Security in energie en infrastructuur

Welke wetten en kaders gelden voor energie en digitale infrastructuur?

De belangrijkste wet is de Cyberbeveiligingswet (Cbw). Volgens het NCSC is de wet op 15 augustus 2026 in werking getreden en geldt ze voor ruim 8.000 organisaties. De Cbw implementeert de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Meer over de wet en de richtlijn lees je in het artikel over NIS2 en de Cbw, en de vacatures met NIS2 laten zien waar de wet in functies terugkomt.

Bijlage 1 van de Cbw noemt energie als sector met vijf deelsectoren: elektriciteit, stadsverwarming en stadskoeling, aardolie, aardgas en waterstof. Onder digitale infrastructuur noemt dezelfde bijlage onder meer internetknooppunten, DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten en aanbieders van netwerken voor de levering van inhoud.

De Wet weerbaarheid kritieke entiteiten (Wwke) is een aparte wet. Ze implementeert de Europese CER-richtlijn en heeft een ander doel: kritieke infrastructuur beschermen tegen dreigingen zoals terroristische misdrijven, sabotage en natuurrampen. Voor de verplichtingen verwijst Rijksoverheid.nl naar NCTV.nl. Een organisatie kan met beide wetten te maken hebben, maar de Cbw gaat over de cyberbeveiliging van netwerk- en informatiesystemen.

Voor elektriciteit bestaat daarnaast de netcode voor cyberbeveiliging. Dat is de Gedelegeerde Verordening (EU) 2024/1366 van de Commissie van 11 maart 2024. Ze vult Verordening (EU) 2019/943 over de interne markt voor elektriciteit aan met sectorspecifieke regels voor de cyberbeveiligingsaspecten van grensoverschrijdende elektriciteitsstromen. De uitvoering in Nederland is apart geregeld en staat in de officiële bronnen.

Vervoer en drinkwater zijn in de Cbw aparte sectoren. Dit artikel richt zich op energie en digitale infrastructuur.

Wie houdt toezicht op de sector?

De Rijksinspectie Digitale Infrastructuur (RDI) is de toezichthouder voor energie en voor digitale infrastructuur. Het NCSC is het CSIRT voor deze sectoren. Het helpt bij dreigingen en incidenten, maar het houdt geen toezicht. Wie bij een toezichthouder kan aankloppen en wie hulp krijgt bij een incident, zijn daarom twee verschillende contacten.

Voor de zwaarste categorie entiteiten geldt toezicht vooraf en achteraf. Bij toezicht vooraf beoordeelt de toezichthouder of de processen op orde zijn. Bij toezicht achteraf gebeurt dat na een incident of bij signalen, en voor belangrijke entiteiten geldt alleen dat laatste. Met de zelfevaluatie van de RDI controleert een organisatie zelf of ze onder de Cbw valt.

Wat vraagt de Cyberbeveiligingswet van een organisatie in deze sector?

Artikel 21 van de Cbw verplicht tot passende en evenredige technische, operationele en organisatorische maatregelen. Die maatregelen moeten passen bij de risico's voor de netwerk- en informatiesystemen, rekening houdend met de stand van de techniek, de uitvoeringskosten, de blootstelling aan risico's en de omvang en ernst van mogelijke incidenten. De wet noemt onderwerpen zoals risicoanalyse, incidentenbehandeling, cryptografie, toegangsbeleid en opleiding.

In deze sector komen drie onderwerpen uit die lijst het zwaarst naar voren. Bij bedrijfscontinuïteit denk je na over wat moet blijven werken als systemen uitvallen en hoe je herstelt. Bij de toeleveringsketen gaan leveranciers van besturingssystemen, onderhoudspartijen en clouddiensten mee in de risicoanalyse. Bij toegang houd je bij wie waar bij kan, ook leveranciers op afstand.

In het materiaal over het beveiligen van OT schrijft het NCSC dat toegang voor gebruikers alleen mogelijk hoort te zijn met multifactorauthenticatie, dat alle andere toegang standaard uitgeschakeld is en dat toegang op afstand wordt gelogd en regelmatig wordt beoordeeld. Bij uitbesteding blijft de organisatie die de systemen bezit verantwoordelijk voor de beveiliging.

