OPC UA

Wat is OPC UA?

OPC UA (Open Platform Communications Unified Architecture) is een open, platformonafhankelijke standaard van de OPC Foundation voor veilige, gestructureerde en interoperabele gegevensuitwisseling tussen machines, controllers en softwaresystemen, internationaal vastgelegd als IEC 62541. OPC UA combineert een servicegerichte communicatiearchitectuur met een objectgeoriënteerd informatiemodel: een server levert niet alleen meetwaarden, maar ook hun betekenis, eenheid en context. Het is de opvolger van de Windows-gebonden OPC Classic-standaarden en is ontworpen met focus op beveiliging, schaalbaarheid en flexibiliteit. Daarmee is OPC UA een van de belangrijkste bouwstenen van industriële automatisering en Industrie 4.0.

🧠 Wat doet OPC UA?

OPC UA fungeert als een brug tussen verschillende systemen en protocollen in de OT- en IT-wereld. Het maakt het mogelijk om:

• Data verzamelen — meetwaarden uit machines, PLC’s en sensoren veilig uitlezen, abonneren op wijzigingen en historische waarden opvragen
• Betekenis toevoegen — data structureren in informatiemodellen met typen, eenheden, bereiken en relaties
• Systemen koppelen — SCADA, MES, ERP, historians en cloudplatforms op één uniforme manier aansluiten
• Acties uitvoeren — methoden aanroepen, zoals het starten van een recept of het resetten van een teller
• Gebeurtenissen en alarmen doorgeven — met tijdstempel, ernst en bevestigingsstatus

Toepassingen lopen uiteen van machine-naar-machinecommunicatie (M2M) en de koppeling van PLC’s aan SCADA of MES tot data-uitwisseling met cloudplatforms zoals Azure en AWS in IIoT-architecturen.

🕰️ Hoe is OPC UA ontstaan?

De eerste OPC-standaard verscheen in 1996 als OLE for Process Control. Dat OPC Classic bestond uit losse specificaties zoals OPC DA (actuele data), OPC HDA (historische data) en OPC A&E (alarmen en events). Ze leunden allemaal op Microsoft COM/DCOM. Dat leverde in de praktijk drie problemen op: OPC werkte alleen op Windows, DCOM was lastig door firewalls te krijgen en de beveiliging hing af van foutgevoelige Windows-instellingen.

OPC UA is vanaf het begin zonder DCOM ontworpen en draait daardoor op Windows, Linux, realtime besturingssystemen en kleine embedded apparaten. De OPC Foundation telde eind 2025 ruim 1.000 leden en publiceerde dat jaar 20 nieuwe companion specifications.

🔧 Hoe werkt OPC UA technisch?

OPC UA is opgebouwd uit lagen die los van elkaar kunnen worden gekozen:

• Adresruimte en informatiemodel — alle data is een netwerk van nodes (objecten, variabelen, methoden, typen) met referenties ertussen. Een client kan door de server bladeren en ontdekt zo zelf wat er beschikbaar is.
• Services — gestandaardiseerde diensten zoals Read, Write, Browse, Call en Subscriptions met MonitoredItems, zodat de server alleen wijzigingen doorstuurt in plaats van dat de client continu pollt.
• Codering — compacte UA Binary-codering of JSON.
• Transport — opc.tcp (binair over TCP/IP, standaard poort 4840), HTTPS (beveiligd HTTP) en WebSockets voor client/server, en UDP, Ethernet, MQTT of AMQP voor PubSub.

Client/server of PubSub?

OPC UA PubSub is beschreven in Part 14 en vormt de basis voor deterministische communicatie over TSN (Time-Sensitive Networking).

🧩 Wat zijn informatiemodellen en companion specifications?

De grootste kracht van OPC UA is semantiek. Een basismodel beschrijft generieke begrippen zoals apparaten, alarmen en programma’s. Branches leggen daar in companion specifications gestandaardiseerde modellen bovenop, vaak samen met organisaties als VDMA, NAMUR of PROFIBUS & PROFINET International. Er bestaan er inmiddels tientallen. Bekende voorbeelden:

Ook andere architecturen bouwen op die modellen. Module Type Package (VDI/VDE/NAMUR 2658) gebruikt OPC UA als runtime-interface tussen procesmodule en orkestratielaag. NAMUR Open Architecture ontsluit procesdata via een OPC UA-informatiemodel. De OPC Foundation en de Industrial Digital Twin Association werken samen aan een koppeling met de Asset Administration Shell.

