®01
Zonearchitectuur en aanvalsdetectie voor de procesbesturing
Zone- en conduitmodel met indeling van alle systemen
Meer hieroverSectoren / Kernenergie
Kritieke installaties. Gecontroleerde verbindingen.
Gevoelige installaties beschermen met veilige zonearchitecturen en hardwarecryptografie.
Advies. Integratie. Beheer.
Voor de mensen in uw sector.
- Exploitanten in ontmanteling
- Tussentijdse opslag en afvalbeheer
- Splijtstofcyclus en onderzoeksreactoren
- Fabrikanten en dienstverleners van procesbesturing
Uw speerpunten
Opgaven begrijpen. Oplossingen vormgeven.
Wij segmenteren installatienetwerken volgens IEC 62443, beveiligen datastromen met datadiodes en detecteren afwijkingen in de procesbesturing, zonder in te grijpen in veiligheidssystemen.
02
Gecontroleerde interfaces en externe toegang
Interfacecatalogus met datastromen en zones
Meer hierover03
Dataplatform voor bedrijfs- en veiligheidsgegevens
Dataplatform met koppeling aan historian en netwerksensoren
Meer hieroverVan strategie tot in het systeem
Zes servicebouwstenen
Zes aandachtsgebieden. Kies waar u dieper op wilt ingaan.
01Zonearchitectuur en aanvalsdetectie voor de procesbesturingIEC 62443 · IEC 62645 · OPSWAT MetaDefender NetWall
Onze aanpak
Een zonearchitectuur verdeelt de installatie in gebieden met gelaagde beschermingsbehoefte en regelt elke overgang via vastgelegde conduits. Wij delen procesbesturingssystemen in volgens de beveiligingsgraden van IEC 62645 en de beveiligingsniveaus van IEC 62443, scheiden de veiligheidsprocesbesturing strikt van de operationele procesbesturing en het kantoornetwerk, en laten data alleen via datadiodes naar buiten. Datadragers worden voor gebruik gecontroleerd bij datasluizen, en passieve sensoren herkennen afwijkingen in het netwerkverkeer zonder ooit een pakket naar de procesbesturing te sturen. Het resultaat voldoet aan de plicht tot aanvalsdetectie volgens het BSI-Gesetz en aan de verwachtingen van de IAEA voor een gelaagde beveiligingsarchitectuur.
Omvang van de dienstverlening in detail
- Inventaris van alle procesbesturingssystemen, netwerkovergangen en datastromen met indeling volgens IEC 62645 en IEC 62443
- Zone- en conduitmodel met datadiodes voor uitgaande procesdata en industriële firewalls tussen zones
- Datadragersluizen met meervoudige virusscan en contentopschoning voor updates en onderhoudsnotebooks
- Passieve aanvalsdetectie in het procesbesturingsnetwerk met koppeling aan SIEM en meldroutes volgens het BSI-Gesetz en NIS2
- Beveiligingsconcept, werkinstructies en bewijsstukken voor toezichthouder, deskundigen en KRITIS-toetsing
Een exploitant in ontmanteling voert datadragersluizen en datadiodes in; ontmantelingsdienstverleners krijgen installatiegegevens uit een zone waaruit geen weg terugleidt naar de procesbesturing.
Dit ontvangt u
- Zone- en conduitmodel met indeling van alle systemen
- Datadragersluizen en datadiodes in bedrijf met werkinstructies
- Aanvalsdetectie met meldroutes en KRITIS-bewijsstuk
02Ondertekende software en PKI met hardware security modulesUtimaco u.trust GP HSM Se-Series · Thales Luna Network HSM · Entrust nShield 5c
Onze aanpak
Software, firmware en configuraties van de procesbesturing bereiken de installatie via fabrikanten, dienstverleners en datadragers, en elke wijziging moet controleerbaar zijn op herkomst en integriteit. Wij bouwen een ondertekeningsketen op waarin fabrikanten hun levering ondertekenen, uw engineeringstations de handtekening controleren voor het laden, en uw eigen vrijgaven plaatsvinden met sleutels in hardware security modules. Dezelfde PKI geeft certificaten uit voor onderhoud op afstand, locatiekoppeling en datadiodes. Wij adviseren leveranciersonafhankelijk over Utimaco u.trust GP HSM, Thales Luna en Entrust nShield 5 en plannen sleutelceremonies met rollen, quorums en verslaglegging.
