Wat is een OT-netwerk?
Een OT-netwerk (Operational Technology-netwerk) is het communicatienetwerk dat PLC’s, HMI’s, SCADA-systemen, sensoren, actuatoren en andere procesapparatuur met elkaar verbindt om industriële processen en fysieke systemen aan te sturen, te bewaken en te beveiligen. U vindt het in fabrieken, energiecentrales, waterzuiveringen, gemalen, tunnels en gebouwen. Anders dan een kantoornetwerk vervoert een OT-netwerk geen documenten of e-mail, maar meetwaarden en stuuropdrachten die op tijd moeten aankomen: een pakket dat te laat komt, kan een machine laten stilvallen of een veiligheidsfunctie laten ingrijpen.
In tegenstelling tot IT-netwerken draait een OT-netwerk om beschikbaarheid, betrouwbaarheid en deterministisch gedrag, vaak in real-time.
🧠 Hoe werkt een OT-netwerk?
Een OT-netwerk verbindt drie soorten componenten:
- Besturing - PLC’s, DCS-controllers en veiligheidssystemen voeren de regel- en beveiligingslogica uit
- Veld - IO-modules, Remote IO, sensoren, frequentieregelaars en ventielen communiceren via veldbussen of Ethernet
- Supervisie - SCADA, HMI’s, historians en engineeringstations verzamelen data, tonen het proces en slaan meetwaarden op
Het verkeer heeft een eigen karakter. Een controller wisselt cyclisch in- en uitgangen uit met zijn veldapparaten, vaak elke 1 tot 100 milliseconden, en altijd met dezelfde partners. Daarnaast is er acyclisch verkeer voor parameters, diagnose en engineering, en supervisieverkeer waarin SCADA de controllers periodiek uitleest. Omdat het verkeerspatroon zo voorspelbaar is, valt een nieuwe verbinding of een onbekend protocol snel op, wat anomaliedetectie in OT goed bruikbaar maakt.
🧱 Uit welke lagen en zones bestaat een OT-netwerk?
De meeste OT-netwerken zijn ingedeeld volgens het Purdue Model, een referentiemodel uit de vroege jaren negentig van Theodore Williams en de Purdue University, dat later de basis werd van ISA-95. Elke laag krijgt een eigen netwerksegment:
| Purdue-niveau | Inhoud | Typisch netwerk |
|---|---|---|
| Niveau 0–1 | Sensoren, actuatoren, I/O en controllers | Veldbus of veldnetwerk (ProfiNET, Ethernet IP, Ethernet-APL) |
| Niveau 2 | SCADA, HMI, lokale engineering | Control network en supervisory network |
| Niveau 3 | Historian, MES, domeincontrollers voor OT | Site operations-netwerk |
| Niveau 3,5 | Jump servers, patchservers, datareplicatie | IDMZ tussen OT en IT |
| Niveau 4–5 | ERP, e-mail, internet, cloud | Kantoor- en bedrijfsnetwerk (IT) |
Tussen IT en OT staat idealiter geen directe route: verkeer eindigt in de IDMZ (een industriële DMZ), achter een firewall of in één richting via een datadiode. IEC 62443-3-2 deelt een installatie op basis van een risicoanalyse in zones met gemeenschappelijke beveiligingseisen en conduits als gecontroleerde verbindingen ertussen, het zones-en-conduits-model. De Purdue-lagen zijn daarvoor een gebruikelijk startpunt, maar geen vervanging.
🔧 Welke protocollen gebruikt een OT-netwerk?
OT-netwerken gebruiken naast gewone TCP/IP een reeks industriële protocollen. Veel daarvan zijn ontworpen voor gesloten netwerken en hebben geen authenticatie of versleuteling.
| Protocol | Transport | Typische toepassing |
|---|---|---|
| Modbus TCP | TCP-poort 502 | Eenvoudige uitwisseling met PLC’s, meters en gebouwautomatisering |
| ProfiNET RT/IRT | Direct op Ethernet (laag 2, niet routeerbaar) | Cyclische I/O; RT rond 1 ms, IRT tot 31,25 µs met speciale hardware |
| Ethernet IP | TCP 44818 (expliciet), UDP 2222 (I/O) | Fabrieksautomatisering, vooral met Rockwell-apparatuur |
| OPC UA | TCP 4840 (standaard) | Leveranciersonafhankelijke data-uitwisseling, met ingebouwde security |
| DNP3 / IEC 60870-5-104 | TCP 20000 / TCP 2404 | Telemetrie in energie- en waterdistributie |
| IEC 61850 | Ethernet (GOOSE) en MMS | Automatisering van onderstations |
Twee technieken maken Ethernet geschikter voor harde tijdseisen: Precision Time Protocol (IEEE 1588) synchroniseert klokken tot op microseconden, en TSN (Time-Sensitive Networking, een reeks IEEE 802.1-standaarden) reserveert tijdsloten voor kritisch verkeer. Veiligheidsfuncties lopen via een “black channel”-protocol zoals PROFIsafe of CIP Safety, dat zelf de integriteit en tijdigheid bewaakt, ongeacht het onderliggende netwerk.
