Wat is kritieke infrastructuur?
Kritieke infrastructuur (ook wel vitale infrastructuur) is het geheel van voorzieningen, systemen en processen waarvan uitval of verstoring leidt tot ernstige maatschappelijke ontwrichting, zoals de levering van elektriciteit, drinkwater, transport, betalingsverkeer, telecommunicatie en zorg. Achter vrijwel elk van die diensten draait OT: SCADA-systemen, PLC’s en RTU’s die gemalen, schakelstations, sluizen en pijpleidingen besturen. Sinds 15 augustus 2026 is de bescherming ervan in Nederland geregeld in twee wetten: de Wwke voor de fysieke en organisatorische weerbaarheid en de Cyberbeveiligingswet voor de digitale kant.
Uitval van kritieke infrastructuur raakt niet één bedrijf, maar duizenden tot miljoenen mensen tegelijk, en vaak andere vitale sectoren in een domino-effect.
🧱 Welke sectoren vallen onder kritieke infrastructuur?
De Europese CER-richtlijn (EU 2022/2557) noemt elf sectoren waarin lidstaten kritieke entiteiten moeten aanwijzen. Per sector ziet de OT er anders uit:
| Sector | Voorbeelden van essentiële diensten | Typische OT |
|---|---|---|
| Energie | Elektriciteit, gas, olie, warmte | SCADA voor netbeheer, RTU’s in schakelstations, besturing van wind- en zonneparken |
| Vervoer | Spoor, luchtvaart, scheepvaart, wegen | Seinbeveiliging, sluis- en brugbesturing, verkeerscentrales |
| Drinkwater | Productie en distributie | Pompen, zuiveringsstappen en reservoirs op afstand bestuurd |
| Afvalwater | Inzameling en zuivering | Rioolgemalen en zuiveringsinstallaties met PLC’s en telemetrie |
| Gezondheidszorg | Ziekenhuizen, geneesmiddelenketen | Gebouwbeheer, medische apparatuur, koeling en noodstroom |
| Digitale infrastructuur | Internetknooppunten, datacenters, DNS | Koeling, stroomvoorziening en gebouwbeheer van datacenters |
| Bankwezen | Betalingsverkeer, kredietverlening | Vooral IT; OT in datacenters en geldlogistiek |
| Financiële marktinfrastructuur | Beurzen, clearing en afwikkeling | Vooral IT; OT in koeling en stroomvoorziening van rekencentra |
| Overheid | Centrale overheidsdiensten | Gebouwbeheer, toegangsbeveiliging en noodstroom van rijkspanden en rekencentra |
| Ruimtevaart | Grondstations | Besturing van grondinfrastructuur |
| Voedsel | Productie, verwerking, distributie | Procesautomatisering, koelketens |
Voor drie van deze sectoren maakt de richtlijn een uitzondering: kritieke entiteiten in bankwezen, financiële marktinfrastructuur en digitale infrastructuur worden wel aangewezen, maar de weerbaarheidseisen, meldplicht en het toezicht uit de CER-richtlijn gelden voor hen niet. Daar regelen NIS2 en de Europese DORA-verordening voor de financiële sector vergelijkbare plichten.
CER verving per 18 oktober 2024 de Europese richtlijn kritieke infrastructuur uit 2008 (2008/114/EG), die alleen energie en vervoer besloeg en vooral grensoverschrijdende objecten aanwees. In Nederland is de Wwke de opvolger van de eerdere Aanpak vitaal, waarin de NCTV samen met de ministeries de vitale processen in kaart bracht; de digitale beveiliging van vitale aanbieders was al sinds november 2018 geregeld in de Wbni, die nu door de Cbw is vervangen. Nederland gaat verder dan de Europese lijst en kent daarnaast nationale sectoren, zoals chemie, nucleaire voorzieningen, waterkeren en waterbeheer, en meteorologie. Naar verwachting wijzen de vakministers circa 500 organisaties aan als kritieke entiteit. Ter vergelijking: de Verenigde Staten werken met zestien sectoren, waaronder ook dammen, chemie en nucleaire installaties.
🔐 Waarom is kritieke infrastructuur een doelwit voor cyberaanvallen?