Omvang van de dienstverlening in detail
- Ondertekeningsconcept voor software, firmware en configuraties met rollen voor fabrikanten, deskundigen en exploitant
- PKI met offline root CA en issuing CA in de HSM, certificaten voor onderhoud op afstand, locatiekoppeling en apparaten
- HSM-selectie volgens FIPS 140-3 en Common Criteria, sleutelceremonies met quorums, getuigen en sjablonen voor ceremonieverslagen
- Handtekeningcontrole bij datadragersluis en engineeringstation als stap in de wijzigingsprocedure
- Beheerhandboek voor sleutelrotatie, firmwareversies, noodherstel en toetsing door deskundigen
Een tussentijdse opslagfaciliteit eist ondertekende updates van haar leverancier van procesbesturingssystemen; de datasluis controleert de handtekening, en de vrijgave voor het laden gebeurt met een sleutel uit de HSM van de exploitant.
Dit ontvangt u
- Ondertekenings- en PKI-concept met rollen en certificaatprofielen
- HSM in bedrijf met vastgelegde sleutelceremonies
- Beheerhandboek met herstel en controlebewijzen
03Gecontroleerde interfaces en externe toegangOPSWAT MetaDefender OT Access · Datadiode · Privileged Access Management
Onze aanpak
Bedrijfsvoering, onderhoud, stralingsbescherming en verslaglegging hebben data uit de installatie nodig, maar mogen geen terugkanaal naar de procesbesturing openen. Wij integreren procesdata, documentbeheer en ERP via interfaces die beginnen achter de datadiode, versies hebben, een verantwoordelijke hebben en elke toegang registreren. Onderhoud op afstand door fabrikanten loopt via jumpservers met multifactorauthenticatie, sessieopname en goedkeuring per inzet door uw personeel, niet via permanente toegang die na de inzet open blijft.
Omvang van de dienstverlening in detail
- Interfacecatalogus met datastromen, richting, verantwoordelijken en zone per interface
- Procesdata-historian en integratielaag achter de datadiode, koppeling met ERP, onderhoud en documentbeheer
- Architectuur voor onderhoud op afstand met jumpserver, multifactorauthenticatie, sessieopname en goedkeuring per inzet
- Autorisatieconcept voor dienstverleners in ontmanteling met tijdelijke accounts en vierogenprincipe
- Geautomatiseerde tests, versiebeheer en wijzigingsprocedure per interface, monitoring in de reguliere bedrijfsvoering
Een exploitant koppelt het onderhoudssysteem en de procesdata-historian via een datadiode; onderhoudsmedewerkers zien meetwaarden in het kantoornetwerk, zonder dat er een verbinding met de procesbesturing bestaat.
Dit ontvangt u
- Interfacecatalogus met datastromen en zones
- Architectuur voor onderhoud op afstand met jumpserver en sessieopname in bedrijf
- Autorisatie- en goedkeuringsconcept met bewijs via logging
04Ondertekende langetermijnarchieven voor ontmanteling en bedrijfsvoeringBSI TR-03125 (TR-ESOR) · RFC 3161-tijdstempels · PDF/A
Onze aanpak
Ontmantelingsdocumentatie, vrijgavemetingen, gegevens over afvalcolli en bedrijfsregistraties moeten tientallen jaren volledig, onveranderd en leesbaar blijven, langer dan elk bestandsformaat en elke ondertekeningsmethode. Wij bouwen archieven die elk gegeven bij binnenkomst ondertekenen, van een gekwalificeerd tijdstempel voorzien en versleuteld opslaan, en die de bewijswaarde volgens BSI TR-03125 behouden door opnieuw te ondertekenen. De ondertekeningssleutels liggen in de HSM, de formaten volgen PDF/A en XML met gedocumenteerd schema, en de toegang is rolgebaseerd en gelogd voor toezichthouder en deskundigen.
