Als je aan NIS2 denkt, denk je waarschijnlijk aan servers, netwerken en datalekken. De machines op de werkvloer blijven daarbij vaak buiten beeld. Toch vallen die er net zo goed onder en precies daar is het net moeilijker om te voldoen aan de wet. In deze blog lees je waarom en hoe je je OT-security in lijn brengt met de Cyberbeveiligingswet.

De Cyberbeveiligingswet gaat over de netwerk- en informatiesystemen van essentiële en belangrijke organisaties. Daarbij maakt de wet geen onderscheid tussen klassieke IT en de technologie die fysieke processen aanstuurt. Ook industriële besturingssystemen vallen dus binnen de scope: denk aan programmable logic controllers (PLC’s), de kleine computers die een machine of productielijn aansturen, en supervisory control and data acquisition (SCADA)-systemen, waarmee je die processen centraal bewaakt en bedient. De netwerken waarmee ze verbonden zijn, horen er ook bij.

Veel sectoren die onder de wet vallen zijn sterk afhankelijk van operationele technologie. Denk aan energie, water, transport en de maakindustrie. Voor productie- en logistieke bedrijven stopt NIS2 daarom niet bij de ICT-afdeling.

Bij het beveiligen van OT wordt het verschil met IT snel duidelijk. Een kwetsbaar IT-systeem kun je vaak relatief eenvoudig updaten of vervangen. Bij een PLC of SCADA-component ligt dat anders. Die maakt deel uit van een operationeel proces dat niet zomaar stilgelegd kan worden. Een productielijn enkele uren stopzetten voor een update kan bijvoorbeeld grote gevolgen hebben.

Ook standaard IT-beveiligingsmaatregelen kun je niet zomaar overnemen. Een scan of beveiligingsagent die in een IT-omgeving probleemloos draait, kan een industrieel systeem verstoren of zelfs laten vastlopen. OT vraagt daarom om een andere beveiligingsaanpak, afgestemd op de systemen én de processen die ze aansturen. Wat werkt voor IT, werkt niet automatisch voor OT.

Een belangrijk onderdeel van de Cyberbeveiligingswet is de zorgplicht. Die verplicht organisaties die onder de wet vallen om hun cyberrisico’s actief te beheersen en passende maatregelen te nemen. Welke maatregelen dat zijn, bepaalt de wet niet tot in detail. Je brengt zelf je risico’s in kaart en kiest op basis daarvan de juiste technische, operationele en organisatorische maatregelen. Daarbij moet je kunnen aantonen dat je de risico’s binnen zowel je IT- als OT-omgeving beheerst.

Daarnaast geldt een meldplicht voor belangrijke incidenten. Binnen 24 uur volgt een eerste waarschuwing, binnen 72 uur een uitgebreidere melding en binnen een maand een eindrapport. Die verantwoordelijkheid ligt bovendien niet alleen bij IT: het bestuur moet de beveiligingsmaatregelen goedkeuren en erop toezien. NIS2 vraagt dus ook om duidelijke ownership en opvolging.

Als je systemen niet zomaar kunt patchen of stilleggen, begint OT-security bij overzicht. Welke apparaten en systemen zijn aangesloten? Hoe zijn ze met elkaar verbonden? En welke risico’s brengen ze mee? Een concrete eerste stap is daarom een OT-risicoanalyse of een NIS2-quickscan die in kaart brengt waar je staat ten opzichte van de wet. Zonder een volledig beeld van je OT-omgeving is het moeilijk om te bepalen waar je beveiliging moet aanscherpen.

Van daaruit kun je maatregelen nemen die passen bij een OT-omgeving. Denk aan het scheiden van IT- en OT-netwerken, zodat een incident zich niet zomaar van kantoor naar de productievloer verspreidt, en aan continue monitoring om afwijkend netwerkverkeer op te merken. Voor de verdere invulling kan IEC 62443 houvast bieden.¹ Deze internationale norm is speciaal voor OT-omgevingen gemaakt en sluit goed aan bij NIS2. Ze adviseert bijvoorbeeld om je OT-netwerk op te delen in kleinere, afgeschermde delen. Zo voorkom je dat een aanval die ergens binnenkomt, zich meteen door je hele productieomgeving verspreidt.

Bronnen

1. NIS2 Richtlijn: Wat u moet weten, Hudson Cybertec