Industriële organisaties worden vandaag geconfronteerd met een ongekende golf aan cybersecuritywetgeving. NIS2, de Cyber Resilience Act (CRA) en de Machinery Regulation leggen elk nieuwe verplichtingen op, maar het zijn geen drie afzonderlijke problemen die los van elkaar moeten worden opgelost. Samen weerspiegelen ze een bredere evolutie naar veiligere, veerkrachtigere en betrouwbaardere industriële omgevingen.
Tijdens onze bijdrage aan Agoria's Praktische Gids voor Cybersecurity in Operational Technology (OT) kwam één vaststelling steeds opnieuw naar voren: veel organisaties benaderen deze regelgeving afzonderlijk, terwijl de onderliggende cybersecurity-uitdagingen sterk met elkaar verweven zijn.
In ons vorige artikel, De 5 grootste OT-cybersecurityrisico's voor productiebedrijven, gingen we dieper in op de belangrijkste risico's waarmee moderne productieomgevingen vandaag worden geconfronteerd. In dit derde en laatste artikel bekijken we hoe het Europese regelgevingslandschap organisaties stimuleert om die risico's aan te pakken via één geïntegreerde cybersecuritystrategie, in plaats van drie afzonderlijke complianceprojecten.
1. NIS2, de CRA en de Machinery Regulation pakken elk een andere uitdaging aan
Op het eerste gezicht lijken deze drie regelgevingen weinig met elkaar gemeen te hebben. Ze hanteren elk hun eigen terminologie, implementatietraject en wettelijke verplichtingen.
Toch vullen ze elkaar perfect aan.
-
NIS2 richt zich op organisaties. De richtlijn verplicht bedrijven in kritieke en belangrijke sectoren om hun cybersecuritygovernance te versterken, cyberrisico's actief te beheren en ernstige incidenten te melden.
-
De Cyber Resilience Act (CRA) focust op producten met digitale componenten. De wetgeving introduceert cybersecurityvereisten voor de volledige levenscyclus van verbonden producten die op de Europese markt worden gebracht.
-
De Machinery Regulation richt zich op machines zelf. Ze moet ervoor zorgen dat moderne industriële machines – inclusief verbonden en AI-gestuurde systemen – veilig worden ontworpen en gebruikt, waarbij cybersecurity een integraal onderdeel wordt van machineveiligheid.
Drie verschillende regelgevingen, maar één gezamenlijke ambitie: Industriële organisaties helpen om veilig en weerbaar te opereren in een steeds sterker verbonden wereld.
2. De grootste fout is deze regelgeving als drie afzonderlijke projecten behandelen
Wanneer organisaties geconfronteerd worden met meerdere nieuwe regelgevingen, is het logisch dat het werk wordt verdeeld over verschillende teams.
-
Compliance-specialisten richten zich op NIS2.
-
Productteams analyseren de Cyber Resilience Act.
-
Engineeringafdelingen bereiden zich voor op de Machinery Regulation.
Op het eerste gezicht lijkt dat een logische aanpak. Elke regelgeving heeft immers haar eigen terminologie, toepassingsgebied en juridische verplichtingen.
Het probleem is dat hierdoor vaak drie parallelle projecten ontstaan die uiteindelijk dezelfde onderliggende cybersecurityuitdagingen proberen op te lossen. Verschillende teams voeren afzonderlijke risicoanalyses uit, bouwen eigen documentatie op en ontwikkelen aparte governanceprocessen, terwijl ze in essentie naar hetzelfde doel werken.
In de praktijk overlappen veel van de technische en organisatorische maatregelen die deze regelgevingen vereisen. Of u zich nu voorbereidt op NIS2, de Cyber Resilience Act of de Machinery Regulation, de kans is groot dat u aan dezelfde fundamentele cybersecuritycapaciteiten werkt, zoals:
- veilige remote access;
- sterk identiteits- en toegangsbeheer;
- volledig inzicht in verbonden assets;
- netwerksegmentatie tussen IT en OT;
- detectie van en respons op cyberincidenten;
- beheer van leveranciers- en derdenrisico's.
In plaats van elke regelgeving als een afzonderlijk complianceproject te behandelen, behalen organisaties vaak betere resultaten door deze fundamentele cybersecuritycapaciteiten centraal te versterken. Dat verhoogt niet alleen de beveiliging van de organisatie, maar helpt tegelijkertijd ook om aan meerdere wettelijke verplichtingen te voldoen.
3. Eén cybersecurityprogramma ondersteunt meerdere regelgevingen
In plaats van de vraag te stellen: "Hoe voldoen we aan deze regelgeving?"
is het vaak waardevoller om te vragen: "Welke cybersecuritycapaciteiten hebben wij als organisatie nodig?"
Voor veel productiebedrijven gaat het daarbij onder meer om:
- duidelijke cybersecuritygovernance;
- volledig inzicht in alle assets;
- een veilige IT/OT-architectuur;
- gecontroleerde remote access;
- beheer van leveranciersrisico's;
- kwetsbaarhedenbeheer;
- incidentdetectie en -respons;
- cybersecuritybewustzijn bij medewerkers.
Zodra deze fundamenten aanwezig zijn, wordt het aanzienlijk eenvoudiger om aan individuele regelgevingen te voldoen.
Compliance wordt dan het resultaat van een sterke cybersecuritystrategie, en niet langer het doel op zich.
