RTU

Wat is een RTU (Remote Terminal Unit)?

Een RTU (Remote Terminal Unit) is een robuust, microprocessorgestuurd apparaat op een afgelegen locatie dat signalen van veldapparatuur zoals sensoren en actuatoren inleest, die als meetwaarden en meldingen naar een centraal SCADA-systeem stuurt en de bedieningsopdrachten van dat systeem lokaal uitvoert. RTU’s vormen de buitenposten van industriële automatisering in verspreide infrastructuur: gemalen, onderstations, pijpleidingen, wind- en zonneparken en spoorwegen. Ze heten ook wel remote telemetry unit of telecontrol unit, en in de Nederlandse watersector spreekt men vaak van een onderstation of buitenpost die met de hoofdpost communiceert.

🧠 Wat doet een RTU?

Een RTU fungeert als tussenstation tussen het fysieke proces en de centrale. Waar een PLC vooral snel moet regelen, draait het bij een RTU om betrouwbare telemetrie over lange afstand. De kerntaken zijn:

• Signalen inlezen - digitale ingangen voor standen (schakelaar open/dicht, pomp in bedrijf, deur open) en analoge ingangen voor meetwaarden als druk, niveau en debiet, meestal via 4-20 mA of 0–10 V
• Bedienen op afstand - relaisuitgangen die op commando van de centrale een pomp starten, een klep openen of een vermogensschakelaar uitschakelen
• Gebeurtenissen vastleggen - elke statuswijziging krijgt een tijdstempel, zodat achteraf de volgorde van gebeurtenissen (sequence of events) te reconstrueren is
• Bufferen - valt de verbinding weg, dan bewaart de RTU de gebeurtenissen en levert die na herstel alsnog af
• Lokale logica - eenvoudige automatiek zoals een pomp op niveau schakelen, ook als de verbinding met de centrale verbroken is
• Doorgeefluik - gegevens van onderliggende IED’s, meters en PLC’s verzamelen en bundelen richting SCADA

In het Purdue Model staat een RTU op niveau 1, naast de PLC: het is een besturing die direct met het proces verbonden is.

🔧 Uit welke onderdelen bestaat een RTU?

Een RTU is modulair opgebouwd. De meeste fabrikanten leveren een basismodule met processor en communicatie, aangevuld met I/O-kaarten naar behoefte.

Omdat RTU’s onbemand staan, zijn ze ontworpen op een ruim temperatuurbereik, hoge EMC-bestendigheid en laag energieverbruik. Het apparaat zelf zit meestal in een buitenkast of kiosk; de weerbestendigheid komt dus vooral van die behuizing. Voor onderstations gelden de omgevingseisen uit IEC 61850 deel 3.

📡 Hoe communiceert een RTU met SCADA?

Het communicatiemodel is het belangrijkste verschil met een gewone besturing. Verbindingen naar afgelegen locaties zijn vaak traag, duur of onderbroken, dus een RTU verstuurt zo weinig mogelijk gegevens en zorgt er tegelijk voor dat geen enkele gebeurtenis verloren gaat.

• Polling - de centrale vraagt periodiek alle waarden op. Eenvoudig, maar inefficiënt bij honderden locaties.
• Report by exception - de RTU meldt alleen wijzigingen: een digitale ingang die omslaat of een analoge waarde die meer dan een ingestelde drempel (deadband) verandert.
• Spontane meldingen - bij een alarm meldt de RTU zich zelf, zonder te wachten op de volgende poll.
• Integriteitspoll - periodiek of na herstel van de verbinding vraagt de centrale het volledige beeld op, zodat geen verouderde gegevens blijven hangen.

Daarom telt bij RTU’s niet zozeer een lage latency als wel een correcte, volledige en tijdgestempelde aankomst van elke gebeurtenis. De gangbare protocollen:

Als drager dienen huurlijnen, glasvezel, straalverbindingen, private radionetten en mobiele netwerken zoals 4G of LTE-M. In Nederland gebruiken netbeheerders voor de besturing van stations onder meer het 450 MHz-netwerk van Utility Connect, een missiekritisch netwerk dat ook bij een stroomstoring blijft werken.

🔄 Wat is het verschil tussen een RTU, een PLC en een IED?

Vroeger was het onderscheid scherp: een RTU kon weinig logica draaien, een PLC wel. Moderne RTU’s ondersteunen echter vaak programmeren volgens IEC 61131-3, en veel PLC’s spreken DNP3 of IEC 104. Het verschil zit nu in de ontwerpkeuzes.

In de praktijk bestaat er een hybride categorie: een PLC met een telemetriemodule die als RTU wordt ingezet, of een RTU die tegelijk een stuk lokale regeling uitvoert.

🏭 Waar worden RTU’s gebruikt?

