In dit artikel8
Welke wetten en kaders gelden voor industrie en productie?
De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 in werking en implementeert de Europese NIS2-richtlijn. Bijlage 2 noemt onder vervaardiging de fabrikanten van medische hulpmiddelen en de ondernemingen in NACE Rev. 2-afdelingen 26 tot en met 30, van informaticaproducten tot andere transportmiddelen. Chemische stoffen en levensmiddelen staan er ook in. Zie het artikel over NIS2 en de Cyberbeveiligingswet en het overzicht bij NIS2.
De Wet weerbaarheid kritieke entiteiten (Wwke) is een aparte wet. Ze implementeert de Europese CER-richtlijn en beschermt kritieke infrastructuur tegen onder meer sabotage. Volgens Rijksoverheid.nl geldt ze voor ongeveer 500 organisaties en noemt ze productie als sector.
De Cyber Resilience Act (CRA) is de Europese verordening voor producten met digitale elementen. Wat die voor fabrikanten betekent, staat verderop. Het CRA-artikel geeft het overzicht.
Zo ontstaat de tweedeling waar dit artikel op rust. De Cbw gaat over de organisatie en haar netwerk- en informatiesystemen, zoals de fabriek. De CRA gaat over het product dat op de markt komt. Een bedrijf kan met beide te maken hebben.
Wie houdt toezicht op productiebedrijven?
Voor vervaardiging is de Rijksinspectie Digitale Infrastructuur (RDI) de toezichthouder, behalve voor medische apparatuur. De andere onderdelen vallen onder deze toezichthouders:
- Chemie: Inspectie Leefomgeving en Transport (ILT)
- Levensmiddelen: Nederlandse Voedsel- en Warenautoriteit (NVWA)
- Medische hulpmiddelen: Inspectie Gezondheidszorg en Jeugd (IGJ)
Het NCSC is het CSIRT voor al deze sectoren. Dat helpt bij dreigingen en incidenten en is niet bedoeld voor toezicht. Voor de zwaarste categorie entiteiten geldt toezicht vooraf en achteraf, voor belangrijke entiteiten alleen achteraf. De Zelfevaluatie van de RDI helpt bepalen of de Cbw voor jouw organisatie geldt. Welke fabrikant onder de wet valt, hangt af van het type activiteit en van de grootte. Voor de CRA beschrijft de RDI wat fabrikanten moeten doen, en in Nederland meldt een fabrikant bij het NCSC.
Wat vraagt de Cyberbeveiligingswet van een productiebedrijf?
Artikel 21 is de zorgplicht. Een entiteit neemt passende en evenredige technische, operationele en organisatorische maatregelen om risico's voor haar netwerk- en informatiesystemen te beheersen. Het niveau past bij de risico's, de stand van de techniek en de ernst van mogelijke incidenten.
In een fabriek zijn een paar onderdelen direct herkenbaar. Bedrijfscontinuïteit, met back-upbeheer en herstelplannen, is er een van: een stilgevallen lijn is een continuïteitsprobleem. De wet vraagt ook om beveiliging van de toeleveringsketen, om beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen en om toegangsbeleid. Bij leveranciers neem je hun specifieke kwetsbaarheden en veilige ontwikkelprocedures mee.
Het bestuur keurt de maatregelen goed, en elk bestuurslid beschikt aantoonbaar over kennis en vaardigheden (artikel 24). Volgens de RDI geldt dat voor uitvoerende bestuurders, en uiterlijk medio 2028 voor zittende bestuurders. Een significant incident meld je in drie stappen.
Stap | Termijn |
|---|---|
Vroegtijdige waarschuwing aan het CSIRT en de bevoegde autoriteit | Onverwijld, of binnen 24 uur nadat de entiteit kennis heeft gekregen |
Melding | Binnen 72 uur |
Eindverslag | Uiterlijk één maand na de melding |
Een tussentijds verslag volgt op verzoek (artikel 28). Registreren in het entiteitenregister via Mijn.NCSC.nl is volgens de RDI verplicht sinds 15 augustus 2026. Evenredig betekent dat het niveau past bij de risico's van jouw organisatie, niet dat elk bedrijf dezelfde maatregelen krijgt.
Wat betekent de Cyber Resilience Act voor fabrikanten?
