BifrostConnect er en dansk, hardwarebaseret fjernadgangsløsning til operationel teknologi (OT), der giver leverandører og teknikere ad hoc, udgående fjernadgang uden VPN. Den kræver ingen software på OT-udstyret og åbner ingen indgående port på OT-netværket. Løsningen består af en batteridrevet hardwareenhed (Bifrost Unit), en styringsplatform (Bifrost Manager) og tre adgangsmetoder under produktbrandet Unified Out-of-Band Access. Adgang findes kun, mens OT-siden har åbnet en session; mellem sessionerne er der ingen stående forbindelse.

Unified Out-of-Band Access er BifrostConnects produktbrand for én platform, der samler tre adgangsmetoder, central adgangsstyring, sessionsansvarlighed og sikker filoverførsel på én hardwareenhed, Bifrost Unit. De tre adgangsmetoder er Direct Native Access, Direct Tunnel Access og Clientless Tunnel Access. “Out-of-band” betyder, at adgangsvejen er logisk eller fysisk uafhængig af kundens driftsnetværk, så den fortsat kan bruges, når driftsnetværket er nedbrudt, isoleret eller kompromitteret.

Bifrost Unit er den fysiske adgangsbroker i enhver BifrostConnect-installation: en kompakt, batteridrevet hardwareenhed med indbygget 4G/LTE, Wi-Fi, Ethernet, seriel port, HDMI og USB-C, produceret i Danmark. Enheden placeres ved grænsen til OT-udstyret eller OT-netværket, opretter en udgående forbindelse på port 443 og accepterer ingen indgående forbindelser. Hver enhed produceres enten som Attended (personale på stedet godkender hver session på enheden) eller Unattended (en administrator starter sessioner via Bifrost Manager).

BifrostConnect er bygget til organisationer, der skal give leverandører, integratorer og egne teknikere fjernadgang til operationel teknologi og kritisk infrastruktur, og til de leverandører, der udfører arbejdet. Typiske brugere er vandværker og spildevandsselskaber, energi- og fjernvarmeselskaber, industriel automation og produktion, pharma og life science, test, inspektion og certificering, logistik, transport og maritim sektor samt bank og finans. Den udgivne OT-guide er skrevet til CISO’er, OT-sikkerhedsarkitekter, compliance-ansvarlige og risikoansvarlige hos operatører af kritisk infrastruktur, og til de systemintegratorer og leverandører, der arbejder ind i deres OT.

Fordi en VPN giver en fjernbruger en stående netværksvej ind i OT-segmentet, og den vej findes, uanset om nogen bruger den. BifrostConnect erstatter den stående vej med brokerede, tidsbegrænsede, optagede og tilbagekaldelige sessioner, der kun findes, mens OT-siden har åbnet dem. Problemet er ikke VPN som teknologi; NIST SP 800-82 Rev. 3 anerkender VPN som en gyldig komponent i fjernadgang. Problemet er flad, permanent fjernadgang til mange formål uden brokering pr. session, uden tidsbegrænsning og uden bevis.

Nej. En VPN udvider netværket til fjernbrugeren og efterlader en koncentrator, der altid lytter, ved OT-grænsen. BifrostConnect udvider ikke netværket som standard: med Direct Native Access ser teknikeren en videostrøm af endepunktet og kommer aldrig på OT-netværket, og med Direct Tunnel Access får teknikeren afgrænset forbindelse til bestemte endepunkter, kun i sessionen og altid startet udgående af Bifrost Unit. Intet på OT-siden lytter efter en indgående forbindelse, så angrebsfladen, når ingen session er aktiv, er lukket og ikke blot reduceret via konfiguration.

Bifrost Unit produceres i Danmark, og BifrostConnect ApS har adresse på Islands Brygge 55, 2300 København S. Den udgivne OT Best Practice Guide er teknisk gennemgået af Mikael Vingaard, ICSRange.

En BifrostConnect-session gennemløber fem tilstande: lukket som standard, autoriseret, åbnet, aktiv og lukket igen, og Bifrost Unit starter forbindelsen udgående i hvert trin. En administrator definerer først adgangspolitikken i Bifrost Manager (hvem, hvilken enhed, hvilket omfang, hvilket tidsvindue). Teknikeren logger ind med multifaktorgodkendelse, og sessionen starter kun, hvis den matcher politikken. Mens sessionen er aktiv, håndhæves omfanget, og sessionen er begrænset til det godkendte tidsvindue og de godkendte endepunkter. Ved afslutning nedlægges tunnelen, en eventuel optagelse afsluttes, og revisionssporet er komplet; privilegiet er tilbage på nul indtil næste autoriserede session.

OT Island-princippet er én retningsregel: OT ringer ud, OT modtager aldrig. Driftszonen opretter udgående sessioner til en ekstern broker, når der skal udføres arbejde, og accepterer ingen indgående forbindelser fra eksterne netværk, så indgående veje er strukturelt fraværende og ikke blot blokeret via konfiguration. I en BifrostConnect-installation er Bifrost Unit det punkt, der håndhæver princippet ved OT-grænsen. Princippet er forankret i NIST SP 800-207, tenet 3 og 6, og IEC 62443-3-3 SR 1.13.

Udgående forbindelse betyder, at Bifrost Unit selv åbner alle forbindelser til BifrostConnect Service på port 443 og ikke lytter på nogen indgående port, så der kræves ingen indgående firewall-regel på OT-netværket. Den udgående kanal bruger TLS på port 443 og bærer WebRTC og MQTT over WebSocket Secure; netværket skal tillade den trafik og må ikke blokere WebRTC over UDP. Kræver netværket en proxy, sættes enheden i HOST-tilstand, og BifrostConnect Service-domænerne whitelistes.

Zero Standing Privilege betyder, at der ikke findes adgang mellem sessionerne: hver session anmodes, vurderes mod den gældende politik, åbnes i et afgrænset tidsvindue og tilbagekaldes ved afslutning. BifrostConnect implementerer det gennem administratordefineret adgangspolitik i Bifrost Manager (pr. bruger, pr. enhed, pr. subnet), sessionsbaseret nedlukning for Direct Native Access og tidsbegrænsede subnet-mappings for Direct Tunnel Access via Time-Based Access på Advanced-planen og Dedicated Cloud. Princippet er forankret i NIST SP 800-207, tenet 3 og 6, og IEC 62443-3-3 SR 2.1 og SR 2.6.

En Attended Bifrost Unit kræver, at en person på stedet godkender hver session på enheden, mens en Unattended Bifrost Unit lader en administrator starte sessioner via Bifrost Manager uden tilstedeværelse på stedet. Attended-enheden viser en 8-cifret tidsbaseret engangskode på skærmen, genereret ved et fysisk tryk på en knap og med 60 sekunders standardlevetid, og har en fysisk afbryderknap; operatøren skal indtaste koden sammen med sine loginoplysninger. Unattended-enheden godkender administratoren med loginoplysninger plus multifaktorgodkendelse i Bifrost Manager. Hver enhed produceres som den ene eller den anden for hele sin levetid; de to kan ikke skifte rolle under drift.

Nej. Bifrost Unit fungerer ikke som modem eller router for det udstyr, der sidder bag den. Enheden bruger kun sin egen 4G/LTE-, Wi-Fi- eller LAN-forbindelse til at nå BifrostConnect Service udgående; OT-udstyret får ingen internetvej gennem enheden og ingen indgående vej fra internettet.

Med Direct Native Access, nej: teknikerens computer modtager en videostrøm af endepunktet og har ingen IP-adgang til noget OT-aktiv, så lateral bevægelse fra den computer er arkitektonisk umulig. Med Direct Tunnel Access får computeren midlertidig, afgrænset IP-forbindelse til de endepunkter, der er navngivet i subnet-mappingen, kun i sessionen; dens egen IP-adresse optræder aldrig på OT-netværket, fordi Bifrost Unit maskerer kildeadressen. Uopfordret indgående trafik blokeres som standard.

Nye sessioner kan ikke starte, eksisterende sessioner kan fortsætte, og Bifrost Unit accepterer aldrig en indgående forbindelse under udfaldet. Kan enheden ikke nå BifrostConnect Service, forsøger den igen med et konfigurerbart interval og genoptager normal drift, når forbindelsen er tilbage; etablerede sessioner er ende-til-ende-tunneler, der kan fortsætte, hvis de er stabile. Er Bifrost Manager utilgængelig, fortsætter en aktiv session til sin naturlige afslutning (browseren lukkes, koden udløber eller tidsvinduet slutter), nye sessioner kan ikke autoriseres, og revisionshændelser synkroniseres til Bifrost Manager, når forbindelsen er genoprettet. Arkitekturen fejler lukket: der kan ikke oprettes en session uden godkendelse og uden revisionsspor.

Ja. Bifrost Unit ringer ud over sin egen mobilforbindelse (4G/LTE eller en ekstern satellitantenne), uafhængigt af produktions-WAN, så beredskabsfolk beholder en ren out-of-band-vej til OT-udstyret, selv når produktionsnetværket er isoleret eller kompromitteret. Der åbnes ingen indgående vej ind i OT-zonen, og en kompromittering på IT-siden forbliver indkapslet. Det er enhedens rolle i ø-drift og forretningskontinuitet, og den mapper til BEK 260 §74 om alternativ kommunikation ved hændelseshåndtering.

BifrostConnect tilbyder tre adgangsmetoder på én platform: Direct Native Access, Direct Tunnel Access og Clientless Tunnel Access, samt to filoverførselstilstande, Direct File Transfer og Offline File Transfer. Direct Native Access giver browserbaseret KVM-, seriel terminal- og SSH-styring af endepunktet uden software installeret på nogen af siderne. Direct Tunnel Access giver en WireGuard-baseret IP-tunnel fra en letvægtsklient på teknikerens computer til en Bifrost Unit i OT-miljøet. Clientless Tunnel Access er designet til at give IP- eller seriel kommunikation uden software på nogen af siderne.

