Change Management

Wat is Change Management?

Change Management is het proces waarmee een organisatie wijzigingen aan systemen, applicaties, infrastructuur en configuraties gecontroleerd aanvraagt, beoordeelt, goedkeurt, test, doorvoert en vastlegt, zodat de wijziging het beoogde resultaat oplevert zonder ongeplande verstoringen of nieuwe risico’s. In de IT-wereld heet het ook wijzigingsbeheer. In de procesindustrie bestaat een nauw verwante variant: Management of Change (MOC), het procesveiligheidsproces voor wijzigingen aan installaties, chemicaliën, procedures en organisatie. Bijna alle normen voor IT en OT eisen een vorm van wijzigingsbeheer: van ITIL en ISO 27001 tot IEC 62443, IEC 61511 en GxP-regels zoals GMP.

Let op: dezelfde term wordt ook gebruikt voor organisatorisch verandermanagement, dus het begeleiden van mensen bij een reorganisatie. Dit artikel gaat over technisch wijzigingsbeheer en over MOC.

🎯 Waarom is Change Management belangrijk?

Wijzigingen zijn een veelvoorkomende oorzaak van storingen: een verkeerde firewallregel, een patch die een driver breekt of een PLC-aanpassing met een onbedoeld neveneffect. Change Management dwingt af dat iemand vooraf nadenkt over impact en terugvalmogelijkheden.

• Risico’s beheersen - elke wijziging krijgt een impact- en risicobeoordeling die past bij de omvang
• Ongeplande downtime voorkomen - wijzigingen worden ingepland in onderhoudsvensters, met een terugvalplan
• Afstemming tussen afdelingen - IT, OT, productie, Security en kwaliteit weten wat er verandert en wanneer
• Traceerbaarheid - beslissingen, goedkeuringen en testresultaten worden vastgelegd; dat is de basis voor een audit
• Compliance - aantoonbaar voldoen aan ISO 27001, GMP, NIS2 en de Cyberbeveiligingswet
• Integriteit van de configuratie - samen met Configuration Management en een CMDB blijft bekend hoe systemen er werkelijk uitzien

🔁 Welke soorten changes zijn er?

ITIL 4 onderscheidt drie soorten wijzigingen. In ITIL 4 heet de practice inmiddels change enablement; de Foundation-uitgave uit 2019 sprak nog van change control.

ITIL 4 maakt de Change Advisory Board (CAB) niet meer verplicht voor elke wijziging. De change authority kan per type verschillen: een teamleider voor kleine wijzigingen, een CAB of directie voor ingrijpende. Zo voorkomt u dat elke kleine aanpassing wekenlang op een vergadering wacht.

📄 Hoe verloopt het Change Management-proces?

1. Aanvraag (RFC) - een Request for Change beschrijft wat er verandert, waarom, welke systemen geraakt worden en wie de eigenaar is.
2. Classificatie - type wijziging, impact, risico en urgentie bepalen. Raakt de wijziging een veiligheidsfunctie, een gevalideerd systeem of een securityzone?
3. Beoordeling en goedkeuring - door de change authority of een CAB, met de juiste disciplines aan tafel.
4. Voorbereiding en test - uitvoeren in een testomgeving, simulatie of op een reserve-installatie; back-up maken en het terugvalplan (back-out plan) uitschrijven.
5. Implementatie - volgens planning, binnen het afgesproken venster en met de juiste werkvergunning als er aan de installatie wordt gewerkt.
6. Verificatie en sluiting - controleren of het resultaat klopt, documentatie en tekeningen bijwerken, configuratie vastleggen en lessons learned noteren.

Mislukt een wijziging en ontstaat een storing, dan sluit het proces aan op incidentmanagement en eventueel een root cause analysis.

🔐 Wat is er anders aan Change Management in OT-omgevingen?

In een fabriek, waterzuivering of energienet raakt een wijziging niet alleen data, maar ook fysieke processen. Dat geeft extra aandachtspunten:

