Wat is cybersecurity?
Cybersecurity is het geheel van technologieën, processen en maatregelen dat systemen, netwerken, software en data beschermt tegen digitale aanvallen, misbruik en uitval. Het doel is de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te waarborgen, samen bekend als de CIA-triade. Cybersecurity is cruciaal voor zowel IT-systemen als OT-omgevingen: in een fabriek, waterzuivering of energienet kan een cyberaanval niet alleen data treffen, maar ook het fysieke proces en de veiligheid van mensen.
🎯 Waarom is cybersecurity belangrijk?
- Beschermt bedrijfscontinuïteit - een geslaagde aanval kan productie dagen of weken stilleggen; cybersecurity is daarmee een voorwaarde voor bedrijfscontinuïteit
- Voorkomt datalekken en productiestilstand - van gestolen klantgegevens tot versleutelde operator stations
- Zorgt voor compliance met wetten en normen - zoals NIS2, de Cyberbeveiligingswet, ISO 27001 en de BIO voor de overheid
- Verhoogt klantvertrouwen en marktreputatie - afnemers en toezichthouders vragen steeds vaker om aantoonbare beveiliging in de keten
In de praktijk is cybersecurity geen IT-project maar een continue discipline van Risicomanagement: dreigingen veranderen, systemen veranderen, en de maatregelen moeten meebewegen.
🧱 Uit welke onderdelen bestaat cybersecurity?
Cybersecurity werkt alleen als technische, organisatorische, fysieke en menselijke maatregelen elkaar aanvullen:
| Domein | Voorbeelden |
|---|---|
| Technisch | Firewall, SIEM, EDR, Zero Trust, IDS, VPN, Air gap, Jump Server |
| Organisatorisch | Beleid, Risk Management, ISMS, Change Management, IAM, Incident Response |
| Fysiek | Beveiligde serverruimtes en besturingskasten, toegangscontrole, afgesloten netwerkpoorten |
| Menselijk | Security Awareness-training, phishing-simulaties, duidelijke rollen en verantwoordelijkheden |
Wat u ermee beschermt, verschilt per omgeving:
- IT-systemen (servers, werkstations, netwerken, cloudomgevingen)
- OT-omgevingen (productielijnen, PLC’s, SCADA, DCS en veiligheidssystemen als SIS)
- Data (klantinformatie, productrecepten, configuratiebestanden en PLC-programma’s)
- Processen (productiecontinuïteit, veiligheid, Compliance)
🔄 Hoe verschilt cybersecurity in OT van IT?
In IT staat vertrouwelijkheid meestal voorop: het grootste risico is dat data uitlekt. In OT draait de volgorde om. Daar komen veiligheid en beschikbaarheid eerst, daarna integriteit (klopt de meetwaarde en het commando?) en pas als laatste vertrouwelijkheid. Een proces dat stilvalt of een setpoint dat wordt gemanipuleerd, kan leiden tot schade aan installaties, milieu of mensen.
| Aspect | IT | OT |
|---|---|---|
| Prioriteit | Vertrouwelijkheid, integriteit, beschikbaarheid | Veiligheid en beschikbaarheid, integriteit, vertrouwelijkheid |
| Levensduur systemen | 3–5 jaar | 15–25 jaar of langer |
| Patchen | Maandelijks, vaak automatisch | Alleen tijdens geplande stops, na tests met de leverancier |
| Gevolg van een incident | Datalek, financiële schade | Productiestilstand, fysieke schade, gevaar voor mensen |
| Typische maatregel | Endpoint-agent, MFA, cloudbeveiliging | Netwerksegmentatie, passieve monitoring, gepland patchmanagement |
Daarom past u in OT IT-maatregelen niet één-op-één toe. Een actieve netwerkscan kan een oude PLC laten vastlopen. De OT-convergentie vraagt dus om een gedeelde aanpak met respect voor de verschillen.
🚨 Wat zijn de belangrijkste dreigingen?
