Werken als OT Security Specialist

Wat doet een OT Security Specialist?

Een OT Security Specialist beveiligt de systemen die een fysiek proces aansturen en bewaken: de besturing van een productielijn, de pompen en kleppen van een waterzuivering, de systemen van een energiecentrale. Operationele technologie (OT) is de verzamelnaam voor die systemen. Het NCSC noemt als voorbeeld het uitlezen van sensoren of het aan- of uitzetten van een pomp op basis van een voorwaarde. Ook camera's, liften, robots, slimme thermostaten, kassa's en toegangspoortjes horen erbij.

Als zo'n systeem faalt, merk je dat niet alleen in de data. Je merkt het in de installatie zelf: stilstand, een verkeerde instelling, en in het ergste geval een onveilige situatie.

Een voorbeeld uit een gewone week. Een leverancier van een besturingssysteem wil op afstand onderhoud doen aan een installatie. Tot nu toe had die leverancier een permanente verbinding. De OT Security Specialist overlegt met de beheerder van de installatie en met de IT-beveiliging. De verbinding loopt voortaan via een beheerde tussenstap met meervoudige authenticatie, is alleen open als er onderhoud gepland is en wordt vastgelegd. De specialist legt de leverancier uit waarom, en kijkt samen met die leverancier of het onderhoud nog werkt zoals het moet.

Een tweede voorbeeld. Bij het in kaart brengen van het besturingsnetwerk blijkt een apparaat te hangen dat niemand herkent. De specialist loopt met een onderhoudsmonteur door de hal, vindt het apparaat en leert dat het bij een oude meetopstelling hoort die nog steeds wordt gebruikt. Het apparaat krijgt een eigenaar, komt in de inventaris en wordt in het juiste netwerksegment geplaatst. Je kunt niet beveiligen wat je niet kent, en de inventaris is vaak het begin.

De specialist werkt nauw samen met de IT-beveiliging, omdat OT en IT met elkaar verbonden zijn. Het werk valt binnen het vakgebied cybersecurity, met IEC 62443 als naslagwerk.

Waarin verschilt OT-security van IT-security?

Het NCSC noemt twee uitdagingen. De eerste is de levensduur. De hard- en software van OT-systemen gaat vaak veel langer mee dan die van IT-systemen. Software wordt vaak na enkele jaren niet meer doorontwikkeld, en kwetsbaarheden worden dan vaak niet meer verholpen.

De tweede is de cultuur. OT en IT hebben een andere kijk op elkaars prioriteiten en methodieken. Risico's zoals malware en overname van systemen kunnen door de verbondenheid van OT en IT ook OT raken.

Bij sommige installaties gaan veiligheid en beschikbaarheid voor. Bij IT is een systeem dat een paar uur uit de lucht is vaak vervelend. Bij OT kan het stilleggen van de installatie zelf het probleem zijn, en daarom gaat onderhoud alleen op afgesproken momenten en wordt er voorzichtig getest.

Welke taken horen bij de functie?

Er is geen officieel rolprofiel voor OT Security Specialist. Het European Cybersecurity Skills Framework (ECSF) van ENISA beschrijft twaalf typische profielen van cybersecurityprofessionals, maar een apart profiel voor OT-security staat er niet bij. IT- en OT-medewerkers komen wel terug in twee profielen. Bij Cybersecurity Implementer noemt ENISA het nauw samenwerken met IT- en OT-medewerkers aan cybersecuritymaatregelen. Bij Cybersecurity Architect noemt het de vaardigheid om implementeerders en IT- en OT-medewerkers te begeleiden.

Bij sommige organisaties ziet de invulling er anders uit. De taken hieronder zijn vakduiding, gegroepeerd naar de vijf basisprincipes van het NCSC.

