Wat is compliance?
Compliance is het aantoonbaar voldoen aan wettelijke, normatieve en contractuele verplichtingen, zoals cybersecuritywetten, privacyregels, productregelgeving en afspraken met klanten en leveranciers. In OT- en ICS-omgevingen gaat compliance verder dan informatiebeveiliging alleen: het raakt ook procesveiligheid, productveiligheid en kwaliteit. Compliance omvat daarom zowel technische maatregelen als procesmatige en organisatorische eisen, en vooral het bewijs dat die maatregelen werken.
Het doel van compliance is risico’s beheersbaar maken, beveiliging aantoonbaar maken en voldoen aan regelgeving zoals NIS2, de Cyberbeveiligingswet, de AVG en normen als IEC 62443 en ISO 27001.
🧠 Wat valt onder compliance?
Compliance-verplichtingen komen uit drie bronnen:
- Wetgeving - verplicht en gehandhaafd door een toezichthouder, zoals de Cyberbeveiligingswet, de Wwke, de AVG en Europese productwetgeving als de Cyber Resilience Act. Buiten Europa speelt bijvoorbeeld FISMA, dat alleen geldt voor Amerikaanse federale overheidsinstanties.
- Normen en standaarden - vrijwillig, maar vaak de route om aan een wet te voldoen: ISO 27001 als ISMS, IEC 62443 voor cybersecurity van industriële systemen, NIST CSF en NIST SP 800-53 als Amerikaanse raamwerken en COBIT voor governance van IT-processen.
- Contractuele verplichtingen - leveranciersvoorwaarden (bijvoorbeeld met een MSSP of hostingpartner), SLA’s met beveiligingseisen en auditrechten, en eisen die klanten doorgeven omdat zij zelf onder NIS2 vallen.
Een vergelijkend overzicht van CSIR, ISO 27001, IEC 62443 en de BIO staat in Beveiligings Normen.
📜 Welke wetten zijn relevant voor OT in Nederland?
Sinds 2024 is het aantal Europese wetten met gevolgen voor OT sterk gegroeid. Sommige gelden voor de gebruiker van installaties, andere voor de fabrikant van producten.
| Wet of regeling | Van toepassing sinds | Voor wie | Kern voor OT |
|---|---|---|---|
| Cyberbeveiligingswet (NIS2) | 15 augustus 2026 | Essentiële en belangrijke entiteiten in 18 sectoren | Zorgplicht, meldplicht, registratie, bestuurdersverantwoordelijkheid |
| Wwke (CER-richtlijn) | 15 augustus 2026 | Aangewezen kritieke entiteiten | Weerbaarheid tegen alle dreigingen, ook fysiek |
| AVG (GDPR) | 25 mei 2018 | Iedereen die persoonsgegevens verwerkt | Camerabeelden, toegangslogs, operatorgegevens |
| Cyber Resilience Act | Meldplicht 11 september 2026, volledig 11 december 2027 | Fabrikanten, importeurs en distributeurs van producten met digitale elementen | Secure by design, kwetsbaarheidsbeheer, SBOM |
| Machineverordening (EU) 2023/1230 | 20 januari 2027 | Machinebouwers en wie een machine ingrijpend wijzigt | Bescherming tegen corruptie van besturingen, CE-markering |
| EN 18031 / RED | 1 augustus 2025 | Fabrikanten van internetverbonden radioapparatuur | Cybersecurity van draadloze apparaten |
| AI Act (EU) 2024/1689 | Gefaseerd; hoog-risico (bijlage III) vanaf 2 december 2027, in producten (bijlage I) vanaf 2 augustus 2028 | Aanbieders en gebruikers van AI-systemen | AI als veiligheidscomponent of in kritieke infrastructuur |
| Data Act (EU) 2023/2854 | 12 september 2025 | Fabrikanten en gebruikers van verbonden producten | Toegang tot machinedata |
| Seveso-regels (voorheen Brzo 2015) | Sinds 1 januari 2024 in de Omgevingswet | Circa 400 bedrijven met grote hoeveelheden gevaarlijke stoffen | Veiligheidsbeheersysteem, ook voor besturingssystemen |
| GMP / FDA 21 CFR Part 11 | EU GMP Annex 11 (2011), Part 11 (1997) | Farmaceutische en levensmiddelenindustrie | Validatie, audit trails, elektronische handtekeningen |
De boetes zijn fors: onder de Cyberbeveiligingswet tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, onder de Cyber Resilience Act tot 15 miljoen euro of 2,5%, en onder de AVG tot 20 miljoen euro of 4%.