Direct Native Access er browserbaseret konsoladgang på hardwareniveau (KVM, seriel terminal og SSH) til ét endepunkt gennem én Bifrost Unit, leveret som en WebRTC-videostrøm uden forbindelse på netværkslaget. Teknikerens computer kommer aldrig på OT-netværket og har ingen IP-vej til noget OT-aktiv, hvilket gør metoden til den mest isolerede adgangsform. Den kræver ingen softwareinstallation på nogen af siderne, giver adgang på BIOS-niveau, holder produktionsdata på stedet og kan håndhæves som ren visning ved at fjerne USB-kablet. Den er én-til-én, kræver video-, mus- og tastaturtilslutning på endepunktet og er følsom over for latenstid.

Direct Tunnel Access er en WireGuard-baseret, identitetsbundet IP-tunnel fra en installeret letvægtsklient på teknikerens computer (macOS og Windows) til en Bifrost Unit i OT-miljøet. Subnet-mappings giver afgrænset adgang til flere endepunkter og lader flere teknikere arbejde på det samme endepunkt samtidig, så metoden understøtter én-til-én, én-til-mange og mange-til-én. Forbindelsen er begrænset til sessionen, og uopfordret indgående trafik blokeres som standard; teknikerens IP-adresse optræder aldrig på OT-netværket. Subnet-mappings bliver tidsbegrænsede med Time-Based Access på Advanced-planen eller Dedicated Cloud. Direct Tunnel Access omfatter ikke port-forwarding.

Clientless Tunnel Access er designet til at give dig IP- eller seriel kommunikation mellem teknikerens computer og OT-endepunktet uden software på nogen af siderne. Metoden er tænkt til miljøer, hvor teknikerens computer ikke må være online, og til at give en ren hardwarebaseret sikkerhedsgrænse, der kun er aktiv, mens en session kører, til anlæg hvor sikringsniveauet eller et krav om segmentering under leverandøradgang kalder på det. Kontakt BifrostConnect for at matche metoden til jeres scenarie.

Vælg Direct Native Access til arbejde på skærmniveau og Direct Tunnel Access, når teknikerens egen software skal sende IP-trafik til endepunktet. Overvej Clientless Tunnel Access, hvor der ikke må installeres software på nogen af siderne, og teknikerens computer ikke må være online. Direct Native Access passer til idriftsættelse, fejlfinding, genstart eller geninstallation af operativsystemer, hændelseshåndtering og alle tilfælde, hvor I vil have fysisk sikkerhed for, at ingen data forlader stedet. Direct Tunnel Access passer til ingeniørsoftware på teknikerens computer, fjernskrivebord til en engineering-station, firmwareoverførsler og adgang for flere brugere, hvor der må installeres software på den computer, og den må være online. Guidens regel: foretræk Direct Native Access, hvor opgaven tillader det, forbehold Direct Tunnel Access til opgaver, der kræver interaktion på IP-niveau, og dokumentér valget pr. opgave.

Ja, via to dedikerede tilstande: Direct File Transfer, en identitetsbundet og revideret overførsel over Bifrost Units udgående kanal, og Offline File Transfer, et mønster for medieoverførsel til OT-zoner uden IP-vej. Offline File Transfer kræver KVM-adgang til endepunktet og/eller en USB-port, der accepterer et eksternt drev; en KVM-session i sig selv flytter ikke filer. Direct Tunnel Access-sessioner kan bære filer, hvor tunnelen er konfigureret til det. Til regulerede anlæg anbefaler guiden en inline file security gateway (scanning med flere motorer og content disarm) foran leverandørens uploads.

Ja. Bifrost Unit har en seriel konsolport og brokerer sessionsbaseret adgang til en seriel enhed bag den, så teknikeren aldrig får en flad IP-vej til den ældre enhed. Identitet, tidsbegrænsning, optagelse og revision for den brokerede session gælder på IP-siden mellem teknikeren og enheden; den serielle side er en kontrolleret forlængelse af sessionen. For ældre platforme, der ikke kan køre software, er guidens mønster at indkapsle enheden bag en Bifrost Unit i et lille dedikeret VLAN og bruge Direct Native Access gennem den konsol, enheden selv tilbyder, uden ændringer på enheden.

BifrostConnect virker med alle enheder, der understøtter KVM, IP-kommunikation over LAN, seriel RS232-kommunikation eller SSH-terminaladgang. Til KVM skal endepunktet acceptere USB-tastatur og -mus (HID over ét USB-kabel) og levere video via USB-C, HDMI, DVI, VGA, DisplayPort eller Mini DisplayPort; Bifrost Unit understøtter 480p, 720p og 1080p.

Ja. Til KVM kan én Bifrost Unit tilsluttet en KVM-switch styre flere systemer. Til IP-baseret arbejde giver Direct Tunnel Access-subnet-mappings afgrænset adgang til flere endepunkter bag én enhed og lader flere teknikere arbejde samtidig.

BifrostConnect krypterer kontrolplanet med TLS 1.2 eller 1.3, Direct Native Access-sessioner ende-til-ende med WebRTC DTLS-SRTP mellem browseren og Bifrost Unit, og Direct Tunnel Access-trafik med WireGuard. WireGuard-implementeringen bruger ChaCha20-Poly1305 med Curve25519-nøgleudveksling og BLAKE2s, og private WireGuard-nøgler forlader aldrig teknikerens klient. Relætjenesten fungerer som TURN-server og kan ikke dekryptere den trafik, den videresender.

Nej. BifrostConnect ser ikke, gemmer ikke og håndterer ikke produktionsdata; løsningen faciliterer kun den sikre overførsel. BifrostConnect Service videresender kun sessionssignalering og kan ikke dekryptere sessionsindhold, og Bifrost Manager håndterer kun adgangsbeslutninger uden adgang til produktionsdata eller optagelser. Den telemetri, BifrostConnect gemmer, er begrænset til sessionsvarighed og -antal, Bifrost Units WAN-IP, omtrentlig placering ud fra mobilmast ved 4G, batteri- og signalstyrke, trafikstatistik og enhedens serienummer. Intet sessionsindhold gemmes, og Bifrost Unit har ingen GPS.

Nej. BifrostConnect ser ikke, gemmer ikke og håndterer ikke produktionsdata, og det gælder også tastetryk og musebevægelser; løsningen faciliterer kun den sikre overførsel. Servicen kan ikke dekryptere sessioner, og Bifrost Manager logger kun adgangshændelser (hvem, hvornår, hvilken enhed, sessionens start og slut). Hvor en kunde tager AccessGuard eller SessionGuard i brug til revisionsbevis, er de designet til at livestreame og optage sessionens skærm og tastetryk til lagring, som kunden ejer, og BifrostConnect kan ikke få adgang til det materiale; det er med vilje. Guidens princip er, at sessionsbevis skal ligge hos anlægsejeren, ikke hos den tredjepart, der udfører arbejdet.

Bifrost Unit kører en afskrællet industriel embedded Linux uden lokale brugere, uden SSH, uden lokale webtjenester og uden fysiske service- eller debugporte, og den kommunikerer kun over port 443. Secure-boot-fuses i enhedens system-on-chip brændes ved produktionen og kan ikke ændres, så enheden kan ikke boote alternativ firmware; firmwareopdateringer er signerede, verificeres på enheden, før de installeres, leveres kun over luften og udskydes under aktive sessioner. Unikke enhedsnøgler genereres og gemmes på hver enhed. En kompromitteret enhed kan ikke nås indgående, kan ikke logges ind på lokalt og kan ikke omflashes, og det er derfor, guiden behandler enheden som en tillidsgrænse, som en softwareagent på en kundeserver ikke kan matche.

Bifrost Manager håndhæver multifaktorgodkendelse på alle administratorkonti via Auth0, og den kan ikke slås fra på organisationsniveau. En Attended Bifrost Unit tilføjer en fysisk faktor: en 8-cifret tidsbaseret engangskode, der genereres på enheden ved et tryk på en knap, med 60 sekunders standardlevetid, og indtastes sammen med operatørens loginoplysninger. En Unattended Bifrost Unit godkender administratoren med loginoplysninger plus multifaktorgodkendelse i Bifrost Manager. Enterprise single sign-on (SAML 2.0, OAuth 2.0, Active Directory eller LDAP via Auth0) leveres på Dedicated Cloud og on-premises, så jeres egen identitetsudbyder og dens politikker for hardwaretokens og betinget adgang kan styre login.

BifrostConnect implementerer den adgangsmodel pr. session, lukket som standard, som NIST SP 800-207 beskriver: adgang gives pr. session (tenet 3), og godkendelse og autorisation er dynamiske og håndhæves, før adgang gives (tenet 6). Ingen ressource på OT-siden lytter efter opkald; teknikeren anmoder, Bifrost Manager afgør mod politikken, og Bifrost Unit åbner sessionen udgående. Den udgivne guide bruger også den fælles CISA-vejledning Adapting Zero Trust Principles to Operational Technology (29. april 2026) som andet anker for samme princip.

BifrostConnect beskytter ikke imod en leverandørcomputer, der er kompromitteret før sessionen, et kompromitteret identitetslag, misbrug inden for en godkendt session eller trusler uden for tredjepartsadgangens vej. Bærer en leverandørlaptop allerede malware, transporterer sessionen trofast det, operatøren gør; afhjælpningen er kontraktkrav til leverandørens endepunktshygiejne, endpoint detection på teknikerens computer og at foretrække Direct Native Access, så computeren ikke får adgang på IP-niveau. Optagelse og SIEM-alarmer understøtter opdagelse og tilbagekaldelse, ikke forhindring, af misbrug inden for et legitimt tidsvindue. Phishing af anlægsejerens medarbejdere, kompromittering på IT-siden ad andre veje, fysiske angreb på enheden og protokolsårbarheder i OT-endepunktet ligger uden for, hvad en fjernadgangsbroker kan håndtere, og derfor placerer guiden BifrostConnect i en lagdelt arkitektur med endpoint detection, OT-indtrængningsdetektion og proceskontroller.

Hardwarebaseret fjernadgang gennem en Bifrost Unit reducerer angrebsfladen, fordi intet på OT-siden lytter efter en indgående forbindelse. Den fjerner den permanente tunnel, eksponerer ingen indgående port, holder teknikerens computer væk fra OT-netværket og flytter tillidsgrænsen til dedikeret hardware, som ingen logger ind på. Endepunkter eksponeres aldrig mod internettet, deres IP-adresser forbliver skjulte, og portscanninger gennem enheden er umulige, fordi intet lytter indgående. Hver session er bundet til en navngiven person med multifaktorgodkendelse, afgrænset til godkendte endepunkter og begrænset i tid. En dedikeret enhed arver ikke brugere, tjenester, patchniveau og angrebsflade fra en generel computer, der kører en softwareagent.

