Wat is PDCA?
PDCA (Plan – Do – Check – Act) is een cyclische methode voor continue verbetering waarin een organisatie een verandering plant, uitvoert, het effect meet en op basis van dat resultaat bijstuurt, waarna de cyclus opnieuw begint. De methode wordt ook de Deming-cirkel of Shewhart-cyclus genoemd en is de ruggengraat van kwaliteitsmanagement, informatiebeveiliging en OT-security. Managementsysteemnormen zoals ISO 9001, ISO 27001 en ISO 50001 zijn rond dit principe opgebouwd, en ook IEC 62443 en het NIST CSF gaan uit van een programma dat zichzelf steeds verbetert.
In industriële omgevingen helpt PDCA om cybersecuritymaatregelen structureel te verbeteren, risico’s te beheersen en aantoonbaar te voldoen aan compliance-eisen, zonder de beschikbaarheid van het proces uit het oog te verliezen.
🧠 Waar komt de PDCA-cyclus vandaan?
De cyclus gaat terug op de natuurkundige Walter Shewhart van Bell Telephone Laboratories. In zijn boek Statistical Method from the Viewpoint of Quality Control (1939) beschreef hij productie onder statistische beheersing als drie stappen: specificatie, productie en inspectie. Hij zag dat als een wetenschappelijke cyclus van hypothese, experiment en evaluatie.
W. Edwards Deming paste die cyclus aan en bracht hem in de vroege jaren vijftig mee naar Japan, waar hij lezingen gaf voor managers en ingenieurs. De Japanse deelnemers vatten het idee samen als plan, do, check, act. Deming zelf gaf later de voorkeur aan PDSA (Plan – Do – Study – Act): “study” drukt beter uit dat u de resultaten analyseert en ervan leert, en niet alleen afvinkt of iets klopt. In het Japanse kwaliteitsdenken groeide PDCA uit tot de motor van kaizen, kleine stapsgewijze verbeteringen, en de cyclus is later ook opgenomen in verbetermethoden als LEAN en Six Sigma, die wereldwijd in de industrie worden toegepast.
🔧 Wat gebeurt er in elke fase van PDCA?
📝 Plan
- Bepaal doelstellingen, beleid, risico’s en maatregelen - wat wilt u bereiken en hoe meet u dat?
- Voer een Risicobeoordeling of Cybersecurity Risk Assessment uit en leg de uitkomst vast in een risicoregister.
- Definieer rollen (bijvoorbeeld ISO, OSO en CISO) en processen.
- Koppel aan standaarden zoals IEC 62443 of ISO 27001, en formuleer meetbare KPI’s.
🔧 Do
- Implementeer de geplande maatregelen, bij voorkeur eerst op kleine schaal of in één productielijn.
- Configureer industriële firewalls en toegangsbeheer.
- Rol security awareness-training uit.
- Richt SIEM, logging en patchmanagement in.
- Pas netwerksegmentatie of Zero Trust toe, altijd via change management.
🔍 Check
- Monitor, meet en beoordeel de effectiviteit tegen de KPI’s uit de planfase.
- Voer audits uit en controleer logs via SIEM.
- Test het incident response plan met threat simulations.
- Verifieer of OT-personeel het beleid in de praktijk naleeft.
🔁 Act
- Corrigeer afwijkingen en zoek de echte oorzaak met een root cause analysis.
- Standaardiseer wat werkt: werkinstructies, baselines en beleid worden bijgewerkt.
- Neem lessen mee uit incidenten, audits en evaluaties en start de volgende cyclus.
| Fase | Kernvraag | Typisch resultaat |
|---|---|---|
| Plan | Wat is het probleem of doel, en wat gaan we doen? | Risicoanalyse, doelen, KPI’s, plan van aanpak |
| Do | Voeren we het plan uit zoals bedoeld? | Geïmplementeerde maatregel, vastgelegde wijziging |
| Check | Werkt het, en hoe weten we dat? | Meetresultaten, auditbevindingen, afwijkingen |
| Act | Wat standaardiseren of verbeteren we? | Corrigerende maatregelen, bijgewerkt beleid, nieuwe cyclus |
Elke doorlopen cyclus verhoogt de volwassenheid van de cybersecuritystrategie en de beheersing van OT-risico’s.