📏 Met welke normen toont u compliance aan?
Wetten zeggen vaak wat u moet bereiken, maar niet hoe. Normen vullen dat in en leveren een herkenbaar bewijs voor toezichthouders en klanten.
| Norm | Onderwerp | Gebruik in OT |
|---|---|---|
| ISO 27001:2022 | Managementsysteem voor informatiebeveiliging, 93 beheersmaatregelen in bijlage A | Certificeerbaar kader voor de hele organisatie, inclusief OT-scope |
| IEC 62443 | Cybersecurity van industriële automatiserings- en besturingssystemen | IEC 62443-2-1 voor het beveiligingsprogramma van de asset owner, IEC 62443-3-3 voor systeemeisen |
| NEN 3140 | Veilige bedrijfsvoering van elektrische laagspanningsinstallaties | Invulling van de Arbowet voor werken aan installaties |
| IEC 61511 | Functionele veiligheid in de procesindustrie | Veiligheidsfuncties en SIL in Seveso-installaties |
| NIST CSF 2.0 | Cybersecurity-raamwerk met zes functies | Gemeenschappelijke taal richting bestuur |
| GxP / GMP | Goede praktijken in farma en voeding | Gevalideerde systemen en data-integriteit |
De ISO 27001-certificaten volgens de versie uit 2013 zijn sinds 31 oktober 2025 niet meer geldig; verwijzingen naar oude bijlage-A-nummers als A.9 of A.17 zijn daarmee achterhaald.
🔄 Wat is het verschil tussen compliance en security?
Compliance en security overlappen, maar zijn niet hetzelfde. Security gaat over het daadwerkelijk verminderen van risico’s; compliance over het aantonen dat u aan vastgestelde eisen voldoet. Een organisatie kan een certificaat hebben en toch kwetsbaar zijn, bijvoorbeeld als de OT-omgeving buiten de scope van de audit viel.
| Aspect | Compliance | Security |
|---|---|---|
| Vraag | Voldoen we aan de eisen? | Zijn we werkelijk beschermd? |
| Maatstaf | Wet, norm of contract | Actuele dreigingen en risico’s |
| Resultaat | Bewijs, certificaat, rapportage | Lager risico, snellere detectie |
| Ritme | Periodiek (audit, jaarcyclus) | Continu |
| Risico bij eenzijdige focus | Papieren tijger | Niet aantoonbaar richting toezichthouder |
Goede compliance volgt dus uit goede security, niet andersom. Wetten als de Cyberbeveiligingswet sluiten daar ook bij aan: de zorgplicht vraagt om passende maatregelen op basis van risicomanagement, niet om een vaste checklist.
🔐 Hoe ziet compliance eruit in OT-omgevingen?
| Component | Voorbeeld compliance-eis |
|---|---|
| SCADA-systeem | Documentatie van toegangsrechten, patchstatus en logging (ISO 27001:2022 A.5.15, A.8.2 en A.8.15) |
| Remote Access | Gebruik van MFA, een Jump Server en Monitoring voor traceerbaarheid |
| PLC-netwerk | Netwerksegmentatie volgens IEC 62443-3-3, fundamentele eis Restricted Data Flow |
| Backup-procedures | Vastgelegde en geteste herstelplannen (ISO 27001:2022 A.8.13 en A.5.30, zorgplicht Cyberbeveiligingswet) |
| Incident Response | Melding van significante incidenten binnen 24 uur, vervolgmelding binnen 72 uur, eindverslag binnen een maand |
| Leveranciers | Beveiligingseisen in contracten volgens IEC 62443-2-4 en beheersing van ketenrisico’s |
In OT is compliance vaak niet alleen IT-gedreven, maar ook onderdeel van operationele en productiegerelateerde verantwoordelijkheden. De procesveiligheid, de machineveiligheid en de cybersecurity komen in dezelfde installatie samen.
🛠️ Hoe bouwt u een complianceprogramma op?
Een complianceprogramma volgt de PDCA-cyclus. In de praktijk werkt deze volgorde:
- Inventariseer verplichtingen - bepaal welke wetten, normen en contracten op u van toepassing zijn. Controleer bij het NCSC of u onder de Cyberbeveiligingswet valt en registreer u dan via het entiteitenregister.
- Breng de OT-omgeving in kaart - zonder asset-inventaris weet u niet wat u moet beschermen of aantonen.
- Voer een gap-analyse uit - vergelijk de huidige situatie met de eisen, bijvoorbeeld met een volwassenheidsmodel of de eisen van IEC 62443-2-1.