4. Frameworks helpen om regelgeving om te zetten in de praktijk
Een van de grootste uitdagingen voor organisaties is het vertalen van wettelijke verplichtingen naar concrete acties. Precies daar bewijzen erkende cybersecurityframeworks hun meerwaarde.
Afhankelijk van de context van de organisatie bieden onder meer de volgende frameworks houvast:
- IEC 62443 helpt industriële automatiserings- en besturingssystemen te beveiligen.
- CyFun vormt het Belgische cybersecurityvolwassenheidsmodel en biedt organisaties een efficiënte route om aan te tonen dat zij voldoen aan de NIS2-verplichtingen.
- ISO/IEC 27001 ondersteunt organisaties bij governance, risicobeheer en continue verbetering van hun informatiebeveiliging.
Deze frameworks moeten niet als concurrerende alternatieven worden beschouwd.
Integendeel: ze vullen elkaar aan.
Ook de Agoria-whitepaper benadrukt hoe organisaties governanceframeworks kunnen combineren met OT-specifieke standaarden om een praktisch cybersecurityprogramma uit te bouwen, in plaats van zich uitsluitend te richten op certificering.
5. Compliance moet het resultaat zijn, niet het doel
Cybersecuritywetgeving zal zich blijven ontwikkelen. Vandaag staan NIS2, de Cyber Resilience Act en de Machinery Regulation centraal, maar het is weinig waarschijnlijk dat dit de laatste regelgevingen zijn waarmee industriële organisaties rekening zullen moeten houden. Tegelijkertijd zullen de snelle opmars van artificiële intelligentie, steeds slimmer verbonden machines en verder digitaliserende supply chains zowel de opportuniteiten als de risico's voor productiebedrijven blijven veranderen.
Organisaties die elke nieuwe regelgeving als een afzonderlijk complianceproject benaderen, lopen het risico voortdurend achter de feiten aan te lopen. Elke nieuwe verplichting vraagt opnieuw om risicoanalyses, documentatie en implementatieprojecten, terwijl vaak exact dezelfde onderliggende cybersecurityuitdagingen worden aangepakt.
Een duurzamere aanpak bestaat erin om te investeren in sterke cybersecurityfundamenten. Door te bouwen aan robuuste governance, veilige IT/OT-architecturen, doeltreffend risicobeheer en goed uitgewerkte operationele processen creëren organisaties capaciteiten die tegelijkertijd bijdragen aan meerdere wettelijke verplichtingen.
Met andere woorden: Compliance mag niet het doel zijn, maar moet het natuurlijke gevolg zijn van een volwassen cybersecuritystrategie. Organisaties die deze visie omarmen, zullen niet alleen gemakkelijker voldoen aan de regelgeving van vandaag, maar zijn ook beter voorbereid op toekomstige wetgeving én een voortdurend evoluerend dreigingslandschap.
De kern van de zaak
Hoewel NIS2, de Cyber Resilience Act en de Machinery Regulation elk hun eigen wettelijke verplichtingen introduceren, sturen ze organisaties allemaal in dezelfde richting: sterkere cybersecurity, betere governance en veerkrachtigere industriële processen.
In plaats van zich af te vragen met welke regelgeving ze als eerste moeten beginnen, is het vaak waardevoller om eerst te bepalen welke cybersecuritycapaciteiten de organisatie moet versterken.
Denk daarbij aan domeinen zoals governance, een veilige IT/OT-architectuur, inzicht in assets, leveranciersrisicobeheer en incidentrespons. Deze vormen niet de basis voor één specifieke regelgeving, maar voor meerdere wettelijke kaders tegelijk.
Door te investeren in deze fundamenten maken organisaties niet alleen de naleving van de huidige regelgeving eenvoudiger, maar bouwen ze ook de cyberweerbaarheid op die nodig is om toekomstige dreigingen en nieuwe wetgeving het hoofd te bieden.
Hoe Easi uw OT-cybersecuritystrategie ondersteunt
Bij Easi helpen we organisaties hun volledige IT/OT-ecosysteem te beveiligen. Onze aanpak omvat onder meer:
- OT Security Assessments
- Netwerksegmentatie
- Veilige remote access-oplossingen
- Continue monitoring en incidentrespons
👉 Ontdek meer over onze aanpak rond IT security en OT security
👉 Neem contact met ons op voor advies op maat
.png?width=200&height=200&name=GNEY%20(1).png) |
|
Gerrit Neyrinck |
Easi x Agoria: Praktische Gids voor Cybersecurity in Operational Technology
Met dit artikel sluiten we onze driedelige reeks over OT-cybersecurity af, geïnspireerd door onze bijdrage aan Agoria's Praktische Gids voor Cybersecurity in Operational Technology (OT).
In deze reeks gingen we dieper in op:
- waarom OT-cybersecurity niet langer alleen een IT-probleem is;
- de vijf grootste OT-cybersecurityrisico's waarmee productiebedrijven vandaag worden geconfronteerd;
- hoe industriële organisaties NIS2, de Cyber Resilience Act en de Machinery Regulation kunnen benaderen vanuit één geïntegreerde cybersecuritystrategie.
Bent u op zoek naar een beknopt overzicht van OT-cybersecurity, de actuele Europese regelgeving en praktische richtlijnen voor industriële organisaties?
De Agoria-whitepaper bundelt de belangrijkste concepten, risico's en raamwerken die elke leidinggevende binnen de maakindustrie zou moeten kennen.
> Download de whitepaper hier <
.png)
