Wat is een Security Level?
Een Security Level (SL) is de maatstaf uit de normenreeks IEC 62443 die aangeeft tegen welk type aanvaller een zone, conduit, systeem of component in een industriële omgeving bestand moet zijn of bestand is, op een schaal van SL 1 tot en met SL 4. Het niveau wordt niet bepaald door de techniek alleen, maar door de middelen, kennis en motivatie van de aanvaller waartegen u zich wilt beschermen. De norm onderscheidt drie varianten: het benodigde niveau (SL-T), het niveau dat een product kan halen (SL-C) en het niveau dat in de praktijk is bereikt (SL-A). Zo kunnen asset owners, integrators en leveranciers in één taal afspreken hoeveel beveiliging een OT-installatie nodig heeft en wat een product kan leveren.
In OT-netwerken gebruikt u security levels om realistische, risicogebaseerde eisen te stellen aan systemen zoals PLC, SCADA, HMI en Remote Access-toepassingen, zonder alles maximaal te beveiligen.
🧠 Welke vier security levels kent IEC 62443?
De definities staan in IEC 62443-3-3 (systemen, editie 2013) en IEC 62443-4-2 (componenten, editie 2019). Elk niveau beschrijft een aanvallersprofiel:
| Security Level | Aanvaller | Middelen en kennis | Motivatie |
|---|---|---|---|
| SL 1 | Toevallige of onbedoelde overtreding | Geen aanvalsopzet, bijvoorbeeld een bedieningsfout of een verkeerd aangesloten laptop | Geen |
| SL 2 | Opzettelijke aanval met eenvoudige middelen | Weinig middelen, algemene IT-kennis, vrij verkrijgbare tools | Laag |
| SL 3 | Opzettelijke aanval met geavanceerde methoden | Matige middelen en kennis die specifiek is voor industriële besturingssystemen (IACS) | Matig |
| SL 4 | Opzettelijke aanval met geavanceerde methoden en veel capaciteit | Uitgebreide middelen en IACS-specifieke kennis, zoals bij statelijke actoren | Hoog |
Soms wordt ook SL 0 genoemd: geen specifieke eisen of bescherming nodig. Voor SL 0 bestaan geen eisen; de systeem- en componenteisen beginnen bij SL 1. Elke stap omhoog betekent aanzienlijk meer maatregelen, dus een hoger niveau is niet vanzelf beter, maar wel duurder en complexer in beheer.
🔧 Wat is het verschil tussen SL-T, SL-C en SL-A?
Een security level komt in drie gedaanten voor. Wie ze door elkaar haalt, krijgt verwarrende specificaties en discussies met leveranciers.
| Type | Betekenis | Wie bepaalt het? | Norm |
|---|---|---|---|
| SL-T (target) | Het niveau dat een zone of conduit nodig heeft | Asset owner, via een risicobeoordeling | IEC 62443-3-2 |
| SL-C (capability) | Het niveau dat een systeem of component technisch kan halen, mits juist geïnstalleerd en geconfigureerd | Leverancier, eventueel met certificering | IEC 62443-3-3 en IEC 62443-4-2 |
| SL-A (achieved) | Het niveau dat in de praktijk is bereikt | Toetsing van de opgeleverde installatie | Audit, configuratiecontrole, pentest |
Het doel is steeds hetzelfde: SL-A moet ten minste gelijk zijn aan SL-T. Een component met een lagere SL-C hoeft daarbij geen probleem te zijn, zolang compenserende maatregelen in de zone, zoals een firewall of extra logging, het gat dichten.
Een security level is bovendien geen enkel getal maar een vector met één waarde per foundational requirement (FR) uit IEC 62443-1-1, in de volgorde IAC, UC, SI, DC, RDF, TRE, RA:
| FR | Afkorting | Beveiligingsthema | Voorbeeld in OT |
|---|---|---|---|
| FR 1 | IAC | Identificatie en authenticatie | Unieke accounts op een HMI, toegangsbeheer voor engineers |
| FR 2 | UC | Gebruikscontrole: wat een geauthenticeerde gebruiker mag | Operator mag bedienen maar geen PLC-logica wijzigen |
| FR 3 | SI | Systeemintegriteit | Ondertekende firmware, controle op ongeautoriseerde wijzigingen |
| FR 4 | DC | Vertrouwelijkheid van gegevens | Versleutelde verbindingen voor recepturen of externe toegang |
| FR 5 | RDF | Beperkte datastromen | Segmentatie, firewalls en conduits tussen zones |
| FR 6 | TRE | Tijdige reactie op gebeurtenissen | Logging, monitoring en het bewaren van auditgegevens |
| FR 7 | RA | Beschikbaarheid van middelen | Bescherming tegen DoS, back-up en herstel |
Een besturingszone kan bijvoorbeeld SL-T = {2 2 2 1 3 2 3} krijgen: streng op beperkte datastromen en beschikbaarheid, lichter op vertrouwelijkheid. Dat past bij OT, waar beschikbaarheid meestal zwaarder weegt dan geheimhouding. In gesprekken en risicomatrices wordt de vector vaak samengevat tot één getal, zoals “SL 2”, maar in een bestek of ontwerp is de volledige vector preciezer.