Door OT-convergentie zijn besturingssystemen die vroeger geïsoleerd waren nu verbonden met kantoornetwerken, leveranciers en internet. Tegelijk is de impact van een geslaagde aanval groot, wat de sector aantrekkelijk maakt voor criminelen én statelijke actoren (APT’s).
Typische risico’s zijn:
- Ransomware op IT - die via afhankelijkheden de operatie stillegt, ook als de besturing zelf niet geraakt is
- Sabotage van PLC’s of RTU’s - via onbeveiligde toegang op afstand of gestolen VPN-accounts
- Supply Chain-risico - via leveranciers, integrators en onderhoudspartijen met toegang tot de installatie
- Direct vanaf internet bereikbare besturingen - met standaardwachtwoorden of zonder authenticatie
- Manipulatie van meetgegevens of proceswaarden - zodat operators een verkeerd beeld krijgen
Een aantal incidenten laat zien hoe dat in de praktijk gaat:
| Incident | Jaar | Wat gebeurde er? |
|---|---|---|
| Stuxnet | 2010 ontdekt | Worm saboteerde via Siemens-PLC’s de centrifuges voor uraniumverrijking in Natanz (Iran) |
| Oekraïne (BlackEnergy) | 2015 | Aanvallers openden op afstand stroomonderbrekers bij drie netbeheerders; circa 225.000 klanten zonder stroom |
| Industroyer | 2016 | Malware die rechtstreeks netprotocollen aanstuurde in een schakelstation bij Kyiv; een deel van de stad was ongeveer een uur zonder stroom |
| Colonial Pipeline | 2021 | Ransomware op IT; grootste brandstofleiding van de VS uit voorzorg zes dagen stil |
| Volt Typhoon | 2024 (advies) | Chinese statelijke actor nestelde zich jarenlang in IT-netwerken van Amerikaanse vitale sectoren om later naar OT te kunnen |
| Polen | 2025 | Sabotage van ruim dertig wind- en zonneparken en een warmtekrachtcentrale |
Bij Volt Typhoon stelden de Amerikaanse diensten vast dat de actor in sommige netwerken minstens vijf jaar aanwezig was, met als doel pre-positioning: klaarstaan om bij een conflict te kunnen verstoren.
🏛️ Welke wetten en normen gelden in Nederland en de EU?
Het juridische kader bestaat uit twee Europese richtlijnen die elk een Nederlandse wet hebben opgeleverd, aangevuld met normen voor de technische uitwerking.
| Kader | Waar gaat het over? | Status |
|---|---|---|
| NIS2 | Cyberbeveiliging van essentiële en belangrijke entiteiten in 18 sectoren | EU-richtlijn, omzetting uiterlijk 17 oktober 2024 |
| Cyberbeveiligingswet (Cbw) | Nederlandse uitvoering van NIS2: zorgplicht, meldplicht, registratie | Van kracht sinds 15 augustus 2026; verving de Wbni |
| CER-richtlijn | Fysieke en organisatorische weerbaarheid van kritieke entiteiten | EU-richtlijn 2022/2557, omzetting uiterlijk 17 oktober 2024; lidstaten wijzen uiterlijk 17 juli 2026 kritieke entiteiten aan |
| Wwke | Nederlandse uitvoering van CER | Van kracht sinds 15 augustus 2026 |
| Cyber Resilience Act | Beveiligingseisen aan producten met digitale elementen, ook OT-componenten | Meldplicht sinds 11 september 2026, volledig van toepassing vanaf 11 december 2027 |
| IEC 62443 | Normenreeks voor beveiliging van industriële automatisering | Vrijwillig, maar de feitelijke standaard voor OT |
| ISO 27001 | Managementsysteem voor informatiebeveiliging | Vrijwillig, vaak gebruikt om de zorgplicht aan te tonen |
| BIO | Baseline voor informatiebeveiliging van overheden | Verplicht voor overheidsorganisaties, zoals waterschappen met eigen gemalen |
Een organisatie die onder de Wwke als kritieke entiteit is aangewezen, is onder de Cbw altijd een essentiële entiteit, ongeacht haar omvang. Levert een kritieke entiteit dezelfde of vergelijkbare essentiële diensten in zes of meer lidstaten, dan kan zij als kritieke entiteit van bijzonder Europees belang gelden; de Europese Commissie kan dan een adviesmissie sturen. Zie valt uw organisatie onder de Cbw? voor de volledige toets.
