Kern voor producenten
- De industrie staat in bijlage II van NIS2, waardoor de meeste producenten binnen scope gelden als belangrijke entiteit.
- De drempels voor omvang gelden: 50 medewerkers of 10 miljoen euro omzet voor middelgroot, 250 medewerkers of 50 miljoen euro omzet voor groot.
- De maatregelen van artikel 21 gelden gelijk voor IT en OT, inclusief besturingssystemen, SCADA, MES en veiligheidssystemen.
- Incidenten die productie stilleggen, kwaliteitsdata aantasten of met ransomware te maken hebben, halen vaak de drempel van een significant incident uit artikel 23.
- Bestuurders dragen persoonlijke verantwoordelijkheid onder artikel 20, inclusief verplichte training.
Welke deelsectoren binnen scope vallen
Bijlage II van NIS2 noemt de deelsectoren in de industrie die onder de richtlijn vallen. Die lijst is smaller dan de meeste producenten denken, maar breed genoeg om de motorkamer van de Europese industrie te dekken. Zit je hoofdactiviteit in een van de volgende categorieën en haal je de drempels, dan geldt NIS2 voor je.
- Vervaardiging van medische hulpmiddelen en in-vitrodiagnostiek, waaronder implantaten, beeldvormende apparatuur en diagnostiek aan het bed. Reken op overlap met de MDR en de IVDR.
- Vervaardiging van computers, elektronische en optische producten, zoals halfgeleiders, industriële elektronica, meetinstrumenten en optische componenten.
- Vervaardiging van elektrische apparatuur, waaronder motoren, generatoren, transformatoren, accu's en schakel- en verdeelapparatuur.
- Vervaardiging van machines en apparaten die elders niet zijn ingedeeld, van machines voor algemeen gebruik tot landbouwmachines, metaalbewerking en machines voor specifieke toepassingen.
- Vervaardiging van motorvoertuigen, aanhangwagens en opleggers. Eersteklas toeleveranciers in de automotive zitten hier of bij machines.
- Vervaardiging van ander transportmaterieel, waaronder spoor, lucht- en ruimtevaart en scheepsbouw.
Voeding, chemie, farmacie en afval staan in eigen categorieën in bijlage I of II. Beslaat je groep meerdere activiteiten, dan wordt de scope per rechtspersoon bepaald: leveringen binnen de groep trekken niet automatisch elke dochter mee onder NIS2.
De grootste cyberrisico's in de industrie
OT en IT groeien naar elkaar toe
Moderne fabrieken hangen besturingen, robots en SCADA aan dezelfde netwerken als e-mail en ERP. Eén plat netwerk, een verkeerd ingerichte tussenserver of een ongepatchte engineeringwerkplek is vaak genoeg om een IT-incident de productiezone in te laten lopen. NIS2 noemt OT niet apart, maar artikel 21 vraagt een aanpak op basis van risico, en bij producenten zit het grootste risico vrijwel altijd aan de OT-kant.
Ransomware op productielijnen
Ransomwaregroepen kiezen producenten gericht uit, omdat stilstand duur is en verzekeraars vaak betalen. Het versleutelen van historians, MES of engineeringwerkplekken legt een locatie binnen uren stil. Dat maakt betalen verleidelijk, en precies daarom staan productieomgevingen hoger op hun lijst dan bijvoorbeeld dienstverleners.
Aanvallen via de keten
Machineleveranciers, partijen die op afstand onderhoud doen en managed service providers hebben diepe toegang tot productienetwerken. Een gekaapte VPN van een leverancier of een besmette software-update van een machinebouwer is een van de waarschijnlijkste routes naar een ernstig incident. Artikel 21 zet beveiliging in de keten op gelijke hoogte met je eigen maatregelen.
Mensen binnen en fysieke toegang
Aannemers, uitzendkrachten en externe engineers lopen doorlopend in en uit. Gedeelde accounts op bedieningspanelen, usb-sticks met engineeringdata en open schakelkasten zijn nog altijd gewoon. Het zijn de makkelijkste bevindingen voor een auditor en tegelijk de goedkoopste om te herstellen.