De CRA geldt voor software- en hardwareproducten met digitale elementen. De Europese Commissie noemt als voorbeelden babyfoons, slimme horloges, apps en computerprogramma's. Fabrikanten voldoen aan cyberbeveiligingseisen bij de planning, het ontwerp, de ontwikkeling en het onderhoud. De data op een rij:
Datum | Wat gaat dan in |
|---|---|
10 december 2024 | De CRA treedt in werking |
11 september 2026 | De meldverplichtingen gelden |
11 december 2027 | De belangrijkste verplichtingen gelden |
De meldplicht heeft drie stappen: een vroegtijdige waarschuwing binnen 24 uur nadat de fabrikant kennis heeft gekregen, een melding binnen 72 uur, en een eindverslag. Het eindverslag komt uiterlijk 14 dagen nadat een corrigerende maatregel beschikbaar is bij een actief uitgebuite kwetsbaarheid, en binnen een maand na de melding van 72 uur bij een ernstig incident. Het proces erachter hoort bij incident response.
Het centrale meldplatform van ENISA, het Single Reporting Platform, is operationeel sinds 11 september 2026. In Nederland meldt een fabrikant bij het NCSC, via Mijn NCSC of het online meldformulier. Het wetsvoorstel Uitvoeringswet verordening cyberweerbaarheid (36875) is op 10 september 2026 door de Tweede Kamer aangenomen. Stand op de controledatum 5 november 2026: het ligt in de Eerste Kamer in schriftelijke voorbereiding.
Volgens de RDI richt een fabrikant een proces in om kwetsbaarheden te verwerken en te reageren met een beveiligingsupdate. Hij biedt updates voor de verwachte levensduur van het product, laat een conformiteitsbeoordeling uitvoeren en brengt de CE-markering aan.
Een PSIRT (product security incident response team) behandelt meldingen over kwetsbaarheden in het eigen product. Een softwarestuklijst (SBOM) is een lijst van de componenten in je software, ook open source, en laat zien of een nieuwe kwetsbaarheid het product raakt. Bij gecoördineerde openbaarmaking meldt een onderzoeker een kwetsbaarheid privé aan de fabrikant, die het proces beheert voordat het openbaar wordt. Het afhandelen van kwetsbaarheden hoort bij vulnerability management.
Wat is OT-security in een fabriek?
Operationele technologie (OT) is de verzamelnaam voor systemen die processen in de fysieke wereld sturen, zoals het uitlezen van sensoren of het aan- of uitzetten van een pomp op basis van een voorwaarde. Robots in een fabriek, liften en toegangspoortjes noemt het NCSC als voorbeelden. Het NCSC noemt twee uitdagingen. De hard- en software heeft vaak een veel langere levensduur dan IT-systemen, en na enkele jaren wordt de software vaak niet meer doorontwikkeld en worden kwetsbaarheden vaak niet meer verholpen. Daarnaast heerst er vaak een andere cultuur en een ander bewustzijn van elkaars prioriteiten en methodieken.
In "Aan de slag met het beveiligen van OT/IACS" noemt het NCSC vijf basisprincipes:
- breng je risico's in kaart
- bevorder veilig gedrag
- bescherm systemen, applicaties en apparaten
- beheer toegang tot data en diensten
- bereid je voor op incidenten
Toegang voor gebruikers hoort alleen met multifactorauthenticatie te kunnen, en toegang op afstand wordt gelogd en regelmatig beoordeeld. Bij uitbesteding blijft de eigenaar van de systemen verantwoordelijk. Machines kunnen worden onderhouden door de bouwer of een leverancier, soms op afstand. Voor een fabriek horen machinebouwers, integrators en onderhoudspartijen dus ook bij de beveiliging.
Het verschil met kantoor-IT zit in het proces. Een stilstaande lijn kost productie, dus onderhoud wordt gepland en een nieuwe patch wordt eerst getest. Bij sommige installaties gaat de veiligheid van mensen en machines boven alles. Bij IT en OT die met elkaar zijn verbonden, kan de OT Security Specialist de bruggenbouwer zijn tussen IT-beveiliging en de afdelingen techniek en onderhoud. Meer over dat werk staat in het rolartikel over de OT Security Specialist.
Welke standaarden en richtlijnen horen erbij?
IEC 62443 is een reeks normen voor de cyberbeveiliging van industriële automatiserings- en besturingssystemen (IACS) gedurende de levenscyclus, ontwikkeld door de IEC samen met ISA99. De delen vallen in vier clusters: algemene concepten, beleid en procedures, systeemniveau en componenten. Op systeemniveau deel je een installatie op in zones en conduits en bepaal je per zone en per conduit het risico. Lees het artikel over IEC 62443 en de skill IEC 62443.
De componentkant van de reeks gaat over een veilig ontwikkelproces en technische beveiligingseisen. Daar past een fabrikant van machines of besturingsproducten bij. NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security, verscheen in september 2023 en is een richtlijn van het Amerikaanse NIST voor OT-beveiliging, bruikbaar als naslagwerk. Het NCSC verwijst in zijn OT-materiaal voor meer informatie naar IEC 62443. Als hulpmiddel bij het ordenen van maatregelen kun je ook het NIST Cybersecurity Framework gebruiken.