Omvang van de dienstverlening in detail
- Archiefconcept met bewaarklassen, formaten volgens PDF/A en XML en beschermingsbehoefte per documenttype
- Ondertekenings- en tijdstempeldienst met sleutels in de HSM, behoud van bewijswaarde volgens BSI TR-03125 door opnieuw te ondertekenen
- Versleuteling van de opslag met LAN Crypt of opslagversleuteling, sleutels onder controle van de exploitant
- Overname vanuit documentbeheer, meetsystemen en oude archieven met controle op volledigheid
- Beheer met hersteltests, formaatmigratie en bewijsstukken voor toezichthouder en afvalpartners
Een exploitant in ontmanteling brengt vrijgavemetingen en ontmantelingsverslagen onder in een ondertekend archief; elk gegeven draagt een tijdstempel en handtekening, en het opnieuw ondertekenen is als dienst ingepland.
Dit ontvangt u
- Archiefconcept met bewaarklassen en formaten
- Ondertekend en versleuteld archief met tijdstempeldienst in bedrijf
- Bewijs van behoud van bewijswaarde met hersteltests
05Dataplatform voor bedrijfs- en veiligheidsgegevensApache Kafka · Apache Spark · Lakehouse
Onze aanpak
Procesdata, meldingen van de procesbesturing, netwerkverkeergegevens en onderhoudsgeschiedenis staan in gescheiden systemen en worden zelden samen geanalyseerd. Wij bouwen achter de datadiode een dataplatform dat deze bronnen samenbrengt, en trainen daarop modellen die afwijkingen in het installatiegedrag en het netwerkverkeer vroeg signaleren. Modellen geven aanwijzingen aan ploegpersoneel en veiligheidsteam, maar nemen zelf geen beslissingen, en elke analyse heeft een versie en is met modelkaart en datalineage traceerbaar gedocumenteerd.
Omvang van de dienstverlening in detail
- Dataplatform achter de datadiode met koppeling aan historian, meldingen van de procesbesturing, netwerksensoren en onderhoud
- Anomaliemodellen voor installatiegedrag en netwerkverkeer, getoetst aan historische storingen en onderhoudsgebeurtenissen
- Analyses voor onderhoud, stralingsbescherming en verslaglegging met rollen en logging
- Modelbeheer met versiebeheer, monitoring van datadrift en gecontroleerde hertraining
- Documentatie volgens de Europese AI-verordening en afbakening ten opzichte van de veiligheidsfuncties van de installatie
Een exploitant analyseert pompgegevens en netwerkverkeer van de operationele procesbesturing samen; een model signaleert een apparaat dat buiten onderhoudsvensters verbindingen opzet, voordat iemand het incident opmerkt.
Dit ontvangt u
- Dataplatform met koppeling aan historian en netwerksensoren
- Anomaliemodellen met versiebeheer en modelkaart
- Analyses en rapportages voor onderhoud en veiligheidsteam
06Post-quantumgereedheid voor handtekeningen en archievenML-DSA (FIPS 204) · ML-KEM (FIPS 203) · XMSS (RFC 8391)
Onze aanpak
Krachtige quantumcomputers zullen RSA en elliptische krommen breken, waarop tegenwoordig softwarehandtekeningen, certificaten voor onderhoud op afstand en archiefhandtekeningen berusten. Voor archieven die decennialang geldig moeten blijven, is dat geen ver probleem, want een handtekening die later vervalsbaar wordt, verliest haar bewijswaarde. Wij inventariseren methoden, sleutels en certificaten over procesbesturing, PKI en archief, zetten voor langetermijnhandtekeningen in op hashgebaseerde methoden zoals XMSS en LMS, en plannen de overstap van de PKI naar ML-DSA en hybride certificaten in etappes, gekoppeld aan apparatuurvervanging en de wijzigingsprocedure.
Omvang van de dienstverlening in detail
- Crypto-inventaris over ondertekeningsdiensten, PKI, onderhoud op afstand, datadiodes en archief met beoordeling naar beschermingsduur
- Hashgebaseerde handtekeningen volgens XMSS en LMS voor archief en firmware met statusbeheer in de HSM
- Controle van de HSM's op firmware met ML-KEM, ML-DSA, XMSS en LMS, migratiepad voor oudere apparaten
- Hybride certificaten en migratieplan voor root CA, issuing CA en apparaatidentiteiten
- Roadmap in etappes op basis van beschermingsduur van de data, levensduur van de apparatuur en wijzigingsprocedure van de installatie
Een exploitant schakelt de handtekeningen van zijn ontmantelingsarchief over op XMSS en behoudt de bestaande PKI voor onderhoud op afstand tot de volgende apparatuurvervanging, waarvoor hybride certificaten zijn voorbereid.