- Beoordeel risico’s - een risicobeoordeling en business impact analysis bepalen welke gaten eerst dicht moeten. Leg ze vast in een risicoregister.
- Implementeer maatregelen - technisch (segmentatie, toegang, monitoring) en organisatorisch (beleid, rollen, training).
- Verzamel bewijs - beleid, configuraties, logs, testresultaten en trainingsregistraties. Wat niet vastgelegd is, bestaat voor een auditor niet.
- Toets en verbeter - interne en externe audits, logging en rapportage aan het bestuur, gevolgd door corrigerende acties.
✅ Wat levert compliance op, en wat kost non-compliance?
Voordelen van compliance:
- Minder juridische risico’s en boetes
- Betere samenwerking met leveranciers en klanten door aantoonbare beveiliging
- Structuur en herhaalbaarheid in processen en beleid
- Vertrouwen van klanten, partners en toezichthouders
Risico’s van non-compliance:
- Boetes en dwangsommen; onder de Cyberbeveiligingswet kunnen ook bestuurders persoonlijk worden aangesproken
- Verlies van certificering (ISO, GxP en dergelijke) of van markttoegang zonder geldige CE-markering
- Uitsluiting bij aanbestedingen of contracten
- Onopgemerkte kwetsbaarheden door ontbrekend beleid of toezicht
❓ Veelgestelde vragen
Wie is verantwoordelijk voor compliance in een organisatie?
Eindverantwoordelijk voor compliance is het bestuur; de Cyberbeveiligingswet verplicht bestuurders zelfs om cybersecuritymaatregelen goed te keuren en er kennis van te hebben. De uitvoering ligt vaak bij een compliance officer of CISO, samen met OT-engineers en de eigenaar van de installatie. Juist in OT moet die verantwoordelijkheid expliciet worden belegd.
Is IEC 62443 verplicht?
IEC 62443 is als norm niet wettelijk verplicht. Wel is IEC 62443 in de praktijk de meest gebruikte route om voor OT aan te tonen dat u invulling geeft aan de zorgplicht van de Cyberbeveiligingswet, en de productdelen IEC 62443-4-1 en -4-2 sluiten nauw aan bij de eisen van de Cyber Resilience Act. Klanten en verzekeraars vragen er bovendien steeds vaker om.
Bent u compliant als u ISO 27001-gecertificeerd bent?
Een ISO 27001-certificaat bewijst dat uw managementsysteem voor informatiebeveiliging werkt binnen de gecertificeerde scope. Het dekt niet automatisch alle wettelijke eisen af, en de OT-omgeving valt er lang niet altijd onder. Controleer daarom de scope en vul aan met OT-specifieke eisen uit IEC 62443.
Wat is het verschil tussen de Cyberbeveiligingswet en de Cyber Resilience Act?
De Cyberbeveiligingswet richt zich op organisaties die essentiële of belangrijke diensten leveren en hun netwerken moeten beveiligen. De Cyber Resilience Act richt zich op fabrikanten van producten met digitale elementen, zoals PLC’s, routers en software. Een machinebouwer kan dus onder de CRA vallen en zijn klant onder de Cyberbeveiligingswet.
Hoe vaak moet u een compliance-audit uitvoeren?
Voor ISO 27001 vindt jaarlijks een externe surveillance-audit plaats en elke drie jaar een hercertificering. Interne audits en de directiebeoordeling volgen minimaal een jaarlijkse cyclus. Toezichthouders onder de Cyberbeveiligingswet kunnen daarnaast op elk moment informatie of een inspectie vragen.
Geldt de AVG ook voor OT-systemen?
De AVG geldt voor OT-systemen zodra die persoonsgegevens verwerken, bijvoorbeeld camerabeelden, toegangspassen, inloglogs van operators of locatiegegevens van voertuigen. Een datalek met zulke gegevens moet binnen 72 uur bij de Autoriteit Persoonsgegevens worden gemeld, tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert. Daarom hoort OT ook in het verwerkingsregister.
📌 Samengevat
Compliance betekent aantoonbaar voldoen aan wet- en regelgeving, normen en contractuele eisen op het gebied van informatiebeveiliging, privacy en veiligheid, ook in de OT-omgeving. Met de Cyberbeveiligingswet, de Wwke en de Cyber Resilience Act is compliance voor OT een bestuurszaak geworden. Het is een integraal onderdeel van goed Risicomanagement en Cybersecurity Governance, en werkt alleen als het rust op echte beveiliging.