Bifrost Manager er styringsplatformen og kontrolplanet i BifrostConnect: den indeholder identiteter, grupper, adgangspolitik, just-in-time-adgangsvinduer, revisionsloggen og SIEM-integrationen. Den håndterer kun adgangsbeslutninger og rører aldrig produktionsdata eller sessionsoptagelser. Rollemodellen bygger på mindst mulige rettigheder: en Privileged User arbejder inden for tildelte grupper, en Administrator inden for organisationen, og enhver ændring af omfang kræver en eksplicit rolleændring. Multifaktorgodkendelse er obligatorisk på administratorkonti, alle administratorhandlinger logges, og enterprise single sign-on leveres på Dedicated Cloud og on-premises.

Time-Based Access gør Direct Tunnel Access-subnet-mappings tidsbegrænsede, så en leverandørs netværksvej kun findes inden for et godkendt tidsvindue i stedet for permanent. På indgangsplanen er Direct Tunnel Access-subnet-mappings permanente; på Advanced-planen og Dedicated Cloud konverterer Time-Based Access standardtilstanden fra permanent til just-in-time. Den udgivne guide anbefaler det til organisationer under NIS2 artikel 21(2)(i) eller BEK 260 §55 stk. 2, fordi det matcher princippet om Zero Standing Privilege.

Bifrost Manager leveres på en fælles cloud (Plug & Play-planen og Advanced-planen), som Dedicated Cloud eller on-premises. Time-Based Access til Direct Tunnel Access kræver Advanced-planen eller Dedicated Cloud. Enterprise single sign-on (SAML 2.0, OAuth 2.0, Active Directory, LDAP) og native SIEM-videresendelse kræver Dedicated Cloud eller on-premises. Guiden anbefaler at vælge den rette tier fra starten, så single sign-on-tillidskæden og SIEM-pipelinen er på plads før den første leverandørsession.

Bifrost Manager registrerer godkendelseshændelser, tildelte og afviste adgange, sessionsstart og -slut, optagelsesmetadata og alle administratorhandlinger, og binder hver session til en navngiven person, fordi der ikke findes delte konti. På Dedicated Cloud og on-premises videresendes hændelserne direkte til kundens SIEM. Revisionssporet opsamles af Manager og Service for hver session; fordi Servicen brokerer alle sessioner, kan en session ikke oprettes, mens Servicen er utilgængelig, så der findes ingen session uden revisionsspor.

AccessGuard er designet til at give dig adgangsstyring på stationsniveau på kundens egen engineering-station. Den er tænkt til at give individuelle konti med multifaktorgodkendelse til hver leverandørtekniker, applikationsafgrænset adgang, så leverandøren kun kan starte de værktøjer, arbejdet kræver, og sessionsoptagelse gemt i lagring, som I kontrollerer. Den er tænkt til de scenarier i OT-guiden, hvor programmeringssoftwaren ligger på en kundeejet station (scenarie 1 og 2), og den vil give dig de stationslokale kontroller for identitet, godkendelse og bevis, som et lille anlæg uden enterprise-infrastruktur ellers mangler.

SessionGuard er designet til at give dig sessionsbevis på operatørsiden, når programmeringssoftwaren ligger på leverandørens egen laptop. Den er tænkt til at give en optagelse af teknikerens skærm og tastetryk under sessionen, leveret til lagring, som kunden ejer og kontrollerer, så beviset aldrig er under leverandørens kontrol. Den er tænkt til OT-guidens scenarie 3 og 4, hvor leverandøren medbringer de licenserede ingeniørværktøjer, og den vil give dig isolation pr. engagement, så bevis fra forskellige leverandørrelationer aldrig blandes.

Hvor sessionsoptagelse er taget i brug, er den designet til at lande i lagring, som kunden kontrollerer, aldrig hos BifrostConnect: på OT-netværket eller engineering-stationen eller på en kundeejet optagelsesserver. BifrostConnect kan ikke få adgang til livestreamen eller optagelserne, og det er med vilje; Bifrost Manager har ingen adgang til optagelser, og BifrostConnect Service kan ikke dekryptere sessionsindhold. Den udgivne guide er tydelig om, at sessionsbevis skal ligge hos anlægsejeren, ikke hos den tredjepart, der udfører arbejdet, og den anbefaler en accepttest før idriftsættelse, der bekræfter, at optagelser lander i kundekontrolleret lagring.

Ja. Sessionsoptagelser indeholder typisk personoplysninger i databeskyttelsesforordningens (GDPR) forstand, så optagelsespolitikken skal fastlægge opbevaringsperiode, lagringssted og adgangskontrol, håndtering af de registreredes rettigheder og et lovligt behandlingsgrundlag. Forpligtelserne gælder, uanset om OT-systemet er omfattet af NIS2, og den tekniske håndhævelse af optagelse fjerner dem ikke.

Ja, gennem samkøring: BifrostConnect arbejder sammen med disse værktøjer i stedet for at erstatte dem. Bifrost Manager eksporterer direkte til jeres SIEM (Dedicated Cloud og on-premises), fødererer identitet via SAML 2.0, OAuth 2.0, Active Directory eller LDAP gennem Auth0 og ligger opstrøms for jeres PAM-platform, som beholder opbevaring og rotation af legitimationsoplysninger. Et OT-indtrængningsdetektionssystem kører uafhængigt på OT-netværket og korreleres med BifrostConnect-hændelser i SIEM; der er ingen integration på API-niveau. En certificeret datadiode giver envejs logeksport, envejs Historian-replikering og en inline file security gateway foran Direct Tunnel Access-uploads.

Intet enkelt produkt gør en organisation NIS2-compliant; BifrostConnect mapper til de tekniske foranstaltninger i NIS2 artikel 21(2) og leverer det tekniske bevis, mens de organisatoriske kontroller forbliver jeres. Foranstaltningerne, den mapper til, er (d) forsyningskædesikkerhed, (e) sikkerhed i net- og informationssystemer, (i) adgangskontrolpolitikker og (j) multifaktorgodkendelse, og loggene understøtter den trinvise hændelsesrapportering i artikel 23. For hver teknisk kontrol angiver den udgivne guide den organisatoriske kontrol, der stadig kræves: adgangskontrolpolitik, leverandørrisikovurdering, kontraktklausuler, periodiske adgangsgennemgange og en beredskabsplan.

BifrostConnect mapper til den danske NIS2-lov (LOV nr. 434 af 6. maj 2025) §6 om identitetsbundet adgang og multifaktorgodkendelse og for energivirksomheder til lov om styrket beredskab i energisektoren §§6, 7 og 8 med de tekniske detaljer i BEK 260. De bestemmelser i BEK 260, som guiden mapper, er §§29-32 (leverandørprocedurer og procedurer for fjernadgang for direkte leverandører), §§51-53 (adgangskontrolpolitik, adgangskontrol og multifaktorgodkendelse), §55 stk. 2 (fjernadgang kun under godkendt, tidsbegrænset arbejde), §62 (netværkssegmentering under leverandøradgang), §§64-67 (logning, hvor §66 stk. 2 nr. 2 dækker fjernadgangsudstyr og §67 stk. 3 en opbevaringsperiode på 13 måneder på niveau 4-5) og §74 (alternativ kommunikation ved hændelseshåndtering, som dækkes af 4G/LTE-out-of-band-vejen). Hvor guiden fortolker dansk lovtekst, følger den SAMSIK’s vejledning til NIS 2-loven (juni til august 2025).

BifrostConnect mapper til de systemkrav i IEC 62443-3-3:2019, der gælder for tredjepartsadgang, og guiden forankrer leverandørprogrammer i IEC 62443-2-4:2024. Kravene i 3-3 er SR 1.1 (identifikation og godkendelse af menneskelige brugere), SR 1.13 (adgang via ikke-betroede netværk), SR 2.1 (håndhævelse af autorisation), SR 2.6 (afslutning af fjernsessioner), FR 5 (begrænset dataflow) og FR 6 (rettidig reaktion på hændelser). For leverandører forankrer guiden mønster D i IEC 62443-2-4:2024, sikkerhedsprogrammet for serviceleverandører, med SP.07 Remote access. IEC 62443-2-1:2024 kræver, at anlægsejere driver et fuldt cybersikkerhedsstyringssystem; guiden behandler tredjepartsadgang som ét kapitel i det program, ikke hele bogen.

Guiden er forankret i otte rammeværker: EU’s NIS2-direktiv (2022/2555), den danske NIS2-lov (LOV nr. 434 af 6. maj 2025), BEK 260 med lov om styrket beredskab i energisektoren, IEC 62443-serien (3-3:2019, 2-4:2024 og 2-1:2024), NIST SP 800-82 Rev. 3, NIST SP 800-207, de fælles NCSC Secure Connectivity Principles for OT (18. marts 2024) og den fælles CISA-vejledning Adapting Zero Trust Principles to Operational Technology (29. april 2026). Del 2 henviser desuden til CER-direktivet (2022/2557) for tilsyn med forsyningskæden, DORA artikel 9 til 14 og 28 for finansielle enheder og GDPR for sessionsoptagelser. Hvor en påstand ikke kan spores til en verificeret bestemmelse, fremsætter guiden den ikke.

En revisor får et revisionsspor, hvor hver leverandørsession bærer en individuel identitet, bevis for multifaktorgodkendelse, det godkendte tidsvindue samt sessionens start og slut. Hvor optagelse er taget i brug, ligger sessionsoptagelsen i kundekontrolleret lagring. På Dedicated Cloud og on-premises ligger de samme hændelser i kundens SIEM til korrelation og trinvis NIS2-rapportering. Den udgivne guide anbefaler at dokumentere den accepttest, der beviste, at hver kontrol virkede som designet, og at parre det tekniske bevis med de skriftlige politikker, leverandørkontrakter og adgangsgennemgange, som reguleringen også forventer.