Verwar security levels ook niet met de maturity levels (ML 1 tot en met 4) uit IEC 62443-4-1 en IEC 62443-2-4. Een maturity level zegt hoe volwassen de processen van een leverancier of integrator zijn; een security level zegt hoe weerbaar een zone, systeem of component is.
📊 Hoe verandert een eis per security level?
In IEC 62443-3-3 heeft elke systeemeis (SR) een basistekst en vaak requirement enhancements (RE) die pas vanaf een hoger niveau gelden. Twee voorbeelden laten zien hoe dat oploopt:
| Niveau | SR 1.1 Authenticatie van gebruikers | SR 5.1 Netwerksegmentatie |
|---|---|---|
| SL 1 | Gebruikers worden geïdentificeerd en geauthenticeerd | Het besturingsnetwerk is logisch gescheiden van andere netwerken |
| SL 2 | Plus: elke gebruiker is uniek identificeerbaar | Plus: fysieke scheiding van het besturingsnetwerk |
| SL 3 | Plus: MFA voor toegang via niet-vertrouwde netwerken | Plus: werking onafhankelijk van niet-besturingsnetwerken |
| SL 4 | Plus: MFA voor alle netwerken | Plus: logische én fysieke isolatie van kritieke netwerken |
Zo wordt een abstract niveau concreet: kiest u SL 3 voor de zone met externe toegang, dan volgt daaruit onder meer meerfactorauthenticatie voor iedereen die van buiten inlogt.
🏭 Hoe bepaalt u het juiste security level stap voor stap?
IEC 62443-3-2 (editie 1.0, juni 2020) beschrijft de methode. In de praktijk ziet de aanpak er zo uit:
- Baken het systeem af - inventariseer assets, functies en koppelingen van het te beschermen systeem.
- Verdeel in zones en conduits - groepeer systemen met vergelijkbare eisen volgens het Zone and Conduits-model, en scheid bijvoorbeeld veiligheidssystemen en kantoor-IT.
- Beoordeel het risico per zone - in de gedetailleerde stap (ZCR 5) weegt u dreigingen, kwetsbaarheden en gevolgen voor veiligheid, milieu en productie. Veel bedrijven doen dit als cyber-PHA in HAZOP-stijl, soms aangevuld met een LOPA-achtige afweging van de beschermingslagen die al aanwezig zijn.
- Leg de SL-T-vector vast per zone en conduit. SL 2 is een gangbaar uitgangspunt; SL 3 is gebruikelijk voor kritieke zones en externe toegang.
- Kies systemen en componenten waarvan de SL-C past, of plan compenserende maatregelen.
- Toets de SL-A na oplevering en herhaal dat na grote wijzigingen, nieuwe dreigingen of incidenten.
Typische uitkomsten van zo’n analyse zijn indicatief, niet voorgeschreven door de norm:
| Zone | Voorbeeldsystemen | Typische SL-T | Belangrijke maatregelen |
|---|---|---|---|
| Kantoorkoppeling / DMZ | Historian, MES-interface | SL 2 | Firewall, patchmanagement, Logging |
| Supervisie | SCADA-servers, HMI | SL 2–3 | toegangsbeheer, auditing, hardening |
| Engineering | Engineering Station | SL 3 | MFA, sterke autorisatie, versleuteling |
| Besturing | PLC, I/O | SL 2–3 | Segmentatie, protocolfiltering |
| Externe toegang | VPN, Jump Server | SL 3 | MFA, sessielogging, tijdelijke toegang |
Het niveau wordt dus per zone en conduit toegekend, niet per losse PLC. Alle componenten in een zone erven de eis van die zone.
🔍 Wat is het verschil tussen een Security Level en een SIL?
Security levels worden vaak vergeleken met het Safety Integrity Level uit de functionele veiligheid. Beide lopen van 1 tot 4, maar ze meten iets anders:
| Kenmerk | Security Level (SL) | Safety Integrity Level (SIL) |
|---|---|---|
| Doel | Weerstand tegen opzettelijke cyberaanvallen | Betrouwbaarheid van veiligheidsfuncties |
| Norm | IEC 62443 | IEC 61508, IEC 61511 |
| Dreiging | Intelligente aanvaller die zich aanpast | Toevallige storingen en systematische fouten |
| Onderbouwing | Kwalitatief, via eisen per niveau | Kwantitatief, via faalkansen (PFDavg of PFH) |
| Hoger niveau | Bestand tegen sterkere aanvaller | Kleinere kans op falen bij een aanvraag |
De twee raken elkaar wel: IEC 61511 vraagt sinds editie 2016 om een security-risicobeoordeling van het veiligheidssysteem. Een SIL-berekening is weinig waard als een aanvaller de safety-PLC kan herprogrammeren.