- Ransomware - versleutelt systemen en eist losgeld; treft OT vaak indirect, doordat IT-systemen uitvallen waar de productie van afhangt
- Statelijke actoren en APT-groepen - langdurig, goed gefinancierd en soms gericht op sabotage of het voorbereiden ervan, zoals Volt Typhoon in Amerikaanse vitale infrastructuur
- Insiders - medewerkers of ex-medewerkers die bewust of per ongeluk schade aanrichten
- Ketenaanvallen - via leveranciers, software-updates of onderhoudsverbindingen; zie supply chain-risico
- Phishing en Social Engineering - nog altijd een van de meest gebruikte eerste stappen om inloggegevens te stelen
- DDoS-aanvallen - overbelasting van websites en diensten
- Exploits via kwetsbaarheden (CVE) en onbevoegde toegang door zwakke wachtwoorden of misconfiguraties
🏭 Welke bekende OT-incidenten zijn er geweest?
| Jaar | Incident | Wat gebeurde er? |
|---|---|---|
| 2010 | Stuxnet | Saboteerde uraniumcentrifuges in Natanz (Iran) via gemanipuleerde Siemens-PLC’s |
| 2015 | BlackEnergy | Stroomuitval van enkele uren voor circa 225.000 afnemers van drie Oekraïense netbeheerders, na overname van SCADA-werkplekken op afstand |
| 2016 | Industroyer | Eerste bekende malware die speciaal voor stroomnetten was gebouwd en protocollen als IEC 60870-5-104 direct aanstuurde; circa een uur uitval in Kyiv |
| 2017 | TRITON | Aanval op een Triconex-veiligheidssysteem in een Saoedische petrochemische fabriek |
| 2017 | NotPetya | Wiper via een Oekraïens boekhoudpakket; Maersk schatte de schade op tot 300 miljoen dollar |
| 2021 | Colonial Pipeline | Ransomware via een oud VPN-account zonder MFA; de grootste brandstofleiding van de VS lag vijf dagen stil |
| 2024 | FrostyGoop | Modbus-commando’s legden de verwarming van 600 flatgebouwen in Lviv plat |
Meer achtergrond vindt u bij cyberincidenten.
📏 Welke normen en kaders gebruikt u?
- NIST CSF 2.0 - sinds februari 2024 met zes functies: Govern, Identify, Protect, Detect, Respond en Recover. Govern is nieuw en legt bestuur, rollen en ketenrisico’s vast.
- ISO 27001:2022 - de norm voor een ISMS, met 93 beheersmaatregelen in bijlage A, verdeeld over organisatorisch, mensen, fysiek en technologisch. Certificaten op de versie uit 2013 zijn sinds 31 oktober 2025 niet meer geldig.
- IEC 62443 - de normenreeks voor industriële automatisering, met zones en conduits en vier security levels: SL 1 tegen toevallige fouten tot SL 4 tegen goed uitgeruste statelijke aanvallers.
- NIST SP 800-82 - Amerikaanse richtlijn voor OT-beveiliging, veel gebruikt als praktische aanvulling.
ISO 27001 vormt vaak het managementkader voor de hele organisatie, IEC 62443 de technische invulling voor de fabriek.
🇪🇺 Welke wetgeving geldt in Nederland en de EU?
| Wet | Voor wie | Belangrijkste data |
|---|---|---|
| NIS2 / Cyberbeveiligingswet | Essentiële en belangrijke entiteiten in onder meer energie, water, transport, zorg en maakindustrie | In werking sinds 15 augustus 2026; meldplicht 24 uur / 72 uur / 1 maand |
| Cyber Resilience Act | Fabrikanten van producten met digitale elementen, zoals PLC’s en switches | Meldplicht vanaf 11 september 2026; volledig van toepassing 11 december 2027 |
| Machineverordening | Fabrikanten van machines | Vervangt de Machinerichtlijn op 20 januari 2027; bescherming tegen manipulatie wordt een veiligheidseis |
De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) uit 2018 en geldt voor ruim 8.000 organisaties in 18 sectoren, tegen een veel kleiner aantal vitale aanbieders onder de Wbni. Het NCSC houdt het register bij, en bestuurders zijn persoonlijk verantwoordelijk voor de zorgplicht. Boetes lopen op tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten.
🧭 Hoe bouwt een organisatie cybersecurity stap voor stap op?
Een volwassenheidsmodel helpt om te zien waar u staat. Een praktische volgorde voor een productiebedrijf:
- Breng uw assets in kaart - een actuele asset-inventaris van IT- en OT-systemen, inclusief firmwareversies
- Voer een risicoanalyse uit - welke processen zijn kritiek en wat is de impact van uitval? Gebruik bijvoorbeeld IEC 62443-3-2
- Segmenteer het netwerk - scheid kantoor en productie met een DMZ volgens het Purdue Model en Defense in Depth
- Beveilig toegang - MFA op alle toegang op afstand, een jump server voor leveranciers en minimale rechten
- Detecteer en reageer - passieve OT-monitoring, centrale logging in een SIEM en een geoefend incidentresponsplan
- Herstel en oefen - offline back-ups van PLC-programma’s en configuraties, en regelmatige crisisoefeningen
👥 Wie is verantwoordelijk voor cybersecurity?
