Cybersecurity in de industrie

Waarom is cybersecurity in de industrie anders dan in een kantoororganisatie?

In een fabriek sturen computers fysieke processen aan: robots, draaibanken, ovens, pompen en verpakkingslijnen. Die besturing heet operational technology (OT). Valt OT uit, dan stopt de productie. Gaat er iets mis in de besturing, dan kan dat ook gevaarlijk zijn voor medewerkers en omgeving.

Volgens het NCSC communiceerden OT-systemen tot ongeveer 20 jaar geleden in gesloten netwerken, zonder koppeling met internet. Nu zijn ze vaak verbonden met de kantoorautomatisering en bereikbaar via internet, bijvoorbeeld voor beheer op afstand. Daarbij worden niet altijd de juiste beveiligingsmaatregelen genomen (bron: NCSC).

Het aantal incidenten daalt wel. Volgens het CBS had 4 procent van de bedrijven in de industrie in 2024 een cyberincident door een aanval van buitenaf, tegen 14 procent in 2016 (bron: CBS, 2026).

Wat is het verschil tussen IT, OT en IoT in een fabriek?

IT verwerkt informatie, OT bestuurt fysieke processen en IoT (Internet of Things) verbindt losse apparaten en sensoren met een netwerk. In een moderne fabriek lopen ze in elkaar over, bijvoorbeeld als een sensor op een machine data naar een cloudplatform stuurt.

	IT	OT	IoT
Voorbeelden in de industrie	ERP, planning, e-mail, ontwerpsoftware	PLC’s, SCADA, besturing van robots en productielijnen	Sensoren voor trillingen en temperatuur, slimme meters, camera’s
Belangrijkste doel	Vertrouwelijkheid en juistheid van gegevens	Beschikbaarheid en veiligheid van mensen en installaties	Meten en besturen op afstand
Levensduur	Relatief kort	Lang, vaak vele jaren	Wisselend
Updates	Regelmatig en meestal automatisch	Alleen na testen, in onderhoudsvensters	Afhankelijk van de fabrikant
Typisch risico	Phishing, ransomware	Stilstand na besmetting vanuit IT, onveilige toegang op afstand	Standaardwachtwoorden, onbeheerde apparaten

Het NCSC noemt als verschillen tussen OT en IT onder meer de lange levensduur, maatwerksystemen en andere patchprocessen. Beveiligingsstrategieën uit IT zijn daarom niet 1 op 1 toe te passen. Meer uitleg staat bij OT-security en IoT-security.

Valt een productiebedrijf onder de Cyberbeveiligingswet?

Een deel van de maakindustrie valt onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt. Het hangt af van de activiteit en de omvang: minimaal 50 medewerkers, of een jaaromzet en balanstotaal boven 10 miljoen euro. Bijlage 2 van de wet noemt in de sector vervaardiging deze activiteiten, met de NACE-code (Europese indeling van bedrijfsactiviteiten):

Subsector vervaardiging (bijlage 2)	NACE Rev. 2	Bevoegde autoriteit (artikel 15)
Informaticaproducten en elektronische en optische producten	Sectie C, afdeling 26	Minister van Economische Zaken
Elektrische apparatuur	Sectie C, afdeling 27	Minister van Economische Zaken
Machines, apparaten en werktuigen, niet elders geclassificeerd	Sectie C, afdeling 28	Minister van Economische Zaken
Motorvoertuigen, aanhangers en opleggers	Sectie C, afdeling 29	Minister van Economische Zaken
Andere transportmiddelen	Sectie C, afdeling 30	Minister van Economische Zaken
Medische hulpmiddelen en hulpmiddelen voor in-vitrodiagnostiek	Verordening (EU) 2017/745 en 2017/746	Minister van Volksgezondheid, Welzijn en Sport

Bijlage 2 noemt ook de chemie (vervaardiging en distributie van stoffen en mengsels) en de levensmiddelenindustrie (groothandel en industriële productie en verwerking). Fabrikanten van farmaceutische producten (NACE afdeling 21) staan in bijlage 1 onder gezondheidszorg.