🔄 Hoe verschilt OPC UA van andere protocollen?

OPC UA vervangt veldbussen meestal niet, maar zit erboven. Een PLC praat via PROFINET of EtherNet/IP met I/O en via OPC UA met SCADA, MES en cloud. Met OPC UA FX en TSN schuift OPC UA wel richting de veldlaag.

🔐 Hoe is OPC UA beveiligd?

OPC UA heeft beveiliging in het protocol zelf, in tegenstelling tot de meeste oudere industriële protocollen. Het Duitse BSI concludeerde in 2016 dat de specificatie geen systematische zwakheden bevat. Beveiliging werkt op drie niveaus:

• Applicatieauthenticatie — elke client en server heeft een eigen X.509-applicatiecertificaat. Beide partijen vertrouwen elkaar pas als het certificaat in hun trust list staat. Een Global Discovery Server (Part 12) kan certificaten en trust lists centraal beheren; zie ook certificaatbeheer.
• Berichtbeveiliging — de security mode is None, Sign (integriteit) of SignAndEncrypt (integriteit en versleuteling). De security policy bepaalt de algoritmen: Basic128Rsa15 en Basic256 zijn verouderd, Basic256Sha256, Aes128_Sha256_RsaOaep en Aes256_Sha256_RsaPss zijn de huidige keuzes.
• Gebruikersauthenticatie — via anoniem, gebruikersnaam en wachtwoord, een X.509-gebruikerscertificaat of een uitgegeven token (bijvoorbeeld Kerberos of JWT). Daarna bepaalt toegangscontrole per node wie mag lezen, schrijven of methoden aanroepen, eventueel rolgebaseerd (RBAC).

Daarnaast ondersteunt OPC UA auditing-events en logging van beveiligingsrelevante acties.

⚠️ Welke kwetsbaarheden en risico’s kent OPC UA?

Goede beveiliging in de standaard betekent niet dat elke installatie veilig is. De zwakke plekken zitten vooral in configuratie en implementatie:

• Onveilige configuratie — een internetbrede scan uit 2020 vond dat 92% van de bereikbare OPC UA-servers gebreken had: een kwart zonder toegangscontrole, een kwart met beveiliging uitgeschakeld en een kwart met verouderde cryptografie. Honderden apparaten deelden zelfs hetzelfde certificaat.
• Implementatiefouten — onderzoekers van Claroty Team82 vonden rond de 50 kwetsbaarheden in ongeveer 15 OPC UA-stacks en -producten, onder meer tijdens Pwn2Own ICS 2022 en 2023. Veel daarvan zijn als CVE gepubliceerd en vragen om patchmanagement.
• Aanvalstools — de in 2022 ontdekte ICS-malware PIPEDREAM bevat de module MOUSEHOLE, die OPC UA-servers zoekt, met standaard- of gestolen inloggegevens verbindt en tags kan uitlezen en wijzigen.
• Discovery en beschikbaarheid — het BSI wees in zijn update van 2022 op mDNS-discovery zonder beveiliging en beperkte bescherming tegen overbelasting (DoS).

🧭 Hoe richt u OPC UA veilig in?

Een praktische aanpak, in lijn met IEC 62443 en hardening:

1. Inventariseer endpoints — breng alle OPC UA-servers en -clients in kaart, inclusief ingebouwde servers in PLC’s en edge-gateways.
2. Schakel None uit — gebruik SignAndEncrypt met minimaal Basic256Sha256 en verwijder verouderde policies.
3. Verbied anonieme toegang — eis gebruikersauthenticatie en geef alleen de rechten die nodig zijn; maak schrijf- en methode-rechten expliciet.
4. Beheer certificaten — gebruik unieke certificaten per applicatie, accepteer niet automatisch onbekende certificaten en regel vervanging en intrekking (CRL), bij voorkeur via een GDS.
5. Segmenteer het netwerk — plaats servers in zones volgens IEC 62443-3-3 en netwerksegmentatie; open poort 4840 alleen tussen bekende systemen en gebruik voor IT-toegang een DMZ of Reverse Connect, waarbij de server de verbinding naar buiten opzet.
6. Patch en monitor — houd stacks en producten actueel, volg leveranciersadviezen en log mislukte verbindingen en certificaatfouten.

