Wat is Remote Maintenance?
Remote maintenance (onderhoud op afstand) is het proces waarbij technici, engineers of leveranciers via een netwerkverbinding vanaf een andere locatie onderhoud, updates, Monitoring of storingsanalyse uitvoeren op industriële systemen zoals PLC’s, HMI’s en SCADA-servers. De verbinding loopt via een VPN, remote desktop, een webportaal of een industriële Remote Access-gateway van de machinebouwer. Remote maintenance bespaart reistijd en stilstand, maar geeft een externe partij tijdelijk invloed op een fysiek proces.
In OT-omgevingen maakt remote maintenance het mogelijk om sneller te reageren op storingen, maar introduceert het ook risico’s op ongeautoriseerde toegang, misconfiguraties en het binnenbrengen van Malware.
🧠 Waarom wordt remote maintenance toegepast?
- Snelle responstijd - geen reistijd bij urgente storingen; een specialist kan binnen minuten meekijken in plaats van na een dag reizen.
- Toegang tot experts - de OEM of systeemintegrator kent de machine het best en kan direct diagnosticeren of configureren.
- Kostenbesparing - minder fysieke interventies en kortere productieonderbrekingen.
- Schaalbaarheid - één team ondersteunt centraal tientallen verspreide locaties, zoals gemalen, windparken of filialen.
- Efficiënte support - Firmware-updates, parameterinstellingen of het tunen van regelkringen op afstand uitvoeren.
- Servicemodellen - conditiebewaking en voorspellend onderhoud door de leverancier vragen een structurele dataverbinding.
🔄 Wat is het verschil tussen remote maintenance en remote access?
Remote Access is de algemene term voor elke verbinding op afstand. Remote maintenance is één toepassing daarvan, met eigen kenmerken: de gebruiker is meestal een externe partij, de sessie heeft een concreet doel en raakt vaak direct de besturing.
| Aspect | Remote access | Remote maintenance |
|---|---|---|
| Gebruiker | Eigen medewerkers, leveranciers, systemen | Vooral leveranciers, integratoren en de eigen storingsdienst |
| Doel | Beheer, thuiswerk, data ophalen | Storing oplossen, update uitvoeren, configuratie wijzigen |
| Duur | Soms permanent | Hoort tijdelijk te zijn, per sessie goedgekeurd |
| Impact | Wisselend | Vaak direct op besturing en proces |
Niet elke sessie is even riskant. Het helpt om onderhoud op afstand in te delen naar wat er gebeurt:
| Vorm | Voorbeeld | Risico | Gebruikelijke voorwaarde |
|---|---|---|---|
| Passief meekijken | Trends en alarmen bekijken | Laag | Alleen-lezen, bij voorkeur via een kopie van de data |
| Diagnose | Diagnosebuffer of logbestanden uitlezen | Laag tot middel | Alleen-lezen rechten, sessie gelogd |
| Actieve ingreep | Parameter of setpoint wijzigen | Hoog | Goedkeuring door operator, die meekijkt |
| Programma- of firmwarewijziging | Nieuw PLC-programma laden | Zeer hoog | Wijzigingsbeheer, back-up, test en een werkvergunning |
🔧 Welke technieken worden gebruikt voor remote maintenance?
| Techniek | Werking | Aandachtspunt |
|---|---|---|
| VPN via IDMZ en Jump Server | Tunnel eindigt in de DMZ, werk gebeurt vanaf een gehard tussenstation | Veilig als de VPN niet direct in het OT-netwerk uitkomt |
| Industriële remote-access-gateway | Router van de machinebouwer met cloudportaal, bijvoorbeeld Siemens SINEMA Remote Connect, HMS Ewon of Secomea | Valt vaak buiten het zicht van de eigen IT; leg het beheer vast |
| Remote-supporttools | TeamViewer, AnyDesk en vergelijkbare tools via een cloudrelay | Omzeilen firewalls en worden vaak buiten beheer geïnstalleerd |
| RMM-platforms | Remote Monitoring and Management van een dienstverlener | Eén gecompromitteerd platform raakt alle klanten tegelijk |
| Modem of ISDN | Inbelverbinding naar een installatie | Verouderd; geldt volgens het Duitse BSI niet meer als stand van de techniek |
Het Duitse BSI beschrijft in de aanbeveling Fernwartung im industriellen Umfeld (BSI-CS 108, versie 2.0 uit 2018) dat analoge en ISDN-modems en PLC’s die rechtstreeks aan internet hangen niet meer voldoen. Moderne oplossingen werken met een uitgaande verbinding vanuit de installatie, zodat er geen inkomende poorten open hoeven.