Een bedrijf uit bijlage 2 dat de omvangsgrens haalt, is een belangrijke entiteit (artikel 12, eerste lid, onderdeel b). Andere maakbedrijven, zoals een metaalbewerker of meubelmaker, staan niet in de bijlagen. Zij krijgen wel eisen via klanten die hun toeleveringsketen moeten beveiligen. Het volledige overzicht staat op sectoren onder de Cyberbeveiligingswet.

Wat vraagt de Cyber Resilience Act van fabrikanten?

De Cyber Resilience Act (CRA) is een Europese verordening voor de beveiliging van producten met digitale elementen. De Cyberbeveiligingswet gaat over de beveiliging van de eigen organisatie; de CRA over het product dat een fabrikant verkoopt. Een machinebouwer kan dus met beide te maken krijgen.

Volgens het NCSC moeten digitale producten vanaf 11 december 2027 aan de veiligheidseisen van de CRA voldoen. De fabrikant voert een risicoanalyse uit als basis voor een veilig ontwerp, het principe van security by design. Producten moeten veilig worden gehouden met gratis updates, gedurende de verwachte levensduur en minimaal 5 jaar. Sinds 11 september 2026 meldt een fabrikant een actief misbruikte kwetsbaarheid of een ernstig incident binnen 24 uur bij het NCSC (bron: NCSC).

De juridische uitwerking staat op Cyber Resilience Act in de wet.

Voorbeeld uit de praktijk: de cyberaanval op Norsk Hydro

Het Noorse aluminiumconcern Norsk Hydro werd op 19 maart 2019 getroffen door een omvangrijke cyberaanval (bron: Norsk Hydro, 2024). De aanval raakte de hele wereldwijde organisatie. Het bedrijfsonderdeel Extruded Solutions had de grootste operationele problemen en financiële verliezen.

De andere bedrijfsonderdelen konden bijna normaal doorproduceren, maar alleen met arbeidsintensieve noodoplossingen en handmatige procedures. Alle pc’s en servers werden gecontroleerd, opgeschoond en veilig hersteld. Versleutelde pc’s en servers werden opnieuw opgebouwd vanuit back-ups. Hydro reorganiseerde daarna zijn securityteam om incidenten beter te ontdekken en erop te reageren.

Hydro schat de totale kosten op ongeveer 800 MNOK (800 miljoen Noorse kronen). Het bedrijf had een cyberverzekering. Hydro werkte samen met de Noorse recherche Kripos en de Noorse nationale veiligheidsautoriteit NSM. De les voor andere fabrikanten: werkende back-ups en handmatige werkwijzen bepalen hoe lang de productie stilligt.

Hoe beveilig je OT volgens het NCSC?

Het NCSC beschrijft 5 basisprincipes voor OT-security: breng risico’s in kaart, bevorder veilig gedrag, bescherm systemen en apparaten, beheer toegang en bereid je voor op incidenten. Het NCSC verwijst voor de uitwerking naar de internationale standaard IEC 62443 (in de NCSC-tekst geschreven als IEC-62443), die alle onderwerpen uitgebreid behandelt.

Een kernmaatregel is segmentatie. Het NCSC beschrijft het OT-netwerk in lagen volgens het referentiemodel ISA-95, ook wel Purdue genoemd: van veldapparatuur onderaan tot de IT-laag bovenaan. Er moet een sterke scheiding zijn tussen OT en IT, en veiligheidssystemen krijgen een eigen segment. Komt een aanvaller toch binnen, dan beperkt segmentatie de gevolgen.

Verder adviseert het NCSC hardening (onnodige diensten uitzetten), standaardwachtwoorden wijzigen, toegang op afstand alleen met multifactorauthenticatie en een versleutelde verbinding, en een eigen stappenplan voor patchmanagement. Omdat OT-systemen lang meegaan, vraagt vulnerability management in de fabriek om testen en onderhoudsvensters.

