Zone

Wat is een zone in IEC 62443?

Een zone (beveiligingszone) is in IEC 62443 een groepering van logische of fysieke assets, zoals PLC’s, SCADA-servers en HMI’s, die gemeenschappelijke beveiligingseisen delen en samen achter één duidelijke grens liggen. Zones zijn de bouwstenen van het Zone and Conduits-model: u deelt een industrieel netwerk op in kleinere, beheersbare delen, geeft elk deel een doelbeveiligingsniveau en laat al het verkeer tussen die delen via gecontroleerde conduits lopen. Een incident in één zone blijft zo beperkt tot die zone. Een beveiligingszone is iets anders dan een Ex-zone, de ATEX-indeling van gebieden met explosiegevaar.

🧠 Wat is een zone precies volgens IEC 62443?

De definitie gaat terug op ANSI/ISA-99.00.01 uit 2007, de Amerikaanse voorloper van IEC 62443-1-1: een groepering van logische of fysieke assets die gemeenschappelijke beveiligingseisen delen. De norm voegt daar twee belangrijke toelichtingen aan toe. Een zone heeft een duidelijke grens met andere zones, en het beveiligingsbeleid wordt zowel op die grens als binnen de zone afgedwongen. Daarnaast mogen zones genest zijn: een zone kan subzones bevatten met strengere eisen dan de zone eromheen.

IEC 62443-3-2 (editie 1.0, juni 2020) maakt van die definitie een ontwerpproces. Elk asset in het beoordeelde systeem wordt toegewezen aan een zone of, zoals een firewall of netwerkkabel, aan een conduit (ZCR 6.3), en elke zone krijgt een eigen doelbeveiligingsniveau (SL-T) uit de risicobeoordeling.

Communicatie binnen een zone heeft geen conduit nodig. Alles wat de zonegrens passeert, wel. Een zone is daarmee in de eerste plaats een ontwerpbegrip met een eisenpakket, en pas daarna een netwerksegment.

🧱 Op welke criteria deelt u assets in zones in?

Volgens ZCR 3.1 van IEC 62443-3-2 groepeert u assets op basis van risico en criteria als de kritikaliteit van het asset, de operationele functie, de fysieke of logische locatie, de benodigde toegang (volgens least privilege) en de verantwoordelijke organisatie. Twee vergelijkbare apparaten kunnen dus in verschillende zones vallen als het compromitteren van het ene veel ernstigere gevolgen heeft dan het andere.

Daarnaast schrijft de norm vijf vaste scheidingen voor:

Deze regels voorkomen de meest gemaakte fout: één platte OT-zone waarin een besmette servicelaptop direct naast een safety-PLC hangt.

🔧 Welke kenmerken legt u per zone vast?

ZCR 6 van IEC 62443-3-2 vraagt om een cybersecurity requirements specification (CRS), met daarin zone- en conduittekeningen (ZCR 6.3) en de kenmerken van elke zone en conduit (ZCR 6.4). Een bruikbaar zonedossier bevat in ieder geval:

Zonder deze gegevens is niet te toetsen of de maatregelen voldoende zijn. Het zonedossier is ook het startpunt voor firewallregelbeheer: elke regel moet terug te voeren zijn op een vastgelegde datastroom.

🏭 Welke zones komen in een typische installatie voor?

Het aantal en de indeling van zones volgen uit uw eigen risicobeoordeling, maar in procesinstallaties en fabrieken komen deze zones vaak terug:

🔄 Wat is het verschil tussen een zone, een VLAN, een Purdue-niveau en een Ex-zone?

Een zone kan bijvoorbeeld een complete productielijn verticaal omvatten, van PLC tot lijn-HMI, terwijl het SIS op hetzelfde Purdue-niveau een eigen zone krijgt. Wilt u binnen een zone nog fijner scheiden, dan is microsegmentatie een aanvullende techniek.

🛠️ Hoe richt u een zone in de praktijk in?

