Wat is een cyberincident?
Een cyberincident is een gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens of van de diensten van netwerk- en informatiesystemen daadwerkelijk aantast, meestal door kwaadwillig handelen en soms door een menselijke fout of misconfiguratie. Deze omschrijving volgt de definitie van ‘incident’ in artikel 6 van NIS2, die ook in de Nederlandse Cyberbeveiligingswet terugkomt. In een kantooromgeving leidt een cyberincident vooral tot datalekken en uitval van systemen; in een OT-omgeving kan het ook productie stilleggen, apparatuur beschadigen of mensen in gevaar brengen.
🧠 Wanneer is een gebeurtenis een cyberincident?
Niet elke afwijking is een incident. Beveiligingsprofessionals onderscheiden vier begrippen die in normen en wetgeving steeds terugkomen:
| Begrip | Betekenis | Voorbeeld |
|---|---|---|
| Gebeurtenis (event) | Elk waarneembaar voorval in een systeem of netwerk | Een mislukte inlogpoging in de logging |
| Bijna-incident (near miss) | Een gebeurtenis die schade had kunnen veroorzaken, maar die werd voorkomen of zich niet voordeed | Een phishingmail die door een medewerker wordt gemeld voordat iemand klikt |
| Cyberincident | De beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid is daadwerkelijk aangetast | Een engineeringstation dat versleuteld is door ransomware |
| Significant incident | Een incident dat ernstige operationele verstoring of financieel verlies veroorzaakt of kan veroorzaken, of aanzienlijke schade voor anderen | Een productielocatie die dagen stilligt |
Het onderscheid is praktisch van belang. Een gebeurtenis beoordeelt u in het SOC of OT SOC; een incident start uw incident response-proces; een significant incident activeert ook de wettelijke meldplicht. Bijna-incidenten zijn niet meldplichtig, maar u kunt ze vrijwillig delen met het CSIRT en ze zijn waardevol om van te leren.
🎯 Welke soorten cyberincidenten komen voor?
| Categorie | Voorbeelden |
|---|---|
| Malware | Infectie door Ransomware, Spyware of Virussen |
| Ongeautoriseerde toegang | Inbraak via kwetsbaarheden, gestolen wachtwoorden of slecht beveiligde VPN-verbindingen en remote access |
| Social Engineering | Phishing of valse helpdeskaanvragen die leiden tot systeemtoegang |
| Misconfiguraties | Onbeveiligde open poorten, standaardwachtwoorden, onjuiste firewallregels |
| DDoS-aanvallen | Overbelasting van websites, systemen of netwerken door externe partijen |
| Misbruik door insiders | Een (oud-)medewerker of leverancier die bewust of onbewust schade aanricht, zie Insider Threat |
| Ketenincidenten | Een aanval via een leverancier of onderhoudspartij, zie Supply Chain-risico |
| OT-specifiek | Manipulatie van SCADA, PLC’s of veiligheidssystemen, sabotage van productielijnen |
Veel incidenten combineren categorieën: een phishingmail levert inloggegevens op, de aanvaller beweegt via remote access naar binnen en rolt daarna ransomware uit. Kaders als MITRE ATT&CK for ICS beschrijven zulke ketens stap voor stap.
🏭 Hoe ziet een cyberincident eruit in een OT-omgeving?