Stappen: OT-checklist voor een productiebedrijf

1. Stel vast of het bedrijf onder de Cyberbeveiligingswet valt: controleer de NACE-code, de omvang en of er klanten zijn die eisen stellen.
2. Inventariseer alle OT- en IoT-componenten met versies van software en firmware, en alle verbindingen met internet.
3. Voer 1 gezamenlijke risicoanalyse uit voor OT en IT, en combineer die met bestaande veiligheidsanalyses zoals HAZOP of de RI&E.
4. Scheid het OT-netwerk van het kantoornetwerk en deel OT op in segmenten op basis van functie en veiligheidseisen.
5. Beperk toegang op afstand voor leveranciers en onderhoudspartijen, met multifactorauthenticatie en logging die je regelmatig controleert.
6. Leg in contracten met leveranciers van machines vast hoe lang ze updates leveren, mede met het oog op de CRA en het risico van een supply-chain-aanval.
7. Maak back-ups van besturingsconfiguraties en een disaster recovery-plan, inclusief handmatige werkwijzen.
8. Oefen jaarlijks een incident met het incident response-plan, inclusief de OT-omgeving en het testen van de noodbediening.

Een algemeen stappenplan voor de wet staat in de checklist voor de Cyberbeveiligingswet.

Wat betekent dit voor een security-professional in de industrie?

Security in de industrie vraagt kennis van IT én van procesautomatisering. Een security architect ontwerpt de segmentatie van het netwerk, een CISO vertaalt de Cyberbeveiligingswet en de CRA naar beleid. Het NCSC richt zijn OT-advies uitdrukkelijk op CISO’s die vanuit de zorgplicht de OT-beveiliging willen verbeteren.

Wie van IT komt, moet leren dat veiligheid en beschikbaarheid in de fabriek voorgaan: een OT-systeem kan niet zomaar worden herstart of gepatcht. Wie van de techniek komt, moet leren denken in dreigingen en aanvallers. Een overzicht van opleidingen staat bij opleidingen cybersecurity.

Veelgestelde vragen

Wat is het verschil tussen OT en IT?

IT verwerkt informatie, zoals planning, e-mail en ontwerpen. OT bestuurt fysieke processen, zoals machines en productielijnen. OT-systemen gaan lang mee, worden alleen na testen bijgewerkt en mogen niet zomaar uitvallen, omdat beschikbaarheid en veiligheid voorop staan. Een aanval op IT kan via het netwerk ook OT raken.

Wat is een OT-systeem?

Een OT-systeem is een combinatie van hardware en software die een fysiek proces bestuurt, bewaakt of beheert. Voorbeelden in de industrie zijn PLC’s, SCADA-systemen en de besturing van robots. Het NCSC noemt ook systemen voor bruggen, sluizen, waterzuivering en energiecentrales. In de norm IEC 62443 heet dit een industrieel automatiserings- en besturingssysteem (IACS).

Wat betekent OT-omgeving?

Een OT-omgeving is het geheel van besturingssystemen, sensoren, netwerken en bedieningsstations waarmee een fabriek of installatie draait. Het NCSC beschrijft die omgeving in lagen, van veldapparatuur tot bediening. De OT-omgeving hoort gescheiden te zijn van de IT-omgeving, zodat een besmetting op kantoor de productie niet stillegt.

Valt een productiebedrijf onder de Cyberbeveiligingswet?

Een productiebedrijf valt onder de Cyberbeveiligingswet als het een activiteit uit de bijlagen uitvoert, zoals vervaardiging in NACE-afdeling 26 tot en met 30, chemie of levensmiddelen, en minimaal 50 medewerkers heeft of een jaaromzet en balanstotaal boven 10 miljoen euro. Het is dan een belangrijke entiteit. Andere maakbedrijven krijgen eisen via hun klanten.