🏭 Hoe past u PDCA toe in een OT-omgeving?
In industriële automatisering werkt PDCA anders dan in kantoor-IT. Een installatie mag niet stilvallen voor een test, wijzigingen passen vaak alleen in een onderhoudsstop, en een PLC of SCADA-systeem draait soms twintig jaar. De Do-fase is daarom bijna altijd klein en gecontroleerd: eerst een testomgeving of één lijn, pas daarna uitrol.
| Fase | OT-toepassing |
|---|---|
| Plan | Beveiligingsplan opstellen voor PLC, SCADA en remote access |
| Do | Segmentatie van het control network, inrichting van een jump server |
| Check | Firewall-logs, SIEM-meldingen en OT-logging controleren |
| Act | Policies aanpassen na een cyberincident of na auditresultaten |
Ook buiten security is PDCA in de fabriek alomtegenwoordig. Kwaliteitsafdelingen gebruiken SPC in de checkfase om procesvariatie te zien, en onderhoudsteams combineren PDCA met TPM om storingen structureel te verminderen.
In OT geldt: beschikbaarheid is cruciaal. PDCA helpt maatregelen in kleine, omkeerbare stappen af te stemmen op de praktijk.
🔐 Welke standaarden en wetten zijn op PDCA gebaseerd?
PDCA is het gemeenschappelijke skelet van vrijwel alle managementsystemen. Sinds 2012 delen ISO-normen een vaste hoofdstukindeling (Annex SL, nu de harmonized structure), waarin hoofdstuk 4 tot en met 10 de cyclus volgen: context, leiderschap en planning (Plan), ondersteuning en uitvoering (Do), evaluatie van prestaties (Check) en verbetering (Act).
| Standaard of wet | Hoe PDCA terugkomt |
|---|---|
| ISO 9001 (2015) | Inleiding toont expliciet hoe hoofdstuk 4–10 op PDCA aansluiten |
| ISO 27001 | Editie 2005 had een aparte PDCA-paragraaf; sinds 2013 zit de cyclus in de hoofdstukstructuur van het ISMS |
| ISO 14001, ISO 45001, ISO 50001 | Zelfde harmonized structure met PDCA als onderliggend model |
| IEC 62443-2-1 | Editie 2010 beschreef een CSMS met “monitoren en verbeteren”; editie 2 (augustus 2024) vervangt dat door securityprogramma-elementen met een volwassenheidsmodel |
| IEC 62443-2-4 | Eisen aan dienstverleners, beoordeeld op volwassenheidsniveaus die oplopen tot structureel verbeteren |
| NIST CSF 2.0 (februari 2024) | Zes functies, waaronder het nieuwe Govern; verbetering is een eigen categorie binnen Identify |
| NIS2 en Cyberbeveiligingswet | Artikel 21 NIS2 eist beleid en procedures om de effectiviteit van maatregelen te beoordelen: de checkfase in wetgeving |
Een organisatie met meerdere certificaten kan dus één gezamenlijke PDCA-cyclus draaien, bijvoorbeeld een geïntegreerd managementsysteem voor kwaliteit, informatiebeveiliging en energie.
🔄 Wat is het verschil tussen PDCA, PDSA en DMAIC?
| Methode | Stappen | Typisch gebruik |
|---|---|---|
| PDCA | Plan, Do, Check, Act | Managementsystemen, continue verbetering in kleine stappen |
| PDSA | Plan, Do, Study, Act | Zelfde cyclus, met nadruk op leren van de resultaten |
| DMAIC | Define, Measure, Analyze, Improve, Control | Six Sigma-projecten met zware data-analyse |
| OODA | Observe, Orient, Decide, Act | Snelle besluitvorming, bijvoorbeeld bij incident response |
PDCA is het meest algemeen en past op elk niveau, van één werkplek tot een heel beveiligingsprogramma. DMAIC is een uitgewerkte variant voor één afgebakend verbeterproject.
