Cybersecurity binnen de industrie draaide jarenlang voornamelijk om het beveiligen van netwerken. Denk hierbij aan firewalls, netwerksegmentatie, VPN-verbindingen en beveiligde toegang op afstand. Deze maatregelen blijven belangrijk, maar zijn inmiddels niet meer voldoende om moderne machines en installaties volledig te beschermen.
Industriële systemen worden steeds vaker verbonden met bedrijfsnetwerken, cloudomgevingen en externe services. Tegelijkertijd bevatten HMI’s, industriële PC’s, gateways en controllers steeds meer software en kunnen apparaten op afstand worden onderhouden en bijgewerkt. Hierdoor verschuift cybersecurity steeds verder van alleen netwerkbeveiliging naar de manier waarop een product wordt ontworpen, ontwikkeld, onderhouden en gedurende zijn volledige levensduur wordt ondersteund.
Van een veilig netwerk naar een veilig product
De grens tussen traditionele OT-netwerken (Operational Technology) en externe IT-systemen wordt steeds minder duidelijk. Machines wisselen gegevens uit met andere installaties, productiesystemen en cloudplatformen, terwijl service en software-updates steeds vaker op afstand plaatsvinden.
Een beveiligde verbinding alleen is daarbij niet voldoende. Een VPN of firewall kan bijvoorbeeld voorkomen dat onbevoegden direct toegang krijgen tot een machine, maar zegt niets over de veiligheid van de software die op het apparaat draait. Ook moet worden gekeken naar gebruikte softwarecomponenten, de mogelijkheid om beveiligingsupdates uit te voeren en de manier waarop kwetsbaarheden gedurende de levensduur van het product worden opgevolgd.
Cybersecurity wordt daarmee steeds meer een onderdeel van de engineering van het product zelf.
De Cyber Resilience Act
Deze ontwikkeling wordt ook zichtbaar in Europese wetgeving. Met de Cyber Resilience Act (CRA) introduceert de Europese Unie verplichte cybersecurity-eisen voor producten met digitale elementen. De CRA kijkt daarbij niet alleen naar de beveiliging van een eindproduct, maar naar de volledige levenscyclus: van ontwerp en ontwikkeling tot onderhoud en ondersteuning nadat het product op de markt is gebracht.
Het grootste deel van de verplichtingen uit de CRA wordt vanaf december 2027 van toepassing. Een belangrijk onderdeel gaat echter al eerder gelden. Vanaf 11 september 2026 moeten fabrikanten onder andere melding maken van actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten. Daarbij geldt onder meer een eerste waarschuwing binnen 24 uur en een verdere melding binnen 72 uur.
Hiermee wordt een belangrijke verandering zichtbaar. Een industrieel product kan niet alleen op het moment van levering als veilig worden beschouwd. Nieuwe kwetsbaarheden kunnen jaren later worden ontdekt, softwarecomponenten veranderen en nieuwe aanvalsmethoden ontstaan. Fabrikanten moeten daarom ook nadat een product is geleverd in staat zijn om beveiligingsproblemen te beoordelen en waar nodig maatregelen of updates beschikbaar te stellen.
IEC 62443 en secure development
Ook binnen industriële cybersecuritystandaarden krijgt deze aanpak steeds meer aandacht. De IEC 62443-serie beschrijft cybersecurity voor industriële automatiserings- en besturingssystemen. Daarbij wordt niet alleen gekeken naar technische beveiligingsfuncties, maar ook naar het proces waarmee producten worden ontwikkeld en onderhouden.
Een belangrijk onderdeel hiervan is IEC 62443-4-1. Deze norm richt zich op de Secure Product Development Lifecycle en behandelt onder andere:
- cybersecurity-eisen tijdens productontwikkeling;
- veilig ontwerp en veilige implementatie;
- verificatie en testen;
- beheer en beoordeling van kwetsbaarheden;
- beveiligingsupdates en onderhoud.
IEC 62443-4-2 kijkt vervolgens naar de technische cybersecurity-eisen van de industriële component zelf. Het onderscheid tussen beide normen is belangrijk. Een veilig industrieel product vraagt zowel om een goed ingericht ontwikkelproces als om de juiste technische beveiligingsmogelijkheden in het product.