🔄 Wat is het verschil tussen een OT-netwerk en een IT-netwerk?
| Kenmerk | OT-netwerk | IT-netwerk |
|---|---|---|
| Doel | Aansturen van machines en processen | Beheer van data, applicaties en gebruikers |
| Prioriteit | Beschikbaarheid en integriteit, dan vertrouwelijkheid | Vertrouwelijkheid en integriteit, dan beschikbaarheid |
| Protocollen | ProfiNET, Modbus, OPC UA, Ethernet IP | TCP/IP, HTTPS, LDAP |
| Apparatuur | PLC’s, sensoren, HMI’s, industriële switches | Servers, laptops, printers |
| Tijdseisen | Milliseconden, voorspelbaar (latency en jitter tellen) | Best effort, vertraging hinderlijk maar niet gevaarlijk |
| Beveiliging | Weinig ingebouwd, steunt op segmentatie | Meerlaagse, standaard beveiliging |
| Wijzigingen | Alleen in onderhoudsvensters, na test | Regelmatig en grotendeels geautomatiseerd |
| Leveranciers | Vaak leverancierspecifieke hardware en protocollen | Grotendeels gestandaardiseerd en uitwisselbaar |
| Levenscyclus | Lang (15–25 jaar of meer) | Kort (3–5 jaar) |
Het grootste praktische verschil is de reactie op een storing. In IT is een herstart vervelend; in OT kan hij een batch bederven of een installatie stilleggen. Daarom zijn patchmanagement en actief scannen in OT complexer: een agressieve netwerkscan kan een oudere PLC laten vastlopen.
🏭 Hoe zorgt een OT-netwerk voor hoge beschikbaarheid?
Industriële netwerken gebruiken robuuste hardware en redundante topologieën. Managed switches met DIN-railmontage, een breed temperatuurbereik en dubbele voeding zijn standaard. Voor de topologie zijn er vier gangbare oplossingen:
| Techniek | Norm | Topologie | Hersteltijd bij een storing |
|---|---|---|---|
| RSTP | IEEE 802.1w / 802.1D | Willekeurig (boom, ring, mesh) | Honderden milliseconden tot enkele seconden |
| MRP | IEC 62439-2 | Ring, tot 50 switches | Maximaal 500, 200 of 30 ms (10 ms bij max. 14 switches) |
| PRP | IEC 62439-3 | Twee onafhankelijke parallelle netwerken | 0 ms, elk frame gaat dubbel |
| HSR | IEC 62439-3 | Ring, frames in beide richtingen | 0 ms |
De keuze volgt uit het proces: een ring met MRP volstaat voor de meeste machines, terwijl onderstations en kritische procesinstallaties PRP of HSR gebruiken omdat zelfs 30 ms onderbreking daar te lang is. Meer over ringen leest u bij Ring Redundancy.
🔐 Hoe beveiligt u een OT-netwerk?
De beveiliging volgt Defense in Depth: meerdere lagen, omdat geen enkele maatregel alles tegenhoudt.
- Segmentatie - scheid IT en OT, en binnen OT de productielijnen of procesdelen, met industriële firewalls, VLAN’s en protocolfiltering (zie Netwerksegmentatie)
- Geen open toegang van buiten - leveranciers en monteurs werken via remote access met MFA en een jump server in de IDMZ
- Zicht op het netwerk - een actuele asset-inventaris en passieve monitoring via SPAN-poorten of TAP’s, gekoppeld aan een OT-IDS en een SIEM
- Hardening - ongebruikte poorten en diensten uit, standaardwachtwoorden weg, firmware alleen na test bijwerken
- Herstel - back-ups van PLC-programma’s en switchconfiguraties, offline bewaard
Een echte air gap komt minder vaak voor dan gedacht. Stuxnet bewees in 2010 dat een geïsoleerd netwerk via USB-sticks bereikbaar is, en de meeste installaties hebben inmiddels koppelingen voor data, onderhoud of cloudanalyse. Door OT-convergentie krijgen OT-netwerken te maken met malware, ransomware en insider threats die vroeger alleen IT raakten.
🛠️ Hoe ontwerpt u een OT-netwerk stap voor stap?
- Inventariseer alle apparaten, protocollen en communicatierelaties. Zonder kaart is segmenteren gokken.
- Deel in zones in op basis van risico en functie, volgens IEC 62443-3-2. Begin grof: IT, IDMZ, site-OT, per productielijn of proceseenheid een cel.