Dit ontvangt u
- Crypto-inventaris met risicobeoordeling naar beschermingsduur
- Migratieroadmap voor PKI, HSM's en archiefhandtekeningen
- Ondertekeningsdienst met hashgebaseerde methoden in bedrijf
Typische projectsituaties
Waar verandering concreet wordt.
Vaak begint een project met een concrete uitdaging. Deze voorbeelden combineren een typische uitgangssituatie met een mogelijke aanpak en het beoogde resultaat.
Voorbeelden van uitgangssituaties, geen klantreferenties.
01 / Kernenergie
Zonearchitectuur bij een exploitant in ontmanteling
Ontmantelingsdienstverleners hebben installatiegegevens nodig, netwerkovergangen zijn over decennia gegroeid, de toezichthouder vraagt naar het IT-beveiligingsconcept.
Oplossing
Inventaris en indeling volgens IEC 62645, zones met datadiodes en datasluizen, onderhoud op afstand via jumpservers met goedkeuring per inzet.
Gedocumenteerd beveiligingsconcept, gecontroleerde toegang voor alle dienstverleners, bewijsstukken voor toezichthouder en deskundigen.
02 / Kernenergie
Ondertekende updates bij een tussentijdse opslagfaciliteit
Updates voor de procesbesturing komen op datadragers zonder controleerbare herkomst, vrijgaven verlopen via handtekening op papier.
Oplossing
Ondertekeningsketen met fabrikantshandtekening, controle bij de datasluis, vrijgavesleutel in de HSM van de exploitant, ceremonieverslagen.
Elke update controleerbaar op herkomst en integriteit, vrijgaven traceerbaar in de wijzigingsprocedure, HSM in bedrijf.
03 / Kernenergie
Langetermijnarchief bij een installatie van de splijtstofcyclus
Bedrijfsregistraties en meetgegevens staan in bestandssystemen zonder handtekening, het oude archief draait op software zonder fabrikantssupport.
Oplossing
Ondertekend archief met tijdstempeldienst, behoud van bewijswaarde volgens BSI TR-03125, hashgebaseerde handtekeningen, overname vanuit het oude archief.
Bewijswaarde voor tientallen jaren, opnieuw ondertekenen als dienst, herstel getest en gedocumenteerd.
Samenwerking
Een duidelijk traject. Met uw team.
Van het eerste overzicht tot het lopende beheer: wij stemmen prioriteiten, verantwoordelijkheden en de resultaten van de afzonderlijke stappen samen af.
Zo werken wij
- 01
Assessment
Procesbesturingssystemen, netwerkovergangen, datadragertrajecten, archieven en bewijslacunes
Inventaris met indeling volgens IEC 62645, crypto-inventaris, hiaatanalyse voor KRITIS en NIS2 - 02
Concept
Zones, conduits, ondertekeningsketen, archief, beheermodel
Beveiligingsconcept, zonemodel, PKI- en archiefconcept, beheermodel, wijzigingsaanvragen - 03
Realisatie
Maatregelen in onderhoudsvensters en via de wijzigingsprocedure, etappe voor etappe
Zones, datasluizen, HSM, interfaces en archief in bedrijf, tests, documentatie, vrijgave per etappe - 04
Beheer
Monitoring, opnieuw ondertekenen, audits, kennisoverdracht
Aanvalsdetectie in reguliere bedrijfsvoering, sleutel- en archiefonderhoud, KRITIS-bewijsstukken, stapsgewijze overdracht
Vóór het kennismakingsgesprek
U hoeft nog niet alle antwoorden te hebben.
Een concrete uitdaging is voldoende. Deze vier vragen helpen ons om samen de juiste richting te bepalen.
Kennismakingsgesprek plannen- 01
Wat moet er veranderen?
De huidige uitdaging en uw gewenste resultaat.
- 02
Welke systemen zijn betrokken?
Een overzicht van locaties, applicaties en interfaces.
- 03
Wat bepaalt het kader?
Projectdata, onderhoudsvensters en bekende afhankelijkheden.
