Wat is Situational Awareness?
Situational awareness (situatiebewustzijn) is het actuele inzicht in wat er in een OT-omgeving gebeurt, het begrip van wat dat betekent voor productie, veiligheid en beveiliging, en het vermogen om te voorspellen hoe de situatie zich zonder ingrijpen ontwikkelt. Het is de basis waarop operators, engineers en securityanalisten beslissen en handelen, en daarmee een voorwaarde voor cyberweerbaarheid, incidentrespons en veilig beheer van Industriële processen. Het begrip komt uit de luchtvaartpsychologie en wordt in de industrie op twee manieren gebruikt: in de controlekamer, waar het gaat om het proces, en in de cybersecurity, waar het gaat om dreigingen en de beveiligingstoestand.
In OT-context betekent situational awareness weten wat er draait, waar het draait, wie er toegang heeft en wat de gevolgen kunnen zijn voor productie, veiligheid en Compliance.
🧠 Wat zijn de drie niveaus van het Endsley-model?
De meest gebruikte definitie komt van de Amerikaanse onderzoeker Mica Endsley, die het begrip in 1988 definieerde en in 1995 uitwerkte in het artikel Toward a theory of situation awareness in dynamic systems in het tijdschrift Human Factors. Zij spreekt van situation awareness en onderscheidt drie niveaus die op elkaar voortbouwen:
| Niveau | Vraag | Voorbeeld in OT |
|---|---|---|
| 1. Perceptie | Wat gebeurt er nu? | Alarm op een PLC, onbekend apparaat in het netwerk, verdachte login op een engineering workstation |
| 2. Begrip | Wat betekent dit? | De PLC draait een gewijzigd programma, dus de procesbesturing is mogelijk gemanipuleerd |
| 3. Projectie | Wat gebeurt er als niemand ingrijpt? | Overvulling van een tank, stilstand van de lijn of verspreiding naar andere zones |
Endsley maakt een belangrijk onderscheid: situational awareness is niet hetzelfde als beslissen of handelen. Het is de toestand van kennis waarop een goede beslissing rust. Een operator kan een juiste beslissing nemen op basis van een verkeerd beeld, en omgekeerd. Volgens haar model zijn aandacht en werkgeheugen de beperkende factoren, en helpen ervaring en goede mentale modellen om die grenzen te overwinnen.
Onderzoek in de luchtvaart van Jones en Endsley uit 1996 liet zien dat ongeveer 76% van de fouten in situatiebewustzijn op niveau 1 ontstond: informatie werd niet waargenomen, niet gemonitord of verkeerd gelezen. Ongeveer 20% lag op niveau 2 en slechts enkele procenten op niveau 3. De les voor OT is helder: de meeste problemen beginnen bij ontbrekende of onvindbare informatie.
🔄 Hoe verschillen proces-awareness en cyber-awareness?
In de industrie lopen twee vormen van situational awareness door elkaar. Ze gebruiken hetzelfde model, maar kijken naar andere signalen.
| Aspect | Proces-situational awareness | Cyber-situational awareness |
|---|---|---|
| Wie | Operator in de controlekamer | Securityanalist, OT SOC, OT-securityengineer |
| Bronnen | HMI, SCADA, DCS, alarmen, Historian | Netwerkmonitoring, Logging, SIEM, IDS, Threat Intelligence |
| Kernvraag | Is het proces stabiel en veilig? | Is er ongeautoriseerde activiteit of een kwetsbaarheid? |
| Normen | ISA-18.2, ISA-101, EEMUA 191 | IEC 62443-3-3, NIST SP 800-82, SANS ICS Five Critical Controls |
| Typische fout | Kritiek alarm verdwijnt in een alarmoverstroming | Aanvaller blijft maanden onopgemerkt |
Het Amerikaanse Committee on National Security Systems definieert in zijn woordenlijst CNSSI 4009, die ook in de NIST-woordenlijst is overgenomen, cyber-situational awareness als de waarneming van de beveiligingstoestand en het dreigingsbeeld van een organisatie, het begrip van beide samen als risico en de projectie daarvan naar de nabije toekomst. Dat is het Endsley-model, toegepast op security.
In OT komen beide vormen samen. Een cyberaanval op een besturing wordt vaak eerst zichtbaar als een procesafwijking, en een procesverstoring kan op een cyberincident wijzen. Daarom pleiten veel organisaties voor één gedeeld beeld voor operators en securityteams.