- Bestuur - eindverantwoordelijk en onder NIS2 verplicht om maatregelen goed te keuren en training te volgen
- CISO - stelt beleid op, rapporteert over risico’s en coördineert IT- en OT-beveiliging
- SOC - bewaakt meldingen, vaak 24/7, en onderzoekt incidenten; een OT SOC kent de industriële protocollen en processen
- OT-engineers en procesverantwoordelijken - kennen de installatie en beoordelen of een maatregel het proces raakt
- Leveranciers - moeten via contracten en IEC 62443-2-4 aan beveiligingseisen voldoen
🧩 Wat is het verschil tussen cybersecurity en informatiebeveiliging?
| Cybersecurity | Informatiebeveiliging |
|---|---|
| Richt zich op digitale dreigingen tegen systemen en netwerken | Breder: ook papieren informatie, fysieke en administratieve aspecten |
| Technischer van aard | Vaak beleidsmatig en procesgericht |
| Wordt in een ISMS geborgd als onderdeel van het geheel | Wordt bestuurd via een ISMS volgens ISO 27001 |
❓ Veelgestelde vragen
Wat betekent de CIA-triade in cybersecurity?
De CIA-triade staat voor confidentiality, integrity en availability: vertrouwelijkheid, integriteit en beschikbaarheid. Elke cybersecuritymaatregel draagt bij aan ten minste één van die drie doelen. In OT wordt de volgorde vaak omgedraaid, omdat beschikbaarheid en veiligheid daar zwaarder wegen dan vertrouwelijkheid.
Is cybersecurity verplicht voor mijn organisatie?
Voor organisaties die onder de Cyberbeveiligingswet vallen, is cybersecurity sinds 15 augustus 2026 een wettelijke zorgplicht met meldplicht en registratieplicht. Of uw organisatie eronder valt, hangt af van sector en omvang; middelgrote en grote bedrijven in sectoren als energie, water, voeding en maakindustrie vallen er vaak onder. Ook organisaties buiten de wet krijgen te maken met eisen van klanten en verzekeraars.
Wat is het verschil tussen IT-security en OT-security?
IT-security beschermt vooral data en kantoorsystemen, waarbij vertrouwelijkheid voorop staat. OT-security beschermt besturingssystemen die fysieke processen aansturen, waarbij veiligheid en beschikbaarheid het zwaarst wegen. OT-systemen draaien vaak tientallen jaren en kunnen niet zomaar worden gepatcht of gescand.
Welke norm moet ik kiezen: ISO 27001 of IEC 62443?
ISO 27001 is de managementsysteemnorm voor informatiebeveiliging in de hele organisatie en is certificeerbaar. IEC 62443 is specifiek gemaakt voor industriële automatisering en beschrijft eisen voor asset-eigenaren, integrators en leveranciers. Veel industriële bedrijven combineren beide: ISO 27001 als kader en IEC 62443 voor de OT-omgeving.
Waarom is ransomware zo gevaarlijk voor productiebedrijven?
Ransomware versleutelt systemen waar planning, recepturen en logistiek van afhangen, waardoor productie stil kan komen te liggen, ook als de OT zelf niet is geraakt. Het voorbeeld van Colonial Pipeline laat zien dat bedrijven uit voorzorg de productie stoppen. Gescheiden netwerken en offline back-ups beperken de schade.
Wat doet een CISO?
Een CISO (Chief Information Security Officer) is verantwoordelijk voor het cybersecuritybeleid en rapporteert over risico’s aan het bestuur. De CISO coördineert maatregelen, incidentrespons en compliance met wetten als NIS2. In industriële bedrijven valt steeds vaker ook OT-security onder de CISO.
📌 Samengevat
Cybersecurity beschermt systemen, netwerken en data tegen aanvallen, fouten en misbruik door vertrouwelijkheid, integriteit en beschikbaarheid te waarborgen, en in OT bovenal de veiligheid en continuïteit van fysieke processen. Het vereist een combinatie van technologie, beleid en gedrag, onderbouwd met kaders als NIST CSF, ISO 27001 en IEC 62443 en sinds 15 augustus 2026 voor ruim 8.000 Nederlandse organisaties een wettelijke plicht via de Cyberbeveiligingswet.