• Waterschappen en drinkwater - rioolgemalen, poldergemalen, stuwen, reservoirs en pompstations die vanuit een centrale hoofdpost worden bewaakt (zie OT-security in de watersector)
• Elektriciteitsnetten - middenspannings- en hoogspanningsstations waar de netbeheerder schakelaarstanden, spanningen en stromen uitleest en op afstand schakelt
• Wind- en zonneparken - het aansluitstation van een park communiceert via een RTU met de netbeheerder
• Olie en gas - drukbewaking en lekdetectie langs pijpleidingen en bij compressorstations
• Spoor en infrastructuur - wissels, seinen, tunnels en beweegbare bruggen

🔐 Hoe beveiligt u een RTU?

RTU’s zijn een aantrekkelijk doelwit: wie een RTU bedient, bedient het proces. Klassieke telecontrolprotocollen hebben geen authenticatie, dus een RTU voert elk geldig commando uit.

Het Poolse incident is leerzaam voor Nederland: er was geen geavanceerde exploit nodig, alleen een VPN zonder MFA, hergebruikte wachtwoorden en standaardinstellingen. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet voor netbeheerders, drinkwaterbedrijven en waterschappen, en die vraagt passende maatregelen voor precies dit soort systemen.

🛠️ Hoe pakt u RTU-beveiliging stap voor stap aan?

1. Inventariseer - leg per locatie vast welke RTU, firmwareversie, I/O-configuratie, modem en simkaart er staat; een asset-inventarisatie brengt vaak vergeten 4G-routers aan het licht.
2. Verwijder standaardaccounts - wijzig fabriekswachtwoorden, schakel ongebruikte diensten als webinterface, FTP en SSH uit of beperk ze.
3. Zet firmwareverificatie aan - gebruik ondertekende firmware waar de RTU dat ondersteunt en controleer of de functie daadwerkelijk actief is.
4. Segmenteer de verbinding - plaats RTU’s in een eigen zone volgens IEC 62443, met een private APN of VPN voor mobiele verbindingen en netwerksegmentatie tussen telemetrienet en kantoor.
5. Beveilig het protocol - gebruik DNP3 Secure Authentication (onderdeel van IEEE 1815-2012) of IEC 104 met TLS volgens IEC 62351, en kies bij vervanging een component die is gecertificeerd volgens IEC 62443-4-2.
6. Beperk toegang op afstand - laat leveranciers alleen tijdgebonden via een jump server met MFA inloggen (zie Remote Access).
7. Monitor en bewaar - gebruik netwerkmonitoring die IEC 104 en DNP3 begrijpt en bewaar back-ups van alle RTU-configuraties, zodat u na sabotage snel kunt herstellen.

❓ Veelgestelde vragen

Waar staat de afkorting RTU voor?

RTU staat voor Remote Terminal Unit, soms ook remote telemetry unit of telecontrol unit genoemd. Een RTU is het veldapparaat op een afgelegen locatie dat meetwaarden en standen naar SCADA stuurt en bedieningsopdrachten uitvoert.

Wat is het verschil tussen een RTU en Modbus RTU?

Een RTU is een apparaat, terwijl Modbus RTU een seriële transmissievorm van het Modbus-protocol is waarin berichten binair worden verzonden. Een RTU kan Modbus RTU gebruiken, maar ook DNP3 of IEC 60870-5-104, en Modbus RTU wordt net zo goed tussen PLC’s en frequentieregelaars gebruikt.

Welk protocol gebruikt een RTU in Nederland meestal?

In de Nederlandse en Europese elektriciteitsnetten is IEC 60870-5-104 de gangbare standaard voor communicatie tussen RTU en centrale. In de watersector komen daarnaast Modbus, DNP3 en leveranciersspecifieke telemetrieprotocollen voor.

Hoe krijgt een RTU stroom op een afgelegen locatie?

Een RTU in een onderstation draait meestal op de stationsbatterij, zodat hij ook bij netuitval blijft melden. Op locaties zonder netaansluiting, zoals meetpunten langs een pijpleiding, gebruikt een RTU een accu met zonnepaneel, wat kan dankzij het lage energieverbruik.

Kan een PLC als RTU worden ingezet?

Een PLC kan als RTU worden ingezet wanneer hij een telemetrieprotocol als DNP3 of IEC 104 ondersteunt en gebeurtenissen met tijdstempel kan bufferen. Een speciale RTU blijft beter geschikt voor zeer veel verspreide locaties met trage verbindingen en beperkte voeding.

Valt een RTU onder de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt niet voor apparaten maar voor organisaties, zoals netbeheerders, drinkwaterbedrijven en waterschappen. Die organisaties moeten hun RTU’s wel meenemen in hun zorgplicht, met maatregelen als toegangsbeheer, segmentatie en incidentmelding.

📌 Samengevat

Een RTU is de robuuste buitenpost van een SCADA-systeem: hij leest veldsignalen in op afgelegen locaties, stuurt ze betrouwbaar en met tijdstempel naar de centrale en voert bedieningsopdrachten lokaal uit. Omdat elke RTU directe invloed heeft op een fysiek proces, zijn standaardwachtwoorden, onbeveiligde protocollen en open toegang op afstand onaanvaardbaar; segmentatie, ondertekende firmware en beveiligde protocollen horen bij elke installatie.