🔐 Welke risico’s brengt remote maintenance met zich mee?
| Risico | Beschrijving |
|---|---|
| Onbeveiligde verbindingen | Directe toegang tot OT zonder versleuteling of sterke authenticatie |
| Permanente toegang | Inloggegevens blijven geldig buiten werkuren of zonder toezicht |
| Schaduw-IT | Gebruik van niet-goedgekeurde tools of eigen 4G-routers door externe technici |
| Malware via laptops | Externe laptops of USB-sticks brengen virussen of ransomware mee |
| Gedeelde accounts | Eén servicewachtwoord voor alle technici, zodat niemand individueel aanspreekbaar is |
| Gebrek aan logging | Activiteiten worden niet vastgelegd, er blijven geen forensische sporen achter |
| Laterale beweging | Een aanvaller gebruikt de onderhoudsverbinding als springplank binnen het OT-netwerk |
Drie voorvallen laten zien hoe dat misgaat:
- Kaseya VSA (juli 2021) - de ransomwaregroep REvil misbruikte op 2 juli 2021 een zero-day (CVE-2021-30116) in het RMM-platform VSA en verspreidde ransomware als nep-update. Minder dan 60 directe klanten, vooral IT-dienstverleners, werden geraakt, en via hen tot ongeveer 1.500 achterliggende bedrijven.
- Colonial Pipeline (mei 2021) - aanvallers kwamen binnen via een ongebruikt maar nog actief VPN-account zonder MFA.
- Oldsmar (februari 2021) - bij een waterzuivering in Florida werd via TeamViewer het setpoint voor natronloog verhoogd. Of het een inbraak of een fout van een medewerker was, is later in twijfel getrokken, maar het voorval toont hoe weinig controle er was op wie via welke tool het proces kon bedienen.
✅ Welke beveiligingsmaatregelen zijn nodig?
| Maatregel | Beschrijving |
|---|---|
| Jump Server | Afgeschermde tussenstap met logging, inspectie en authenticatie |
| MFA | Extra verificatiestap voor elke externe technicus, met persoonlijke accounts |
| Tijdslot-toegang | Toegang alleen binnen een goedgekeurd tijdvenster of via een werkvergunning |
| Sessie-opname en logging | Volledige audit trail van wie wat heeft gedaan |
| Anomaliedetectie | Detectie van ongebruikelijk gedrag tijdens remote sessies |
| Least Privilege | Technici krijgen alleen toegang tot het systeem dat voor hun taak nodig is |
| PAM | Wachtwoorden van beheeraccounts in een kluis, uitgegeven per sessie |
| Veilige Remote Access-tools | Industriële oplossingen met goedkeuring, opname en een noodstop voor de verbinding |
📋 Wat eisen normen en wetgeving van remote maintenance?
| Kader | Eis | Betekenis voor onderhoud op afstand |
|---|---|---|
| IEC 62443-2-4 SP.07 | Remote access door serviceleveranciers | Leveranciers moeten veilige, gedocumenteerde methoden voor toegang op afstand hebben |
| IEC 62443-3-3 SR 1.13 en SR 2.6 | Toegang via niet-vertrouwde netwerken, beëindigen van sessies | Externe toegang bewaken en goedkeuren; sessies automatisch of handmatig afsluiten |
| NIS2 art. 21 lid 2 | Toegangsbeleid, MFA, ketenbeveiliging | Leveranciersverbindingen vallen onder risicobeheer |
| Cyberbeveiligingswet | Nederlandse uitvoering van NIS2 | Van kracht sinds 15 augustus 2026 |
| Machineverordening bijlage III, 1.1.9 | Bescherming tegen corruptie | Vanaf 20 januari 2027 moet een machine legitieme en illegitieme ingrepen in veiligheidsrelevante software vastleggen |
Ook de Amerikaanse CISA publiceerde op 6 juni 2023 samen met onder meer de NSA en de FBI een Guide to Securing Remote Access Software, gericht op zowel IT als OT. De gids beschrijft hoe aanvallers legitieme remote-tools misbruiken om binnen te komen, zich te verplaatsen en onopgemerkt te blijven.
📦 Hoe verschilt remote maintenance in OT van IT?
| IT | OT |
|---|---|
| TeamViewer, RDP en VPN rechtstreeks naar het doelsysteem | Beveiligde tunnels via een Jump Server of industriële gateway |
| Beheerders werken vaak zelfstandig binnen hun rechten | Toegang alleen na goedkeuring en met medeweten van de operator |
| Standaard besturingssystemen met uitgebreide logging | Propriëtaire HMI’s en PLC’s met beperkte logmogelijkheden |
| Endpointbeveiliging en EDR op vrijwel elk systeem | Vaak geen antivirus mogelijk op embedded systemen |
| Fout leidt meestal tot dataverlies of uitval | Fout kan leiden tot procesverstoring of een onveilige situatie |
In OT-omgevingen raakt remote maintenance direct de procesveiligheid en moet het gebeuren onder strikt gecontroleerde voorwaarden.
