Deadline: 15 augustus 2026. Op die datum treedt de Nederlandse Cyberbeveiligingswet in werking, zonder overgangstermijn. Vanaf dat moment gelden de zorgplicht, de meldplicht (24 uur voor een eerste melding) en de persoonlijke bestuursverantwoordelijkheid. Begin met weten wat er in uw netwerk hangt.
Uw kantoornetwerk is waarschijnlijk goed beveiligd. Maar wat met de PLC's, SCADA-systemen en HMI's die uw machines aansturen? Welkom in de wereld van OT Security.
Wat is OT (Operational Technology)?
Operational Technology (OT) omvat alle hardware en software die fysieke processen monitort en bestuurt. Denk aan:
- ? PLC's (Programmable Logic Controllers) - Het brein achter uw machines
- SCADA - Supervisory Control and Data Acquisition
- ? HMI's - Human Machine Interfaces (touchscreens bij machines)
- Industriële netwerken - Profinet, Modbus, EtherNet/IP
Wat is het verschil tussen IT en OT Security?
Op papier beschermen ze allebei "het netwerk". Maar de prioriteiten, levenscycli en gevolgen van een hack zijn fundamenteel anders, en dát maakt OT Security zo verraderlijk moeilijk.
| Aspect | IT Security | OT Security |
|---|---|---|
| Prioriteit | Vertrouwelijkheid (data) | Beschikbaarheid (uptime) |
| Patching | Regelmatig, geautomatiseerd | Zelden, vereist productiestop |
| Levensduur | 3-5 jaar | 15-25 jaar |
| Impact hack | Datalek, financieel | Fysieke schade, veiligheid |
Waarom is OT zo Kwetsbaar?
Veel OT-systemen zijn ontworpen in een tijd zonder internet. Nu worden ze steeds vaker verbonden voor efficiency, maar:
- Legacy systemen - Windows XP draait nog op veel HMI's
- Geen encryptie - Veel industriële protocollen zijn onversleuteld
- Flat networks - Geen segmentatie tussen IT en OT
- Remote access risico's - Leveranciers met onbeveiligde VPN-toegang
Waarschuwing: PLC’s direct aan AI koppelen
Een groeiende trend is om AI-modellen direct te koppelen aan PLC’s voor “slimme” fabrieksbesturing. Dit is levensgevaarlijk. AI-modellen hallucineren, hebben geen deterministisch gedrag, en mogen nooit direct schrijftoegang krijgen tot safety-critical systemen. De juiste architectuur plaatst AI altijd naast de operator, nooit boven de PLC.
Hoe beveilig ik mijn OT-omgeving in 4 stappen?
De vier basisprincipes die élk productiebedrijf vandaag nog kan implementeren, zonder productiestilstand en zonder duur securityteam.
1. Netwerksegmentatie
Scheid uw IT- en OT-netwerken met een DMZ. Een aanval op kantoor mag niet direct bij uw PLC's komen.
IEC 62443 segmentatiemodel: Verdeel uw netwerk in zones en conduits. Elke zone krijgt een Security Level (SL 1-4). Productie-PLC’s moeten op minimaal SL 2 zitten, gescheiden van kantoor-IT (SL 1) via een DMZ met firewall en logging.
2. Asset Inventarisatie
U kunt niet beschermen wat u niet kent. Maak een overzicht van alle OT-assets met firmware versies.
3. Toegangsbeheer
Wie kan er nu bij uw besturing, en hoe komt u daarachter? Zo pakt u toegangsbeheer in productie aan, inclusief gedeelde accounts en leverancierstoegang.
4. Monitoring
Monitor anomalieën in OT-verkeer. Ongebruikelijke commando's naar een PLC kunnen een aanval zijn.
Uitgebreider: in de vijf duurste fouten op de fabrieksvloer staat waarom IT-oplossingen soms meer stilstand veroorzaken, met een woordenboek voor beide kanten.
Wat betekent NIS2 voor mijn OT-beveiliging?
Voor organisaties die eronder vallen maakt de Cyberbeveiligingswet OT Security niet langer optioneel, maar wettelijk verplicht. Het bestuur moet de maatregelen goedkeuren en op de uitvoering toezien.
Onder de NIS2-richtlijn wordt OT Security wettelijk verplicht voor veel productiebedrijven. De belangrijkste eisen:
- Technische en organisatorische beveiligingsmaatregelen voor IT én OT
- Risicobeheer voor de gehele toeleveringsketen
- Meldplicht bij incidenten binnen 24 uur
- Bestuurlijke aansprakelijkheid
Lees ook onze NIS2 Compliance Checklist met 12 concrete checkpunten voor de Technische Dienst.
IEC 62443: De Technische Standaard achter OT Security
Terwijl NIS2 de wettelijke verplichting definieert, beschrijft IEC 62443 de technische standaard. Het framework deelt uw fabriek op in beveiligingszones met elk een eigen Security Level:
| Security Level | Bescherming tegen | Voorbeeld zone |
|---|---|---|
| SL 1 | Toevallige fouten | Kantoor-IT |
| SL 2 | Opportunistische aanvallen | Productie-OT (meeste fabrieken) |
| SL 3 | Gerichte aanvallen | Kritieke infrastructuur |
| SL 4 | Staatshackers | Nucleair, defense |
De meeste Nederlandse productiebedrijven moeten richting SL 2. Dat is haalbaar zonder miljoeneninvestering, mits u begint met de 4 basisstappen die hierboven staan. IEC 62443 en NIS2 vullen elkaar aan: IEC 62443 is de hoe, NIS2 is de waarom.
Verder lezen
Hoe u zones en conduits volgens IEC 62443 in een draaiende fabriek afbakent, en waarom die oefening vanzelf uw single points of failure blootlegt, staat in de vijf duurste fouten op de fabrieksvloer.
Wilt u het als afvinklijst, dan is er de NIS2-checklist voor de technische dienst, als Excel en PDF.
Geschreven door
Ritchel Akwali
10 jaar als besturingstechnicus bij een FMCG-producent in de Achterhoek. Oprichter RaconSoft.