• Veiligheid eerst - wijzigingen aan een SIS vallen onder clausule 17 van IEC 61511: eerst een impactanalyse, daarna terug naar de juiste fase van de veiligheidslevenscyclus en opnieuw verifiëren en valideren van de geraakte veiligheidsfuncties en het SIL.
• Productie bepaalt het moment - veel OT-wijzigingen kunnen alleen tijdens een geplande stop of revisie; patchen gebeurt daarom vaak maanden later dan in IT.
• Online wijzigingen aan PLC’s - veel PLC’s laten wijzigingen toe terwijl het proces draait. Dat is handig, maar zonder vastlegging verdwijnt het overzicht. Vergelijk de geladen logica regelmatig met de goedgekeurde versie in versiebeheer.
• Tijdelijke wijzigingen - overbruggingen, forceringen en bypasses zijn óók wijzigingen. Leg een vervaldatum vast en controleer dat ze worden teruggedraaid.
• Engineeringtoegang - wijzigingen horen via een beheerd engineering station te lopen, niet via een willekeurige laptop. Leveranciers werken via gecontroleerde remote access binnen een goedgekeurde change.
• Bediening en HMI - ook alarmgrenzen, setpoints en schermen zijn configuratie; neem ze mee in de beoordeling, net als wijzigingen in alarmbeheer.
• Gevalideerde systemen - in de farma moeten wijzigingen volgens GMP en GAMP worden gevalideerd, met een audit trail volgens 21 CFR Part 11 die de data-integriteit van elke wijziging aantoonbaar maakt.

🏭 Wat is Management of Change (MOC) in de procesveiligheid?

Management of Change (MOC) is het procesveiligheidsproces dat elke wijziging aan proceschemicaliën, technologie, apparatuur, procedures of organisatie van een risicovolle installatie vooraf laat beoordelen, goedkeuren en vastleggen. Waar IT-change management vooral beschikbaarheid en integriteit van systemen bewaakt, kijkt MOC naar de kans op brand, explosie, giftige emissies en letsel.

De klassieke les is de ramp in Flixborough (Verenigd Koninkrijk) op 1 juni 1974. Na een scheur in reactor 5 van een cyclohexaanfabriek werd die reactor eruit gehaald en vervangen door een tijdelijke omloopleiding tussen reactor 4 en 6, zonder ontwerpberekening, tekening of druktest. De leiding bezweek, de vrijgekomen damp explodeerde en 28 mensen kwamen om. Sindsdien geldt: een tijdelijke of “kleine” aanpassing is ook een wijziging.

Wat eist de regelgeving van MOC?

• OSHA PSM, 29 CFR 1910.119(l) - de Amerikaanse norm voor procesveiligheid eist schriftelijke procedures voor wijzigingen aan proceschemicaliën, technologie, apparatuur, procedures en faciliteiten. Vooraf moeten de technische onderbouwing, de impact op veiligheid en gezondheid, aanpassingen van werkinstructies, de duur van de wijziging en de vereiste goedkeuring zijn vastgelegd. Medewerkers worden vóór het opstarten geïnformeerd en getraind, en procesveiligheidsinformatie en procedures worden bijgewerkt.
• Replacement in kind - een vervanging die aan de ontwerpspecificatie voldoet, valt buiten MOC. Een pomp van ander materiaal of met een andere capaciteit is dus wél een wijziging.
• Pre-startup safety review (PSSR) - vereist voor nieuwe installaties en voor wijzigingen die de procesveiligheidsinformatie veranderen.
• Seveso III-richtlijn - beheer van wijzigingen is een van de zeven elementen van het veiligheidsbeheerssysteem, naast organisatie en personeel, gevarenidentificatie, operationele controle, noodplanning, monitoring van prestaties en audit en evaluatie. In Nederland staan deze regels sinds 1 januari 2024 niet meer in het Brzo 2015 maar in de Omgevingswet (zie Brzo en cybersecurity).
• Managementsystemen - ISO 45001:2018 heeft een eigen clausule 8.1.3 Management of change; ISO 9001:2015 vraagt het plannen van wijzigingen (6.3) en het beheersen ervan in de productie (8.5.6).

Welke wijzigingen vallen onder MOC?

Welke systemen ondersteunen MOC?

🔄 Hoe verhouden Change Management en MOC zich tot elkaar?

In de praktijk overlappen beide. Een nieuwe versie van SIS-logica is zowel een softwarewijziging als een procesveiligheidswijziging. Goede organisaties koppelen de processen: een MOC verwijst naar de bijbehorende IT/OT-change en omgekeerd, zodat geen van beide teams een wijziging mist.

📚 Welke normen en wetten eisen Change Management?

Voor digitale dienstverleners onder NIS2, zoals cloud- en managed service providers, is de Uitvoeringsverordening (EU) 2024/2690 nog concreter. Sectie 6.4 vraagt procedures voor releases, aanpassingen, noodwijzigingen en configuratiewijzigingen, testen op basis van risico en het vastleggen waarom bij een noodgeval van de normale procedure is afgeweken.