🛠️ Hoe ziet een PDCA-jaarcyclus voor OT-security eruit?
Een praktische aanpak voor een Nederlandse productie- of waterorganisatie die onder de Cyberbeveiligingswet valt (van kracht sinds 15 augustus 2026):
- Plan (Q1) - actualiseer de asset inventory en de risicoanalyse per zone, kies drie tot vijf verbeterdoelen en leg KPI’s vast, zoals het percentage kritieke systemen met actuele back-up of de tijd tot het toepassen van een kritieke patch.
- Do (Q2–Q3) - voer de maatregelen gefaseerd uit, gepland in onderhoudsstops en vastgelegd via change management.
- Check (Q3–Q4) - meet de KPI’s, laat een interne audit uitvoeren en oefen een OT-incidentscenario.
- Act (Q4) - bespreek de resultaten in de directiebeoordeling, wijs eigenaren toe aan corrigerende maatregelen en neem ze op in het plan voor het volgende jaar.
Bij een ISO 27001-certificaat sluit dit aan op het vaste ritme van de certificatie-instelling: een certificaat is drie jaar geldig, met jaarlijks een tussentijdse audit. Een volwassenheidsmodel maakt zichtbaar of elke cyclus daadwerkelijk vooruitgang oplevert.
❓ Veelgestelde vragen
Waar staan de letters PDCA voor?
PDCA staat voor Plan, Do, Check en Act: plannen, uitvoeren, controleren en bijsturen. De vier stappen vormen samen een cyclus die steeds opnieuw wordt doorlopen, zodat een organisatie stap voor stap verbetert.
Is de PDCA-cyclus verplicht voor ISO 27001?
ISO 27001 noemt PDCA sinds de editie van 2013 niet meer met zoveel woorden; de editie van 2005 beschreef de cyclus nog expliciet. De verplichte hoofdstukken over planning, uitvoering, prestatie-evaluatie en verbetering volgen de PDCA-logica wel, dus een werkend ISMS draait in de praktijk altijd een PDCA-cyclus.
Hoe vaak doorloopt u de PDCA-cyclus?
Er is geen vaste frequentie voor de PDCA-cyclus. Voor een managementsysteem is een jaarcyclus met directiebeoordeling gangbaar, terwijl verbeterteams op de werkvloer soms elke week een kleine PDCA-cyclus afronden.
Wat is het verschil tussen PDCA en PDSA?
PDCA en PDSA beschrijven dezelfde cyclus. Deming verving “check” door “study” omdat hij wilde benadrukken dat u de resultaten analyseert en ervan leert, in plaats van alleen te controleren of het plan is uitgevoerd.
Hoe helpt PDCA bij de Cyberbeveiligingswet en NIS2?
NIS2 en de Cyberbeveiligingswet verplichten organisaties niet alleen om maatregelen te nemen, maar ook om de effectiviteit ervan te beoordelen. Een PDCA-cyclus maakt die beoordeling en de opvolging ervan aantoonbaar voor bestuur en toezichthouder.
Waarom is PDCA in OT lastiger dan in IT?
In OT kan een wijziging direct invloed hebben op productie en fysieke veiligheid, en onderhoudsvensters zijn schaars. Daarom wordt de Do-fase van PDCA in OT kleiner gemaakt, eerst getest en zorgvuldig gepland, terwijl de Check-fase meer leunt op passieve monitoring.
📌 Samengevat
PDCA is een beproefde methode voor continue verbetering in cybersecurity en industriële automatisering: plannen, uitvoeren, meten en bijsturen, en dan opnieuw. Door die cyclus bewust te doorlopen maken OT-organisaties beveiliging structureel, meetbaar en aanpasbaar, en voldoen ze aan ISO-normen, IEC 62443 en de Cyberbeveiligingswet.