Virtualisatie

Wat is virtualisatie?

Virtualisatie is een technologie waarbij fysieke hardwarebronnen zoals processor, geheugen, opslag en netwerk door software worden geabstraheerd, zodat meerdere geïsoleerde virtuele systemen tegelijk op dezelfde fysieke infrastructuur kunnen draaien. Binnen OT en industriële automatisering wordt virtualisatie steeds vaker toegepast voor SCADA, historians, MES, HMI, soft-PLC-platformen, engineeringstations en industriële edge-omgevingen. Waar OT traditioneel op dedicated hardware draaide, verschuift de architectuur richting softwaregedefinieerde infrastructuur, en daarmee naar een nauwere integratie binnen OT-convergentie.

Virtualisatie levert hardwareconsolidatie, schaalbaarheid, redundantie, snelle provisioning, snapshots en snel herstel op. Tegelijk introduceert het nieuwe uitdagingen rond realtime gedrag, beschikbaarheid, cybersecurity en operationele complexiteit.

🧠 Welke vormen van virtualisatie bestaan er?

Virtualisatie is een verzamelbegrip. De bekendste vorm is servervirtualisatie met een hypervisor, maar in een moderne OT-omgeving komen meerdere lagen samen. De basisbouwstenen zijn steeds dezelfde: een fysieke host, een virtualisatielaag die CPU-tijd, geheugen, opslagtoegang en netwerk verdeelt, gastbesturingssystemen in de virtuele machines, virtuele switches en meestal gedeelde opslag.

Bij servervirtualisatie onderscheidt men type 1-hypervisors (bare-metal, direct op de hardware) en type 2-hypervisors (als applicatie op Windows of Linux, zoals VMware Workstation en VirtualBox). Binnen productie-OT zijn type 1-hypervisors dominant; type 2 is geschikt voor labs, training en simulatie, maar niet voor productieprocessen vanwege extra latency en de afhankelijkheid van het host-besturingssysteem. Het artikel over de hypervisor gaat dieper in op dat onderscheid.

🔄 Wat is het verschil tussen virtuele machines en containers?

Een virtuele machine bevat een volledig gastbesturingssysteem; een container deelt de kernel van de host en isoleert alleen processen. Docker maakte containers vanaf 2013 breed toegankelijk, en Google bracht Kubernetes in 2014 uit als open source orchestrator, dat in 2015 aan de Cloud Native Computing Foundation werd overgedragen. Kubernetes is daarbij geen container-runtime maar het platform dat containers over meerdere nodes verdeelt, bewaakt en herstart. Voor kleine edge-nodes bestaan lichtere varianten zoals K3s.

In de praktijk combineert OT beide: containers draaien vaak binnen een VM, zodat de sterke isolatie van de hypervisor behouden blijft.

🏭 Welke OT-systemen kunt u virtualiseren?

De meeste systemen op niveau 2 en 3 van het Purdue Model zijn gewone Windows- of Linux-servers en laten zich goed virtualiseren. Hoe dichter bij het fysieke proces, hoe strenger de timingeisen.

Per sector verschilt het accent. In de productie-industrie worden SCADA-clusters, MES-platformen, kwaliteitssystemen en historians gevirtualiseerd. In de energievoorziening gaat het om stationsservers, energiemanagementsystemen en centrale monitoring. Waterbedrijven en waterschappen virtualiseren telemetrie, gemaalbewaking en redundante SCADA. In gebouwautomatisering draaien BMS-, HVAC- en alarmservers vaak als VM.

⚡ Waarom is realtime gedrag een uitdaging?

OT-systemen vereisen vaak deterministisch gedrag. Virtualisatie legt extra lagen tussen applicatie en hardware: applicatie, gastbesturingssysteem, hypervisor en fysieke hardware. Elke laag kan latency, jitter, interrupt-afhandeling en scheduling beïnvloeden. Problemen ontstaan vooral bij motion control, safety-systemen, turbinebesturing, snelle IO en realtime veldbussen.

