Wat zijn legacy systemen?
Legacy systemen zijn verouderde, maar nog steeds operationele IT- of OT-systemen waarvoor de leverancier geen of beperkte ondersteuning meer biedt, die toch kritieke functies blijven vervullen. Ze draaien op oudere hardware, besturingssystemen of protocollen en voldoen vaak niet aan moderne beveiligingseisen. In industriële omgevingen zijn ze eerder regel dan uitzondering: een besturing gaat al snel 15 tot 25 jaar mee, terwijl een kantoor-pc na drie tot vijf jaar wordt vervangen.
In OT-omgevingen kunnen legacy systemen tientallen jaren blijven functioneren, vaak zonder updates of ondersteuning van de leverancier. Vervangen is duur en riskant, dus beveiligen rondom het systeem is meestal de eerste stap.
🧠 Wanneer is een systeem ‘legacy’?
Een systeem is niet legacy omdat het oud is, maar omdat het niet meer veilig of betrouwbaar te onderhouden is. Vier kenmerken komen steeds terug:
- Ouder platform
- Windows XP, Windows 7, DOS, VMS, OS/2 of oude Linux-distributies
- Verouderde PLC-firmware, SCADA-systemen of HMI’s
- Beperkte of geen ondersteuning
- Geen patches, updates of ondersteuning van de leverancier meer
- Reserveonderdelen worden schaars en duur, kennis verdwijnt met pensionerende engineers
- Incompatibiliteit met moderne technologie
- Geen ondersteuning voor encryptie, sterke authenticatie of regulier patchmanagement
- Alleen oudere protocollen, zoals Modbus RTU zonder authenticatie of OPC Classic via DCOM
- Kritieke functie
- Bestuurt essentiële processen die moeilijk te migreren zijn zonder productiestilstand of hervalidatie
📅 Welke einddatums maken systemen legacy?
Ondersteuning loopt af op vaste momenten. Wie die datums kent, ziet legacy-risico’s aankomen in plaats van erdoor verrast te worden.
| Product | Einde ondersteuning | Gevolg voor OT |
|---|---|---|
| Windows XP | 8 april 2014 | Nog steeds aangetroffen op oude HMI’s en engineeringstations |
| Windows 7 | 14 januari 2020 | Veel SCADA-clients en historian-servers draaiden hierop |
| Windows 10 (standaardedities) | 14 oktober 2025 | Daarna alleen beveiligingsupdates via het ESU-programma (Extended Security Updates), voor organisaties betaald |
| Windows 10 Enterprise LTSB 2016 | 13 oktober 2026 | Veelgebruikt in machinebouw vanwege de lange levensduur |
| Windows 10 IoT Enterprise LTSC 2021 | januari 2032 (extended) | Veel gebruikt op embedded panels; de opvolger is Windows 11 IoT Enterprise LTSC 2024 |
| Siemens SIMATIC S7-300 / ET 200M | Sinds 1 oktober 2025 status PM410 | Alleen nog reserveonderdelen, tegen flink hogere prijzen |
De S7-300 laat zien dat legacy niet alleen over software gaat. Siemens adviseert migratie naar de S7-1500 of S7-1200, maar duizenden installaties draaien nog op S7-300-hardware. Diezelfde controllerfamilie was ook het doelwit van Stuxnet, de malware die in 2010 werd ontdekt.
🏭 Waar komt u legacy systemen tegen in OT-netwerken?
- SCADA of DCS uit de jaren ‘90 of 2000 - vaak met een server- en clientomgeving op een niet meer ondersteunde Windows-versie
- PLC’s of HMI’s die alleen serieel communiceren - via RS-232 of RS-485, soms gekoppeld via een serieel-naar-Ethernet-gateway
- Machines met vendor-lock-in - custom firmware of software waarvan de leverancier niet meer bestaat
- Engineeringstations - een oude laptop met de enige werkende versie van de programmeersoftware
- Onderste lagen van het Purdue Model - laag 1 en 2, oorspronkelijk ontworpen voor geïsoleerde netwerken en dus zonder ingebouwde netwerkbeveiliging
Legacy systemen zijn vaak bedrijfskritisch en niet zomaar te vervangen vanwege kosten, afhankelijkheden, certificering of productiestilstand.
