Wat Betekent NIS2 Voor Productie En Industrie?

In een productieomgeving is een herstart geen kwestie van even opnieuw opstarten. Een lijn stilzetten kost een ploeg, een batch en soms een dag levertijd. Dat is precies waarom NIS2 voor industrie en OT anders uitpakt dan voor een kantooromgeving: de maatregelen zijn dezelfde, maar de uitvoering vraagt een andere aanpak.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de NIS2-richtlijn. Productie en industrie staan in de lijst van overige kritieke sectoren, samen met onder meer chemie, levensmiddelen, afvalstoffenbeheer en post. Voor productiebedrijven vanaf 50 medewerkers is de vraag daarmee niet of NIS2 relevant is, maar hoe u de eisen vertaalt naar een omgeving waarin machines soms twintig jaar meegaan.

Wat betekent NIS2 voor industrie, OT en productiebedrijven?

De Cyberbeveiligingswet maakt geen onderscheid tussen kantoorautomatisering en productieomgevingen. De zorgplicht uit artikel 21 geldt voor uw netwerk- en informatiesystemen als geheel, en een besturingssysteem dat een productielijn aanstuurt hoort daarbij.

Dat is voor veel productiebedrijven een ongemakkelijke constatering. De IT-afdeling kent de kantooromgeving, maar de machines op de vloer vallen vaak onder engineering of onderhoud, met eigen leveranciers en eigen afspraken. NIS2 dwingt die twee werelden bij elkaar, en dat is meestal de grootste organisatorische opgave.

Wat is het verschil tussen IT en OT?

IT staat voor informatietechnologie: servers, werkplekken, e-mail en applicaties. OT staat voor operationele techniek: de systemen die fysieke processen aansturen en bewaken, zoals PLC’s, SCADA-systemen, aandrijvingen en sensoren. Beide zijn digitaal, maar de uitgangspunten verschillen fundamenteel.

Waarom is patchen in een productieomgeving zo lastig?

Omdat een update in OT drie dingen tegelijk kan raken: de werking van het proces, de veiligheidscertificering van de machine en de garantie van de leverancier. Een patch installeren is daarmee geen technische handeling maar een wijziging in een gevalideerde omgeving.

Daar komt bij dat veel besturingssoftware draait op besturingssystemen die geen ondersteuning meer krijgen, of die alleen door de machineleverancier mogen worden aangeraakt. Als u dan toch patcht, verliest u mogelijk het recht om bij storingen een beroep te doen op die leverancier.

NIS2 lost dit niet op, maar schrijft ook geen specifieke techniek voor. De wet vraagt om passende maatregelen op basis van risico. Dat betekent dat u mag afwijken van de standaardaanpak, mits u de afweging onderbouwt en vastlegt. Een gestructureerde risicoanalyse volgens NIS2 is daarom in een OT-omgeving belangrijker dan elders: het is uw verantwoording voor alles wat u bewust niet doet.

Wat doet u dan wel als patchen niet kan?

U verschuift van herstellen naar beheersen. In plaats van de kwetsbaarheid weg te nemen, maakt u die onbereikbaar of onbruikbaar. Dat gebeurt met een combinatie van maatregelen die elkaar aanvullen.

• Segmentatie. Scheid de OT-omgeving van kantoorautomatisering en van internet, met gecontroleerde overgangen tussen de zones.
• Toegangscontrole. Beperk wie bij OT-systemen kan, gebruik persoonlijke accounts en beveilig beheertoegang extra.
• Beheerde leveranciertoegang. Geen permanente verbindingen voor onderhoud op afstand, maar toegang die u per sessie opent, registreert en weer sluit.
• Monitoring. Detecteer afwijkend verkeer in het OT-netwerk, want juist daar is normaal gedrag goed voorspelbaar.
• Verwijderbare media. Regel hoe USB-sticks en laptops van engineers en leveranciers worden gecontroleerd voordat ze op de vloer komen.
• Vastgelegde risicoacceptatie. Documenteer welke kwetsbaarheden blijven bestaan, waarom, en wie dat heeft goedgekeurd.

Netwerkscheiding levert veruit het meeste rendement, omdat het de meest voorkomende aanvalsroute afsluit: een besmetting die via de kantooromgeving doorloopt naar productie. De praktische uitwerking daarvan staat in het artikel over netwerkbeveiliging en segmentatie.

Hoe richt u kwetsbaarhedenbeheer in voor OT?

Begin met weten wat er staat. Veel productiebedrijven hebben geen volledig overzicht van de apparatuur op de vloer, laat staan van de software daarop. Zonder inventarisatie kunt u niet beoordelen of een gepubliceerde kwetsbaarheid u raakt.

Werk daarna met een aparte behandelroute voor OT. Waar u in IT binnen dagen patcht, beoordeelt u in OT eerst of de kwetsbaarheid bereikbaar is vanuit uw netwerkopzet. Is dat niet zo, dan kunt u wachten tot de eerstvolgende onderhoudsstop. Leg die afweging vast, want dat is precies wat een toezichthouder wil zien. Het bredere proces staat beschreven bij kwetsbaarhedenbeheer onder NIS2.

Hoe borgt u continuïteit van de productielijn?