Cybersecurity is daarmee niet simpelweg een verzameling functies die aan het einde van een ontwikkelingstraject aan een product kan worden toegevoegd.
Kwetsbaarheden beheren tijdens de levensduur
De groeiende aandacht voor cybersecurity verandert ook de manier waarop fabrikanten naar reeds geïnstalleerde apparatuur moeten kijken. Bij traditionele productontwikkeling lag de nadruk sterk op vaste momenten: ontwikkelen, testen, produceren, installeren en vervolgens ondersteunen. Bij verbonden producten blijft de relatie met het product veel langer actief.
Wanneer bijvoorbeeld enkele jaren na installatie een kwetsbaarheid wordt ontdekt in een gebruikte softwarecomponent, moet kunnen worden vastgesteld welke producten hierdoor worden geraakt. Vervolgens moet worden bepaald wat het risico is en of een beveiligingsupdate noodzakelijk is. Daarvoor moeten fabrikanten onder andere weten welke softwarecomponenten in hun producten worden gebruikt en hoe reeds geïnstalleerde apparaten veilig kunnen worden bijgewerkt.
Ook moet duidelijk zijn hoe externe beveiligingsonderzoekers of klanten een mogelijke kwetsbaarheid kunnen melden en hoe deze melding vervolgens wordt beoordeeld en afgehandeld. Cybersecurity raakt daardoor niet alleen de IT- of cybersecurityafdeling, maar ook R&D, engineering, kwaliteitsbeheer, productmanagement en aftersales.
EXOR en IEC 62443-4-1
EXOR International heeft voor zijn Secure Development Lifecycle de IEC 62443-4-1:2018 Maturity Level 2-certificering behaald. Dit betekent dat cybersecurity structureel onderdeel is gemaakt van het ontwikkelproces van EXOR-producten. Beveiliging wordt hierdoor niet alleen beoordeeld aan de hand van functies van het uiteindelijke product, maar is onderdeel van de manier waarop software en hardware worden ontworpen, ontwikkeld, getest en onderhouden.
EXOR werkt daarnaast verder aan cybersecurity op productniveau en streeft voor geselecteerde hardware van de nieuwe generatie naar certificering volgens IEC 62443-4-2. Hiermee worden beide aspecten gecombineerd: een beveiligd ontwikkelproces én technische beveiliging binnen het product zelf.
Structureel beheer van beveiligingsproblemen
Een ander belangrijk onderdeel van deze aanpak is vulnerability management. EXOR heeft hiervoor een openbaar proces ingericht waarmee externe securityonderzoekers mogelijke beveiligingsproblemen in producten en diensten kunnen melden. Binnen dit proces zijn procedures vastgelegd voor het ontvangen, onderzoeken en afhandelen van kwetsbaarheden en voor het gecoördineerd communiceren over eventuele beveiligingsproblemen.
Hiermee wordt cybersecurity een continu proces: niet alleen tijdens de ontwikkeling van een product, maar ook gedurende de periode waarin het product bij klanten in gebruik is.
Cybersecurity als onderdeel van industriële engineering
De ontwikkelingen rondom de Cyber Resilience Act en IEC 62443 laten zien dat industriële cybersecurity steeds verder verschuift:
- van netwerkbeveiliging naar productbeveiliging;
- van losse beveiligingsfuncties naar secure development;
- van een eenmalige beoordeling naar beheer gedurende de volledige levenscyclus van een product.
Voor machinebouwers en industriële technologiebedrijven verandert daarmee ook de centrale vraag.
Niet alleen:
Is dit product vandaag veilig?
Maar steeds vaker:
Kan dit product gedurende zijn volledige operationele levensduur veilig worden ontwikkeld, onderhouden, bijgewerkt en ondersteund?
Met een gecertificeerd Secure Development Lifecycle, structureel vulnerability management en verdere ontwikkeling richting IEC 62443-4-2 bouwt EXOR deze principes steeds verder in, zowel binnen de organisatie als in de producten zelf.
Want uiteindelijk is cybersecurity geen eenmalig certificaat of een functie die aan een product wordt toegevoegd. Het is een continu onderdeel van moderne industriële engineering.