Den udgivne guide indeholder ti eksempler på indkøbsklausuler for tredjeparters fjernadgang til OT, forankret i IEC 62443-2-4:2024 og BEK 260 §§30-32. De kræver sessionsbrokering uden direkte netværksvej uden for en aktiv session, multifaktorgodkendelse på hver session med én faktor uafhængig af leverandøren, et sikkerhedsprogram i overensstemmelse med IEC 62443-2-4 SP.01 til SP.12, et kryptografisk revisionsspor opbevaret i mindst 13 måneder, eksplicit tidsbegrænset godkendelse før hver session, automatisk og kundeinitieret afslutning af sessioner, tvungen sessionsoptagelse gemt under kundens kontrol, underretning om hændelser inden for 24 timer, støtte til kundens rapportering efter NIS2 artikel 23 samt tilbagelevering eller destruktion af alle legitimationsoplysninger inden 30 dage efter ophør. Klausulerne er udgangspunkter for kontraktskrivning, ikke en erstatning for juridisk rådgivning.

Guiden inddeler tredjeparters OT-adgang i fire mønstre langs to akser: anlæggets størrelse og hvor programmeringssoftwaren kører. Størrelse betyder stort OT med SOC, SIEM og PAM over for lille OT uden IT-medarbejdere; softwaren kører enten på en kundeejet station eller på en leverandørejet laptop. Mønster A er stort OT med kundestation (scenarie 2, lavest restrisiko), mønster B er stort OT med leverandørlaptop (scenarie 4, mest lagdelt forsvar), mønster C er lille OT med kundestation (scenarie 1, middel restrisiko) og mønster D er lille OT med leverandørlaptop (scenarie 3, højest restrisiko). Hvert mønster har sin egen BifrostConnect-produktsammensætning, og Direct Native Access er valgfri i alle fire til idriftsættelse og hændelseshåndtering.

Et lille forsyningsselskab uden jump host, SIEM eller SOC kan opfylde de samme lovkrav som et stort ved at placere fem kontroller på selve engineering-stationen. De fem er identitetskontrol ad en separat kanal, tidsbegrænset godkendelse fra anlægsejeren, offline multifaktorgodkendelse på stationen, lokal sessionsoptagelse og envejs logeksport. Påstanden om, at et lille anlæg uden enterprise-infrastruktur ikke kan opfylde NIS2 eller den danske lov for energisektoren, er forkert; løsningen er procesdesign, ikke investering i infrastruktur. I BifrostConnect-termer er det scenarie 1: en unattended Bifrost Unit ved grænsen til engineering-stationens netværk, Direct Tunnel Access til leverandøren, Bifrost Manager til adgangsbeslutninger og revision samt AccessGuard, der er designet til at tilføje kontrollerne for identitet, applikationsomfang og optagelse på stationsniveau. Enheden giver anlægget en udgående sikkerhedsprofil og en 4G/LTE-out-of-band-vej til hændelseshåndtering.

En leverandørejet laptop på et lille anlæg er det tilfælde med højest risiko i OT-guiden, så kontrollerne skal sidde ved grænsen mellem laptoppen og OT-udstyret. Guiden kalder det scenarie 3, mønster D, og dens minimumskontroller er multifaktorgodkendelse pr. session i hele kæden, sessionsbrokering gennem en hardwareenhed på stedet, så der ikke er direkte VPN fra laptoppen, tvungen sessionsoptagelse uden for leverandørens maskine, uanset hvor licensen ligger, tidsbegrænset adgang målt i timer og eksport af sessionslogs til anlægsejeren. I BifrostConnect-termer: en unattended Bifrost Unit som gateway, Direct Tunnel Access eller Direct Native Access til leverandøren (Direct Native Access giver laptoppen nul netværksadgang), Bifrost Manager til politik samt SessionGuard, der er designet til at give dig optagelsen på operatørsiden leveret til kundeejet lagring.

På et stort anlæg tager BifrostConnect adgangs- og styringslaget og integrerer med det SOC, SIEM, PAM og den identitetsudbyder, der allerede findes. Bifrost Unit placeres på Purdue-niveau 3 eller i den industrielle DMZ, Bifrost Manager kører på Dedicated Cloud eller on-premises med single sign-on mod virksomhedens identitetsudbyder og direkte SIEM-videresendelse, og leverandørgrupper får just-in-time-adgangsvinduer. Den eksisterende PAM-platform beholder opbevaring og rotation af legitimationsoplysninger, endpoint detection bliver på engineering-stationerne, et OT-indtrængningsdetektionssystem dækker inspektion på protokolniveau, og en certificeret datadiode kan bære envejs logeksport og Historian-replikering. Det er scenarie 2 og 4 i guiden; korrelation af BifrostConnect-hændelser med de øvrige værktøjer sker i SIEM.

Nej, BifrostConnect er ikke designet til at bygge bro over et air gap; løsningen hærder perimeteren omkring det. Bifrost Unit kræver en udgående forbindelse til BifrostConnect Service, så den placeres på IT-siden af gabet. På IT-siden gør en Bifrost Unit på den staging-arbejdsstation, der forbereder signerede medier, leverandørens adgang til stationen identitetsbundet, tidsbegrænset og optaget. På OT-siden bevares den menneskelige og proceduremæssige brokering: kontrolleret medieoverførsel, dokumenteret overdragelseskæde og malwarescanning gennem en datadiodes file security gateway. Offline File Transfer dækker selve medieflytningen. For reelt isoleret udstyr behandler guiden air gappet som den primære kontrol og BifrostConnect som et supplement, aldrig en erstatning.

Tredjepartsadgang retter sig typisk mod Purdue-niveau 2 og 1, hvor ingeniørværktøjerne møder controllerne, og Bifrost Unit placeres ved den grænse, der beskytter dem. På et stort anlæg er det niveau 3 eller den industrielle DMZ på niveau 3.5; på et lille anlæg er det grænsen til engineering-stationens netværk eller det lukkede netværk omkring PLC’en. Purdue-modellen går fra niveau 5 (enterprise) over niveau 4 (forretningslogistik), niveau 3 (driftsanlæg), niveau 3.5 (OT-DMZ med jump host eller leverandørproxy), niveau 2 (HMI og SCADA) og niveau 1 (PLC og RTU) til niveau 0 (sensorer og aktuatorer), med stigende skadesomfang mod niveau 0.

BifrostConnect giver beredskabsfolk en ren out-of-band-vej til OT-udstyret over 4G/LTE, uafhængigt af produktions-WAN, så essentiel drift kan fortsætte, mens en kompromittering på IT-siden holdes indkapslet. Før en hændelse udgør Zero Standing Privilege, brokeret adgang og optagelse kontrolgrundlaget; under håndteringen giver godkendelse i Bifrost Manager plus Bifrost Unit responderen en vej uden at åbne nogen indgående eksponering; under genopretningen understøtter sessionsoptagelser (hvor de er taget i brug) og en kontrolleret genopbygningsvej retsteknisk analyse og gendannelse. Out-of-band-vejen mapper til BEK 260 §74 om alternativ kommunikation ved hændelseshåndtering.

OT-guiden anbefaler fem handlinger inden for de første 30 dage, og ingen af dem kræver nye indkøb. Kortlæg alle aktive fjernadgangsveje for tredjeparter ind i OT; kontrollér, at standardadgangskoder er ændret på alle jump hosts, VPN-koncentratorer og delte konti; slå sessionslogning til på de kanaler, I allerede har; inddel jeres aktiver i mønster A til D; og planlæg migreringen af alle permanente tunneler til tidsbegrænset adgang. Dag 30 til 90 indfører en sessionsbroker, multifaktorgodkendelse og godkendelse pr. session; dag 90 til 180 slår optagelse og SIEM-alarmering til; efter 180 dage går programmet over til onboarding af leverandører, kontraktklausuler og fælles beredskabsplaner.

Nej. BifrostConnect udfylder adgangs- og styringslaget for menneskelige sessioner og er designet til at blive samkørt med specialister i de øvrige lag. Behold endpoint detection and response på engineering-stationerne, et OT-indtrængningsdetektionssystem til inspektion på protokolniveau, jeres PAM-platform til opbevaring af legitimationsoplysninger, jeres industrielle telemetri-rygrad til maskine-til-maskine-data og jeres zero trust network access-platform til enterprise-IT. Guidens princip er forsvar i dybden: ingen enkelt kontrol er bærende, og hvert lag bliver hos sin specialist.

Bifrost Unit måler 124 x 87 x 27 mm, vejer 249 g og kører cirka to timer på sit industrielle UL2054-certificerede batteri. Den har en 2-tommer TFT-skærm, 6 GB intern lagerplads og IP20-klassificering. Tilslutningerne er Ethernet RJ45 (10/100 Mbit, PoE-opladning), Wi-Fi 802.11n 2,4 GHz, et 4G LTE Cat-4-modem med nano-SIM-skuffe, RS232, HDMI (480p, 720p, 1080p), USB-C (videoindgang, tastatur- og musudgang, opladning), Micro-USB (opladning, tastatur og mus, RS232-emulering, USB-tunnelsessioner), Bluetooth 4.0 og en SPDT-relæudgang. Maksimalt strømforbrug er 9 W. Enheden kører en industriel embedded Linux, der opdateres over luften, i enten Attended- eller Unattended-tilstand.

Bifrost Unit forbinder til BifrostConnect Service over 4G/LTE, Wi-Fi eller Ethernet LAN, altid udgående på port 443. Til 4G bruger enheden et nano-SIM (IoT- eller M2M-SIM anbefales, med eller uden roaming), SIM-kortet skal være tildelt en statisk eller offentlig IP på mobilnettet, nettet skal være IPv4, PIN- og PUK-lås skal være slået fra, og standard-APN er “internet”. Wi-Fi er 802.11n 2,4 GHz med WPA eller WPA2 PSK/AES. LAN er 10/100 Mbit Ethernet, fuld duplex. Hardwarerevision 1.0 dækker de europæiske LTE-bånd, og revision 1.5 tilføjer de nordamerikanske bånd.

Det netværk, Bifrost Unit sidder på, skal tillade udgående trafik på port 443 med SSL/TLS og må ikke blokere WebRTC over UDP; der kræves ingen indgående regler. Kræver netværket en proxy, konfigureres enheden i HOST-tilstand, og BifrostConnect Service-domænerne whitelistes. En load balancer skal slås fra for enheden, fordi Servicen ikke understøtter dynamiske ændringer af enhedens WAN- eller LAN-IP-adresse. De samme krav gælder på operatørsiden: den computer, der bruger BifrostConnects webinterface, skal tillade WebRTC, som Chromium-baserede browsere har slået til som standard.