🎯 Waarom is situational awareness belangrijk in OT?
| Risico zonder awareness | Voorbeeld |
|---|---|
| Onbekende apparaten | Een Rogue Device draait ongemerkt in het productienetwerk |
| Onzichtbare kwetsbaarheden | Ongepatchte PLC’s zonder Asset Inventory of risico-inzicht |
| Trage detectie van aanvallen | Een Man-In-The-Middle- of Replay Attack blijft lange tijd onopgemerkt |
| Misinterpretatie van alarmen | De operator mist een cruciaal alarm tussen honderden afgeleide alarmen |
| Gebrek aan actiegerichtheid | Incidenten worden pas laat of verkeerd aangepakt |
Drie bekende incidenten tonen hoe het misgaat:
- Three Mile Island (28 maart 1979) - een ontlastklep van de kernreactor bleef openstaan, maar het signaallampje in de controlekamer gaf alleen aan dat de sluitopdracht was gegeven. Operators dachten dat de klep dicht was en namen beslissingen op basis van een verkeerd beeld: een klassieke niveau-1-fout.
- Buncefield (11 december 2005) - een niveaumeter van een opslagtank bleef hangen en de onafhankelijke hoogniveauschakelaar werkte niet. Niemand zag dat de tank vol raakte; ruim 250.000 liter benzine stroomde over, vormde een grote dampwolk en die ontplofte.
- Oekraïne (23 december 2015) - de groep Sandworm drong via BlackEnergy binnen bij drie distributiebedrijven en bediende op afstand de HMI’s. Operators zagen hun muiscursor bewegen zonder zelf iets te doen. Ongeveer 225.000 klanten zaten urenlang zonder stroom.
🔧 Welke componenten zijn essentieel?
| Component | Beschrijving |
|---|---|
| Asset Inventory | Inzicht in welke apparaten, versies en firmware aanwezig zijn |
| Netwerkmonitoring | Real-time zicht op verkeer, topologie en wijzigingen, bij voorkeur via passieve monitoring |
| Logging & SIEM | Gebeurtenissen over systemen heen verzamelen en correleren |
| Anomaliedetectie | Waarschuwing bij afwijkend gedrag ten opzichte van een vastgelegde baseline |
| Threat Intelligence | Externe context over kwetsbaarheden, aanvallers en technieken uit MITRE ATT&CK for ICS |
| Alarm Management | Alarmen die betekenis hebben, zodat de operator niet overspoeld raakt |
| Security Awareness | Operators, engineers en beheerders herkennen verdachte signalen |
| Incident Response | Voorbereid plan voor analyse, containment en herstel |
Passieve monitoring is in OT de norm, omdat actief scannen kwetsbare oudere controllers kan verstoren. Een sensor op een SPAN-poort van een industriële switch leest het verkeer mee, herkent industriële protocollen en bouwt zo een assetlijst en een communicatiebaseline op zonder het proces te raken.
📏 Welke normen en kengetallen horen erbij?
Situational awareness is geen losse norm, maar komt terug in vrijwel elk relevant raamwerk:
- IEC 62443-3-3 - fundamentele eis FR 6 Timely response to events bevat onder meer SR 6.1 (toegankelijkheid van auditlogs) en SR 6.2 (continue monitoring).
- SANS ICS Five Critical Controls - de whitepaper van Robert M. Lee en Tim Conway uit 2022 noemt ICS network visibility and monitoring als derde van de vijf kernmaatregelen.
- NIST SP 800-82 - revisie 3 (september 2023) beschrijft monitoring en detectie als onderdeel van een OT-securityprogramma, in lijn met de functie Detect van het NIST CSF.
- ISA-18.2 en EEMUA 191 - gemiddeld één alarm per tien minuten per operator geldt als zeer waarschijnlijk acceptabel, twee per tien minuten als maximaal beheersbaar. Meer dan tien alarmen in tien minuten is een alarmoverstroming, die minder dan 1% van de tijd mag voorkomen.
- ISA-101 - richtlijnen voor HMI-ontwerp, waaronder high-performance HMI’s met neutrale kleuren, zodat afwijkingen direct opvallen.
In Nederland en de EU is situational awareness ook een wettelijke kwestie. De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, geldt sinds 15 augustus 2026. De meldplicht vraagt een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Zonder goed zicht op uw OT-omgeving kunt u die termijnen niet halen, omdat u een significant incident eerst moet opmerken en beoordelen.
🛠️ Hoe bouwt u situational awareness stap voor stap op?
- Breng uw assets in kaart - combineer Asset Discovery met een actuele CMDB of Asset Inventory. U kunt niet beschermen wat u niet kent.
- Leg de normale situatie vast - registreer welke systemen met elkaar communiceren, via welke protocollen en hoe vaak. Dit is de baseline voor Anomaliedetectie.
- Plaats sensoren op de juiste plekken - bij de overgangen tussen zones van het Purdue Model, bij toegang op afstand en bij kritieke controllers.
- Centraliseer en verrijk - breng netwerk-, host- en procesdata samen in een SIEM of OT SOC en verrijk die met Threat Intelligence.
- Maak het beeld bruikbaar - dashboards per rol, prioritering naar procesimpact en heldere escalatieroutes; anders ontstaat een nieuwe alarmoverstroming.