• Risico's in kaart brengen. Samen met de mensen van veiligheid en proces, niet alleen met IT, en gecombineerd met de bestaande veiligheidsanalyses.
• Veilig gedrag bevorderen. Bijvoorbeeld geen gedeelde operatoraccounts, zodat je weet wie wat deed.
• Systemen beschermen. Je beperkt het aanvalsoppervlak, richt patchmanagement in en segmenteert het netwerk in lagen volgens het referentiemodel ISA-95 (Purdue). Een patch moet eerst getest worden, en soms bestaat er voor een oud systeem geen patch meer. Dan beperk je wat het systeem kan bereiken en bewaak je wat het doet.
• Toegang beheren. Toegang op afstand alleen met multifactorauthenticatie, en afspraken met leveranciers. Bij uitbesteding blijft de verantwoordelijkheid bij de eigenaar van de systemen.
• Voorbereid zijn op incidenten. Een operationeel incident-responseplan dat je jaarlijks oefent, en back-ups die je ook herstelt.

Daarbij horen het bijhouden van een inventaris, de bewaking van het OT-netwerk en het meewerken aan ontwerpen voor nieuwe installaties, zodat beveiliging er vanaf het begin in zit.

Welke skills heb je nodig?

Technisch. Netwerkbasis en segmentatie, zodat je weet hoe verkeer tussen zones loopt. Besturingssystemen, want Windows en Linux komen ook in OT voor. Een gevoel voor hoe een installatie werkt, met sensor, besturing en bediening. Logs en netwerkverkeer lezen, en een risicoanalyse maken. Voorbeeld: in een logbestand zie je een schrijfopdracht naar een besturing op een moment dat er geen onderhoud gepland was, en je zoekt uit wie die opdracht gaf.

Niet-technisch. Respect voor operators en onderhoudsmonteurs die het proces draaiende houden. Uitleggen in hun taal, zonder jargon. Geduld, want wijzigingen in OT gaan langzamer dan in IT. Veiligheidsregels op locatie volgen, want bij sommige installaties zijn aparte toegang en beschermingsmiddelen nodig. Voorbeeld: je legt een monteur uit waarom een wijziging na het onderhoud pas mag, en je luistert naar de reden van de monteur.

Wat is IEC 62443 en wat heeft een OT Security Specialist ermee te maken?

IEC 62443 is een reeks standaarden voor de beveiliging van industriële automatiserings- en besturingssystemen (IACS). De reeks wordt gezamenlijk ontwikkeld door de International Electrotechnical Commission (IEC) en ISA99. ISA richtte in 2002 het ISA99-comité op, en de standaarden worden aangeboden aan de IEC voor wereldwijde adoptie. De reeks kent vier groepen: algemene begrippen, beleid en procedures, technische eisen en risicomethodiek op systeemniveau, en eisen aan de veilige ontwikkelcyclus van componenten.

Betrokken partijen zijn onder meer de asset owners (de eindgebruikers), leveranciers van automatiseringsproducten, integrators en dienstverleners. Een voorbeeld uit deel 3-2 (ANSI/ISA-62443-3-2-2020): je deelt een systeem in zones en conduits. Een zone is een groep die samen wordt beschermd. Een conduit is een logische groepering van communicatiekanalen met gemeenschappelijke beveiligingseisen, die twee of meer zones verbindt. Per zone en per conduit bepaal je het risico en het beveiligingsniveau dat je wilt halen.

Het NCSC verwijst voor meer informatie naar deze standaard, en de indeling in zones sluit aan bij het NCSC-advies om netwerken te segmenteren. De standaarden zijn niet vrij beschikbaar, dus deze tekst legt alleen uit waar ze over gaan. Zie de skillpagina IEC 62443 voor de vacatures waarin de standaard voorkomt.

Welke tools en technologie gebruikt een OT Security Specialist?

Je tekent netwerkdiagrammen om te zien hoe systemen met elkaar praten, en je past netwerkbeveiliging toe, met firewalls en segmentatie. Wireshark vangt verkeer op en laat je het lezen, bij voorkeur passief, zonder in te grijpen in het netwerk. Nmap laat zien welke systemen en poorten bereikbaar zijn. In OT doe je actief scannen alleen met zorg en afgestemd met de beheerder, want oude systemen kunnen bij sommige installaties onverwacht reageren.

MITRE ATT&CK heeft naast de Enterprise-matrix een matrix voor ICS, de industriële besturingssystemen. Die geeft het gedrag van aanvallers in zulke omgevingen een naam, zoals de tactieken Inhibit Response Function en Impair Process Control. Het is een naslagwerk, geen checklist. Veel OT-bewaking gebeurt met speciale producten voor industriële protocollen. Welke tools een werkgever gebruikt, staat in de vacature.