Het NCSC is in Nederland het CSIRT voor de meeste vitale sectoren: het waarschuwt, adviseert en ontvangt meldingen. Het toezicht ligt per sector bij andere partijen, zoals de RDI (coördinerend, onder meer energie), de ILT (drinkwater, afvalwater, vervoer), de IGJ (zorg) en DNB/AFM (financiële sector). Voor de waterschappen is CERT-WM het CSIRT.
🔄 Wat is het verschil tussen de Wwke en de Cyberbeveiligingswet?
Beide wetten gelden sinds dezelfde dag en vullen elkaar aan. De Cbw gaat over netwerk- en informatiesystemen, inclusief OT. De Wwke gaat over alle dreigingen: natuurrampen, sabotage, terrorisme, uitval van leveranciers en personeelsrisico’s.
| Aspect | Wwke (CER) | Cyberbeveiligingswet (NIS2) |
|---|---|---|
| Focus | Fysieke en organisatorische weerbaarheid | Digitale weerbaarheid |
| Wie valt eronder? | Circa 500 door de vakminister aangewezen kritieke entiteiten | Ruim 8.000 organisaties op basis van sector en omvang |
| Aanwijzing | Per aanwijzingsbrief van het vakdepartement, na inwerkingtreding | Geen aanwijzing; zelfregistratie via MijnNCSC |
| Tijd om te voldoen | Risicobeoordeling binnen 9 maanden, maatregelen binnen 10 maanden na aanwijzing | Direct vanaf 15 augustus 2026 |
| Melden | Eerste melding binnen 24 uur, zo nodig gedetailleerd rapport binnen een maand | Significante incidenten: 24 uur, 72 uur, een maand |
| Toezicht | Bevoegde autoriteit: vakministerie samen met de toezichthouder | Sectorale toezichthouders, gecoördineerd door de RDI |
Een aanval op een SCADA-systeem van een drinkwaterbedrijf kan dus onder beide wetten meldplichtig zijn. Onder de Cbw is een incident in de drinkwatersector significant als bijvoorbeeld 10.000 of meer aansluitingen zes uur of langer geen water krijgen; de details staan in meldplicht onder de Cbw.
🧰 Welke beveiligingsmaatregelen zijn het belangrijkst?
| Maatregel | Toepassing in kritieke OT |
|---|---|
| Netwerksegmentatie | Scheiding van IT en OT in zones en conduits volgens IEC 62443 en het Purdue Model |
| Defense in Depth | Gelaagde beveiliging: fysiek, netwerk, systeem, applicatie en organisatie |
| Patchmanagement | Kwetsbaarheden risicogestuurd aanpakken, ook waar patchen pas bij een stop kan |
| Security Monitoring | Passieve netwerkdetectie van afwijkend OT-verkeer, vaak via een OT SOC |
| Access Control / RBAC | Minimale rechten, MFA voor toegang op afstand, geen gedeelde accounts |
| Incident Response Plan | Draaiboeken die rekening houden met handbediening en de meldtermijnen |
| Backup & Disaster Recovery | Offline back-ups van PLC-programma’s, configuraties en historian-data |
| Supply Chain Management | Beveiligingseisen in contracten met leveranciers en integrators |
🏭 Hoe pakt u de beveiliging van kritieke OT praktisch aan?
Voor een netbeheerder, waterbedrijf of chemische site is een stapsgewijze aanpak gebruikelijk:
- Status bepalen - stel vast of u onder de Cbw valt en of u als kritieke entiteit onder de Wwke bent aangewezen, en registreer u.
- Inventariseren - breng alle OT-assets, verbindingen en externe toegangen in kaart; zonder actuele inventaris is geen risicoanalyse mogelijk.
- Impact bepalen - leg met een Business Impact Analysis vast welke processen hoe lang mogen uitvallen.
- Risico’s beoordelen - voer een risicobeoordeling uit, voor OT bij voorkeur volgens IEC 62443-3-2 met zones, conduits en doelbeveiligingsniveaus.
- Basismaatregelen eerst - segmentatie, veilige toegang op afstand, wachtwoordbeheer en het weghalen van besturingen van internet leveren de meeste risicoreductie per euro op.
- Detectie en respons - richt monitoring in en oefen incidenten, inclusief terugvallen op handbediening en het melden binnen 24 uur.
