IEC 62443 is een reeks internationale normen die beschrijft hoe organisaties de cybersecurity van industriële automatiserings- en besturingssystemen (Industrial Automation and Control Systems, IACS) kunnen inrichten, beoordelen en aantonen. Waar veel IT-securitynormen uitgaan van kantoorautomatisering, is IEC 62443 specifiek geschreven voor omgevingen waarin systemen fysieke processen aansturen: elektriciteitsonderstations, productielijnen, waterzuivering en energiecentrales.
Waarom een aparte norm voor OT?
In een kantooromgeving staat vertrouwelijkheid meestal voorop. In een onderstation is de volgorde vaak omgekeerd: beschikbaarheid en integriteit van de besturing wegen zwaarder dan vertrouwelijkheid, omdat uitval direct gevolgen kan hebben voor de energielevering. IEC 62443 houdt hier rekening mee door eisen te koppelen aan risico in plaats van een uniforme beveiligingslat voor alle systemen te hanteren.
Opbouw van de normreeks
IEC 62443 bestaat uit meerdere delen, verdeeld over vier groepen:
- Algemeen (1-x): basisconcepten, terminologie en modellen.
- Beleid en procedures (2-x): eisen aan het securityprogramma van asset owners en service providers.
- Systeem (3-x): eisen aan risicobeoordeling, architectuur (zones en conduits) en systeembeveiliging.
- Component (4-x): eisen aan de ontwikkeling en techniek van individuele producten.
Deze indeling betekent dat verschillende delen zich richten tot verschillende rollen: een asset owner werkt vooral met 2-1, een system integrator met 2-4 en 3-x, en een productleverancier met 4-1 en 4-2.
Kernconcepten
Twee concepten komen in vrijwel elk onderdeel terug:
- Zones en conduits — het opdelen van een systeem in logische groepen (zones) met een vergelijkbaar risiconiveau, verbonden door gecontroleerde communicatiepaden (conduits).
- Security Levels — een schaal van 1 tot 4 die aangeeft tegen welk soort aanvaller een zone of component bestand moet zijn, van toevallige blootstelling tot een aanvaller met uitgebreide middelen.
Waarom dit relevant is voor de energiesector
Onderstations en control centres combineren oudere, lang meegaande apparatuur met steeds meer IP-gebaseerde koppelingen. IEC 62443 biedt een gestructureerde manier om deze gemengde omgevingen te beoordelen, zonder te eisen dat alle apparatuur identiek wordt beveiligd. Voor netbeheerders is de norm inmiddels een gangbare referentie bij aanbestedingen, risicobeoordelingen en gesprekken met toezichthouders.
Hoe dit kenniscentrum de norm behandelt
Dit kenniscentrum biedt eigen samenvattingen en praktijkvoorbeelden per onderdeel, per rol en per Foundational Requirement. Het vervangt niet de officiële normteksten: raadpleeg voor certificering en formele naleving altijd de publicaties van IEC, ISA of een geaccrediteerde certificeringsinstelling.