Het bestuur keurt de maatregelen goed. Elk bestuurslid heeft kennis en vaardigheden om risico's en maatregelen te beoordelen en houdt die aantoonbaar actueel, onder meer met een trainingscertificaat (artikel 24). Volgens de RDI geldt dit voor uitvoerende bestuurders. Zittende bestuurders moeten uiterlijk medio 2028 de juiste kennis en vaardigheden hebben, nieuwe bestuursleden twee jaar na hun benoeming.

De meldplicht voor significante incidenten staat in de artikelen 25 tot en met 29. Een incident is significant als het een ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of als het andere entiteiten treft of kan treffen met aanzienlijke materiële of immateriële schade. De termijnen lopen vanaf het moment dat je kennis krijgt van het incident.

Omdat de klok loopt vanaf het moment dat je het incident kent, helpt het als vooraf duidelijk is wie beoordeelt of iets significant is, wie meldt en wie het bestuur informeert. Dat is een voorbeeld van een werkwijze, geen wettelijke taakverdeling.

Organisaties die onder de Cbw vallen, registreren zich in het entiteitenregister via Mijn.NCSC.nl. Volgens de RDI is registratie verplicht sinds 15 augustus 2026 en is de organisatie zelf verantwoordelijk voor tijdige registratie.

Wat is OT-security en waarom is het hier anders?

Operationele technologie (OT) is volgens het NCSC een verzamelnaam voor systemen die processen in de fysieke wereld sturen, zoals het uitlezen van sensoren of het aan- en uitzetten van een pomp op basis van een voorwaarde. OT-security beschermt die systemen. Wie daar mee wil werken, kan beginnen met het artikel over de OT Security Specialist.

Het werk verschilt ook per kant van de sector. Bij organisaties die energie opwekken, transporteren of verdelen staan naast de kantoor-IT installaties met besturingssystemen. Bij aanbieders van datacenters, cloud of netwerken gaat het om de beschikbaarheid en beveiliging van diensten waar andere organisaties op draaien. Beide kunnen onder de Cbw vallen. Als een dienst uitvalt waar anderen van afhankelijk zijn, heeft dat gevolgen buiten de eigen organisatie. Dat is de gedachte achter een wet voor kritieke sectoren.

Het NCSC noemt twee uitdagingen. De hard- en software van OT heeft vaak een veel langere levensduur dan IT-systemen. Na enkele jaren wordt de software vaak niet meer doorontwikkeld en worden kwetsbaarheden vaak niet meer verholpen. Ook heerst er vaak een andere cultuur en een ander bewustzijn van elkaars prioriteiten en methodieken tussen IT- en OT-teams. IT beschermt vooral gegevens, OT beschermt vooral een proces. Bij sommige installaties gaan veiligheid en beschikbaarheid voor, kan onderhoud alleen op afgesproken momenten en wordt een wijziging eerst getest. Een patch uitrollen zoals op een laptop kan op zo'n installatie vaak niet. Dan helpt een combinatie van segmenteren, toegang beperken en bewaken.

Het NCSC noemt vijf basisprincipes in het materiaal over het beveiligen van OT: breng je risico's in kaart, bevorder veilig gedrag, bescherm systemen, applicaties en apparaten, beheer toegang tot data en diensten, en bereid je voor op incidenten. Voor de bredere standaard die het NCSC als verwijzing gebruikt, zie de skill IEC 62443.

Welke standaarden en richtlijnen gebruik je?

IEC 62443 is een reeks normen voor de cyberbeveiliging van industriële automatiserings- en besturingssystemen (IACS) gedurende hun levenscyclus. De IEC ontwikkelt de reeks samen met ISA99, en volgens de IEC heeft ook de energiesector de reeks overgenomen. De delen vallen in vier clusters: algemene concepten, beleid en procedures, systeemniveau en componenten. In gewone taal is het een afsprakenreeks over hoe je een besturingssysteem veilig bouwt, inricht en onderhoudt. De normen onderscheiden vier stakeholdergroepen: asset owners (eindgebruikers), leveranciers van automatiseringsproducten, integrators en serviceleveranciers.

Op systeemniveau deel je een installatie op in zones, groepen die samen worden beschermd, en conduits, de verbindingen daartussen. Per zone en per conduit bepaal je het risico. Het artikel over IEC 62443 legt de reeks verder uit.

NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security, verscheen in september 2023. NIST geeft er richtlijnen mee om OT te beveiligen met oog voor de eigen eisen aan prestaties, betrouwbaarheid en veiligheid. Organisaties kunnen deze richtlijn als naslagwerk gebruiken.

In de artikelen over de zorgplicht noemt de Cbw geen specifieke norm. Een organisatie kan een kader als hulpmiddel kiezen, bijvoorbeeld ISO 27001 of, voor OT, IEC 62443. Een norm of certificaat is daarmee niet hetzelfde als voldoen aan de wet. Een kader als het NIST Cybersecurity Framework helpt om de maatregelen te ordenen.

Welke functies horen bij security in energie en infrastructuur?

Deze functies passen bij security-werk in energie en digitale infrastructuur. De namen en grenzen verschillen per organisatie.

• OT Security Specialist: beveiligt de systemen die een fysiek proces aansturen, brengt installaties en netwerken in kaart, regelt de toegang van leveranciers en werkt samen met operators en onderhoud. Lees de rolgids.
• Security Architect: ontwerpt de beveiliging van nieuwe installaties, netwerken of platformen, zodat zonering, toegang en herstel erin zitten. Dit past bij ontwerpvragen als een nieuwe locatie of een nieuw platform. Zie ook het vakgebied security architecture.
• Network Security Engineer: richt segmentatie, firewalls en verbindingen tussen het kantoornetwerk en het installatienetwerk in en bewaakt die. Bij digitale infrastructuur gaat het ook om de beveiliging van het eigen netwerk waar klanten op draaien.
• Cloud Security Engineer: vooral bij aanbieders van cloud- en datacenterdiensten en bij organisaties die diensten in de cloud draaien.
• Incident Responder en SOC-analist: detecteren en beoordelen incidenten en leveren de feiten voor een melding binnen de termijnen. Bij organisaties met installaties werken zij samen met de mensen die de installatie kennen.
• Business Continuity Manager: houdt bij wat moet blijven werken, hoe herstel verloopt en hoe het crisisbeheer is geregeld. Dit past bij het onderdeel bedrijfscontinuïteit van artikel 21.
• Information Security Officer en CISO: coördineren het beleid, rapporteren aan het bestuur en bewaken de verbinding met de incidentmelding. De CISO is eindverantwoordelijk voor de strategie en traint het bestuur.
• Compliance Officer: vertaalt de wet naar beleid, regelt de registratie en het contact met de toezichthouder en bewaakt het bewijs van de maatregelen.

Wie hier wil beginnen, kan vanuit IT-beveiliging of netwerken de installatiekant leren, of vanuit automatisering of procestechniek de beveiligingskant. Het NCSC-materiaal over OT is een bruikbaar begin. Voor certificeringen per functie kijk je naar het keuzeartikel over certificeringen.

Bekijk vacatures in deze sector. Op de werkgeverspagina vind je organisaties die in deze sector security-functies hebben, en op werkgevers OT Security Specialist organisaties die deze functie hebben.

Hoe verschilt een werkdag van andere sectoren?

Stel dat een SOC-analist op een vrijdagavond ongebruikelijk verkeer ziet vanaf een beheerserver naar het netwerk van een installatie. De analist roept de dienstdoende OT-specialist erbij, die samen met de operator op locatie nagaat of er onderhoud gepland was. Er was geen onderhoud. Het team isoleert de verbinding van de leverancier, de incident responder zet het incident in het register, en de CISO beoordeelt samen met de compliance officer of het significant is. Daarna kan de vroegtijdige waarschuwing binnen de termijn worden verstuurd. Dit is een fictief voorbeeld, en de taakverdeling verschilt per organisatie.

Het werkritme van de installatiekant is anders dan dat van een kantoor. Je werkt samen met operators en onderhoudsmensen, plant werk op afgesproken onderhoudsmomenten en houdt je aan veiligheidsregels op locatie. Het artikel over banken en verzekeraars en het artikel over de overheid laten zien hoe het in de zustersectoren gaat.

Het sectorkader verschilt per sector. Bij banken en verzekeraars is DORA het sectorspecifieke kader, met toezicht door DNB en AFM. Bij de overheid speelt de BIO. In energie en digitale infrastructuur is de Cbw het hoofdkader, met de RDI als toezichthouder.