🧭 Hoe richt u Change Management in OT praktisch in?

1. Breng uw assets in kaart - zonder actuele inventaris weet u niet wat een wijziging raakt.
2. Definieer wat een change is - leg vast welke onderdelen onder het proces vallen: PLC-logica, firmware, netwerk- en firewallconfiguratie, HMI-schermen, alarmgrenzen en accounts.
3. Maak een lijst met standard changes - bijvoorbeeld het vervangen van identieke onderdelen of het toevoegen van een gebruiker volgens procedure. Dat houdt het proces werkbaar.
4. Stel een gemengde change authority samen - met procesdeskundige, OT-beheer, security en, waar nodig, functionele veiligheid en kwaliteit.
5. Koppel aan de MOC - laat het IT/OT-formulier vragen of de wijziging procesveiligheid raakt; zo ja, dan start automatisch een MOC.
6. Schrijf altijd een terugvalplan - met een geteste back-up van de vorige configuratie en een duidelijk beslismoment om terug te draaien.
7. Controleer achteraf - vergelijk de configuratie met de goedgekeurde versie en detecteer ongeautoriseerde wijzigingen met versiebeheer of netwerkmonitoring.
8. Meet en verbeter - houd bij hoeveel changes slagen, hoeveel noodwijzigingen er zijn en hoeveel storingen door wijzigingen ontstaan.

Een hoog aandeel noodwijzigingen is een signaal dat de planning of het reguliere proces niet goed werkt.

❓ Veelgestelde vragen

Wat is een RFC in Change Management?

Een RFC (Request for Change) is het formele verzoek waarmee een wijziging in Change Management wordt aangevraagd. De RFC beschrijft wat er verandert, waarom, welke systemen geraakt worden, het risico en het terugvalplan. Op basis van de RFC beslist de change authority over goedkeuring.

Is een CAB verplicht?

Een Change Advisory Board is in ITIL 4 niet meer verplicht voor elke wijziging. ITIL 4 werkt met een change authority die per type wijziging kan verschillen, en een CAB adviseert vooral bij wijzigingen met grote impact. Normen als ISO 27001 eisen wel een gecontroleerde goedkeuring, maar schrijven geen CAB-vergadering voor.

Wanneer start u een Management of Change (MOC)?

Een Management of Change (MOC) start u bij elke wijziging aan proceschemicaliën, technologie, apparatuur, procedures of organisatie van een procesinstallatie die geen vervanging volgens de ontwerpspecificatie is. Ook tijdelijke aanpassingen, zoals een omloopleiding of een overbrugde beveiliging, vallen eronder. Vóór het opstarten worden medewerkers getraind en de procesveiligheidsinformatie bijgewerkt.

Hoe gaat u om met noodwijzigingen in OT?

Een noodwijziging in OT wordt versneld goedgekeurd door een kleine, bevoegde groep, maar valt nog steeds onder Change Management. Leg de wijziging direct achteraf vast, motiveer waarom het normale proces niet kon worden gevolgd en evalueer of de wijziging definitief moet blijven. Zo eist ook Uitvoeringsverordening (EU) 2024/2690 dat afwijkingen bij noodgevallen worden gedocumenteerd.

Is patchen een change?

Ja, het installeren van een patch is een wijziging en hoort via Change Management te lopen. In OT wordt een patch eerst getest op compatibiliteit met de leveranciersconfiguratie en daarna in een onderhoudsvenster uitgerold met een terugvalplan. Regelmatige, goed geteste patches kunnen als standard change worden aangemerkt.

Valt een PLC-wijziging onder Change Management?

Een wijziging aan PLC-logica, parameters of firmware valt onder Change Management, ook als de PLC een online wijziging toestaat. Raakt de wijziging een veiligheidsfunctie, dan is het ook een MOC en gelden de modificatie-eisen van IEC 61511. Bewaar elke goedgekeurde versie in versiebeheer, zodat u kunt terugvallen en ongeautoriseerde wijzigingen opvallen.

📌 Samengevat

Change Management zorgt ervoor dat elke wijziging aan IT- en OT-systemen vooraf wordt beoordeeld, goedgekeurd, getest en vastgelegd, met een terugvalplan als het misgaat. Management of Change (MOC) doet hetzelfde voor procesveiligheid, met OSHA PSM en Seveso III als basis. ISO 27001, IEC 62443, IEC 61511, EU GMP Annex 11 en het Cyberbeveiligingsbesluit maken wijzigingsbeheer tot een harde eis.