Mitigerende Maatregelen

Wat zijn mitigerende maatregelen?

Mitigerende maatregelen zijn technische, organisatorische of fysieke maatregelen die de kans op een ongewenste gebeurtenis of de gevolgen ervan verkleinen, zodat een risico daalt tot een niveau dat een organisatie bewust kan accepteren. In OT-omgevingen beschermen ze industriële installaties, netwerken en processen tegen cyberaanvallen, technische storingen en menselijke fouten. Mitigerende maatregelen zijn een vast onderdeel van risicomanagement en volgen meestal uit een Cybersecurity Risk Assessment of een Business Impact Analysis. Een risico verdwijnt er zelden helemaal door: er blijft een restrisico over dat de risico-eigenaar formeel moet accepteren.

🧠 Wat betekent mitigeren binnen risicomanagement?

Mitigeren is een van de vier manieren om met een risico om te gaan. ISO 27005 onderscheidt vier opties voor risicobehandeling; ISO 31000 hanteert een vergelijkbare, iets fijnere indeling:

In OT is mitigeren meestal de voor de hand liggende keuze, omdat een fabriek een proces zelden kan stoppen. Na het nemen van maatregelen bepaalt u het restrisico opnieuw en vergelijkt u dat met de acceptatiecriteria. Ligt het nog te hoog, dan volgt een extra maatregel.

In de procesveiligheid heeft “mitigeren” vaak een smallere betekenis. In een bow-tie-analyse staan links van de topgebeurtenis de preventieve barrières, die voorkomen dat het misgaat, en rechts de mitigerende barrières, die de gevolgen beperken als het tóch misgaat. Een opvangbak of een blusinstallatie is dan mitigerend, een drukregeling preventief. In cybersecurity gebruikt men het woord breder, voor elke maatregel die het risico verlaagt.

🧱 Welke soorten mitigerende maatregelen zijn er?

Mitigerende maatregelen worden op twee manieren ingedeeld: naar hun aard en naar hun functie.

Naar aard

• Technische maatregelen - firewalls, protocolfiltering, netwerksegmentatie, patchmanagement, anomaliedetectie, SIEM, encryptie, toegangscontrole en Zero Trust. Ook een jumpserver voor toegang op afstand met multifactor-authenticatie hoort hierbij.
• Organisatorische maatregelen - informatiebeveiligingsbeleid, een Incident Response Plan, noodplanning, security-awarenesstrainingen, wijzigingsbeheer, leveranciersbeveiliging en periodieke audits.
• Fysieke maatregelen - toegangscontrole tot besturingskasten, controlekamers en serverruimtes, sloten en camera’s, maar ook veiligheidsvoorzieningen zoals PBM, Lock-out Tag-out (LOTO), de noodstop, een UPS, koeling en brandbeveiliging.

Naar functie

Een goed maatregelenpakket combineert deze functies. Alleen preventie is kwetsbaar: als één barrière faalt, merkt niemand het. Dat is de kern van defense in depth.

🏭 Welke mitigerende maatregelen passen bij typische OT-risico’s?

Voor een gestructureerde keuze kunt u de catalogus van MITRE ATT&CK for ICS gebruiken. Die bevat 53 mitigaties, elk met een eigen ID, zoals M0930 Network Segmentation, M0932 Multi-factor Authentication, M0937 Filter Network Traffic en M0953 Data Backup. Per aanvalstechniek ziet u welke mitigaties helpen. Opvallend is de categorie M0816 Mitigation Limited or Not Effective: voor sommige technieken bestaat geen goede preventieve maatregel, en dan zijn detectie en herstel de enige opties.

🔐 Hoe sluiten mitigerende maatregelen aan op normen en wetgeving?

Normen en wetten schrijven zelden één maatregel voor, maar eisen dat u maatregelen kiest die passen bij uw risico’s:

• IEC 62443 - IEC 62443-3-3 bevat 51 systeemeisen onder zeven foundational requirements, van identificatie en authenticatie tot beschikbaarheid. Per zone bepaalt u een doel-security level (SL 1 t/m SL 4). Haalt een component dat niet zelf, dan mag een compenserende maatregel in de zone het gat dichten.
• ISO 27001 - Annex A van de versie uit 2022 bevat 93 beheersmaatregelen in vier thema’s: 37 organisatorische, 8 mensgerichte, 14 fysieke en 34 technologische. In de Statement of Applicability legt u vast welke u toepast en waarom. De uitwerking staat in ISO 27002.
• NIST CSF - versie 2.0 (februari 2024) ordent maatregelen in zes functies: Govern, Identify, Protect, Detect, Respond en Recover. Mitigerende maatregelen vallen vooral onder Protect, Detect, Respond en Recover; Respond heeft zelfs een eigen categorie Incident Mitigation (RS.MI).
• NIS2 - artikel 21 eist passende en evenredige maatregelen volgens een all-hazards-benadering, met tien minimale onderwerpen zoals incidentbehandeling, bedrijfscontinuïteit, ketenbeveiliging, cryptografie en MFA. In Nederland geldt dit via de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad.
• Arbowet - voor fysieke veiligheid geldt de arbeidshygiënische strategie: eerst het gevaar bij de bron aanpakken, dan collectieve maatregelen, dan individuele, en PBM pas als laatste redmiddel.

