Organisaties die zowel IT- als OT-omgevingen beheren, stuiten al snel op de vraag welke norm zij nodig hebben. ISO 27001 en IEC 62443 worden regelmatig in één adem genoemd, maar zij verschillen wezenlijk in opzet en oogmerk. Hieronder de verschillen, de overlap, en de vraag of u er één nodig heeft of beide.
In het kort: ISO 27001 richt zich op informatiebeveiliging in brede zin, over IT, processen en mensen heen. IEC 62443 is specifiek ontworpen voor de beveiliging van industriële automatiseringssystemen. Zij vullen elkaar aan en vervangen elkaar niet.
ISO 27001: informatiebeveiliging breed
ISO 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging. De norm verlangt dat organisaties:
- risico's voor informatiebeveiliging stelselmatig onderkennen en behandelen
- een verbetercyclus inrichten volgens het principe van plannen, uitvoeren, controleren en bijsturen
- beheersmaatregelen invoeren uit Annex A, die in de versie van 2022 93 maatregelen omvat
- beleid, procedures en documentatie op orde brengen en houden
De norm is breed toepasbaar, van kantooromgevingen tot datacenters en van personeelsprocessen tot clouddiensten.
IEC 62443: OT-security specifiek
IEC 62443 is een normenreeks die zich richt op industriële automatiserings- en besturingssystemen. Aan de orde komen onder meer:
- netwerksegmentatie via zones en conduits
- security levels van SL-1 tot en met SL-4, vast te stellen per zone
- eisen die afzonderlijk gelden voor asset owners, systeemintegratoren en componentleveranciers
- technische eisen aan authenticatie, logging en de integriteit van communicatie
De reeks is ontworpen voor omgevingen waarin beschikbaarheid en veiligheid zwaarder wegen dan vertrouwelijkheid. Dat is precies de omgekeerde volgorde van een gangbare kantooromgeving, en het verklaart waarom IT-maatregelen zich niet zonder meer naar OT laten overzetten.
De vergelijking
| Aspect | ISO 27001 | IEC 62443 |
|---|---|---|
| Focus | Informatiebeveiliging (IT-breed) | OT / industriële systemen |
| Scope | Organisatiebreed managementsysteem | Specifieke IACS-omgevingen |
| Prioriteit | Vertrouwelijkheid > Integriteit > Beschikbaarheid | Beschikbaarheid > Integriteit > Vertrouwelijkheid |
| Aanpak | Managementsysteem met verbetercyclus | Technische eisen en risicoanalyse per zone |
| Certificeerbaar | Ja, door een geaccrediteerde instantie | Ja, per component, systeem of proces |
| Rollen | De organisatie als geheel | Asset owner, integrator, leverancier |
| NIS2-relevant | Ja | Ja, voor de OT-onderdelen |
Waar overlappen ze?
De overlap is aanzienlijk en betreft onder meer:
- Risicomanagement. Beide vragen om een stelselmatige risicoanalyse.
- Toegangsbeheer. Authenticatie, autorisatie en het beheer van accounts.
- Incidentafhandeling. Detectie, respons en herstel.
- Wijzigingsbeheer. Beheerste doorvoering van wijzigingen aan systemen.
- Bewustwording en training. Medewerkers moeten de risico's van hun handelen kennen.
Heeft u beide nodig?
Dat hangt af van de omgeving die u beheert:
- Uitsluitend een IT-omgeving: ISO 27001 volstaat.
- Uitsluitend een OT-omgeving: IEC 62443 is leidend, terwijl ISO 27001 ondersteunt bij het inrichten van het managementsysteem eromheen.
- IT en OT naast elkaar, de situatie bij de meeste industriële bedrijven: beide, met ISO 27001 als overkoepelend managementsysteem en IEC 62443 voor de specifieke eisen aan de productieomgeving.
NIS2 verwijst naar beide normen als middel om aan te tonen dat u aan de zorgplicht voldoet. Een gecombineerde aanpak voorkomt dubbel werk, omdat de overlappende maatregelen dan eenmaal worden ingericht en tweemaal meetellen.
Hulp bij ISO 27001 of IEC 62443?
Resotech begeleidt organisaties bij de implementatie en certificering van ISO 27001 en IEC 62443, en helpt bepalen welke norm in uw situatie het meeste oplevert.
Plan een gesprek ISO 27001-dienst