Der kræves ingen statisk IP for at nå Bifrost Unit på LAN, fordi enheden selv starter alle forbindelser udgående. Ved brug af mobilnet skal SIM-kortet være tildelt enten en statisk IP eller en offentlig IP på mobilnettet.

Bifrost Unit oplades via Micro-USB, via USB-C eller via en PoE-kompatibel LAN-forbindelse (48 V) og kører cirka to timer på batteriet. Batteriet er et industrielt UL2054-certificeret batteri på 3,7 V og 2000 mAh med et maksimalt forbrug på 9 W, og hardwarerevision 1.5 tænder automatisk, når AC- eller DC-forsyning tilsluttes. Batteriet er sammen med det indbyggede LTE-modem det, der giver enheden en out-of-band-vej uafhængig af kundens netværk.

Hver port på Bifrost Unit har en defineret rolle, og tilslutningen kræver ingen software på målenheden. USB-C fører videoindgang fra enheden plus tastatur- og musudgang til den og oplader Bifrost Unit. HDMI streamer enhedens videoudgang til Bifrost Unit. Micro-USB giver tastatur og mus, RS232-emulering og USB-tunnelsessioner. RS232 bærer seriel terminal- og seriel tunnelsessioner. Ethernet-porten bærer netværk, PoE-opladning og IP-tunnelsessioner. Bluetooth 4.0 fungerer som tastatur- og musindgang.

BifrostConnect-sessioner og Bifrost Manager kører i Chromium-baserede browsere: Google Chrome, Chromium og Microsoft Edge. WebRTC skal være slået til i browseren, hvilket er standard i Chromium-baserede browsere.

Til KVM bruges et USB-C-datakabel af høj kvalitet (USB 3.1 Gen 2 eller nyere) eller et skærmet HDMI 2.0-kabel til video plus et Micro-USB-datakabel til tastatur og mus. Til seriel terminal bruges et DB9 RS232 null-modem-kabel, et USB-OTG-datakabel til USB-baseret seriel forbindelse eller et konsolkabel. SSH- og IP-tunnelsessioner kræver et Ethernet-kabel af god kvalitet, en seriel tunnel kræver et DB9 RS232-kabel (i nogle tilfælde null-modem), og en USB-tunnel kræver et Micro-USB OTG-kabel, hvor den tilsluttede enhed enten har egen strømforsyning eller kan køre på 0,5 A. BifrostConnect anbefaler egne kabler ved fejlfinding af video- eller netværksproblemer.

Bifrost Unit arbejder mellem 5 og 40 °C, ved op til 85 procent ikke-kondenserende relativ luftfugtighed, i højder op til 3.600 meter og har IP20-tæthedsklasse. Den må ikke udsættes for direkte sollys i længere perioder, og firmwareopdateringer bør installeres, når de udgives.

Begge dele af guiden kan downloades gratis på bifrostconnect.com/tours/. Del 1 er “Framework for 3rd party access to OT” (version 1.21, juni 2026, 43 sider, leverandørneutral, teknisk gennemgået af Mikael Vingaard, ICSRange), og del 2 er “Implementing BifrostConnect” (version 1.21, juni 2026, 66 sider). Del 1 ligger på bifrostconnect.com/wp-content/uploads/2026/06/BEST-PRACTICE-GUIDE-PART-1_Framework-for-3rd-party-access-to-OT_v1.21.pdf og del 2 på bifrostconnect.com/wp-content/uploads/2026/06/BEST-PRACTICE-GUIDE-PART-2_Implementing-BifrostConnect_v1.21.pdf. Guiderne er på engelsk.

Del 1 er det leverandørneutrale rammeværk; del 2 mapper hver af dets kontroller til en BifrostConnect-installation. Del 1 dækker trusselsmodellen, fem kerneprincipper, fire adgangsmønstre, kompenserende kontroller for ældre udstyr, regler for nøddrift, en compliance-krydstabel over fem rammeværker og ti eksempler på indkøbsklausuler, skrevet så enhver forsvarlig løsning kan måles mod det. Del 2 dækker produktmapping, konfiguration pr. scenarie, tabeller over compliance-bevis, samkøring med SIEM, OT-indtrængningsdetektion, PAM og datadioder, hærdning af tillidsgrænserne og en eksplicit liste over, hvad BifrostConnect ikke beskytter imod. Del 1 påstår ikke, at BifrostConnect er den eneste måde at implementere rammeværket på.

Siden Tours and Tutorials samler produktgennemgangene, Security Documentation, de tekniske sider og præsentationerne ét sted. Den tilbyder tre interaktive produktgennemgange (Bifrost Unit hardwareguide, Bifrost Manager og det browserbaserede Remote Access Interface), Security Documentation (version 2.2.2), siderne Technical Requirements og Technical Specifications i Knowledge Center, Executive Summary og virksomhedspræsentationen (juli 2026) samt en tosiders brief om sikret ad hoc-fjernsupport ved maskinstop i OT. Knowledge Center indeholder også Release Notes.

Start med en demo eller et proof of concept: book en demo på bifrostconnect.com eller ring på +45 70 60 20 56. En Bifrost Unit kræver ingen softwareinstallation på det udstyr, den beskytter; den tilsluttes målenheden eller det lukkede netværk omkring den, får en udgående vej over 4G, Wi-Fi eller LAN og parres med en adgangspolitik i Bifrost Manager. Den udgivne guide anbefaler at beslutte Bifrost Manager-tier, optagelseslag og adgangsmetode pr. opgave før den første leverandørsession og at køre en accepttest som betingelse for idriftsættelse.

BifrostConnect is a Danish, hardware-based remote access solution for operational technology (OT) that gives vendors and technicians ad hoc, outbound-only access without a VPN. It needs no software on the OT equipment and opens no inbound port on the OT network. It combines a battery-powered hardware unit (the Bifrost Unit), a governance platform (Bifrost Manager) and three access methods under the product brand Unified Out-of-Band Access. Access exists only while the OT side has opened a session; between sessions there is no standing path.

Unified Out-of-Band Access is BifrostConnect’s product brand for one platform that combines three access methods, central access management, session accountability and secure file transfer on a single hardware hub, the Bifrost Unit. The three access methods are Direct Native Access, Direct Tunnel Access and Clientless Tunnel Access. “Out-of-band” means the access path is logically or physically independent of the customer’s operational network, so it remains usable when that network is degraded, isolated or compromised.

The Bifrost Unit is the physical access broker in every BifrostConnect deployment: a compact, battery-powered hardware unit with built-in 4G/LTE, Wi-Fi, Ethernet, serial, HDMI and USB-C connections, manufactured in Denmark. It sits at the boundary of the OT equipment or network, initiates an outbound-only connection on port 443 and accepts no inbound connections. Every unit is produced as either an Attended unit (on-site staff authorise each session on the device) or an Unattended unit (an administrator initiates sessions through Bifrost Manager).

BifrostConnect is built for organisations that must give vendors, integrators and their own technicians remote access to operational technology and critical infrastructure, and for the vendors who perform that work. Typical users are water and wastewater utilities, energy and district heating operators, industrial automation and manufacturing, pharma and life science, testing, inspection and certification, logistics, transportation and maritime, and banking and financial services. The published OT guide is written for CISOs, OT security architects, compliance officers and risk managers at critical infrastructure operators, and for the system integrators and vendors who work into their OT.

Because a VPN gives a remote user a standing network path into the OT segment, and that path exists whether or not anyone is using it. BifrostConnect replaces the standing path with brokered, time-bound, recorded and revocable sessions that exist only while the OT side has opened them. The problem is not VPN as a technology; NIST SP 800-82 Rev. 3 recognises VPN as a valid component of remote access. The problem is flat, persistent, multi-purpose remote access without per-session brokering, time-bounding or evidence. Where VPNs end, BifrostConnect.

No. A VPN extends the network to the remote user and leaves an always-listening concentrator at the OT boundary. BifrostConnect does not extend the network by default: with Direct Native Access the technician sees a video stream of the endpoint and never joins the OT network, and with Direct Tunnel Access the technician receives scoped, session-only connectivity to specified endpoints, initiated outbound by the Bifrost Unit. Nothing on the OT side listens for an inbound connection, so the attack surface when no session is active is closed rather than reduced by configuration.

The Bifrost Unit is manufactured in Denmark, and BifrostConnect ApS is based at Islands Brygge 55, 2300 Copenhagen S, Denmark. The published OT Best Practice Guide carries a technical review by Mikael Vingaard of ICSRange.

A BifrostConnect session moves through five states: closed by default, authorised, opened, active and closed again, and the Bifrost Unit initiates the connection outbound at every stage. An administrator first defines the access policy in Bifrost Manager (who, which unit, which scope, which time window). The technician authenticates with multi-factor authentication and the session starts only if it matches that policy. While active, the scope is enforced and the session is bounded to the approved window and endpoints. At close, the tunnel is destroyed, any recording is finalised and the audit trail is complete; privilege returns to zero until the next authorised session.

The OT Island Principle is a single directional rule: OT calls out, OT never receives. The operational zone initiates outbound sessions to an external broker when work is needed and does not accept inbound connections from any external network, so inbound paths are structurally absent rather than blocked by configuration. In a BifrostConnect deployment the Bifrost Unit is the enforcement point of this principle at the OT boundary. The principle is anchored in NIST SP 800-207 Tenets 3 and 6 and IEC 62443-3-3 SR 1.13.

Outbound-only means the Bifrost Unit opens every connection itself, to the BifrostConnect Service on port 443, and listens on no inbound port, so no inbound firewall rule is needed on the OT network. The outbound channel uses TLS on port 443 and carries WebRTC and MQTT over WebSocket Secure; the network must allow that traffic and must not disable WebRTC over UDP. If the network requires a proxy, the unit is set to HOST mode and the BifrostConnect Service domains are whitelisted.

Zero Standing Privilege means no access exists between sessions: every session is requested, evaluated against current policy, opened for a bounded window and revoked at close. BifrostConnect implements it through administrator-defined access policy in Bifrost Manager (per user, per unit, per subnet), session-based teardown for Direct Native Access, and time-bound subnet mappings for Direct Tunnel Access through Time-Based Access on the Advanced plan and the Dedicated Cloud tier. The principle is anchored in NIST SP 800-207 Tenets 3 and 6 and IEC 62443-3-3 SR 2.1 and SR 2.6.