Welke opleiding en certificeringen passen bij een OT Security Specialist?

Als basis past CompTIA Security+, dat je ook in vacatures terugziet op de skillpagina. CompTIA omschrijft Security+ als een wereldwijd erkende cybersecurity-certificering waarmee je praktische vaardigheden voor kernfuncties in security aantoont. Op 5 november 2026 meldt CompTIA dat versie 7 beschikbaar is en dat versie 8 naar verwachting rond 17 november 2026 verschijnt. Kijk daarom op de CompTIA-pagina voor de actuele versie.

CISSP is breed, en bedoeld voor wie al ervaring heeft. Zie het artikel voor de eisen en de skillpagina voor waar het in vacatures staat.

Specifiek voor OT zijn er de ISA/IEC 62443-certificaten van ISA. Per certificaat hoort een cursus en een examen, en wie alle vier haalt, krijgt de aanduiding ISA/IEC 62443 Cybersecurity Expert. De GICSP van GIAC is leveranciersneutraal en laat zien dat je beveiliging kunt bereiken gedurende de hele levenscyclus van industriële besturingssystemen, met expertise in IT, engineering en cybersecurity.

Een certificering vervangt geen ervaring en geen kennis van de installatie. Welke certificering een werkgever waardeert, verschilt, en de vacature zegt wat er gevraagd wordt.

Hoe word je OT Security Specialist?

Er zijn twee routes. Vanuit IT-beveiliging of netwerken ken je de security en leer je de installatie en het proces erbij. Vanuit automatisering, procestechniek of onderhoud ken je de installatie en leer je de beveiliging erbij. Een hbo-opleiding in ICT, elektrotechniek of werktuigbouwkunde komt op beide routes voor.

Begin met het NCSC-materiaal Aan de slag met het beveiligen van OT/IACS. Probeer elk basisprincipe te vertalen naar een voorbeeld uit de praktijk. Leer daarnaast de basis van besturingssystemen, en zoek een kans bij een IT/OT-project als je die in je eigen werk tegenkomt.

In een sollicitatiegesprek kun je laten zien: een inventaris of netwerkdiagram van een oefenopstelling met uitleg over de zones, een korte analyse van een denkbeeldige leverancierstoegang, en kennis van de basisprincipes met de reden erachter. Dit zijn stappen die je zelf kunt zetten.

Waar werk je als OT Security Specialist?

Je werkt bij organisaties met productie- of procesinstallaties, of bij ingenieursbureaus en dienstverleners die zulke installaties bouwen, integreren of beheren. Sectoren waar dit werk speelt zijn energie en infrastructuur, industrie, productie en high-tech, waterschappen en omgevingsdiensten, logistiek en mobiliteit, zorg en life sciences en food en agri. Zie de werkgeverspagina voor wie deze functie zoekt.

De Cyberbeveiligingswet (Cbw) implementeert de Europese NIS2-richtlijn en vervangt de Wbni. Volgens de Rijksoverheid gaat de wet in op 15 augustus 2026, en het NCSC verwijst op zijn OT-pagina ernaar. Voor sommige organisaties is dat een reden om hun OT-beveiliging in kaart te brengen. Welke organisaties onder de wet vallen, lees je in het artikel over NIS2 en de Cyberbeveiligingswet en bij het NCSC.

OT Security Specialist of Security Engineer?

De OT Security Specialist en de Security Engineer werken beide aan beveiliging, maar vanuit een andere kant.

De grens tussen beide rollen verschilt per organisatie, en veel OT-werk gebeurt in samenwerking met IT.

Doorgroei is mogelijk in een paar richtingen. Een Security Architect ontwerpt beveiliging voor nieuwe installaties, een Security Manager stuurt een team of programma aan, en een Network Security Engineer verdiept zich in netwerken. Wie kennis van beide kanten heeft, kan een bruggenbouwer tussen IT en OT zijn. Dit is een overzicht, geen belofte. Zie ook het vakgebied security architecture.

Vacatures en werkgevers

Bekijk de vacatures voor OT Security Specialists. Op de werkgeverspagina zie je welke werkgevers deze functie zoeken.