In Nederland vallen veel gebruikers van OPC UA onder NIS2, in de Nederlandse uitwerking de Cyberbeveiligingswet. Fabrikanten van producten met een OPC UA-interface krijgen daarnaast te maken met de Cyber Resilience Act: de meldplicht voor actief misbruikte kwetsbaarheden geldt sinds 11 september 2026, de volledige eisen vanaf 11 december 2027.

🏗️ Hoe ziet een typische OPC UA-architectuur eruit?

• Veld- en besturingslaag — sensoren en actuatoren communiceren via veldbussen met de PLC. Veel moderne PLC’s hebben zelf een ingebouwde OPC UA-server; oudere systemen krijgen een gateway of embedded server.
• Toezichtlaag — SCADA en HMI zijn OPC UA-clients die abonneren op tags en alarmen.
• Operationele laag — MES en historian lezen productie- en procesdata, vaak via een aggregerende server.
• Bedrijfs- en cloudlaag — ERP en cloudplatforms ontvangen data via een edge-gateway of via OPC UA PubSub over MQTT.

❓ Veelgestelde vragen

Welke poort gebruikt OPC UA?

OPC UA gebruikt standaard TCP-poort 4840 voor het binaire opc.tcp-protocol; deze poort is bij IANA geregistreerd en wordt ook door de Local Discovery Server gebruikt. Veel producten draaien daarnaast op een eigen poort, zoals 49320 bij Kepware. Open in de firewall alleen de poorten die echt in gebruik zijn.

Is OPC UA hetzelfde als IEC 62541?

OPC UA wordt ontwikkeld door de OPC Foundation en daarna als internationale norm IEC 62541 uitgebracht. De IEC-delen volgen de OPC-specificaties met enige vertraging. In de praktijk verwijzen leveranciers meestal naar de OPC-versie, zoals 1.04 of 1.05.

Is OPC UA standaard veilig?

OPC UA biedt sterke beveiliging met certificaten, ondertekening en versleuteling, maar die moet wel worden ingeschakeld. Veel installaties draaien nog met security mode None of met anonieme toegang. OPC UA is dus zo veilig als de configuratie.

Wat is het verschil tussen OPC UA en MQTT?

MQTT is een licht berichtenprotocol dat alleen bytes transporteert, zonder vastgelegde betekenis. OPC UA definieert ook het informatiemodel, de services en de beveiliging. Via OPC UA PubSub kan OPC UA juist MQTT als transport gebruiken, zodat beide elkaar aanvullen.

Wat is OPC UA FX?

OPC UA FX (Field eXchange) is een uitbreiding van OPC UA voor communicatie op de veldlaag, waarvan de eerste specificaties in november 2022 verschenen. OPC UA FX richt zich eerst op controller-naar-controllercommunicatie via PubSub over UDP, met TSN voor deterministisch gedrag. Later volgen controller-naar-apparaat- en veiligheidstoepassingen.

Vervangt OPC UA OPC Classic?

OPC UA is de opvolger van OPC Classic (OPC DA, HDA en A&E) en werkt zonder DCOM op elk platform. Bestaande OPC Classic-servers kunnen via wrappers of gateways toch via OPC UA worden ontsloten. Voor nieuwe projecten is OPC UA de logische keuze.

📌 Samengevat

OPC UA is de open standaard (IEC 62541) die industriële data niet alleen transporteert, maar ook betekenis en beveiliging meegeeft. Met client/server en PubSub, companion specifications per branche en certificaatgebaseerde security vormt OPC UA de ruggengraat van Industrie 4.0, mits u de beveiliging ook echt inschakelt en beheert.