Bedrijfscontinuïteit, back-upbeheer en crisisbeheer vormen samen een van de tien maatregelgebieden. In een productieomgeving betekent dat meer dan een back-up van de fileserver. De vraag is of u een lijn opnieuw aan de praat krijgt als de besturing corrupt raakt.

Denk daarbij aan de zaken die in de praktijk ontbreken: actuele configuraties van PLC’s, recente programmaversies, licentiesleutels, en de kennis om die terug te zetten. Test een herstel op een lijn tijdens een geplande stop, want alleen dan weet u hoe lang het echt duurt. Neem die uitkomst op in uw bedrijfscontinuïteitsplan, inclusief de maximaal aanvaardbare uitvalduur per productieproces.

Wat betekent NIS2 voor uw machineleveranciers?

Beveiliging van de toeleveringsketen is een expliciet maatregelgebied, en in de industrie loopt die keten diep. Machineleveranciers, systeemintegratoren en onderhoudspartijen hebben vaak toegang tot uw productieomgeving, soms permanent en op afstand.

Stel daarom eisen vast en leg die contractueel vast: hoe leveranciers verbinding maken, hoe zij kwetsbaarheden melden, binnen welke termijn zij updates leveren en wat er gebeurt bij een incident. Nieuwe investeringen zijn het natuurlijke moment om dit te regelen, omdat u dan nog onderhandelingsruimte heeft. De verplichtingen rond de beveiliging van de toeleveringsketen vragen om aantoonbare afspraken, niet om vertrouwen op basis van jarenlange samenwerking.

Valt uw productiebedrijf eigenlijk onder NIS2?

Industrie en productie staan in de categorie overige kritieke sectoren. Dat betekent doorgaans dat u als belangrijke entiteit wordt aangemerkt, met reactief toezicht na een incident of signaal en boetes tot 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet. Grote industriële bedrijven kunnen als essentiële entiteit gelden, met proactief toezicht en hogere maxima.

Ook zonder directe aanwijzing kunt u geraakt worden. Levert u aan een essentiële entiteit, dan komen de eisen via contracten alsnog bij u terecht. Controleer uw positie aan de hand van het overzicht van sectoren die onder NIS2 vallen en leg de uitkomst met onderbouwing vast.

Veelgestelde vragen over NIS2 in industrie en OT

1. Geldt NIS2 ook voor machines en besturingssystemen?

Ja. De zorgplicht geldt voor uw netwerk- en informatiesystemen, en besturingssystemen die productieprocessen aansturen vallen daaronder. De wet schrijft geen specifieke techniek voor, maar vraagt passende maatregelen op basis van risico. In OT betekent dat vaak segmentatie en monitoring in plaats van patchen.

2. Moet ik mijn productiesysteem patchen als de leverancier dat niet toestaat?

Nee, NIS2 verplicht niet tot patchen als dat de veiligheid, certificering of werking van het proces raakt. U moet wel aantonen dat u het risico heeft beoordeeld en compenserende maatregelen heeft getroffen, zoals netwerkscheiding, strikte toegangscontrole en monitoring. Leg de afweging en de goedkeuring schriftelijk vast.

3. Vallen productiebedrijven onder de essentiële of de belangrijke entiteiten?

Industrie en productie behoren tot de overige kritieke sectoren, waardoor bedrijven doorgaans als belangrijke entiteit gelden met reactief toezicht. Grote ondernemingen, doorgaans vanaf 250 medewerkers of meer dan 50 miljoen euro omzet in een zeer kritieke sector, kunnen als essentiële entiteit worden aangemerkt met proactief toezicht.

4. Wie is verantwoordelijk voor OT-beveiliging: IT of engineering?

NIS2 legt de eindverantwoordelijkheid bij het bestuur, dat de maatregelen goedkeurt en toezicht houdt. In de uitvoering werkt het beste dat de proceseigenaar van de productieomgeving verantwoordelijk is, met IT als leverancier van kennis en techniek. Leg de rolverdeling expliciet vast, anders blijft OT ongedekt.

5. Is er een NIS2-certificaat voor productiebedrijven?

Nee, NIS2 is een wettelijke verplichting en geen certificeringsnorm. Er bestaat geen NIS2-certificaat. U toont naleving aan met risicoanalyses, beleid, besluiten van het bestuur en bewijs dat maatregelen werken. Een ISO 27001-managementsysteem kan die aantoonbaarheid wel ondersteunen, maar vervangt de wettelijke verplichting niet.

Conclusie

NIS2 vraagt van productiebedrijven geen ander niveau van beveiliging dan van andere organisaties, maar wel een andere route ernaartoe. Waar IT patcht, segmenteert OT. Waar IT herstelt vanaf back-up, moet OT eerst weten of de configuratie van een PLC überhaupt ergens is vastgelegd. Die vertaalslag maken is het echte werk.

Begin met inventarisatie en risicoanalyse, kies daarna segmentatie als eerste grote maatregel en leg elke bewuste afwijking onderbouwd vast. Het NIS2 compliance pakket geeft die volgorde, de 176 NIS2 document templates leveren de beleidsstukken en registraties waarmee u uw keuzes onderbouwt, en de digitale Coach bewaakt dat beoordelingen en tests ook echt terugkeren op de agenda.