🔍 Wat is het verschil tussen legacy en moderne systemen?
| Aspect | Legacy systemen | Moderne systemen |
|---|---|---|
| Beveiliging | Zeer beperkt of afwezig | Ingebouwde Access Control, TLS en logging |
| Ondersteuning | Verlopen of op aflopende basis | Regelmatige updates en support |
| Netwerkprotocollen | Serieel, propriëtair, OPC Classic | Ethernet, OPC UA, MQTT |
| Onderhoud | Complex, handmatig, kennis bij enkelen | Centraal beheer, maar updates in OT nog steeds na testen in een onderhoudsvenster |
| Levensduur | Vaak al 15–25+ jaar in bedrijf | Gepland met een expliciete lifecycle |
⚠️ Welke risico’s brengen legacy systemen met zich mee?
- Bekende, ongepatchte kwetsbaarheden - in mei 2017 verspreidde WannaCry zich via de SMBv1-kwetsbaarheid (MS17-010). Microsoft bracht op 13 mei 2017 uitzonderlijk nog een patch uit voor het al lang niet ondersteunde Windows XP, een teken van hoe groot het probleem was.
- Storingen door moderne updates - de DCOM-hardening van Microsoft (CVE-2021-26414) werd op 14 maart 2023 definitief afgedwongen. Oude OPC DA-koppelingen tussen computers konden daardoor stoppen als client en server niet goed waren geconfigureerd.
- Beschikbaarheid - falende hardware zonder leverbare reserveonderdelen kan een productielijn dagen stilleggen.
- Geen zicht - legacy apparaten loggen weinig, waardoor een aanval of storing lang onopgemerkt blijft.
- Kennisverlies - documentatie ontbreekt en de engineers die het systeem bouwden zijn vertrokken.
🔐 Hoe beveiligt u legacy systemen die niet te patchen zijn?
Als patchen niet kan, beschermt u het systeem van buitenaf met compenserende maatregelen. IEC 62443-3-3 noemt dit compensating countermeasures: ze overbruggen het verschil tussen het gewenste security level van een zone en wat het apparaat zelf kan.
- Segmentatie via Firewall, VLAN of het Zone and Conduits-model - plaats legacy apparaten in een eigen zone en laat alleen de strikt noodzakelijke verbindingen toe
- Gecontroleerde toegang - gebruik een Jump Server of Bastion Host voor beheer, nooit directe toegang vanaf kantoor of internet
- Whitelisting en Application Control - op oude Windows-systemen kan alleen goedgekeurde software draaien, ook zonder actuele virusscanner
- Monitoring via IDS, SIEM of anomaliedetectie - passief meekijken op het netwerk geeft zicht zonder het apparaat te belasten
- Herstelbaarheid - een immutable backup of snapshots van gevirtualiseerde systemen vervangen geen patch, maar zorgen dat u na een incident snel terug bent
- Risico’s vastleggen - documenteer kwetsbaarheden, compenserende maatregelen en restrisico in het risicoregister
Migratie is vaak wenselijk, maar als dat niet direct mogelijk is, zijn compenserende maatregelen essentieel.
🧭 Hoe pakt u legacy systemen stap voor stap aan?
- Inventariseer - breng alle assets in kaart met versie, firmware, besturingssysteem en ondersteuningsstatus in een asset-inventaris.
- Beoordeel het risico - koppel elk systeem aan het proces dat het bestuurt en bepaal de impact van uitval of misbruik.
- Isoleer en monitor - zet de compenserende maatregelen hierboven in, beginnend bij de systemen met de hoogste impact.
- Borg herstel - zorg voor reserveonderdelen, back-ups van PLC-programma’s en een werkend, offline bewaard engineeringstation.
- Plan vervanging - neem migratie op in het lifecyclebeheer en combineer die met geplande stilstanden of revisies.