- 04
Wie moet aan tafel zitten?
De juiste contactpersonen uit IT, beveiliging en beheer.
Achtergrond & beslishulpen
Wat is IT-beveiliging voor kernenergie?
Zes aandachtsgebieden, van de zonearchitectuur van de procesbesturing tot het ondertekende langetermijnarchief voor de ontmanteling, gepland, uitgevoerd en beheerd door OTOKO®. Geen enkele maatregel grijpt in op vergunde veiligheidssystemen, en elke maatregel is aantoonbaar tegenover toezichthouder en deskundigen. De volledige oplossing draait in Duitse datacenters.
IT-beveiliging voor kernenergie beschermt de procesbesturing, bedrijfsgegevens en toegangen van nucleaire installaties tegen manipulatie, zonder de nucleaire veiligheid te raken. Dit geldt voor installaties in ontmanteling, tussentijdse opslag, onderzoeksreactoren en bedrijven in de splijtstofcyclus, evenals voor centrales in bedrijf, in binnen- en buitenland. OTOKO® dekt daarvoor zes aandachtsgebieden af: zonearchitectuur en aanvalsdetectie voor de procesbesturing, ondertekende software en PKI met hardware security modules, gecontroleerde interfaces en externe toegang, ondertekende langetermijnarchieven voor ontmanteling en bedrijfsvoering, een dataplatform voor bedrijfs- en veiligheidsgegevens, en post-quantumgereedheid voor handtekeningen en archieven.
Het verschil met een puur adviesproject zit in de scheiding en de bewijsvoering. Beveiligingsmaatregelen ontstaan buiten de vergunde veiligheidsprocesbesturing, elke wijziging doorloopt uw wijzigingsprocedure en krijgt een verslag, een versienummer en de documenten die toezichthouder, deskundigen en het BSI verlangen. Cryptografie en hardware security modules zijn onze kerncompetentie; ondertekeningssleutels voor software, onderhoud op afstand en archieven liggen daarom in gecertificeerde apparaten in plaats van in software.
Waarom OTOKO® voor kernenergie
- Cryptografie en HSM
Cryptografie en hardware security modules zijn onze kerncompetentie. Ondertekeningssleutels voor software van de procesbesturing, onderhoud op afstand en archieven liggen bij ons in gecertificeerde hardware security modules met vastgelegde ceremonies.
- Duitse datacenters
De volledige oplossing draait in Duitse datacenters, van de gehoste HSM via de tijdstempeldienst tot het langetermijnarchief voor de ontmanteling.
- KRITIS en gereguleerde sectoren
Wij werken met exploitanten van kritieke infrastructuur (KRITIS) en gereguleerde sectoren. Wij kennen de verwachtingen van de nucleaire toezichthouder, deskundigen, het BSI en informatiebeveiliging ten aanzien van beveiligingsconcept en bewijsstukken.
- Eén team tot en met het beheer
Beveiligingsarchitecten, cryptografiespecialisten en integratieontwikkelaars blijven van advies via uitvoering in onderhoudsvensters tot beheer dezelfde aanspreekpunten.
Randvoorwaarden en details
Typische uitgangssituatie vóór een project in de kernenergie
De meeste exploitanten falen niet door gebrek aan techniek, maar door historisch gegroeide netwerkovergangen, onduidelijke verantwoordelijkheden tussen procesbesturing en IT, en bewijsstukken die alleen op papier bestaan.
01
Netwerkovergangen zonder inventaris
In de loop van decennia zijn verbindingen ontstaan tussen procesbesturing, bedrijfsvoering en kantoornetwerk die niemand volledig heeft gedocumenteerd en die elke zonegrens ondermijnen.
02
Datadragers en onderhoud op afstand zonder controle
Fabrikanten brengen updates mee op USB-sticks en notebooks, toegang voor onderhoud op afstand loopt via losse afspraken en geen enkele log toont wie wanneer wat heeft gewijzigd.
03
Aanvalsdetectie alleen in het kantoornetwerk
Het systeem voor aanvalsdetectie ziet e-mail en servers, maar niet het netwerkverkeer van de procesbesturing, en niemand durft daar sensoren te plaatsen.
