NAC

Wat is NAC?

Network Access Control (NAC) is een beveiligingsoplossing die bij elke netwerkaansluiting vaststelt welk apparaat of welke gebruiker verbinding maakt, controleert of dat apparaat aan het beleid voldoet en op basis daarvan toegang verleent, beperkt of weigert. NAC is daarmee een vorm van toegangscontrole op netwerkniveau: de switchpoort of het wifi-toegangspunt gaat pas open na authenticatie en autorisatie. In OT-omgevingen houdt NAC onbekende laptops, rogue devices en besmette apparatuur buiten het industriële netwerk, zonder dat de beschikbaarheid van het proces in gevaar komt.

🧠 Wat doet NAC precies?

Een NAC-oplossing doorloopt bij elke verbinding dezelfde vijf stappen:

1. Identificeren - wie of wat probeert verbinding te maken: een gebruiker, een certificaat, een MAC-adres of een herkend apparaattype.
2. Controleren (posture) - voldoet het apparaat aan het beleid, bijvoorbeeld een actieve virusscanner, actuele patches of de juiste firmware? Dit kan vooral bij Windows-laptops en engineeringwerkplekken; een PLC kan geen posture-agent draaien.
3. Autoriseren - op basis van identiteit, rol (RBAC) en apparaatprofiel bepaalt de policy server welke rechten het apparaat krijgt.
4. Toewijzen of blokkeren - het apparaat komt in een specifiek VLAN, krijgt een toegangslijst (ACL) mee, of belandt in een quarantainenetwerk.
5. Bewaken - ook na de verbinding blijft NAC het apparaat volgen. Verandert het gedrag of de status, dan kan de policy server de toegang tussentijds aanpassen of beëindigen.

🔧 Hoe werkt NAC technisch?

De meeste NAC-oplossingen bouwen op de standaard 802.1X (IEEE Port-Based Network Access Control). Die kent drie rollen:

Tussen apparaat en switch loopt EAP over LAN (EAPOL); de switch stuurt het verzoek door naar de RADIUS-server (UDP-poort 1812). EAP-TLS met apparaatcertificaten is de sterkste variant en vraagt om goed certificaatbeheer. De huidige versie is IEEE 802.1X-2020; die regelt ook de sleuteluitwisseling voor MACsec-versleuteling (IEEE 802.1AE).

Veel OT-apparaten hebben geen supplicant. Voor hen bestaat MAC Authentication Bypass (MAB): de switch leert het MAC-adres van het eerste pakket en vraagt de RADIUS-server of dat adres op de lijst staat. Met RADIUS Change of Authorization (CoA, RFC 5176, UDP-poort 3799) kan de policyserver een lopende sessie achteraf herauthenticeren, naar een ander VLAN verplaatsen of afsluiten.

Daarnaast profileert NAC apparaten: aan de hand van DHCP-opties, LLDP/CDP, de fabrikantcode in het MAC-adres en verkeerspatronen herkent het een PLC, HMI, SCADA-server of IoT-sensor.

🏭 Waarom is NAC in OT anders dan in IT?

NAC is ontstaan in kantoornetwerken, waar IT vooral laptops en telefoons beheert. In een productieomgeving gelden andere spelregels:

De kernregel in OT: een NAC-beslissing mag nooit een draaiend proces onderbreken. Daarom worden vaste controllers meestal vooraf geregistreerd, en blokkeert NAC vooral op poorten waar laptops van onderhoud en leveranciers worden aangesloten. Ontwerp het beleid daarom rond risicoprofielen, zoals vaste procesapparatuur, eigen engineeringlaptops en leveranciers. Leveranciers krijgen via gasttoegang tijdelijk en gelogd toegang tot alleen het segment waar zij moeten zijn.

🔐 Welke risico’s dekt NAC af, en welke niet?

NAC heeft ook grenzen. MAB is te omzeilen met MAC-spoofing: wie het adres van een geregistreerde PLC overneemt, krijgt dezelfde toegang. NAC vervangt daarom geen netwerksegmentatie of firewalls tussen zones, en ook geen fysieke afsluiting van kasten en switchpoorten. Combineer het met port security en anomaliedetectie om gespoofde apparaten te ontdekken.

🧭 Hoe voert u NAC stapsgewijs in een OT-omgeving in?

