Industriële organisaties worden vandaag geconfronteerd met een ongekende golf aan cybersecuritywetgeving. NIS2, de Cyber Resilience Act (CRA) en de Machinery Regulation leggen elk nieuwe verplichtingen op, maar het zijn geen drie afzonderlijke problemen die los van elkaar moeten worden opgelost. Samen weerspiegelen ze een bredere evolutie naar veiligere, veerkrachtigere en betrouwbaardere industriële omgevingen.
Tijdens onze bijdrage aan Agoria's Praktische Gids voor Cybersecurity in Operational Technology (OT) kwam één vaststelling steeds opnieuw naar voren: veel organisaties benaderen deze regelgeving afzonderlijk, terwijl de onderliggende cybersecurity-uitdagingen sterk met elkaar verweven zijn.
In ons vorige artikel, De 5 grootste OT-cybersecurityrisico's voor productiebedrijven, gingen we dieper in op de belangrijkste risico's waarmee moderne productieomgevingen vandaag worden geconfronteerd. In dit derde en laatste artikel bekijken we hoe het Europese regelgevingslandschap organisaties stimuleert om die risico's aan te pakken via één geïntegreerde cybersecuritystrategie, in plaats van drie afzonderlijke complianceprojecten.
Op het eerste gezicht lijken deze drie regelgevingen weinig met elkaar gemeen te hebben. Ze hanteren elk hun eigen terminologie, implementatietraject en wettelijke verplichtingen.
Toch vullen ze elkaar perfect aan.
NIS2 richt zich op organisaties. De richtlijn verplicht bedrijven in kritieke en belangrijke sectoren om hun cybersecuritygovernance te versterken, cyberrisico's actief te beheren en ernstige incidenten te melden.
De Cyber Resilience Act (CRA) focust op producten met digitale componenten. De wetgeving introduceert cybersecurityvereisten voor de volledige levenscyclus van verbonden producten die op de Europese markt worden gebracht.
De Machinery Regulation richt zich op machines zelf. Ze moet ervoor zorgen dat moderne industriële machines – inclusief verbonden en AI-gestuurde systemen – veilig worden ontworpen en gebruikt, waarbij cybersecurity een integraal onderdeel wordt van machineveiligheid.
Drie verschillende regelgevingen, maar één gezamenlijke ambitie: Industriële organisaties helpen om veilig en weerbaar te opereren in een steeds sterker verbonden wereld.
Wanneer organisaties geconfronteerd worden met meerdere nieuwe regelgevingen, is het logisch dat het werk wordt verdeeld over verschillende teams.
Compliance-specialisten richten zich op NIS2.
Productteams analyseren de Cyber Resilience Act.
Engineeringafdelingen bereiden zich voor op de Machinery Regulation.
Op het eerste gezicht lijkt dat een logische aanpak. Elke regelgeving heeft immers haar eigen terminologie, toepassingsgebied en juridische verplichtingen.
Het probleem is dat hierdoor vaak drie parallelle projecten ontstaan die uiteindelijk dezelfde onderliggende cybersecurityuitdagingen proberen op te lossen. Verschillende teams voeren afzonderlijke risicoanalyses uit, bouwen eigen documentatie op en ontwikkelen aparte governanceprocessen, terwijl ze in essentie naar hetzelfde doel werken.
In de praktijk overlappen veel van de technische en organisatorische maatregelen die deze regelgevingen vereisen. Of u zich nu voorbereidt op NIS2, de Cyber Resilience Act of de Machinery Regulation, de kans is groot dat u aan dezelfde fundamentele cybersecuritycapaciteiten werkt, zoals:
In plaats van elke regelgeving als een afzonderlijk complianceproject te behandelen, behalen organisaties vaak betere resultaten door deze fundamentele cybersecuritycapaciteiten centraal te versterken. Dat verhoogt niet alleen de beveiliging van de organisatie, maar helpt tegelijkertijd ook om aan meerdere wettelijke verplichtingen te voldoen.
3. Eén cybersecurityprogramma ondersteunt meerdere regelgevingen
In plaats van de vraag te stellen: "Hoe voldoen we aan deze regelgeving?"
is het vaak waardevoller om te vragen: "Welke cybersecuritycapaciteiten hebben wij als organisatie nodig?"
Voor veel productiebedrijven gaat het daarbij onder meer om:
Zodra deze fundamenten aanwezig zijn, wordt het aanzienlijk eenvoudiger om aan individuele regelgevingen te voldoen.