An Attended Bifrost Unit requires someone on site to authorise each session on the device, while an Unattended Bifrost Unit lets an administrator start sessions through Bifrost Manager without on-site presence. The Attended unit displays an 8-digit time-based one-time password on its screen, generated by a physical button press with a 60-second default lifespan, and has a physical disconnect button; the operator must enter the code together with their credentials. The Unattended unit authenticates the administrator with credentials plus multi-factor authentication in Bifrost Manager. Each unit is produced as one or the other for its lifespan; the two are not interchangeable at runtime.

No. The Bifrost Unit does not act as a modem or router for the equipment behind it. The unit uses its own 4G/LTE, Wi-Fi or LAN connection only to reach the BifrostConnect Service outbound; the OT equipment receives no internet path through the unit and no inbound path from the internet.

With Direct Native Access, no: the technician’s computer receives a video stream of the endpoint and has no IP-level access to any OT asset, so lateral movement from that computer is architecturally impossible. With Direct Tunnel Access, the computer receives temporary, scoped IP connectivity to the endpoints named in the subnet mapping, for the session only; its own IP address never appears on the OT network because the Bifrost Unit masquerades the source address. Unsolicited inbound traffic is blocked by default.

New sessions cannot start, existing sessions may continue, and the Bifrost Unit never accepts an inbound connection during the outage. If the unit cannot reach the BifrostConnect Service, it retries the outbound connection at a configurable interval and resumes normal operation when reachability returns; established sessions are end-to-end tunnels that may continue if stable. If Bifrost Manager is unreachable, an active session continues until its natural end (browser close, code expiry or window end), new sessions cannot be authorised, and audit events are synchronised to Bifrost Manager when reachability is restored. The architecture fails closed: no un-audited or unauthenticated session can be established.

Yes. The Bifrost Unit reaches out over its own cellular path (4G/LTE, or an external satellite antenna), independent of the production WAN, so responders keep a clean out-of-band path to the OT equipment even when the production network is isolated or compromised. No inbound path is opened into the OT zone, and an IT-side compromise stays contained. This is the island-mode and business-continuity role of the unit, and it maps to BEK 260 §74 on alternative communication for incident response.

BifrostConnect offers three access methods on one platform: Direct Native Access, Direct Tunnel Access and Clientless Tunnel Access, plus two file transfer modes, Direct File Transfer and Offline File Transfer. Direct Native Access gives browser-based KVM, serial terminal and SSH control of the endpoint with no software installed on either side. Direct Tunnel Access gives a WireGuard-based IP tunnel from a lightweight client on the technician’s computer to a Bifrost Unit in the OT environment. Clientless Tunnel Access is designed to provide IP or serial communication with no software on either side.

Direct Native Access is browser-based, hardware-level console access (KVM, serial terminal and SSH) to a single endpoint through one Bifrost Unit, delivered as a WebRTC video stream with no network-layer connectivity. The technician’s computer never joins the OT network and has no IP path to any OT asset, which makes it the highest-isolation access method. It requires no software installation on either side, gives BIOS-level access, keeps production data on the premises, and can be enforced as view-only by removing the USB cable. It is one-to-one, needs video, mouse and keyboard I/O on the endpoint, and is latency sensitive.

Direct Tunnel Access is a WireGuard-based, identity-bound IP tunnel from a lightweight installed client on the technician’s computer (macOS and Windows) to a Bifrost Unit in the OT environment. Subnet mappings give scoped access to multiple endpoints and let several technicians work on the same endpoint in parallel, so it supports one-to-one, one-to-many and many-to-one patterns. Connectivity is session-scoped and unsolicited inbound traffic is blocked by default; the technician’s IP address never appears on the OT network. Subnet mappings become time-bound with Time-Based Access on the Advanced plan or Dedicated Cloud. Direct Tunnel Access does not include port-forwarding.

Clientless Tunnel Access is designed to give you IP or serial communication between the technician’s computer and the OT endpoint without installing software on either side. It is intended for environments where the technician’s computer is not allowed to be online, and to provide a pure hardware security boundary that is only active while a session is live, for sites where the assurance level or a segmentation requirement during vendor access calls for it. Contact BifrostConnect to match it to your scenario.

Choose Direct Native Access for screen-level work and Direct Tunnel Access when the technician’s own software must send IP traffic to the endpoint. Consider Clientless Tunnel Access where no software may be installed on either side and the technician’s computer may not be online. Direct Native Access fits commissioning, troubleshooting, rebooting or reinstalling operating systems, incident response, and any case where you want physical assurance that no data leaves the premises. Direct Tunnel Access fits engineering software on the technician’s computer, remote desktop to an engineering station, firmware uploads and multi-user access, where software may be installed on that computer and it may be online. The published guide’s rule: prefer Direct Native Access where the task allows, reserve Direct Tunnel Access for tasks that need IP-level interaction, and document the choice per task.

Yes, through two dedicated modes: Direct File Transfer, an identity-bound and audited transfer over the Bifrost Unit’s outbound channel, and Offline File Transfer, an air-gapped media pattern for OT zones with no IP path. Offline File Transfer requires KVM access to the endpoint and/or a USB port that accepts an external drive; a KVM session on its own does not move files. Direct Tunnel Access sessions can carry files where the tunnel is configured for it. For regulated sites the guide recommends an inline file security gateway (multi-engine scanning and content disarm) ahead of vendor uploads.

Yes. The Bifrost Unit has a serial console port and brokers session-based access to a serial device behind it, so the technician never gets a flat IP path to the legacy device. The identity, time-bounding, recording and audit properties of the brokered session apply on the IP side between the technician and the unit; the serial side is a controlled extension of that session. For legacy platforms that cannot host any software, the guide’s pattern is to wrap the device behind a Bifrost Unit in a small dedicated VLAN and use Direct Native Access through whatever console the device offers, with no change to the device itself.

BifrostConnect works with any device that supports KVM, IP communication over LAN, serial RS232 communication or SSH terminal access. For KVM the endpoint must accept a USB keyboard and mouse (HID over a single USB cable) and output video over USB-C, HDMI, DVI, VGA, DisplayPort or Mini DisplayPort; the Bifrost Unit supports 480p, 720p and 1080p.

Yes. For KVM, one Bifrost Unit connected to a KVM switch can manage several systems. For IP-based work, Direct Tunnel Access subnet mappings give scoped access to multiple endpoints behind one unit and let multiple technicians access them in parallel.

BifrostConnect encrypts the control plane with TLS 1.2 or 1.3, Direct Native Access sessions end-to-end with WebRTC DTLS-SRTP between the browser and the Bifrost Unit, and Direct Tunnel Access traffic with WireGuard. The WireGuard implementation uses ChaCha20-Poly1305 with Curve25519 key exchange and BLAKE2s, and private WireGuard keys never leave the technician’s client. The relay service operates as a TURN server and cannot decrypt the traffic it relays.

No. BifrostConnect does not look at, store or handle production data; it only facilitates the secure transfer. The BifrostConnect Service relays session signalling and cannot decrypt session content, and Bifrost Manager handles access decisions only, with no access to production data or recordings. The telemetry BifrostConnect stores is limited to session duration and count, the WAN IP of the Bifrost Unit, approximate cell-tower location for 4G, battery and signal strength, traffic statistics and the unit’s serial number. No session content is stored and the Bifrost Unit has no GPS.

No. BifrostConnect does not look at, store or handle production data, and that includes keystrokes and mouse movements; it only facilitates the secure transfer. The Service cannot decrypt sessions, and Bifrost Manager logs access events only (who, when, which unit, session start and end). Where a customer deploys AccessGuard or SessionGuard for audit evidence, they are designed to live-stream and record the session’s screen and keystrokes into storage the customer owns, and BifrostConnect cannot access that material; that is by design. The published guide’s principle is that session evidence must sit with the asset owner, not with the third party doing the work.

The Bifrost Unit runs a stripped industrial embedded Linux with no local users, no SSH, no local web services and no physical service or debugging ports, and it communicates only over port 443. Its system-on-chip secure-boot fuses are burnt at manufacture and are non-reversible, so the unit cannot boot alternative firmware; firmware updates are signed, verified on the unit before they are applied, delivered over the air only and postponed during active sessions. Unique device keys are generated and stored on each unit. A compromised unit cannot be reached inbound, cannot be logged into locally and cannot be re-flashed, which is why the guide treats the unit as a trust boundary a software agent on a customer host cannot match.

Bifrost Manager enforces multi-factor authentication on every administrator account through Auth0, and it cannot be disabled at organisation level. An Attended Bifrost Unit adds a physical factor: an 8-digit time-based one-time password generated on the device by a button press, with a 60-second default lifespan, entered together with the operator’s credentials. An Unattended Bifrost Unit authenticates the administrator with credentials plus multi-factor authentication in Bifrost Manager. Enterprise single sign-on (SAML 2.0, OAuth 2.0, Active Directory or LDAP via Auth0) is delivered on the Dedicated Cloud and on-premises tiers, so your own identity provider and its hardware-token or conditional-access policies can govern sign-in.

BifrostConnect implements the per-session, closed-by-default access model that NIST SP 800-207 describes: access is granted per session (Tenet 3) and authentication and authorisation are dynamic and enforced before access is allowed (Tenet 6). No resource on the OT side listens for callers; the technician requests, Bifrost Manager decides against policy, and the Bifrost Unit opens the session outbound. The published guide also uses the joint CISA guide Adapting Zero Trust Principles to Operational Technology (29 April 2026) as a second anchor for the same principle.

BifrostConnect does not protect against a vendor computer that is compromised before the session, a compromised identity layer, misuse inside an approved session, or threats outside the third-party access path. If a vendor laptop already carries malware, the session faithfully transports what the operator does; mitigations are vendor endpoint hygiene contracts, endpoint detection on the technician’s computer and preferring Direct Native Access so the computer gets no IP-level access. Recording and SIEM alerts support detection and revocation, not prevention, of misuse inside a legitimate window. Phishing of asset-owner staff, IT-side compromise pivoting through other paths, physical attacks on the unit and protocol vulnerabilities in the OT endpoint sit outside what a remote access broker can address, which is why the guide places BifrostConnect in a layered architecture with endpoint detection, OT intrusion detection and procedural controls.