04
Archief zonder bewijswaarde
Ontmantelingsdocumentatie, vrijgavemetingen en bedrijfsregistraties staan in bestandssystemen zonder handtekening, tijdstempel of een procedure om ze tientallen jaren lang opnieuw te ondertekenen.
Drie beheermodellen
| On-premises | Duitse cloud | Hyperscaler | |
|---|---|---|---|
| Dataopslag | Installatie en uw datacenter, gegevens van de procesbesturing blijven op locatie | Datacenters in Duitsland volgens ISO 27001 voor archief, dataplatform en kantoorsystemen | Azure, AWS of Google Cloud alleen voor systemen zonder installatiegegevens |
| Beheer | Uw team of OTOKO® als managed service binnen uw zones | OTOKO®, met auditrechten en meldroutes volgens KRITIS en NIS2 | Gedeeld, platformdiensten door de aanbieder |
| Tools | Datadiodes, datasluizen, HSM en sensoren in de installatie | Gehoste HSM, ondertekenings- en tijdstempeldienst, archief, dataplatform | Beheerde datadiensten, samenwerking, test- en opleidingsomgevingen |
| Geschikt voor | Procesbesturingszones, handtekeningcontrole, onderhoud op afstand | Langetermijnarchief, dataplatform, PKI voor meerdere locaties | Projectbesturing, documentatie zonder beschermingsbehoefte, opleiding |
| Compliance | Volledige controle, bewijsstukken uit beveiligingsconcept en ISMS | Verwerking door een verwerker volgens de AVG, KRITIS-bewijsstukken, locatie Duitsland | Verwerking door een verwerker, modelcontractbepalingen, goedkeuring per gegevensklasse |
Samenwerking
Project
Duidelijk afgebakend project, zoals een zonearchitectuur, een ondertekeningsketen of een archief, met vastgelegd resultaat, mijlpalen en acceptatie door bedrijfsvoering en deskundigen.
- Assessment, concept, uitvoering in onderhoudsvensters, overdracht
- Vaste prijs of nacalculatie per mijlpaal
- Geschikt voor ontmantelingsprojecten, KRITIS-bewijsstukken en archiefopbouw
Teamversterking
Beveiligingsarchitecten, cryptografiespecialisten of integratieontwikkelaars werken in uw teams, met uw tools en wijzigingsprocedures, op verzoek op locatie en met een betrouwbaarheidscontrole volgens uw eisen.
- Inwerken in installatie, zones en wijzigingsprocedure
- Schaalbaar naar projectverloop en ontmantelingsfase
- Geschikt voor exploitanten met eigen team en capaciteitstekorten
Managed service
OTOKO® beheert aanvalsdetectie, HSM, archief of dataplatform als managed service met overeengekomen prestatiewaarden, regelmatige rapportages, auditrechten en de meldroutes die KRITIS en NIS2 vereisen.
- Monitoring, sleutelrotatie, opnieuw ondertekenen, updates en support
- Auditrechten, prestatie-indicatoren en exitscenario's in het contract
- Geschikt voor locaties met een kleine bezetting in ontmanteling of tussentijdse opslag
Standaarden en bewijsvoering
Vijf normen die de IT-beveiliging in nucleaire installaties bepalen, met hun eisen en onze bijbehorende dienst.
| Voorschrift | Vereist | OTOKO® levert |
|---|---|---|
| IEC 62645 | Cyberbeveiligingsprogramma voor procesbesturing en elektrische systemen in kerncentrales, indeling in beveiligingsgraden, gelaagde maatregelen en afstemming met de nucleaire veiligheid volgens IEC 62859 | Indeling van alle procesbesturingssystemen, zone- en maatregelenconcept per beveiligingsgraad, documentatie voor deskundigen en toezichthouder |
| IEC 62443 | Zones en conduits, beveiligingsniveaus en eisen aan exploitanten, integrators en componenten in industriële automatiseringssystemen | Zone- en conduitmodel, datadiodes en firewalls, eisen aan leveranciers, bewijsstukken volgens IEC 62443-2-1 en 62443-3-3 |
| IAEA Nuclear Security Series | Gelaagde beveiligingsarchitectuur met beveiligingsniveaus en zones, computerbeveiligingsprogramma en omgang met datadragers volgens NSS No. 17-T en NSS No. 33-T | Beveiligingsarchitectuur volgens de gelaagde aanpak, datadragersluizen, programmadocumentatie en toetsing aan de richtlijnen |
| KRITIS en BSI-Gesetz | Maatregelen volgens de stand van de techniek, systemen voor aanvalsdetectie, bewijsstukken aan het BSI op vaste tijdstippen en melding van aanzienlijke storingen | Aanvalsdetectie in het procesbesturingsnetwerk, meldroutes, bewijsdocumentatie en begeleiding van de toetsing |
| NIS2 | Risicobeheer, beveiliging van de toeleveringsketen, gefaseerde incidentmelding en verantwoordelijkheid van de directie | Risicoanalyse, eisen aan leveranciers en onderhoud op afstand, meldprocessen, rapportages voor de directie |
Veelgestelde vragen
Goede vragen. Heldere antwoorden.