1. Inventariseer eerst - breng met asset discovery en passieve monitoring in kaart welke apparaten op welke poort zitten.
2. Begin in monitor-modus - NAC logt en profileert, maar blokkeert niets. Zo ziet u welke apparaten zouden falen.
3. Ga naar low-impact-modus - tijdkritisch verkeer zoals DHCP mag vóór authenticatie door; alleen de rest wordt beperkt.
4. Pas timers aan - standaard wacht een Cisco-switch drie keer 30 seconden (90 seconden) op 802.1X voordat hij terugvalt op MAB. Voor apparaten die direct na een herstart moeten communiceren is dat te lang; kies MAB-eerst of kortere timers en test dat.
5. Regel uitval - bepaal wat er gebeurt als de RADIUS-server onbereikbaar is. In OT kiest men meestal voor fail-open naar een kritiek VLAN, zodat een storing in de NAC-server geen productiestop veroorzaakt.
6. Handhaaf gefaseerd - begin met handhaving op poorten voor leveranciers en remote access, daarna kantoor- en engineeringzones, en pas als laatste het controlenetwerk zelf.
7. Koppel aan monitoring - stuur NAC-events naar de SIEM en laat de firewall dynamisch regels toepassen op basis van de NAC-status.

🔄 Hoe past NAC in normen en wetgeving?

• IEC 62443 - IEC 62443-3-3 vraagt vanaf Security Level 2 authenticatie van apparaten en softwareprocessen (SR 1.2) en een componenteninventaris (SR 7.8). NAC is een praktische manier om beide aan te tonen, ook in het zone- en conduitmodel.
• NIS2 en de Cyberbeveiligingswet - artikel 21 van NIS2 noemt toegangsbeleid en assetbeheer als zorgplichtmaatregel. De Nederlandse Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden.
• ISO 27001 - de Annex A-maatregelen voor netwerkbeveiliging en toegangsbeheer zijn met NAC te onderbouwen.
• Zero Trust - NAC levert de apparaatidentiteit en -status waarop zero-trustbeslissingen rusten; het is één bouwsteen, niet de hele architectuur.

Geen van deze kaders schrijft een NAC-product voor; ze vragen om aantoonbare controle over wie en wat op het netwerk zit.

❓ Veelgestelde vragen

Wat is het verschil tussen NAC en 802.1X?

802.1X is de IEEE-standaard voor poortgebaseerde toegangscontrole tussen apparaat, switch en authenticatieserver. NAC is de bredere oplossing die 802.1X gebruikt, maar daarnaast profilering, posture-checks, gastenbeheer, MAB en dynamische handhaving toevoegt.

Werkt NAC met PLC’s die geen 802.1X ondersteunen?

Ja, NAC gebruikt voor PLC’s zonder supplicant meestal MAC Authentication Bypass in combinatie met profilering. Omdat een MAC-adres te vervalsen is, hoort daar aanvullende bewaking bij, zoals anomaliedetectie en port security.

Kan NAC de productie stilleggen?

Een verkeerd ingestelde NAC kan een controller van het netwerk afsluiten, bijvoorbeeld na een herstart of een uitval van de RADIUS-server. Daarom begint een OT-invoering in monitor-modus, met fail-open-instellingen en handhaving eerst op randpoorten.

Wat is MAC Authentication Bypass?

MAC Authentication Bypass (MAB) is een terugvaloptie waarbij de switch het MAC-adres van een apparaat aan de RADIUS-server voorlegt in plaats van een 802.1X-authenticatie. MAB is bedoeld voor apparaten zonder supplicant, zoals printers, camera’s en veel OT-componenten.

Is NAC verplicht onder NIS2?

NIS2 en de Cyberbeveiligingswet schrijven geen specifiek product voor, maar eisen wel toegangsbeleid en assetbeheer. NAC is een veelgebruikte manier om aan te tonen dat alleen bekende en geautoriseerde apparaten op het netwerk komen.

Welke leveranciers bieden NAC aan?

Bekende NAC-platformen zijn onder meer Cisco ISE, HPE Aruba Networking ClearPass, Forescout en Fortinet FortiNAC. Voor OT is vooral belangrijk dat het platform passief kan profileren en industriële protocollen herkent.

📌 Samengevat

Network Access Control (NAC) is de digitale poortwachter van uw netwerk: het bepaalt per aansluiting wie of wat verbinding maakt, onder welke voorwaarden en met welke rechten. In OT werkt NAC met 802.1X waar het kan en MAB met profilering waar het moet, ingevoerd in fasen zodat beveiliging nooit ten koste gaat van de beschikbaarheid van het proces.