Hardware-based remote access through a Bifrost Unit reduces the attack surface because nothing on the OT side listens for an inbound connection. It removes the always-on tunnel, exposes no inbound port, keeps the technician’s computer off the OT network and moves the trust boundary onto dedicated hardware nobody logs into. Endpoints are never exposed to the internet, their IP addresses stay hidden and port scans through the unit are impossible because nothing listens inbound. Every session is tied to a named individual with multi-factor authentication, scoped to approved endpoints and bounded in time. A dedicated unit does not inherit the users, services, patch state and exploitable surface of a general-purpose host running a software agent.

Bifrost Manager is the governance platform and control plane of BifrostConnect: it holds identities, groups, access policy, just-in-time access windows, the audit log and the SIEM integration. It handles access decisions only and never touches production data or session recordings. Its role model is least privilege: a Privileged User operates within assigned groups, an Administrator within the organisation, and any scope change requires an explicit role change. Multi-factor authentication is mandatory on administrator accounts, every administrator action is audit logged, and enterprise single sign-on is delivered on the Dedicated Cloud and on-premises tiers.

Time-Based Access makes Direct Tunnel Access subnet mappings time-bound, so a vendor’s network path exists only inside an approved window instead of permanently. On the entry plan, Direct Tunnel Access subnet mappings are permanent; on the Advanced plan and the Dedicated Cloud tier, Time-Based Access converts the default-permanent posture to default-just-in-time. The published guide recommends it for organisations operating under NIS2 Article 21(2)(i) or BEK 260 §55 stk. 2, because it matches the Zero Standing Privilege principle.

Bifrost Manager is delivered on a common cloud (Plug & Play plan and Advanced plan), as a Dedicated Cloud, or on-premises. Time-Based Access for Direct Tunnel Access requires the Advanced plan or the Dedicated Cloud tier. Enterprise single sign-on (SAML 2.0, OAuth 2.0, Active Directory, LDAP) and native SIEM forwarding require Dedicated Cloud or on-premises. The guide advises procuring the right tier at the start so the single sign-on trust chain and the SIEM pipeline exist before the first vendor session.

Bifrost Manager records authentication events, access grants and denials, session start and end, recording metadata and every administrator action, and ties each session to a named individual, because there are no shared accounts. On the Dedicated Cloud and on-premises tiers these events are forwarded natively to the customer’s SIEM. The audit trail is captured by the Manager and Service for every session; because the Service brokers every session, a session cannot be established while the Service is unreachable, so there is no un-audited degraded session.

AccessGuard is designed to give you station-level access governance on the customer’s own engineering station. It is intended to provide individual accounts with multi-factor authentication for every vendor technician, application-scoped access so the vendor can launch only the tools the work requires, and session recording kept in storage you control. It is intended for the scenarios in the OT guide where the programming software lives on a customer-owned station (Scenarios 1 and 2), and it will provide you with the station-local identity, approval and evidence controls that a small site without enterprise infrastructure otherwise lacks.

SessionGuard is designed to give you operator-side session evidence when the programming software lives on the vendor’s own laptop. It is intended to provide a recording of the technician’s screen and keystrokes during the session, delivered to storage the customer owns and controls, so the evidence is never under vendor control. It is intended for the OT guide’s Scenarios 3 and 4, where the vendor brings the licensed engineering tools, and it will provide you with per-engagement isolation so evidence from different vendor relationships never mixes.

Where session recording is deployed, it is designed to land in storage the customer controls, never with BifrostConnect: on the OT network or engineering station, or on a customer-owned recording server. BifrostConnect cannot access the live stream or the recordings, and that is by design; Bifrost Manager has no access to recordings, and the BifrostConnect Service cannot decrypt session content. The published guide is explicit that session evidence must sit with the asset owner, not with the third party doing the work, and it recommends an acceptance test before go-live confirming that recordings land in customer-controlled storage.

Yes. Session recordings typically contain personal data within the meaning of the EU General Data Protection Regulation, so the recording policy must define a retention period, storage location and access control, data-subject rights handling and a lawful processing ground. These obligations apply whether or not the OT system is subject to NIS2, and the technical enforcement of recording does not remove them.

Yes, by co-deployment: BifrostConnect works alongside these tools rather than replacing them. Bifrost Manager exports natively to your SIEM (Dedicated Cloud and on-premises), federates identity through SAML 2.0, OAuth 2.0, Active Directory or LDAP via Auth0, and sits upstream of your PAM platform, which keeps credential vaulting and rotation. An OT intrusion detection system runs independently on the OT network and is correlated with BifrostConnect events at the SIEM; there is no API-level integration. A certified data diode provides one-way log export, one-way Historian replication and an inline file security gateway ahead of Direct Tunnel Access uploads.

No single product makes an organisation NIS2 compliant; BifrostConnect maps to the technical measures in NIS2 Article 21(2) and provides the technical evidence, while the organisational controls remain yours. The measures it maps to are (d) supply chain security, (e) security in network and information systems, (i) access control policies and (j) multi-factor authentication, and its logs support the staged incident reporting in Article 23. For every technical control the published guide lists the organisational control still required: access control policy, supplier risk assessment, contract clauses, periodic access reviews and an incident response plan.

BifrostConnect maps to the Danish NIS2 Act (LOV nr. 434 af 6. maj 2025) §6 on identity-bound access and multi-factor authentication, and for energy entities to Lov om styrket beredskab i energisektoren §§6, 7 and 8 with the technical detail in BEK 260. The BEK 260 provisions the guide maps are §§29-32 (supplier procedures and remote access procedures for direct suppliers), §§51-53 (access control policy, access control and multi-factor authentication), §55 stk. 2 (remote access only during approved, time-limited work), §62 (network segmentation during vendor access), §§64-67 (logging, with §66 stk. 2 nr. 2 covering remote access equipment and §67 stk. 3 a 13-month retention at niveau 4-5) and §74 (alternative communication for incident response, met by the 4G/LTE out-of-band path). Where the guide interprets Danish wording, it follows the SAMSIK guidance on the NIS2 Act (June to August 2025).

BifrostConnect maps to the IEC 62443-3-3:2019 system requirements that govern third-party access, and the guide anchors vendor programmes in IEC 62443-2-4:2024. The 3-3 requirements are SR 1.1 (human user identification and authentication), SR 1.13 (access via untrusted networks), SR 2.1 (authorisation enforcement), SR 2.6 (remote session termination), FR 5 (restricted data flow) and FR 6 (timely response to events). For vendors, the guide anchors Pattern D in IEC 62443-2-4:2024, the service provider security programme, with SP.07 Remote access. IEC 62443-2-1:2024 requires asset owners to run a full cybersecurity management system; the guide treats third-party access as one chapter of that programme, not the whole book.

The guide anchors in eight frameworks: the EU NIS2 Directive (2022/2555), the Danish NIS2 Act (LOV nr. 434 af 6. maj 2025), BEK 260 with Lov om styrket beredskab i energisektoren, the IEC 62443 series (3-3:2019, 2-4:2024 and 2-1:2024), NIST SP 800-82 Rev. 3, NIST SP 800-207, the joint NCSC Secure Connectivity Principles for OT (18 March 2024) and the joint CISA guide Adapting Zero Trust Principles to Operational Technology (29 April 2026). Part 2 additionally references the CER Directive (2022/2557) for supply chain supervision, DORA Articles 9 to 14 and 28 for financial entities, and GDPR for session recordings. Where a claim cannot be traced to a verified clause, the guide does not make it.

An auditor receives an audit trail in which every vendor session carries an individual identity, proof of multi-factor authentication, the approved time window, and session start and end. Where recording is deployed, the session recording sits in customer-controlled storage. On the Dedicated Cloud and on-premises tiers the same events are in the customer’s SIEM for correlation and staged NIS2 reporting. The published guide recommends documenting the acceptance test that proved each control operated as designed, and pairing the technical evidence with the written policies, supplier contracts and access reviews the regulation also expects.

The published guide provides ten sample procurement clauses for third-party OT remote access, anchored in IEC 62443-2-4:2024 and BEK 260 §§30-32. They require session brokering with no direct network path outside an active session, multi-factor authentication on every session with one factor independent of the vendor, a security programme aligned with IEC 62443-2-4 SP.01 to SP.12, a cryptographic audit trail retained for at least 13 months, explicit time-bounded approval before each session, automatic and customer-initiated session termination, forced session recording stored under customer control, incident notification within 24 hours, support for the customer’s NIS2 Article 23 reporting, and return or destruction of all credentials within 30 days of termination. The clauses are drafting starting points, not a substitute for legal counsel.

The guide sorts third-party OT access into four patterns along two axes: site scale and where the programming software runs. Site scale means large OT with a SOC, SIEM and PAM versus small OT with no IT staff; the software runs either on a customer-owned station or on a vendor-owned laptop. Pattern A is large OT with a customer station (Scenario 2, lowest residual risk), Pattern B is large OT with a vendor laptop (Scenario 4, most layered defence), Pattern C is small OT with a customer station (Scenario 1, medium residual risk) and Pattern D is small OT with a vendor laptop (Scenario 3, highest residual risk). Each pattern has its own BifrostConnect product mix, and Direct Native Access is optional in all four for commissioning and incident response.

A small utility with no jump host, SIEM or SOC can meet the same regulatory clauses as a large one by placing five controls at the engineering station itself. The five are out-of-band identity verification, time-bound approval from the site owner, offline multi-factor authentication at the station, local session recording and one-way log export. The claim that a small site without enterprise infrastructure cannot meet NIS2 or the Danish energy-sector law is false; the fix is process design, not infrastructure investment. In BifrostConnect terms this is Scenario 1: an unattended Bifrost Unit at the boundary of the engineering station’s network, Direct Tunnel Access for the vendor, Bifrost Manager for access decisions and audit, and AccessGuard, which is designed to add the station-level identity, application scope and recording controls. The unit gives the site an outbound-only posture and a 4G/LTE out-of-band path for incident response.