🛠️ Hoe organiseert u remote maintenance stap voor stap?
- Inventariseer alle onderhoudsverbindingen - zoek naar VPN-accounts, 4G-routers in schakelkasten, remote-tools en modems. In de praktijk treft u vaak verbindingen aan die niemand meer kent.
- Leg afspraken vast in het contract - persoonlijke accounts, MFA, meldplicht bij incidenten, schone laptops en naleving van IEC 62443-2-4. Zie ook Supplier Security.
- Kies één centrale route - via IDMZ en Jump Server of een Secure Remote Access-platform, en verbied losse tools.
- Richt een aanvraagproces in - de leverancier vraagt een sessie aan, de procesverantwoordelijke keurt goed voor een vast tijdvenster en de operator weet dat er iemand meekijkt.
- Bewaak de sessie - opname aan, de operator kan de verbinding altijd verbreken, en kritieke wijzigingen gebeuren alleen met iemand ter plaatse.
- Sluit netjes af - account weer uit, wijzigingen vastgelegd via wijzigingsbeheer en een back-up van het nieuwe PLC-programma.
- Evalueer periodiek - controleer sessielogs, schakel slapende accounts uit en herzie rechten.
Gangbare uitgangspunten in de praktijk (geen normwaarden) zijn sessies van maximaal 4 tot 8 uur, een inactiviteitstime-out van 15 tot 30 minuten en een kwartaalreview van alle externe accounts.
Voorbeeld: een verpakkingslijn valt ‘s nachts uit op een servostoring. De storingsdienst vraagt de machinebouwer om hulp. Die krijgt via het toegangsplatform een sessie van vier uur, alleen naar het engineeringstation van die lijn. De operator ziet de sessie op zijn scherm, de wijziging in de aandrijfparameters wordt opgenomen, en de volgende ochtend beoordeelt de engineer de opname en zet de wijziging in het wijzigingsregister.
❓ Veelgestelde vragen
Is remote maintenance veilig voor OT-systemen?
Remote maintenance is veilig genoeg als de verbinding via één beheerde route loopt, met persoonlijke accounts, MFA, goedkeuring per sessie en sessie-opname. Onveilig wordt remote maintenance vooral door permanente verbindingen, gedeelde wachtwoorden en tools die buiten het zicht van de beheerder zijn geïnstalleerd.
Mag een machinebouwer een eigen remote-maintenance-router in de schakelkast plaatsen?
Een router van de machinebouwer voor remote maintenance is acceptabel als die onder uw beheer valt: aangesloten via de IDMZ, met zichtbare sessies en een mogelijkheid om de verbinding uit te schakelen. Een router die via 4G een eigen tunnel naar de machine opent, omzeilt uw segmentatie en hoort niet in een beveiligd OT-netwerk.
Wie is verantwoordelijk bij een incident tijdens remote maintenance?
De eigenaar van de installatie blijft verantwoordelijk voor de beveiliging en de veiligheid, ook als een leverancier de remote-maintenance-sessie uitvoert. Contractuele afspraken en sessie-opnames bepalen wel in hoeverre de leverancier aanspreekbaar is voor een fout.
Moet de operator meekijken bij remote maintenance?
Bij passief meekijken of diagnose is permanent meekijken door de operator meestal niet nodig, mits de sessie wordt opgenomen. Bij wijzigingen in parameters, setpoints of PLC-programma’s hoort de operator te weten wat er gebeurt en de remote-maintenance-sessie te kunnen afbreken.
Valt remote maintenance onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet noemt remote maintenance niet letterlijk, maar verplicht organisaties tot toegangsbeleid, MFA en beheersing van leveranciersrisico’s. Voor een organisatie onder de wet betekent dat in de praktijk dat onderhoud op afstand door leveranciers aantoonbaar beveiligd en gelogd moet zijn.
Waarom is een RMM-platform een risico?
Een RMM-platform voor remote maintenance heeft per definitie toegang tot veel systemen bij veel klanten tegelijk. Als het platform zelf wordt gecompromitteerd, zoals bij Kaseya VSA in 2021, kan een aanvaller in één keer alle aangesloten omgevingen bereiken.
📌 Samengevat
Remote maintenance is onmisbaar voor snelle support door leveranciers, maar geeft een externe partij tijdelijk invloed op een fysiek proces en vereist daarom strikte beveiliging in OT. Toegang moet tijdelijk, goedgekeurd, beperkt en volledig gelogd zijn, via één centrale route langs de IDMZ en een Jump Server, met contractuele afspraken volgens IEC 62443-2-4. Techniek en procedure zijn daarbij even belangrijk.