- Continuïteit borgen - veranker het geheel in continuïteitsbeheer en herhaal de cyclus jaarlijks of na grote wijzigingen.
Voor de watersector staat een uitgewerkte versie in OT-security in de watersector; de Amerikaanse NIST SP 800-82 is een goede aanvullende OT-handleiding.
🔎 Wat onderscheidt kritieke van niet-kritieke infrastructuur?
| Aspect | Kritieke infrastructuur | Niet-kritiek |
|---|---|---|
| Impact bij uitval | Groot maatschappelijk gevolg, vaak sectoroverstijgend | Beperkt of lokaal |
| Wettelijke eisen | Cbw als essentiële entiteit, vaak ook Wwke | Hooguit Cbw als belangrijke entiteit, of niets |
| Beschikbaarheidseisen | Zeer hoog (24/7, redundantie, noodstroom) | Afhankelijk van de bedrijfsvoering |
| Dreigingsprofiel | Ook statelijke actoren en APT’s | Vooral criminele en algemene dreigingen |
| Toezicht | Actief, vooraf en achteraf | Alleen achteraf, na signalen |
❓ Veelgestelde vragen
Wat is het verschil tussen kritieke en vitale infrastructuur?
In Nederland werden de termen vitale infrastructuur en kritieke infrastructuur lange tijd door elkaar gebruikt. Met de Wwke is de wettelijke term kritieke entiteit geworden: een organisatie die een essentiële dienst levert en door een minister is aangewezen. Inhoudelijk gaat het om dezelfde vitale voorzieningen.
Wie bepaalt of een organisatie tot de kritieke infrastructuur behoort?
Onder de Wwke wijst de verantwoordelijke vakminister kritieke entiteiten aan, op basis van een risicobeoordeling per sector. Onder de Cyberbeveiligingswet bepalen sector en omvang zelf of een organisatie eronder valt, en moet zij zich registreren. Een aangewezen kritieke entiteit valt automatisch als essentiële entiteit onder de Cbw.
Valt ook een klein bedrijf onder de regels voor kritieke infrastructuur?
Ja, dat kan. Voor kritieke entiteiten onder de Wwke geldt onder de Cyberbeveiligingswet geen ondergrens voor omvang, dus ook een kleine maar onmisbare organisatie kan essentieel zijn. Daarnaast merken leveranciers van vitale organisaties de eisen via contracten en ketenafspraken.
Is het NCSC de toezichthouder voor kritieke infrastructuur?
Nee, het NCSC is het nationale CSIRT: het ontvangt meldingen, waarschuwt en adviseert, maar houdt geen toezicht. Het toezicht op de Cyberbeveiligingswet ligt per sector bij onder meer de RDI, de ILT, de IGJ en DNB/AFM, en onder de Wwke houdt de bevoegde autoriteit, het vakministerie samen met een toezichthouder, toezicht.
Waarom is OT in kritieke infrastructuur extra kwetsbaar?
OT in kritieke infrastructuur draait vaak tientallen jaren, gebruikt protocollen zonder authenticatie en kan niet zomaar worden gepatcht of herstart. Tegelijk is de besturing steeds vaker verbonden met IT en leveranciers. Daardoor heeft een aanval direct fysieke gevolgen, zoals uitval van stroom of drinkwater.
Hoe snel moet een incident in kritieke infrastructuur worden gemeld?
Onder de Cyberbeveiligingswet meldt een essentiële entiteit een significant incident met een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Onder de Wwke moeten kritieke entiteiten een (mogelijk) aanzienlijke verstoring van hun essentiële dienst eveneens binnen 24 uur melden, zo nodig gevolgd door een gedetailleerd rapport binnen een maand.
📌 Samengevat
Kritieke infrastructuur zijn de voorzieningen waarvan uitval de samenleving ontwricht, en omdat ze op OT draaien, is hun bescherming sinds 15 augustus 2026 geregeld in de Cyberbeveiligingswet en de Wwke.
De dreiging is reëel, van ransomware tot statelijke sabotage, en de gevolgen zijn fysiek. Wie vitale processen beheert, combineert cybersecurity, beschikbaarheid en compliance: weet wat u heeft, scheid IT en OT, beperk toegang, detecteer afwijkingen en oefen herstel.