15 antwoorden over uw sector, het project en het beheer daarna.
Sector & aandachtsgebieden6 vragen
Welke IT-beveiligingsdiensten voor kernenergie biedt OTOKO® aan?
Het aanbod omvat zonearchitectuur en aanvalsdetectie voor de procesbesturing, ondertekende software en PKI met hardware security modules, gecontroleerde interfaces en externe toegang, ondertekende langetermijnarchieven voor ontmanteling en bedrijfsvoering, een dataplatform voor bedrijfs- en veiligheidsgegevens en post-quantumgereedheid voor handtekeningen en archieven. Elk aandachtsgebied kunt u afzonderlijk of als totaalpakket laten uitvoeren, met beheer in Duitse datacenters.
Hoe zorgt u ervoor dat maatregelen de nucleaire veiligheid niet raken?
Alle beveiligingsmaatregelen ontstaan buiten de vergunde veiligheidsprocesbesturing: datadiodes, datasluizen en passieve sensoren veranderen noch de hardware, noch de software van de beveiligingssystemen. Waar een wijziging aan de procesbesturing nodig is, loopt die uitsluitend via uw wijzigingsprocedure met controle, deskundigen en vrijgave. De afstemming van safety en security volgt IEC 62859, en elke maatregel wordt vooraf beoordeeld op mogelijke terugwerkingen.
Waarom heeft een installatie in ontmanteling nog IT-beveiliging nodig?
Splijtstofelementen, opslaggebieden, stralingsbeschermings- en ventilatiesystemen blijven na het vermogensbedrijf jarenlang in de installatie en vallen nog steeds onder toezicht. De ontmanteling brengt bovendien nieuwe dienstverleners, apparatuur en externe toegang in de installatie, en vrijgavemetingen en ontmantelingsdocumentatie moeten tientallen jaren onveranderd aantoonbaar blijven. Wij werken met exploitanten van kritieke infrastructuur en gereguleerde sectoren. Ontmanteling is voor ons de regel, geen uitzondering.
Hoe komen software-updates van fabrikanten veilig in de procesbesturing?
De fabrikant ondertekent zijn levering, de datadragersluis controleert handtekening en inhoud met meerdere scanners, en de vrijgave voor het laden gebeurt met een sleutel uit uw HSM in het kader van de wijzigingsprocedure. Elke stap wordt vastgelegd, zodat deskundigen herkomst, controle en vrijgave van een update kunnen natrekken. Fabrikanten zonder eigen handtekening betrekken wij via een ingangscontrole met het vierogenprincipe.
Hoe blijven archiefgegevens tientallen jaren bewijskrachtig?
Elk gegeven krijgt bij binnenkomst een handtekening en een gekwalificeerd tijdstempel, en het archief vernieuwt de bewijzen volgens BSI TR-03125 voordat een methode of certificaat zwak wordt. Voor langetermijnhandtekeningen zetten wij hashgebaseerde methoden zoals XMSS in, die naar de huidige stand ook quantumcomputers weerstaan. Formaten zoals PDF/A en gedocumenteerde XML-schema's houden de data leesbaar, en hersteltests tonen regelmatig aan dat het archief werkt.
Welke bewijsstukken vereisen KRITIS en NIS2 van nucleaire installaties?