A vendor-owned laptop at a small site is the highest-risk case in the OT guide, so the controls must sit at the boundary between the laptop and the OT equipment. The guide calls it Scenario 3, Pattern D, and its minimum viable controls are per-session multi-factor authentication across the chain, session brokering through a hardware appliance at the site so there is no direct VPN from the laptop, forced session recording outside the vendor’s machine regardless of where the licence lives, time-bound access measured in hours, and export of session logs to the asset owner. In BifrostConnect terms: an unattended Bifrost Unit as the gateway, Direct Tunnel Access or Direct Native Access for the vendor (Direct Native Access gives the laptop zero network access), Bifrost Manager for policy, and SessionGuard, which is designed to give you the operator-side recording delivered to customer-owned storage.

At a large site BifrostConnect takes the access-and-governance layer and integrates with the SOC, SIEM, PAM and identity provider that are already there. The Bifrost Unit sits at Purdue Level 3 or in the industrial DMZ, Bifrost Manager runs on Dedicated Cloud or on-premises with single sign-on to the enterprise identity provider and native SIEM forwarding, and vendor groups get just-in-time access windows. The existing PAM platform keeps credential vaulting and rotation, endpoint detection stays on the engineering stations, an OT intrusion detection system covers protocol-level inspection on the wire, and a certified data diode can carry one-way log export and Historian replication. These are Scenarios 2 and 4 in the guide; correlation of BifrostConnect events with the other tools happens in the SIEM.

No, BifrostConnect is not designed to bridge an air gap; it hardens the perimeter around one. The Bifrost Unit needs an outbound connection to the BifrostConnect Service, so it sits on the IT side of the gap. On the IT side, a Bifrost Unit on the staging workstation that prepares signed media makes vendor access to that workstation identity-bound, time-bounded and recorded. On the OT side the human and procedural brokering stays in place: controlled media transfer, chain of custody and malware scanning through a data-diode file security gateway. Offline File Transfer covers the media movement itself. For genuinely isolated equipment the guide treats the air gap as the primary control and BifrostConnect as a supplement, never a replacement.

Third-party access typically targets Purdue Levels 2 and 1, where engineering tools meet controllers, and the Bifrost Unit is placed at the boundary that protects them. In a large site that is Level 3 or the industrial DMZ at Level 3.5; in a small site it is the boundary of the engineering station’s network or the closed network around the PLC. The Purdue model runs from Level 5 (enterprise) through Level 4 (business logistics), Level 3 (site operations), Level 3.5 (OT DMZ with jump host or vendor proxy), Level 2 (HMI and SCADA) and Level 1 (PLC and RTU) to Level 0 (sensors and actuators), with blast radius increasing toward Level 0.

BifrostConnect gives incident responders a clean out-of-band path to the OT equipment over 4G/LTE, independent of the production WAN, so essential operations can continue while an IT-side compromise stays contained. Before an incident, Zero Standing Privilege, brokered access and recording form the control baseline; during response, Bifrost Manager approval plus the Bifrost Unit provide the responder path without opening any inbound exposure; during recovery, session recordings (where deployed) and a controlled rebuild path support forensics and restoration. The out-of-band path maps to BEK 260 §74 on alternative communication for incident response.

The OT guide recommends five actions in the first 30 days, none of which requires new procurement. Inventory every active third-party remote access path into OT; verify that default credentials have been changed on all jump hosts, VPN concentrators and shared accounts; enable session logging on the channels you already have; sort your assets into Patterns A to D; and plan the migration of every always-on tunnel toward time-bounded access. Days 30 to 90 introduce a session broker, multi-factor authentication and per-session approval; days 90 to 180 turn on recording and SIEM alarming; after 180 days the programme moves to vendor onboarding, contract clauses and joint incident playbooks.

No. BifrostConnect occupies the access-and-governance layer for human sessions and is designed to co-deploy with specialists in the other layers. Keep endpoint detection and response on engineering stations, an OT intrusion detection system for protocol-level inspection, your PAM platform for credential vaulting, your industrial telemetry backbone for machine-to-machine data, and your zero trust network access platform for enterprise IT. The guide’s principle is defence in depth: no single control is load-bearing, and each layer stays with its specialist.

The Bifrost Unit measures 124 x 87 x 27 mm, weighs 249 g and runs for approximately two hours on its industrial UL2054-certified battery. It has a 2-inch TFT display, 6 GB of internal storage and IP20 classification. Connections are Ethernet RJ45 (10/100 Mbit, PoE charging), Wi-Fi 802.11n 2.4 GHz, a 4G LTE Cat-4 modem with a nano-SIM tray, RS232, HDMI (480p, 720p, 1080p), USB-C (video input, keyboard and mouse output, recharging), Micro-USB (recharging, keyboard and mouse, RS232 emulation, USB tunnel sessions), Bluetooth 4.0 and an SPDT relay output. Maximum power consumption is 9 W. It runs an industrial embedded Linux upgraded over the air, in either Attended or Unattended mode.

The Bifrost Unit connects to the BifrostConnect Service over 4G/LTE, Wi-Fi or Ethernet LAN, always outbound on port 443. For 4G the unit takes a nano-SIM (IoT or M2M SIM recommended, roaming or non-roaming), the SIM must be provisioned with a static or public IP on the cellular network, the network must be IPv4, any PIN or PUK lock must be disabled and the default APN is “internet”. Wi-Fi is 802.11n 2.4 GHz with WPA or WPA2 PSK/AES. LAN is 10/100 Mbit Ethernet, full duplex. Hardware revision 1.0 covers the European LTE bands and revision 1.5 adds the North American bands.

The network the Bifrost Unit sits on must allow outbound traffic on port 443 with SSL/TLS and must not disable WebRTC over UDP; no inbound rules are required. If the network requires a proxy, the unit is configured in HOST mode and the BifrostConnect Service domains are whitelisted. A load balancer must be disabled for the unit, because the Service does not support dynamic changes of the unit’s WAN or LAN IP address. The same requirements apply on the operator side: the computer using the BifrostConnect web interface must allow WebRTC, which Chromium-based browsers enable by default.

No static IP is required to reach the Bifrost Unit on the LAN, because the unit initiates every connection outbound. For cellular use, the SIM card must be provisioned with either a static IP or a public IP on the mobile network.

The Bifrost Unit charges over Micro-USB, over USB-C or over a PoE-compatible LAN connection (48 V), and runs for approximately two hours on its battery. The battery is an industrial UL2054-certified 3.7 V, 2000 mAh cell with a maximum draw of 9 W, and hardware revision 1.5 powers on automatically when AC or DC input is connected. The battery, together with the built-in LTE modem, is what gives the unit an out-of-band path that is independent of the customer network.

Each port on the Bifrost Unit has a defined role, and connecting it needs no software on the target device. USB-C carries video input from the device plus keyboard and mouse output to it, and charges the unit. HDMI streams the device’s video output to the unit. Micro-USB provides keyboard and mouse, RS232 emulation and USB tunnel sessions. RS232 carries serial terminal and serial tunnel sessions. The Ethernet port carries network, PoE charging and IP tunnel sessions. Bluetooth 4.0 acts as a keyboard and mouse input.

BifrostConnect sessions and Bifrost Manager run in Chromium-based browsers: Google Chrome, Chromium and Microsoft Edge. WebRTC must be enabled in the browser, which is the default in Chromium-based browsers.

For KVM, use a high-quality USB-C data cable (USB 3.1 Gen 2 or above) or an HDMI 2.0 shielded cable for video plus a Micro-USB data cable for keyboard and mouse. For a serial terminal, use a DB9 RS232 null-modem cable, a USB-OTG data cable for USB-based serial, or a console cable. SSH and IP tunnel sessions need a good-quality Ethernet cable, a serial tunnel needs a DB9 RS232 cable (sometimes null-modem), and a USB tunnel needs a Micro-USB OTG cable with the connected device either externally powered or able to run on 0.5 A. BifrostConnect recommends its own cables when troubleshooting video or network issues.

The Bifrost Unit operates between 5 and 40 °C, at up to 85 percent non-condensing relative humidity, at altitudes up to 3,600 metres, and carries an IP20 ingress protection rating. It must not be exposed to direct sunlight for prolonged periods, and firmware updates should be applied when they are published.

Both parts of the guide are free downloads on bifrostconnect.com/tours/. Part 1 is “Framework for 3rd party access to OT” (version 1.21, June 2026, 43 pages, vendor-neutral, technically reviewed by Mikael Vingaard of ICSRange) and Part 2 is “Implementing BifrostConnect” (version 1.21, June 2026, 66 pages). Part 1 is at bifrostconnect.com/wp-content/uploads/2026/06/BEST-PRACTICE-GUIDE-PART-1_Framework-for-3rd-party-access-to-OT_v1.21.pdf and Part 2 at bifrostconnect.com/wp-content/uploads/2026/06/BEST-PRACTICE-GUIDE-PART-2_Implementing-BifrostConnect_v1.21.pdf.

Part 1 is the vendor-neutral framework; Part 2 maps each of its controls to a BifrostConnect deployment. Part 1 covers the threat model, five core principles, four access patterns, compensating controls for legacy equipment, degraded-mode rules, a compliance crosswalk across five frameworks and ten sample procurement clauses, written so any defensible solution can be measured against it. Part 2 covers product mapping, per-scenario configuration, compliance evidence tables, co-deployment with SIEM, OT intrusion detection, PAM and data diodes, hardening of the trust boundaries, and an explicit list of what BifrostConnect does not protect against. Part 1 makes no claim that BifrostConnect is the only way to implement it.

The Tours and Tutorials page collects the product tours, the Security Documentation, the technical pages and the presentations in one place. It offers three interactive product tours (Bifrost Unit hardware guide, Bifrost Manager, and the browser-based Remote Access Interface), the Security Documentation (version 2.2.2), the Technical Requirements and Technical Specifications pages in the Knowledge Center, the Executive Summary and Company Presentation (July 2026), and a two-page brief on secured remote ad hoc support for OT machine stops. The Knowledge Center also carries the Release Notes.

Start with a demo or a proof of concept: book a demo on bifrostconnect.com or call +45 70 60 20 56. A Bifrost Unit needs no software installation on the equipment it protects; it is connected to the target device or the closed network around it, given an outbound path over 4G, Wi-Fi or LAN, and paired with an access policy in Bifrost Manager. The published guide recommends deciding the Bifrost Manager tier, the recording layer and the access method per task before the first vendor session, and running an acceptance test as the go-live gate.