- Oefen en verbeter - test het beeld met scenario’s, Blue Team-oefeningen en Threat Hunting, en gebruik Root Cause Analysis na elk incident om blinde vlekken te dichten.
| Situatie | Zonder awareness | Met awareness |
|---|---|---|
| Firmware-update op een switch buiten een wijzigingsvenster | Onopgemerkt, mogelijk een backdoor | Afwijking gedetecteerd en getoetst aan het wijzigingsbeheer |
| Nieuwe verbinding in het productie-VLAN | Niet herkend | Anomaliedetectie slaat alarm |
| Verhoogde uitgaande datastroom | Niet opgemerkt | SIEM signaleert mogelijke exfiltratie |
| Inactief engineeraccount wordt actief | Geen melding | Gebruiksalarm, Access Control wordt herzien |
| PLC wordt in programmeermodus gezet | Niemand ziet het | Melding aan operator en securityteam tegelijk |
✅ Best practices
- Houd de inventaris actueel - een verouderde CMDB of Asset Inventory geeft een vals gevoel van overzicht.
- Corrigeer blinde vlekken - gebruik Netwerkmonitoring en Asset Discovery ook in oudere netwerksegmenten.
- Integreer proces- en cyberdata - één gedeeld beeld voorkomt dat operators en securityteams langs elkaar heen werken.
- Gebruik OT-specifieke detectie - algemene IT-tools begrijpen industriële protocollen vaak niet; een OT-IDS wel.
- Oefen samen - oefen scenario’s met Incident Response en Blue Team waarin operators en IT-security samen optrekken.
- Koppel aan risico - vertaal elke melding naar de mogelijke impact op veiligheid, productie en Security.
❓ Veelgestelde vragen
Wat is het verschil tussen situational awareness en monitoring?
Monitoring is het verzamelen van gegevens, zoals netwerkverkeer, logs en alarmen. Situational awareness gaat verder: het is het begrip van wat die gegevens betekenen en de inschatting hoe de situatie zich ontwikkelt. Monitoring is dus een middel, situational awareness het resultaat.
Wie heeft situational awareness nodig in een industriële organisatie?
Operators in de controlekamer hebben situational awareness nodig over het proces, securityanalisten over dreigingen en kwetsbaarheden. Ook onderhoudsengineers en management hebben een eigen beeld nodig, op hun eigen detailniveau. In OT werkt het het best als al deze rollen hetzelfde onderliggende beeld delen.
Waarom is passieve monitoring belangrijk voor situational awareness in OT?
Passieve monitoring leest netwerkverkeer mee zonder zelf pakketten naar apparaten te sturen. Dat is belangrijk, omdat oudere PLC’s en RTU’s kunnen vastlopen op actieve scans. Zo bouwt u situational awareness op zonder de beschikbaarheid van het proces in gevaar te brengen.
Wat heeft alarmmanagement met situational awareness te maken?
Te veel alarmen ondermijnen situational awareness, omdat de operator het belangrijke alarm niet meer ziet. ISA-18.2 en EEMUA 191 noemen gemiddeld één alarm per tien minuten per operator acceptabel en meer dan tien in tien minuten een alarmoverstroming. Goed alarmmanagement is daarom een directe investering in situatiebewustzijn.
Verplicht de Cyberbeveiligingswet tot situational awareness?
De Cyberbeveiligingswet noemt het begrip niet letterlijk, maar de zorgplicht en de meldplicht vragen er feitelijk om. Wie een significant incident binnen 24 uur moet melden, moet het eerst kunnen opmerken en beoordelen. Monitoring, logging en detectie horen daarom bij de passende maatregelen die organisaties onder de wet moeten nemen.
Hoe meet u de kwaliteit van situational awareness?
In de controlekamer wordt situational awareness vaak gemeten met simulatoroefeningen volgens SAGAT (Situation Awareness Global Assessment Technique) van Endsley: de simulatie wordt op onverwachte momenten bevroren en operators beantwoorden vragen over de procestoestand. In security gebruikt u kengetallen zoals de tijd tot detectie, het percentage assets onder monitoring en het aandeel meldingen dat tot actie leidt. Samen laten ze zien waar de blinde vlekken zitten.
📌 Samengevat
Situational awareness in OT betekent meer dan data verzamelen: het gaat om waarnemen, begrijpen en voorspellen, zodat operators en securityteams op tijd de juiste beslissing nemen.
Het Endsley-model met zijn drie niveaus geldt zowel in de controlekamer als in het securityteam. De meeste fouten ontstaan al bij het waarnemen, dus een actuele assetinventaris, passieve netwerkmonitoring en goed alarmmanagement zijn de fundamenten. Normen als IEC 62443-3-3, de SANS ICS Five Critical Controls en ISA-18.2 geven houvast, en de Cyberbeveiligingswet maakt tijdige detectie in Nederland tot een wettelijke noodzaak. Zonder situational awareness is Security reactief en blijft productie kwetsbaar.