🔧 Hoe kiest en borgt u mitigerende maatregelen in de praktijk?

Een werkbare aanpak voor een productielocatie:

1. Breng uw assets in kaart - zonder assetinventaris weet u niet wat u beschermt.
2. Beoordeel de risico’s - met een Cybersecurity Risk Assessment per zone, bijvoorbeeld volgens IEC 62443-3-2. Leg kans, impact en risico-eigenaar vast.
3. Kies per risico een behandeloptie - verminderen, vermijden, delen of accepteren.
4. Selecteer maatregelen die elkaar aanvullen - combineer preventief, detectief en herstellend, en controleer of ze de beschikbaarheid van het proces niet aantasten. Een agressieve virusscanner op een HMI kan meer schade doen dan het risico dat hij afdekt.
5. Test vóór invoering - bij voorkeur op een testopstelling of tijdens een geplande stop, via wijzigingsbeheer.
6. Bepaal het restrisico en laat de risico-eigenaar dat formeel accepteren.
7. Meet de effectiviteit - met indicatoren zoals patchgraad, aantal open firewallregels, gemiddelde detectietijd en het percentage geslaagde hersteltests.
8. Herhaal periodiek - minstens jaarlijks en na elke grote wijziging of elk incident.

Een effectieve maatregel is passend bij het risico, meetbaar, uitvoerbaar voor de mensen die ermee werken en geborgd in beleid en procedures. Een maatregel die alleen op papier bestaat, of die operators omzeilen omdat hij het werk hindert, verlaagt het risico niet.

❓ Veelgestelde vragen

Wat is het verschil tussen preventieve en mitigerende maatregelen?

Preventieve maatregelen verkleinen de kans dat een incident ontstaat, mitigerende maatregelen in strikte zin beperken de gevolgen als het toch gebeurt. In de procesveiligheid en bij een bow-tie-analyse wordt dat onderscheid scherp gemaakt. In cybersecurity worden alle risicoverlagende maatregelen meestal mitigerende maatregelen genoemd.

Wat is een compenserende maatregel?

Een compenserende maatregel vult een beveiligingseis in die een systeem zelf niet kan halen. Een veelvoorkomend voorbeeld in OT is een industriële firewall vóór een verouderde PLC die geen authenticatie ondersteunt. IEC 62443 staat dit expliciet toe, mits het beoogde security level van de zone aantoonbaar wordt gehaald.

Wanneer is een risico voldoende gemitigeerd?

Een risico is voldoende gemitigeerd als het restrisico onder de acceptatiecriteria ligt die de organisatie vooraf heeft vastgesteld. De risico-eigenaar accepteert dat restrisico formeel, bijvoorbeeld in het risicoregister. Volledig nul risico bestaat niet, zeker niet in installaties die tientallen jaren meegaan.

Waarom kunt u in OT niet zomaar IT-maatregelen toepassen?

In OT staan beschikbaarheid en veiligheid voorop, en veel systemen draaien op verouderde besturingssystemen die geen patches of agents verdragen. Mitigerende maatregelen moeten daarom eerst getest worden en mogen het proces niet verstoren. Netwerksegmentatie en passieve monitoring zijn in OT vaak geschikter dan scannen of automatisch patchen.

Verplicht NIS2 specifieke mitigerende maatregelen?

NIS2 schrijft in artikel 21 geen concrete producten voor, maar wel tien onderwerpen die elke organisatie moet adresseren, zoals incidentbehandeling, back-ups, ketenbeveiliging en multifactorauthenticatie. De maatregelen moeten passend en evenredig zijn ten opzichte van het risico. In Nederland is dit sinds 15 augustus 2026 vastgelegd in de Cyberbeveiligingswet.

Hoe meet u of mitigerende maatregelen werken?

U meet de werking van mitigerende maatregelen met concrete indicatoren, zoals de patchgraad, de tijd tot detectie van een incident, het aantal uitzonderingen op firewallregels en de uitkomst van hersteltests. Audits en penetratietests op een testopstelling geven aanvullend inzicht. NIS2 vraagt ook expliciet om beleid voor het beoordelen van de effectiviteit van maatregelen.

📌 Samengevat

Mitigerende maatregelen verlagen de kans op of de impact van een incident tot een acceptabel restrisico, en vormen in OT-omgevingen het hart van risicomanagement.

Ze zijn technisch, organisatorisch of fysiek van aard en werken preventief, detectief, correctief, herstellend of compenserend. Normen zoals IEC 62443, ISO 27001 en NIST CSF helpen bij de keuze, terwijl NIS2 en de Cyberbeveiligingswet eisen dat de maatregelen passend zijn. Wie maatregelen combineert, test vóór invoering en periodiek op effectiviteit controleert, bouwt een verdediging in lagen die ook standhoudt als één barrière faalt.