OT-security: NIS2, IEC 62443 en de eerste stappen

##### 20 aug 2025

Operationele technologie (OT) omvat alle systemen die fysieke processen aansturen: van een brugbediening tot een productielijn. Die systemen zijn decennialang bewust gescheiden gehouden van kantoornetwerken, maar die scheiding verdwijnt. Sinds 15 augustus 2026 vallen veel OT-gebruikende organisaties bovendien onder de Cyberbeveiligingswet. Wat betekent dat concreet, en waar begint u?

Wat is OT en waar komt het voor?

OT staat voor Operational Technology: alle systemen en apparaten die fysieke processen aansturen. Thuis is dat de wasmachine die op een ingesteld tijdstip draait of de robotstofzuiger die vaste rondes maakt. In het bedrijfsleven gaat het om machines in fabrieken, waterzuiveringsinstallaties, verkeerslichten en brugbediening, en om laden en lossen in havens en magazijnen.

Juist omdat OT op zoveel plekken draait — en vaak bij organisaties die diensten leveren in de vitale infrastructuur — is beveiliging geen vrijblijvende keuze meer. Twee kaders geven richting: de IEC 62443-reeks voor industriële automatisering en de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2.

Waarom OT-beveiliging anders werkt dan IT-beveiliging

Wie OT aanpakt met het IT-draaiboek, loopt vast. Het NCSC wijst op de verschillen die de aanpak bepalen:

Beschikbaarheid gaat voor. In IT is vertrouwelijkheid meestal leidend; in OT is dat continuïteit. Een proces stilleggen voor een update kan productie kosten of onveilige situaties opleveren.

De levensduur is veel langer. OT-installaties gaan vaak vijftien tot twintig jaar mee. Systemen die nog jaren mee moeten, draaien daardoor op software die allang niet meer ondersteund wordt.

Patchen kan niet zomaar. Onderhoud gebeurt in krappe, geplande vensters en vaak alleen met goedkeuring van de leverancier, omdat een update de certificering of de veiligheidsfunctie van een installatie kan raken.

Veiligheid en security lopen door elkaar. Bij OT raakt een incident niet alleen data maar ook fysieke veiligheid, wat betekent dat security-afwegingen samen met de veiligheidskundigen gemaakt worden.

De vijf basisprincipes van het NCSC

Het NCSC beschrijft in *Aan de slag met het beveiligen van OT/IACS* vijf basisprincipes. Ze vormen een bruikbare volgorde voor organisaties die nog aan het begin staan:

1.Breng risico's in kaart. Voer een risicoanalyse uit op de OT-omgeving en sluit aan op de veiligheidsprocessen die er al zijn.

2.Bevorder veilig gedrag. Een gezonde veiligheidscultuur vraagt zichtbaar commitment van het management en gerichte training van de mensen op de vloer.

3.Bescherm de systemen. Beperk het aanvalsoppervlak (hardening), richt patchmanagement in dat past bij OT-onderhoudsvensters, en pas netwerksegmentatie toe tussen kantoor- en procesnetwerk.

4.Beheer de toegang. Regel zowel fysieke als digitale toegang tot systemen en data, inclusief de toegang van leveranciers en onderhoudspartijen.

5.Bereid u voor op incidenten. Leg een incidentresponsplan vast, oefen het jaarlijks en zorg voor een back-upbeleid dat uitgaat van "assume breach".

Wat de Cyberbeveiligingswet betekent voor OT

De Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht en vertaalt de NIS2-richtlijn naar Nederlands recht. Voor organisaties met OT in het primaire proces zijn vier verplichtingen bepalend:

Zorgplicht. U beoordeelt zelf de risico's en treft passende maatregelen — en OT-systemen horen daar expliciet bij, niet alleen de kantoorautomatisering.

Meldplicht. Een significant incident meldt u binnen 24 uur als vroegtijdige waarschuwing, gevolgd door een uitgebreidere melding.

Verantwoordelijkheid bij het bestuur. Het bestuur is aansprakelijk voor de naleving en moet zich laten bijscholen.

Beveiliging van de keten. De afspraken met leveranciers en onderhoudspartijen vallen binnen de scope, wat in OT-omgevingen zwaar weegt omdat externe partijen vaak op afstand meekijken of ingrijpen.

Of u onder de wet valt en wie toezicht houdt, hangt af van uw sector. De Rijksinspectie Digitale Infrastructuur houdt een overzicht van de sectoren onder toezicht bij en het NCSC verzamelt de praktische uitleg bij de wet. In onze blog leest u meer over de uitdagingen van de Cyberbeveiligingswet en over aantoonbare beheersing als nieuwe norm.

IEC 62443: de norm voor industriële automatisering

Waar de wet zegt *dat* u maatregelen moet treffen, beschrijft de IEC 62443-reeks *hoe*. De norm richt zich op Industrial Automation and Control Systems (IACS): SCADA-systemen, PLC's, distributed control systems en de sensoren, actuatoren en netwerken die ze verbinden.

IEC 62443 is geen enkele norm maar een reeks normdelen, elk voor een eigen doelgroep. NEN beschrijft de opbouw als volgt:

Normdeel	Waar het over gaat	Vooral voor
62443-2-1	Het securitymanagementsysteem voor de IACS-omgeving	Eindgebruikers
62443-2-4	Eisen aan de dienstverlening van leveranciers	Inkoop en contractbeheer
62443-3-3	Systeemeisen en securityniveaus	Eindgebruikers en integratoren
62443-4-1	Een veilig ontwikkelproces voor producten	Leveranciers
62443-4-2	Technische eisen aan losse componenten	Leveranciers en integratoren

De securityniveaus uit de reeks maken het gesprek concreet: ontwerpers, leveranciers en gebruikers kunnen zo in dezelfde taal afspreken welk beschermingsniveau een zone nodig heeft. Op onze normpagina over IEC 62443 leest u hoe dat in de praktijk uitpakt.

In vijf stappen beginnen

1.Inventariseer uw OT-assets. Zonder actuele lijst van systemen, versies en koppelingen is elke volgende stap giswerk.

2.Beoordeel de risico's per proces, samen met de mensen die de installatie draaiend houden.

3.Scheid de netwerken. Segmentatie tussen kantoor- en procesnetwerk levert doorgaans de grootste risicoreductie per geïnvesteerde euro.

4.Leg leveranciersafspraken vast, inclusief de voorwaarden voor toegang op afstand en de meldtermijnen bij incidenten.

5.Oefen het scenario waarin een productieproces stilvalt, en toets of de back-ups terugzetten ook echt lukt.

Hoe uComply hierbij helpt

Eén plek voor uw maatregelen. uComply is gebouwd op Microsoft Dataverse en integreert met uw Microsoft 365-omgeving: gecentraliseerde controls en clausules, risicobeoordelingen, auditbeheer, leveranciersbeoordelingen en incidentregistratie in één workflow.

Kant-en-klare contentpacks voor onder meer ISO 27001, NEN 7510 en de Cyberbeveiligingswet, zodat u niet bij nul begint met uw documentatie.

Aantoonbaarheid richting toezicht. Vastgelegde beoordelingen, maatregelen en incidenten leveren het dossier waar een toezichthouder om vraagt.

In uw eigen tenant. Omdat uComply binnen uw eigen Microsoft-omgeving draait, blijven uw gegevens onder uw eigen beveiligingsmaatregelen vallen.

*OT-assets identificeren, risico's beoordelen en maatregelen aantoonbaar vastleggen: daar wordt OT-security concreet. Benieuwd hoe dat er voor uw organisatie uitziet?*

Let's Chat