Compliance wordt dan het resultaat van een sterke cybersecuritystrategie, en niet langer het doel op zich.
Een van de grootste uitdagingen voor organisaties is het vertalen van wettelijke verplichtingen naar concrete acties. Precies daar bewijzen erkende cybersecurityframeworks hun meerwaarde.
Afhankelijk van de context van de organisatie bieden onder meer de volgende frameworks houvast:
Deze frameworks moeten niet als concurrerende alternatieven worden beschouwd.
Integendeel: ze vullen elkaar aan.
Ook de Agoria-whitepaper benadrukt hoe organisaties governanceframeworks kunnen combineren met OT-specifieke standaarden om een praktisch cybersecurityprogramma uit te bouwen, in plaats van zich uitsluitend te richten op certificering.
Cybersecuritywetgeving zal zich blijven ontwikkelen. Vandaag staan NIS2, de Cyber Resilience Act en de Machinery Regulation centraal, maar het is weinig waarschijnlijk dat dit de laatste regelgevingen zijn waarmee industriële organisaties rekening zullen moeten houden. Tegelijkertijd zullen de snelle opmars van artificiële intelligentie, steeds slimmer verbonden machines en verder digitaliserende supply chains zowel de opportuniteiten als de risico's voor productiebedrijven blijven veranderen.
Organisaties die elke nieuwe regelgeving als een afzonderlijk complianceproject benaderen, lopen het risico voortdurend achter de feiten aan te lopen. Elke nieuwe verplichting vraagt opnieuw om risicoanalyses, documentatie en implementatieprojecten, terwijl vaak exact dezelfde onderliggende cybersecurityuitdagingen worden aangepakt.
Een duurzamere aanpak bestaat erin om te investeren in sterke cybersecurityfundamenten. Door te bouwen aan robuuste governance, veilige IT/OT-architecturen, doeltreffend risicobeheer en goed uitgewerkte operationele processen creëren organisaties capaciteiten die tegelijkertijd bijdragen aan meerdere wettelijke verplichtingen.
Met andere woorden: Compliance mag niet het doel zijn, maar moet het natuurlijke gevolg zijn van een volwassen cybersecuritystrategie. Organisaties die deze visie omarmen, zullen niet alleen gemakkelijker voldoen aan de regelgeving van vandaag, maar zijn ook beter voorbereid op toekomstige wetgeving én een voortdurend evoluerend dreigingslandschap.
Hoewel NIS2, de Cyber Resilience Act en de Machinery Regulation elk hun eigen wettelijke verplichtingen introduceren, sturen ze organisaties allemaal in dezelfde richting: sterkere cybersecurity, betere governance en veerkrachtigere industriële processen.
In plaats van zich af te vragen met welke regelgeving ze als eerste moeten beginnen, is het vaak waardevoller om eerst te bepalen welke cybersecuritycapaciteiten de organisatie moet versterken.
Denk daarbij aan domeinen zoals governance, een veilige IT/OT-architectuur, inzicht in assets, leveranciersrisicobeheer en incidentrespons. Deze vormen niet de basis voor één specifieke regelgeving, maar voor meerdere wettelijke kaders tegelijk.
Door te investeren in deze fundamenten maken organisaties niet alleen de naleving van de huidige regelgeving eenvoudiger, maar bouwen ze ook de cyberweerbaarheid op die nodig is om toekomstige dreigingen en nieuwe wetgeving het hoofd te bieden.
Bij Easi helpen we organisaties hun volledige IT/OT-ecosysteem te beveiligen. Onze aanpak omvat onder meer:
👉 Ontdek meer over onze aanpak rond IT security en OT security
👉 Neem contact met ons op voor advies op maat
|
Gerrit Neyrinck |
Met dit artikel sluiten we onze driedelige reeks over OT-cybersecurity af, geïnspireerd door onze bijdrage aan Agoria's Praktische Gids voor Cybersecurity in Operational Technology (OT).
In deze reeks gingen we dieper in op:
Bent u op zoek naar een beknopt overzicht van OT-cybersecurity, de actuele Europese regelgeving en praktische richtlijnen voor industriële organisaties?
De Agoria-whitepaper bundelt de belangrijkste concepten, risico's en raamwerken die elke leidinggevende binnen de maakindustrie zou moeten kennen.
> Download de whitepaper hier <