De Cbw schrijft geen specifieke norm voor, en de CRA stelt eigen eisen aan producten.
Welke functies horen bij security in industrie en productie?
De grens tussen fabriek en product verschilt per organisatie, en kleinere bedrijven kunnen rollen combineren. Aan de fabriekskant horen deze functies:
- OT Security Specialist: beveiligt de besturing en het productienetwerk, regelt leverancierstoegang en werkt samen met operators en onderhoud.
- Network Security Engineer: segmentatie tussen kantoor- en productienetwerk, firewalls en bewaking, zie network security.
- Security Architect: beveiliging ontwerpen voor nieuwe lijnen of locaties.
- Incident Responder en SOC-analist: detecteren en beoordelen, bij een fabriek samen met de mensen van de installatie.
- Information Security Officer en Compliance Officer: beleid, Cbw-registratie en contact met de toezichthouder.
Aan de productkant horen deze functies:
- Application Security Engineer: bouwt security in het ontwikkelproces, zie application security.
- Security Engineer: veilig verspreiden van updates in de product- en bouwomgeving.
- Penetration Tester: toetst of een product of installatie standhoudt, alleen met toestemming en binnen de afgesproken scope.
- GRC-consultant: technische documentatie, conformiteitsbeoordeling en CE-markering op orde houden.
- Third Party Risk Manager: leveranciers van componenten en machines meenemen in de risicoanalyse.
Vacatures staan op de sectorpagina industrie, productie en high-tech. Werkgevers vind je op de werkgeverspagina, en voor OT-functies op de werkgeverspagina voor de OT Security Specialist.
Hoe verschilt een werkdag van andere sectoren?
Stel dat een machinebouwer op afstand een besturing wil bijwerken. Tot nu toe liep dat via een permanente verbinding. De OT Security Specialist spreekt met de leverancier en de productieleider af dat de verbinding alleen openstaat tijdens gepland onderhoud, met multifactorauthenticatie en logging. De productieleider ziet in het onderhoudsplan wanneer de lijn stilstaat.
Stel dat een onderzoeker via het contactadres van een fabrikant een kwetsbaarheid in de software van een apparaat meldt. De product security-medewerker bevestigt de ontvangst en laat engineering de kwetsbaarheid reproduceren. Zijn er aanwijzingen dat die actief wordt uitgebuit, dan volgt binnen 24 uur een waarschuwing onder de CRA. De taakverdeling verschilt per bedrijf.
Kantoor-IT draait om gegevens en gebruikers, een fabriek om een proces en om apparatuur die lang meegaat. Bij banken en verzekeraars is DORA het sectorspecifieke kader, zie security bij banken en verzekeraars.
Wie uit IT-beveiliging of netwerken komt, kan de installatiekant leren. Wie uit automatisering of procestechniek komt, kan de beveiligingskant leren. Het keuzeartikel over certificeringen per functie helpt bij de keuze. Meer begrippen vind je in de kennisbank.
Valt een productiebedrijf onder de Cyberbeveiligingswet?
Dat hangt af van het type activiteit en van de grootte van de organisatie. Bijlage 2 noemt onder vervaardiging onder meer de ondernemingen in NACE Rev. 2-afdelingen 26 tot en met 30. Met de Zelfevaluatie van de RDI kun je nagaan of de wet voor jouw organisatie geldt.
Wie houdt toezicht op de industrie?
Voor vervaardiging, behalve medische apparatuur, is de RDI de toezichthouder. De ILT houdt toezicht op chemie, de NVWA op levensmiddelen en de IGJ op medische hulpmiddelen. Het NCSC is het CSIRT voor deze sectoren en houdt geen toezicht.
Wat is het verschil tussen de Cyberbeveiligingswet en de Cyber Resilience Act?
De Cbw gaat over de organisatie en haar netwerk- en informatiesystemen, de CRA over het product dat op de markt komt. De Europese Commissie schrijft dat de CRA de NIS2-richtlijn aanvult. Een productiebedrijf kan met beide te maken hebben.
Wat is OT-security in een fabriek?
OT-security beveiligt de systemen die processen in de fysieke wereld sturen, zoals robots, sensoren en besturingskasten. Die systemen hebben vaak een veel langere levensduur dan IT-systemen. Onderhoud wordt gepland omdat een stilstaande lijn productie kost.
Welke functies passen bij security in de industrie?
Je kiest tussen de fabriekskant, met rollen als OT Security Specialist en Network Security Engineer, en de productkant, met rollen als Application Security Engineer en Penetration Tester. De rolgids voor de Application Security Engineer helpt bij de keuze voor de productkant.