- Leg contractueel vast - eis bij nieuwe aankopen een ondersteuningsperiode en updatebeleid van de leverancier.
Nederlandse en Europese context. De Cyberbeveiligingswet, de Nederlandse invulling van NIS2 en van kracht sinds 15 augustus 2026, verplicht essentiële en belangrijke entiteiten tot passende maatregelen, ook voor verouderde systemen. De Cyber Resilience Act geldt in principe niet voor producten die vóór 11 december 2027 op de markt kwamen, tenzij ze daarna ingrijpend worden gewijzigd. De meldplicht voor actief misbruikte kwetsbaarheden, vanaf 11 september 2026, geldt voor fabrikanten wél ook voor die oudere producten. Ook NIST SP 800-82 (revisie 3, september 2023) behandelt legacy OT expliciet.
❓ Veelgestelde vragen
Waarom worden legacy systemen in OT niet gewoon vervangen?
Legacy systemen in OT besturen vaak processen die niet mogen stilvallen, en vervanging vraagt om nieuwe engineering, testen en soms hervalidatie of hercertificering. De kosten en de productiestilstand wegen daardoor vaak zwaarder dan het voordeel op korte termijn. Daarom kiezen organisaties eerst voor isolatie en monitoring en plannen ze vervanging bij een revisie.
Is Windows XP in een fabriek nog verantwoord?
Windows XP krijgt sinds 8 april 2014 geen reguliere beveiligingsupdates meer en is daarom alleen verantwoord als het systeem streng is afgeschermd. Denk aan een eigen netwerkzone, application whitelisting, geen internet- of e-mailtoegang en beheer via een jump server. Ook dan hoort het systeem op een vervangingsplanning te staan.
Wat zijn compenserende maatregelen voor legacy systemen?
Compenserende maatregelen zijn beveiligingsmaatregelen buiten het legacy systeem die opvangen wat het systeem zelf niet kan, zoals segmentatie, firewalls, whitelisting en netwerkmonitoring. IEC 62443 gebruikt hiervoor de term compensating countermeasures. Ze verkleinen het risico, maar nemen de onderliggende kwetsbaarheid niet weg.
Valt een oude PLC onder de Cyber Resilience Act?
Een PLC die vóór 11 december 2027 op de markt is gebracht, valt in principe niet onder de productvereisten van de Cyber Resilience Act, tenzij die daarna ingrijpend wordt gewijzigd. De meldplicht voor actief misbruikte kwetsbaarheden geldt voor de fabrikant wel ook voor zulke oudere producten. De gebruiker blijft daarnaast onder de Cyberbeveiligingswet verantwoordelijk voor passende maatregelen.
Hoe lang gaat een OT-systeem gemiddeld mee?
OT-systemen zoals PLC’s, DCS’en en SCADA-installaties blijven vaak 15 tot 25 jaar of langer in bedrijf, veel langer dan de drie tot vijf jaar van een gemiddelde kantoor-pc. Hardware en besturingssystemen raken daardoor halverwege de levensduur van de installatie al uit ondersteuning. Dat verschil is de kern van het legacy-probleem in OT.
Helpt virtualisatie bij legacy systemen?
Virtualisatie kan een oud besturingssysteem loskoppelen van falende hardware, zodat een legacy SCADA- of HMI-applicatie op moderne servers blijft draaien. Snapshots maken herstel daarbij sneller. Virtualisatie lost de softwarekwetsbaarheden van het legacy systeem zelf echter niet op, dus segmentatie en monitoring blijven nodig.
📌 Samengevat
Legacy systemen zijn verouderde maar functionele systemen die vaak kritieke processen in OT ondersteunen, terwijl de leverancier ze niet meer of nauwelijks onderhoudt. Omdat ze niet te patchen of snel te vervangen zijn, beschermt u ze met segmentatie, gecontroleerde toegang, whitelisting en monitoring, legt u het restrisico vast en plant u migratie binnen het lifecyclebeheer.