toe. De referentiearchitectuur is dus het uitvoerbare beveiligingsontwerp bovenop het Purdue-model.

Past Zero Trust in een OT-referentiearchitectuur?

Zero Trust past in een OT-referentiearchitectuur, maar meestal als aanvulling op zonering en niet als vervanging. Gebruikers en externe partijen worden bij elke sessie geverifieerd, terwijl oudere PLC’s en veldapparaten die geen authenticatie ondersteunen binnen een afgeschermde zone blijven. Zo combineert u Zero Trust aan de randen met klassieke segmentatie in de proceslaag.

Welke securityniveaus gebruikt een IT/OT referentiearchitectuur?

Een IT/OT referentiearchitectuur gebruikt meestal de security levels uit IEC 62443, van SL 1 tot en met SL 4. Per zone wordt een doelniveau (SL-T) vastgesteld op basis van een risicoanalyse, en de gekozen bouwstenen moeten dat niveau waarmaken. In veel industriële omgevingen ligt het doel op SL 2 of SL 3.

Hoe vaak moet u een referentiearchitectuur herzien?

Een IT/OT Security Reference Architecture herziet u bij grote wijzigingen in installaties, bij nieuwe dreigingen of normen en verder minstens jaarlijks. De architectuur blijft alleen waardevol als ze overeenkomt met de werkelijkheid. Een actuele asset-inventaris en netwerkmonitoring helpen afwijkingen tussen ontwerp en praktijk snel te vinden.

Wie is eigenaar van de IT/OT Security Reference Architecture?

De eigenaar van een IT/OT Security Reference Architecture is meestal een centrale architectuur- of securityfunctie, met gedeelde verantwoordelijkheid voor IT en OT. De lokale OT-beheerder vertaalt het model naar de eigen installatie en meldt afwijkingen terug. Zonder één duidelijke eigenaar versnippert het ontwerp snel per locatie.

📌 Samengevat

Een IT/OT Security Reference Architecture is de herbruikbare blauwdruk die met zones, conduits, een IDMZ, toegangscontrole en monitoring vastlegt hoe kantoor-IT en OT veilig samenwerken.

De architectuur bouwt voort op het Purdue-model, IEC 62443, NIST SP 800-82 en Zero Trust en maakt beveiliging herhaalbaar over locaties heen. Ze helpt organisaties veerkrachtige netwerken te bouwen, compliance met NIS2 en de Cyberbeveiligingswet aan te tonen en de impact van incidenten te beperken, zonder de beschikbaarheid van productie op te offeren.