Gevirtualiseerde OT-systemen communiceren meestal via OPC UA, MQTT, Modbus TCP, ProfiNET of IP. De virtualisatielaag beïnvloedt dat netwerkverkeer:

Realtime-protocollen zoals EtherCAT en TSN-netwerken zijn moeilijk volledig te virtualiseren vanwege hun strikte timing. Toch schuift de grens op. Sinds Linux 6.12 (november 2024) zit PREEMPT_RT in de standaardkernel, wat realtime-gedrag op standaard-Linux makkelijker maakt. Siemens presenteerde op de Hannover Messe 2023 de SIMATIC S7-1500V, een virtuele PLC die via Industrial Edge wordt uitgerold en met TIA Portal wordt geprogrammeerd. In maart 2025 kondigde Siemens de fail-safe variant S7-1500V F aan, met een TÜV-goedkeuring volgens IEC 61508 voor veiligheidsfuncties tot SIL 3; die draaide toen bij pilotklanten. Ook CODESYS-runtimes zijn beschikbaar voor virtuele en containeromgevingen. Voor harde realtime met zeer korte cyclustijden blijft dedicated hardware voorlopig de norm.

🔐 Welke cybersecurityrisico’s brengt virtualisatie met zich mee?

Virtualisatie verandert het OT-aanvalsoppervlak aanzienlijk. Wie de hypervisor of het beheerplatform beheerst, beheerst alle VM’s erop. In februari 2023 versleutelde de ransomware-campagne ESXiArgs wereldwijd duizenden ESXi-servers. Op 4 maart 2025 publiceerde Broadcom advisory VMSA-2025-0004 over drie actief misbruikte zero-days in ESXi (CVE-2025-22224, -22225 en -22226) die samen een VM escape mogelijk maakten. Een workaround was er niet; alleen patchen hielp.

Extra aanvalsoppervlak ontstaat bij beheerinterfaces, orchestratielagen, API’s, storage fabrics en virtuele switches. Belangrijke hardening-maatregelen zijn netwerksegmentatie, een industriële firewall, aparte beheer-VLAN’s, MFA, RBAC, versleutelde opslag, centrale logging en security monitoring. Houd productie-OT, beheeromgevingen, engineering en de back-up-infrastructuur strikt gescheiden. Vanuit IEC 62443 is een virtuele switch die zones verbindt in feite ook een conduit: het zones-en-conduitsmodel moet ook binnen de host kloppen.

🔄 Hoe zorgt virtualisatie voor hoge beschikbaarheid?

Consolidatie maakt van één host een single point of failure: uitval raakt in één keer meerdere SCADA-systemen, historians, OPC-servers en engineeringstations. Een cluster vangt dat op met high availability.

Daarnaast speelt resource-contention: VM’s delen CPU, geheugen, opslag en netwerk. CPU-starvation, geheugendruk of opslagcongestie leiden tot hogere latency, procesvertraging, bevroren HMI-schermen en SCADA-timeouts. Bij een hyperconverged infrastructuur combineert elke node rekenkracht, opslag en netwerk, zoals bij VMware vSAN, Nutanix en Azure Local (tot november 2024 Azure Stack HCI). Voor opslag zijn IOPS, latency, redundantie, snapshotbeleid en back-upintegratie de belangrijkste ontwerpparameters.

🧭 Hoe pakt u virtualisatie in een OT-omgeving aan?

1. Inventariseer - welke systemen, versies en licenties draaien er, en welke hypervisorversies ondersteunt elke OT-leverancier officieel?
2. Bepaal wat níet gevirtualiseerd wordt - harde realtime, safety-functies zonder gecertificeerd platform en hardware met insteekkaarten of dongles.
3. Dimensioneer ruim - minimaal N+1 hosts; een vSAN-cluster vraagt minimaal drie hosts of twee hosts met een witness. Geen CPU- of geheugenovercommit voor kritieke VM’s.
4. Ontwerp het netwerk - aparte netwerken voor beheer, opslag, migratie en procesverkeer, gekoppeld aan uw zones.
5. Bouw eerst een OTAP-straat - VM-templates maken FAT- en SAT-tests, cyber ranges, training, virtuele inbedrijfstelling en een digital twin goedkoop en reproduceerbaar.
6. Regel het beheer - lifecyclemanagement, configuratiebeheer met versiebeheer van templates, patchmanagement in afgestemde vensters en offline back-ups.
7. Test herstel - stel RTO en RPO vast en oefen disaster recovery en business continuity, ook voor het scenario dat het hele cluster onbruikbaar is.

Typische vuistregels: houd snapshots niet langer dan 24 tot 72 uur aan (een snapshot is geen back-up), plaats redundante SCADA-servers en domeincontrollers met anti-affiniteitsregels op verschillende hosts, en plan capaciteit zo dat het cluster de uitval van één host kan opvangen.