- Bepaal het doelbeveiligingsniveau per zone en leid de technische eisen af uit IEC 62443-3-3.
- Ontwerp de conduits: welke verbinding mag welk protocol, in welke richting, naar welke bestemming. Alles wat niet expliciet nodig is, wordt geblokkeerd.
- Kies de redundantie per zone op basis van de toegestane onderbrekingstijd van het proces.
- Plan tijdsynchronisatie en adressering: vaste IP-adressen, een adresplan per zone en een betrouwbare tijdsbron voor logging en sequence-of-events.
- Richt monitoring en beheer in en documenteer alles, zodat wijzigingen via change management lopen.
Nederlandse en Europese context. Sinds 15 augustus 2026 gelden de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit, de Nederlandse invulling van NIS2. Voor veel energie-, water-, voedingsmiddelen- en maakbedrijven valt het OT-netwerk daarmee onder de zorgplicht en de meldplicht. De Cyber Resilience Act stelt daarnaast eisen aan producten zoals industriële switches en firewalls: de meldplicht voor actief misbruikte kwetsbaarheden geldt vanaf 11 september 2026, de volledige toepassing vanaf 11 december 2027. NIST SP 800-82 (revisie 3, september 2023) is een veelgebruikte, gratis gids voor OT-beveiliging.
❓ Veelgestelde vragen
Wat is het verschil tussen een OT-netwerk en een ICS?
Een ICS (industrial control system) is het geheel van besturingssystemen, zoals PLC’s, DCS en SCADA. Het OT-netwerk is de communicatie-infrastructuur waarover die systemen met elkaar en met het veld praten. Elk ICS heeft een OT-netwerk nodig, maar het netwerk is slechts één onderdeel ervan.
Kan een OT-netwerk gewoon Ethernet gebruiken?
Ja, de meeste moderne OT-netwerken gebruiken Ethernet, maar met industriële protocollen en robuuste industriële switches. Voor harde tijdseisen worden technieken zoals PROFINET IRT, TSN en Precision Time Protocol toegevoegd. Met Ethernet-APL reikt Ethernet tot in de veldlaag: 10 Mbit/s over één aderpaar, met trunks tot 1.000 meter en spurs tot 200 meter, ook in explosiegevaarlijke zones.
Is een air gap voldoende om een OT-netwerk te beveiligen?
Nee, een air gap alleen is geen betrouwbare beveiliging van een OT-netwerk. USB-sticks, onderhoudslaptops en vergeten verbindingen kunnen de scheiding omzeilen, zoals Stuxnet liet zien. Een veilig OT-netwerk combineert segmentatie, toegangsbeheer, monitoring en herstelplannen.
Waarom kunt u een OT-netwerk niet gewoon scannen zoals een IT-netwerk?
Oudere PLC’s en veldapparaten hebben beperkte netwerkstacks die kunnen vastlopen door onverwachte pakketten of hoge scansnelheden. Daarom brengen beheerders een OT-netwerk bij voorkeur passief in kaart, via een SPAN-poort of TAP. Actief scannen gebeurt alleen gericht, met lage snelheid en in een onderhoudsvenster.
Welke normen gelden voor de beveiliging van een OT-netwerk?
De belangrijkste norm is IEC 62443, met deel 3-2 voor zones en conduits en deel 3-3 voor de technische systeemeisen per beveiligingsniveau. NIST SP 800-82 geeft praktische richtlijnen, en in Nederland stelt de Cyberbeveiligingswet zorg- en meldplichten voor essentiële en belangrijke entiteiten. Samen vormen ze het kader voor het ontwerp en beheer van een OT-netwerk.
Hoe lang gaat apparatuur in een OT-netwerk mee?
Apparatuur in een OT-netwerk blijft vaak 15 tot 25 jaar of langer in gebruik, veel langer dan de 3 tot 5 jaar in IT. Daardoor draaien er legacy systemen zonder actuele beveiligingsupdates. Segmentatie en compenserende maatregelen beschermen die oudere apparatuur tot vervanging mogelijk is.
📌 Samengevat
Een OT-netwerk verbindt besturing, veld en supervisie van een industriële installatie, met voorspelbaar tijdgedrag en hoge beschikbaarheid als belangrijkste eisen. Het is gelaagd volgens het Purdue Model, gebruikt industriële protocollen die vaak geen ingebouwde beveiliging hebben, en vangt storingen op met ringen en parallelle netwerken. Beveiliging rust op zones en conduits volgens IEC 62443, passieve monitoring en gecontroleerde toegang, en valt in Nederland steeds vaker onder de Cyberbeveiligingswet.
Een OT-netwerk is de ruggengraat van industriële automatisering: het moet altijd werken, op tijd leveren en goed gescheiden zijn van de rest van de wereld.