In industriële omgevingen gaat het niet alleen om data, maar om fysieke processen. Typische OT-incidenten zijn:
- Gemanipuleerde besturing - een gewijzigd setpoint of aangepaste logica in een PLC
- Verlies van zicht - uitval van SCADA-verbindingen of onbetrouwbare sensordata, waardoor operators blind varen
- Productie-uitval door IT-incidenten - Ransomware op kantoorsystemen waarna de fabriek uit voorzorg stopt
- Datadiefstal - kopieën uit een historian of via een slecht beveiligd remote access-punt
Bekende incidenten laten zien hoe breed de gevolgen kunnen zijn:
| Incident | Jaar | Wat gebeurde er? | Gevolg voor OT |
|---|---|---|---|
| Stuxnet | ontdekt 2010 | Malware manipuleerde Siemens-PLC’s in een Iraanse verrijkingsfabriek | Fysieke schade aan centrifuges |
| Industroyer | 2016 | Aanval op een onderstation bij Kyiv via energieprotocollen | Stroomuitval in een deel van de stad |
| NotPetya | 2017 | Wiper vermomd als ransomware, wereldwijde verspreiding | Containerterminals en fabrieken dagenlang stil |
| TRITON | 2017 | Aanval op Triconex-veiligheidscontrollers in Saoedi-Arabië | Installatie ging in veilige toestand en stopte |
| Colonial Pipeline | 2021 | Ransomware op het IT-netwerk | Pijpleiding zes dagen uit voorzorg stilgelegd |
| FrostyGoop | 2024 | Modbus-opdrachten naar regelapparatuur van een warmtebedrijf in Lviv | Ruim 600 flatgebouwen twee dagen zonder verwarming |
| Cyberaanval Jaguar Land Rover | 2025 | IT-systemen wereldwijd uitgeschakeld | Productie ongeveer vijf weken stil |
| Cyberaanval Pools energiesysteem 2025 | 2025 | Wiper-malware en sabotage van besturingsapparatuur bij wind- en zonneparken | Netbeheerders verloren zicht en besturing |
Daarnaast bereidt de statelijke groep Volt Typhoon volgens westerse diensten sabotage van kritieke infrastructuur voor door ongemerkt toegang klaar te zetten. Opvallend is dat meerdere grote OT-incidenten, zoals Colonial Pipeline en Jaguar Land Rover, begonnen in het IT-netwerk.
🔁 Wat is het verschil tussen een cyberincident en een kwetsbaarheid?
| Kwetsbaarheid | Cyberincident |
|---|---|
| Potentiële zwakke plek | Werkelijk voorval of aanval |
| Wordt gevonden via Vulnerability Management of vulnerability scanning | Moet worden opgespoord, ingedamd, gemeld en geanalyseerd |
| Aanpak: patchen, mitigeren of risico accepteren | Aanpak: incident response en herstel |
| Preventief | Reactief, maar leidt vaak tot preventieve acties |
Een kwetsbaarheid wordt een incident zodra iemand haar misbruikt. Daarom krijgen actief misbruikte kwetsbaarheden voorrang in patchmanagement.
🔐 Wat moet u doen bij een cyberincident?
Twee referenties domineren. NIST SP 800-61 Revisie 3 van april 2025 vervangt de versie uit 2012: de vierfasige levenscyclus (voorbereiding; detectie en analyse; indammen, uitroeien en herstel; nazorg) is losgelaten en incidentafhandeling is gekoppeld aan de functies van NIST CSF 2.0. De internationale norm ISO/IEC 27035-1:2023 beschrijft een vergelijkbare aanpak: voorbereiden, detecteren, melden, beoordelen, reageren en leren. In de praktijk komt het neer op zes stappen:
- Detectie - via SIEM, netwerkmonitoring of een melding van een operator
- Beoordeling - bepaal impact, classificatie en of het incident significant is
- Indammen (containment) - isoleer getroffen systemen; in OT alleen in overleg met de procesverantwoordelijke
- Melden - aan het CSIRT en de toezichthouder, en waar nodig aan de Autoriteit Persoonsgegevens
- Herstel - systemen terugzetten via Disaster Recovery en Business Continuity, bij voorkeur vanuit een immutable backup
- Evaluatie - root cause analysis en verbeteracties, vastgelegd in een lessons-learned-rapport
Leg deze stappen vooraf vast in een incident response plan en oefen ze met een tabletop-oefening. Bewijs veiligstellen hoort bij elke stap: forensisch onderzoek is lastig als systemen al opnieuw zijn geïnstalleerd.
🧯 Waarin verschilt incidentafhandeling in OT van IT?
Een IT-reflex als “trek de stekker eruit” kan in een fabriek gevaarlijk zijn. Belangrijke verschillen:
- Veiligheid gaat voor - een abrupt gestopt proces kan zelf een gevaarlijke situatie opleveren; het SIS en de procesveiligheid bepalen de grenzen van containment
- Beschikbaarheid boven vertrouwelijkheid - de prioriteit ligt bij het draaiende houden of gecontroleerd stoppen van het proces
- Beperkte forensische mogelijkheden - PLC’s en HMI’s bewaren weinig logging; vergelijk daarom programma’s met een bekende goede versie
- Leveranciers nodig - herstel van besturingen vraagt vaak de systeemintegrator of de fabrikant
- Handmatige terugval - operators moeten het proces lokaal kunnen bedienen als SCADA niet te vertrouwen is
Normen spelen hierop in: IEC 62443-2-1 vraagt incidentafhandeling als onderdeel van het beveiligingsprogramma van de assetowner, en NIST SP 800-82 geeft OT-specifieke aandachtspunten.