In Nederland speelt ook de licentie- en wetgevingscontext. Broadcom stopte na de overname van VMware in december 2023 met eeuwigdurende licenties en haalde in februari 2024 de gratis ESXi van de markt (in april 2025 keerde met ESXi 8.0 Update 3e een gratis versie terug, zonder ondersteuning); veel OT-gebruikers herzien daardoor hun hypervisorkeuze, maar moeten de ondersteuningsmatrix van hun SCADA-leverancier volgen. Organisaties die onder NIS2 en de Cyberbeveiligingswet vallen (van kracht sinds 15 augustus 2026), moeten hun virtualisatieplatform meenemen in de zorgplicht voor risicobeheer, patchmanagement en continuïteit.

🛡️ Welke normen en richtlijnen zijn relevant?

Voor safety-kritische workloads gelden aanvullende beperkingen: een virtuele PLC mag alleen veiligheidsfuncties uitvoeren als het product daarvoor is gecertificeerd en het platform aan de voorwaarden van de fabrikant voldoet.

📈 Welke trends zijn er?

Belangrijke ontwikkelingen zijn software-defined OT, gecontaineriseerde SCADA-componenten, virtuele PLC’s, Kubernetes op de edge, hyperconverged infrastructuur en het samenbrengen van besturing, analyse en AI-inferencing op één edge-apparaat. Edge-nodes combineren daarbij soft-PLC’s, MQTT-brokers, OPC UA en protocolgateways. Virtualisatie wordt zo een fundamentele bouwsteen van de digitale industriële architectuur.

❓ Veelgestelde vragen

Wat is het verschil tussen virtualisatie en een hypervisor?

Virtualisatie is het algemene principe van het abstraheren van hardware, en omvat server-, container-, netwerk-, storage- en desktopvirtualisatie. Een hypervisor is de specifieke softwarelaag die bij servervirtualisatie één fysieke server over meerdere virtuele machines verdeelt. Elke hypervisor doet dus aan virtualisatie, maar niet elke vorm van virtualisatie gebruikt een hypervisor.

Kan een SCADA-systeem veilig gevirtualiseerd worden?

Ja, SCADA-servers, historians en HMI-servers worden in OT al jaren op type 1-hypervisors gevirtualiseerd. Voorwaarden zijn een door de leverancier ondersteunde hypervisorversie, een redundant cluster, gereserveerde resources voor kritieke VM’s en een gescheiden beheernetwerk. De realtime besturing blijft daarbij in de PLC’s.

Kan een PLC gevirtualiseerd worden?

Een PLC kan gevirtualiseerd worden als soft-PLC of virtuele PLC, mits de realtime-eisen dat toelaten. Siemens biedt met de S7-1500V een virtuele PLC en kondigde in 2025 met de S7-1500V F een TÜV-goedgekeurde fail-safe variant tot SIL 3 aan, die eerst bij pilotklanten werd ingezet. Voor motion control met zeer korte cyclustijden blijft een dedicated controller gebruikelijk.

Zijn containers geschikt voor OT?

Containers zijn in OT vooral geschikt voor lichte, vaak veranderende workloads zoals MQTT-brokers, protocolgateways en edge-analyses. Ze starten snel en hebben weinig overhead, maar delen de kernel van de host en isoleren daardoor minder sterk dan virtuele machines. Daarom draaien containers in OT vaak binnen een VM en volgens de richtlijnen van NIST SP 800-190.

Is een snapshot hetzelfde als een back-up?

Nee, een snapshot van een virtuele machine is geen back-up. Een snapshot staat op dezelfde opslag als de VM en gaat verloren als die opslag faalt of door ransomware wordt versleuteld. Gebruik snapshots kort rond wijzigingen en maak daarnaast losstaande, bij voorkeur offline of onveranderbare back-ups.

Wat is het grootste risico van virtualisatie in OT?

Het grootste risico van virtualisatie in OT is concentratie: één gecompromitteerde of uitgevallen hypervisor raakt in één keer veel kritieke systemen. Ransomwaregroepen richten zich daarom specifiek op ESXi- en andere hypervisorplatformen. Snel patchen, een gescheiden beheernetwerk, MFA en redundante clusters beperken dat risico.

📌 Samengevat

Virtualisatie koppelt OT-systemen los van dedicated hardware door processor, geheugen, opslag en netwerk via software te verdelen over geïsoleerde virtuele machines en containers. Het maakt OT-convergentie, edge computing en hoge beschikbaarheid mogelijk, maar vraagt om een zorgvuldige balans tussen IT-flexibiliteit en OT-betrouwbaarheid: houd harde realtime en safety op gecertificeerde platforms, segmenteer ook virtuele netwerken en patch de hypervisor snel.