1. Inventariseer - begin met een actuele asset-inventaris en netwerktekening; zonder overzicht van assets en verbindingen is zonering giswerk.
2. Groepeer - deel assets in volgens de criteria en scheidingen van ZCR 3 en leg per zone de kenmerken vast.
3. Bepaal de SL-T - voer per zone een risicobeoordeling uit volgens ZCR 5 en stel het doelniveau vast; dat is formeel een vector met zeven waarden, één per foundational requirement.
4. Begrens technisch - realiseer de grens met een industriële firewall, VLAN’s met filtering of een datadiode, conform SR 5.1 en SR 5.2 uit IEC 62443-3-3.
5. Beheer de toegangspunten - sluit ongebruikte poorten, regel toegangscontrole en laat beheer van buiten via de IDMZ lopen.
6. Bewaak en onderhoud - gebruik monitoring en passieve netwerkmonitoring op de zonegrens en herzie het zonemodel bij elke uitbreiding.

In Nederland is zonering geen letterlijk wettelijk voorschrift, maar wel de gangbare manier om aan te tonen dat u passende maatregelen neemt. NIS2 en de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad, eisen risicogebaseerde maatregelen in de zorgplicht. Ook in de watersector is IEC 62443 een veelgebruikt referentiekader voor het segmenteren van zuiveringen en gemalen.

❓ Veelgestelde vragen

Hoeveel zones heeft een OT-netwerk nodig?

Het aantal zones volgt uit de risicobeoordeling volgens IEC 62443-3-2, niet uit een vast getal. Wel vragen ZCR 3.2 tot en met 3.6 aparte zones voor business-IT, veiligheidssystemen, tijdelijk aangesloten apparaten, draadloze apparaten en externe verbindingen, voor zover die aanwezig zijn. Een kleine installatie kan daardoor met een handvol zones toe, terwijl een grote locatie er vaak veel meer heeft.

Mag een asset in meerdere zones tegelijk zitten?

Nee, volgens ZCR 6.3 wordt elk asset aan één zone of één conduit toegewezen. Een apparaat met twee netwerkkaarten in verschillende zones, zoals een dubbel aangesloten engineeringstation, overbrugt de zonegrens en vormt een ongecontroleerde verbinding. Zo’n asset hoort in een eigen zone of achter een firewall.

Is een zone hetzelfde als een VLAN?

Nee, een zone is een groep assets met gemeenschappelijke beveiligingseisen, terwijl een VLAN een technische manier is om netwerkverkeer te scheiden. Een VLAN helpt bij het realiseren van een zone, maar pas met filtering op de zonegrens ontstaat een beheerste overgang via een conduit.

Wat is een subzone?

Een subzone is een geneste zone binnen een grotere zone, met strengere beveiligingseisen dan de omringende zone. Een typisch voorbeeld is een veiligheidssysteem binnen een procesgebied. De subzone heeft een eigen grens en een eigen SL-T, en communiceert met de rest via een conduit.

Wie is verantwoordelijk voor een zone?

Elke zone heeft volgens IEC 62443-3-2 een verantwoordelijke organisatie, meestal de afdeling die de installatie beheert. De asset owner keurt het totale zone- en conduitmodel goed in ZCR 7. Systeemintegratoren en leveranciers werken mee, maar dragen de eindverantwoordelijkheid niet.

Heeft een beveiligingszone iets met een ATEX-zone te maken?

Nee, een beveiligingszone uit IEC 62443 gaat over cybersecurity, terwijl een ATEX-zone of Ex-zone aangeeft hoe vaak een explosieve atmosfeer aanwezig kan zijn. Beide indelingen bestaan naast elkaar in dezelfde installatie. Apparatuur in een Ex-zone kan dus tegelijk in een beveiligingszone voor de basisbesturing vallen.

📌 Samengevat

Een zone is een afgebakende groep assets met gemeenschappelijke beveiligingseisen, een duidelijke grens en een eigen doelbeveiligingsniveau, waarbinnen u maatregelen afstemt op het risico van die groep. Zones vormen samen met conduits de basis voor een veilige, gestructureerde OT-architectuur zoals beschreven in IEC 62443. Ze leveren pas echte bescherming op als ze zijn onderbouwd met een risicobeoordeling, vastgelegd in een zonedossier en technisch begrensd en bewaakt worden.