🔐 Waar komt u security levels tegen in inkoop en wetgeving?
- Inkoop - in bestekken vraagt u om een SL-C per FR, bij voorkeur aangetoond met een ISASecure-certificaat: CSA voor componenten volgens IEC 62443-4-2, SSA voor systemen volgens IEC 62443-3-3, beide op capability security level 1 tot en met 4. IEC 62443-4-2 onderscheidt vier componenttypen (softwareapplicatie, embedded device, host device en netwerkapparaat), en een CSA-certificaat noemt het type en het niveau. Een SSA-certificaat vermeldt per zone van het systeem het gecertificeerde niveau. Zie ook leveranciersbeveiliging.
- Integratie - IEC 62443-2-4 legt vast welke security-capaciteiten een integrator moet bieden bij het opleveren van een installatie.
- Procesindustrie - NAMUR-aanbeveling NE 177 voor de NAMUR Open Architecture definieert, uitgaande van IEC 62443-3-3, twee beschermingsprofielen (NOA BASIC en NOA EXTENDED) die verschillende security levels halen. Ze gelden voor het kernbesturingssysteem en voor de NOA Security Gateway die data naar monitoring- en optimalisatiesystemen doorgeeft.
- Europese regels - de Cyber Resilience Act en de Machineverordening noemen geen security levels, maar de OT-normen die onder de CRA worden ontwikkeld bouwen voort op IEC 62443.
- Nederland - de Cyberbeveiligingswet schrijft geen security level voor, maar een onderbouwde SL-T per zone helpt aantonen dat uw maatregelen passend zijn binnen Risicomanagement en compliance.
Een security level is dus zowel een producteigenschap (SL-C) als een ontwerpdoel (SL-T) en een meetresultaat (SL-A). Alleen samen geven ze een betrouwbaar beeld.
🧮 Welk security level past bij uw dreiging?
Beschrijf de aanvaller tegen wie een zone bestand moet zijn. De selectiehulp geeft het indicatieve SL-T volgens de definities van IEC 62443.
❓ Veelgestelde vragen
Welk security level is gebruikelijk voor een OT-installatie?
Voor de meeste zones in een OT-installatie is SL 2 een gangbaar uitgangspunt, omdat het beschermt tegen opzettelijke aanvallen met eenvoudige middelen. Zones met externe toegang, engineering of kritieke processen krijgen vaak SL 3. SL 4 is vooral bedoeld voor vitale infrastructuur die rekening houdt met statelijke actoren.
Is een security level hetzelfde als een SL-certificaat van een product?
Nee, een productcertificaat geeft alleen de SL-C aan: het security level dat een component of systeem technisch kan halen. Of een installatie dat niveau ook bereikt (SL-A), hangt af van configuratie, plaatsing in de juiste zone en beheer. De benodigde SL-T volgt uit de risicobeoordeling van de asset owner.
Waarom is een security level een vector?
Een security level in IEC 62443 bestaat uit zeven waarden, één per foundational requirement, zoals authenticatie, datastromen en beschikbaarheid. Zo kan een zone streng zijn op beschikbaarheid en segmentatie en lichter op vertrouwelijkheid. Dat sluit beter aan op het werkelijke risico dan één enkel getal.
Mag een component een lager security level hebben dan de zone?
Een component met een lagere SL-C dan de SL-T van de zone is toegestaan als compenserende maatregelen het verschil opvangen. Denk aan een firewall vóór een PLC zonder versleuteling of centrale logging voor een apparaat met beperkte logfuncties. Het bereikte security level van de zone moet dan wel worden aangetoond.
Waar staan SL, SL-T, SL-C en SL-A voor?
SL is de afkorting van Security Level, het beveiligingsniveau uit IEC 62443. SL-T is het target security level dat een zone of conduit nodig heeft, SL-C het capability security level dat een systeem of component kan halen en SL-A het achieved security level dat na oplevering echt is bereikt. Wordt SL 0 genoemd, dan betekent dat dat er geen specifieke beveiligingseisen gelden; de eisen van de norm beginnen bij SL 1.
Is een hoger security level altijd beter?
Een hoger security level geeft bescherming tegen sterkere aanvallers, maar vraagt ook meer maatregelen, beheer en budget. Te strenge eisen kunnen bovendien de beschikbaarheid of bedienbaarheid van een installatie raken. Daarom koppelt IEC 62443 het security level aan een risicobeoordeling per zone.
📌 Samengevat
Een Security Level uit IEC 62443 beschrijft op een schaal van 1 tot 4 tegen welke aanvaller een zone, systeem of component bestand moet zijn. Met het onderscheid tussen SL-T, SL-C en SL-A, de vector per foundational requirement en een risicobeoordeling per zone en conduit maakt u OT-beveiliging meetbaar, aanbesteedbaar en proportioneel.