Exploitanten moeten maatregelen volgens de stand van de techniek uitvoeren, systemen voor aanvalsdetectie beheren, aanzienlijke storingen melden en op vaste tijdstippen bewijsstukken aan het BSI voorleggen. NIS2 vult dit aan met risicobeheer, beveiliging van de toeleveringsketen en de verantwoordelijkheid van de directie. Wij leveren het beveiligingsconcept, aanvalsdetectie in het procesbesturingsnetwerk, meldroutes en de documentatie die auditors verwachten.
Start & uitvoering5 vragen
Kunnen wij met één aandachtsgebied beginnen?
Ja. Wij kunnen eerst een concrete taak afbakenen. Daarbij kijken wij naar de interfaces met de overige infrastructuur en stemmen wij vóór de uitvoering af welke diensten tot de opdracht behoren.
Wat kunnen wij het best voorbereiden voor het kennismakingsgesprek?
Een korte beschrijving van de uitdaging, de betrokken systemen en uw gewenste resultaat is voldoende om te beginnen. Bekende data en de juiste contactpersonen helpen daarnaast. Toegangsgegevens of vertrouwelijke systeemdocumentatie horen niet thuis in een eerste contactaanvraag.
Wie zou bij het project betrokken moeten zijn?
Beveiligingsarchitect: Zonemodel, beveiligingsconcept, bewijsstukken voor toezichthouder. Cryptografiespecialist: Ondertekeningsketen, HSM, PKI, PQC-roadmap. OT-ingenieur: Inventaris van de procesbesturing, datadiodes, sensoren, wijzigingsprocedure. Integratieontwikkelaar: Interfaces, historian, archiefovername. Data engineer: Dataplatform, anomaliemodellen, analyses. Projectleiding: Mijlpalen, onderhoudsvensters, acceptaties, rapportages.
Hoe worden planning en inspanning bepaald?
Wij kijken naar systemen, interfaces, de stand van de documentatie en operationele randvoorwaarden. Een afgestemde omvang en mijlpalen vormen de basis voor de inschatting van de inspanning. Een vaste doorlooptijd zonder deze gegevens zou niet betrouwbaar zijn.
Wat levert de eerste projectfase op?
Procesbesturingssystemen, netwerkovergangen, datadragertrajecten, archieven en bewijslacunes Inventaris met indeling volgens IEC 62645, crypto-inventaris, hiaatanalyse voor KRITIS en NIS2
Beheer & doorontwikkeling4 vragen
Welke vormen van samenwerking zijn mogelijk?
Project: Duidelijk afgebakend project, zoals een zonearchitectuur, een ondertekeningsketen of een archief, met vastgelegd resultaat, mijlpalen en acceptatie door bedrijfsvoering en deskundigen. Teamversterking: Beveiligingsarchitecten, cryptografiespecialisten of integratieontwikkelaars werken in uw teams, met uw tools en wijzigingsprocedures, op verzoek op locatie en met een betrouwbaarheidscontrole volgens uw eisen. Managed service: OTOKO® beheert aanvalsdetectie, HSM, archief of dataplatform als managed service met overeengekomen prestatiewaarden, regelmatige rapportages, auditrechten en de meldroutes die KRITIS en NIS2 vereisen.
Hoe verloopt de overdracht naar het beheer?
Monitoring, opnieuw ondertekenen, audits, kennisoverdracht Aanvalsdetectie in reguliere bedrijfsvoering, sleutel- en archiefonderhoud, KRITIS-bewijsstukken, stapsgewijze overdracht
Kunnen wij later nog vestigingen of systemen toevoegen?
Dat kan al in het eerste concept worden meegenomen. Gedocumenteerde interfaces en herbruikbare regels vormen een basis voor de uitbreiding. Elke extra vestiging en elk nieuw systeem wordt echter op de eigen specifieke eisen getoetst.
Hoe blijft de oplossing op lange termijn beheerbaar?
Verantwoordelijkheden, terugkerende taken en wijzigingsprocessen worden samen met de technische uitvoering vastgelegd. Documentatie en kennisoverdracht helpen uw team in de dagelijkse praktijk. Welke werkzaamheden en doorlopende ondersteuning daarbij horen, wordt afgesproken in de omvang van de dienstverlening.
Kernenergie
Laten we de volgende stap bespreken.
Laten we bespreken hoe uw installatie toetsbaar wordt beschermd, zonder aan de nucleaire veiligheid te raken.
Kennismakingsgesprek plannen