🇳🇱 Welke meldplichten gelden in Nederland?
Een cyberincident kan meerdere meldplichten tegelijk raken:
| Regeling | Wie | Wat melden | Aan wie | Termijn |
|---|---|---|---|---|
| Cyberbeveiligingswet (sinds 15 augustus 2026) | Essentiële en belangrijke entiteiten | Significant incident | CSIRT en toezichthouder via MijnNCSC | 24 uur / 72 uur / 1 maand |
| AVG | Elke verwerkingsverantwoordelijke | Datalek met persoonsgegevens | Autoriteit Persoonsgegevens | 72 uur |
| Cyber Resilience Act (sinds 11 september 2026) | Fabrikanten van producten met digitale elementen | Actief misbruikte kwetsbaarheid of ernstig incident | CSIRT-coördinator en ENISA via het Single Reporting Platform | 24 uur / 72 uur / eindrapport (14 dagen na correctie of 1 maand) |
Voor de meeste sectoren is het NCSC het CSIRT; voor de waterschappen is dat CERT-WM. Het NCSC is geen toezichthouder: toezicht ligt per sector bij onder meer de RDI en de ILT. Overheidsorganisaties volgen daarnaast de BIO, en organisaties met een ISO 27001-certificaat richten incidentbeheer in met de beheersmaatregelen 5.24 tot en met 5.28 en 6.8 van Annex A. De details per termijn staan in Meldplicht Cyberbeveiligingswet en CRA-meldplicht.
❓ Veelgestelde vragen
Wat is het verschil tussen een cyberincident en een cyberaanval?
Een cyberaanval is een bewuste poging om systemen aan te tasten. Een cyberincident is breder: het omvat ook verstoringen door menselijke fouten of misconfiguraties, en het telt pas als incident als de beschikbaarheid, integriteit, authenticiteit of vertrouwelijkheid daadwerkelijk is aangetast.
Moet ik elk cyberincident melden?
Nee, onder de Cyberbeveiligingswet is alleen een significant cyberincident meldplichtig, dus een incident dat ernstige operationele verstoring, financieel verlies of aanzienlijke schade voor anderen veroorzaakt of kan veroorzaken. Een datalek met persoonsgegevens meldt u daarnaast onder de AVG bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico voor betrokkenen oplevert.
Is een uitval door een menselijke fout ook een cyberincident?
Ja, een cyberincident hoeft niet kwaadwillig te zijn. Een verkeerd doorgevoerde firewallregel of een mislukte update die een besturingsnetwerk platlegt, tast de beschikbaarheid aan en wordt volgens hetzelfde incidentproces afgehandeld.
Wat is een bijna-incident?
Een bijna-incident (near miss) is een gebeurtenis die gegevens of diensten had kunnen aantasten, maar die op tijd werd voorkomen of zich niet voordeed. NIS2 definieert het begrip apart; bijna-incidenten zijn niet meldplichtig maar kunnen vrijwillig bij het CSIRT worden gemeld.
Hoe snel moet een organisatie reageren op een cyberincident?
Onder de Cyberbeveiligingswet volgt binnen 24 uur na kennisname van een significant incident een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindrapport. Technisch geldt: hoe sneller detectie en containment, hoe kleiner de schade, dus een geoefend incident response plan is essentieel.
Waarom leidt een IT-incident vaak tot stilstand in de fabriek?
Productie is afhankelijk van IT-systemen zoals ERP, MES en planningssoftware, en bedrijven weten na een ransomware-aanval vaak niet zeker of de OT-omgeving schoon is. Daarom stoppen ze uit voorzorg, zoals Colonial Pipeline in 2021 en Jaguar Land Rover in 2025 lieten zien.
📌 Samengevat
Een cyberincident is een beveiligingsvoorval dat de beschikbaarheid, integriteit, authenticiteit of vertrouwelijkheid van IT- of OT-systemen daadwerkelijk aantast en daarmee de continuïteit of veiligheid bedreigt. Een snelle, gecoördineerde en geoefende respons beperkt de schade en helpt u te voldoen aan meldplichten uit NIS2, de Cyberbeveiligingswet, de AVG en ISO 27001.