De financiële impact van cybersecurity-incidenten in de operationele technologie (OT) rijzen de pan uit. In het slechtste scenario kunnen OT-cyberincidenten wereldwijd tot wel 329,5 miljard dollar kosten, met Europa als een van de kwetsbaarste regio’s. Onlangs nog moest Jaguar Land Rover zijn productie- en verkoopactiviteiten stilleggen na een cyberaanval. Fabrieken stonden stil, voertuigen konden niet worden geregistreerd – en dat midden in een van de drukste weken van het jaar.
Martijn Bax System Architectuur Engineer Industrial Automation Business.
Het blijft niet alleen bij de maakindustrie. Grote Europese luchthavens, waaronder Brussel en Londen, werden getroffen door ransomware die incheck- en boardingsystemen platlegde. Luchtvaartmaatschappijen moesten overschakelen op handmatige processen en tientallen vluchten annuleren of vertragen. Cyberdreigingen zijn dus geen toekomstmuziek meer, maar een directe uitdaging voor elke industriële organisatie.
Om de cyberweerbaarheid te vergroten, scherpt Europa de regelgeving aan met de NIS2-richtlijn. De huidige verwachting is dat deze Cyberbeveiligingswet in Nederland in werking zal treden in het tweede kwartaal van 2026. Daarmee verschuift cybersecurity van een puur technische kwestie naar een bestuurlijke en strategische verantwoordelijkheid. De urgentie is duidelijk: in het tweede kwartaal van 2025 nam het aantal wereldwijde cyberaanvallen met zo’n 21% toe ten opzichte van het jaar ervoor, waarbij Europa de sterkste stijging liet zien.
NIS2 is meer dan een nalevingsplicht. Het markeert een kantelpunt in hoe Europese industriële leiders en internationale bedrijven met Europese vestigingen omgaan met OT-beveiliging. De richtlijn dwingt organisaties niet alleen tot compliance, maar stimuleert ook het ontwikkelen van een duurzaam en toekomstbestendig beveiligingskader. Door verantwoordelijkheid op bestuursniveau te leggen en zichtbaarheid te waarborgen in de hele toeleveringsketen, maakt NIS2 cybersecurity een essentieel onderdeel van operationele veerkracht.
OT-beveiliging wordt een bestuurszaak
Traditioneel werden operationele systemen zoals in fabrieken, energiecentrales en waterzuiveringen los van IT beheerd, vaak zonder centrale coördinatie. NIS2 brengt daar verandering in. De verantwoordelijkheid voor beveiliging ligt voortaan ook bij de directie, met duidelijke aansprakelijkheid bij incidenten. Een datalek of aanval is dus niet langer alleen een technisch probleem, maar ook een bestuurlijke fout met operationele gevolgen. Cybersecurity, wat voorheen vooral een kostenpost was, is nu een strategisch speerpunt.
De zwakste schakel beveiligen: de toeleveringsketen
Een van de grootste veranderingen die NIS2 meebrengt, is de uitbreiding van de ‘all-hazards’-aanpak buiten de eigen organisatie. Industriële bedrijven moeten voortaan ook toezien op de cyberhygiëne van leveranciers, systeemintegratoren en OEM’s die met hun processen verbonden zijn. Door de toenemende digitalisering zijn ketens nauwer verweven dan ooit; elk zwak punt vormt een potentieel risico.
Zo’n 60% van alle datalekken ontstaat extern. Dat onderstreept hoe belangrijk samenwerking en bestuur zijn. Bedrijven moeten hun partners dan ook aan dezelfde veiligheidsnormen houden als die voor henzelf gelden.
Een kleine fout kan grote gevolgen hebben: een technicus die een PLC bijwerkt met een onbeveiligde USB-stick kan onbedoeld malware verspreiden door het hele systeem. Daarom schrijft NIS2 voor dat inkoop- en leveranciersprocessen worden herzien. Zo kan beveiliging structureel wordenopgenomen in contracten en aanbestedingen. Het doel is de keten te versterken, niet te verzwakken.
Van audits naar geautomatiseerde weerbaarheid
De verplichte meldtermijnen van 24 en 72 uur onder NIS2 zijn niet haalbaar met handmatige controles. Veel oudere OT-systemen zijn immers ontworpen voor beschikbaarheid, niet voor logging of realtime waarschuwingen. Automatisering en continue monitoring zijn dus essentieel om compliant te blijven.
Dat vraagt om tools die realtime inzicht bieden in OT-netwerken, gekoppeld aan een centraal Security Operations Center (SOC). Ook moeten duidelijke incident-response-protocollen en werkprocessen aanwezig zijn, zodat incidenten snel kunnen worden opgespoord, beperkt en gemeld. Automatisering verhoogt de weerbaarheid, mits ingebed in een geïntegreerde governance aanpak.
Link magazine november 2025. Thema: Leiderschap in onzekere tijden. Cover Richard van den Brink Global Factories. Lees het artikel digital of vraag exemplaar op bij mireille.vanginkel@linkmagazine.nl
Cyberbewustzijn als onderdeel van de bedrijfscultuur
Technologie is slechts één kant van de medaille. Zelfs de beste tools helpen niet als medewerkers zich niet bewust zijn van hun rol in cybersecurity. NIS2 benadrukt daarom het belang van cultuur: cyberbewustzijn moet net zo vanzelfsprekend worden als veiligheidstraining.
Dat vraagt om continue opleiding, van directiekamer tot werkvloer. Iedereen binnen de organisatie moet:
- begrijpen waarom beveiligingsbeleid belangrijk is;
- vertrouwen hebben in de processen;
- zich verantwoordelijk voelen om als ‘menselijke firewall’ op te treden.
- Zo verandert de bedrijfscultuur stap voor stap van reactief naar actief risicobeheer.
Van compliance naar vertrouwen
NIS2 luidt een nieuw tijdperk in voor industriële cybersecurity in Europa en daarbuiten. De richtlijn verschuift de verantwoordelijkheid naar de hoogste bestuurslagen, breidt deze uit naar de hele keten en rust op 3 pijlers: bestuur, cultuur en automatisering. Hoewel de invoering per EU-lidstaat verschilt, zullen organisaties die nu al best practices toepassen beter voorbereid zijn wanneer de naleving strenger gaat worden gehandhaafd.
Uiteindelijk is NIS2-compliance geen einddoel, maar het resultaat van een sterke cybersecuritystrategie. Wie bestuur, monitoring en samenwerking structureel integreert, werkt structureel toe naar NIS2 compliance. Het echte doel is daarbij niet alleen naleving, maar het verankeren van cyberveiligheid in de dagelijkse praktijk.