Oude systemen met een lange levensduur
Anders dan kantoor-IT gaat een CNC-machine of een perslijn 15 tot 25 jaar mee. Windows XP en Windows 7 zijn op de werkvloer nog gewoon, en patchmomenten moeten passen in de productieplanning. NIS2 verbiedt oude systemen niet, maar vraagt wel aanvullende maatregelen en vastgelegde risicoacceptatie.
De maatregelen van artikel 21, vertaald naar de fabriek
Artikel 21 noemt tien minimale maatregelen. Hieronder staat hoe elk daarvan uitpakt in een gemiddelde productieomgeving. Geen volledige handleiding, wel het kader dat Burak gebruikt om wetstekst om te zetten in werk op locatie.
- Beleid voor risicoanalyse en beveiliging. Eén set beleid voor IT en OT, met een OT-risicoregister dat verwijst naar de zones en verbindingen uit IEC 62443.
- Incidentafhandeling. Draaiboeken voor ransomware op MES, inbraak in de besturing en verlies van een engineeringwerkplek, met escalatie naar de fabrieksleiding en niet alleen naar de CISO.
- Bedrijfscontinuiteit en crisisbeheer. Heldere terugvalmodi per lijn, offline back-ups van recepturen en besturingsprogramma's, en geteste handmatige productieprocedures.
- Beveiliging in de keten. Leveranciersoverzicht, beoordeling naar risico voor machineleveranciers en dienstverleners, en standaardclausules in inkoopcontracten.
- Beveiliging bij aanschaf, ontwikkeling en onderhoud. Acceptatietests op beveiliging bij nieuwe machines, wijzigingsbeheer op besturingsfirmware, en beveiligde toegangspoorten voor onderhoud op afstand.
- Beleid om effectiviteit te toetsen. Periodieke interne audits, pentests die OT begrijpen, en tafeloefeningen met productiemensen erbij.
- Basishygiëne en training. Phishingsimulaties voor kantoor, OT-training op maat voor engineers en operators, en een introductie voor tijdelijke krachten.
- Cryptografie en versleuteling. Versleuteling in rust en onderweg waar dat kan, met vastgelegde uitzonderingen voor oude protocollen zoals Modbus TCP.
- Personeel en toegangsbeheer. Een eigen account per persoon, meervoudige authenticatie voor toegang op afstand, en strakke processen voor in-, door- en uitstroom, ook voor externen.
- Meervoudige authenticatie en beveiligde communicatie. Authenticatie op VPN, extern bureaublad, mail en beheerdersaccounts, plus geharde tussenservers voor toegang tot OT.
Waar het in de industrie meestal schort
Oude OT zonder vastgelegde risicoacceptatie
Beoordelaars willen een overzicht van je OT-systemen zien, de risico's die elk oud systeem meebrengt, de aanvullende maatregelen, en een getekende acceptatie door iemand die daarover gaat. Mondeling akkoord en ongeschreven gewoonte volstaan niet.
Toegang op afstand voor leveranciers zonder toezicht
Permanent openstaande VPN-tunnels naar machineleveranciers, gedeelde inloggegevens en sessies waar niemand naar kijkt, staan steevast bovenaan bij een gap analyse. Reken op een overstap naar bemiddelde toegang die wordt opgenomen en alleen openstaat wanneer nodig.
Melden dat niet aansluit op de productiepraktijk
De termijnen van 24 en 72 uur uit artikel 23 gaan uit van een werkend incidentproces. Veel producenten ontdekken tijdens een tafeloefening dat fabrieksleiding, IT, juridisch en communicatie geen gedeelde definitie van een significant incident hebben.
Segmentatie die alleen op papier klopt
Purdue-achtige plaatjes zijn er genoeg, maar firewallregels en het werkelijke verkeer vertellen vaak een ander verhaal. Een eerlijke doorlichting van je segmentatie, inclusief verkeer tussen locaties, levert meestal het snelste rendement.
Een routekaart van 30 dagen, 90 dagen en 12 maanden
Eerste 30 dagen: helderheid
- Bevestig de scope per rechtspersoon en registreer bij de nationale bevoegde autoriteit als dat nog niet is gebeurd.
- Zet een stuurgroep op met productie, IT, OT-engineering, juridisch en een bestuurder als opdrachtgever.
- Start een gap analyse tegen artikel 21 op een referentielocatie, over IT en OT heen.
- Benoem per locatie de vijf belangrijkste incidentscenario's en leg vast wie beslist en wie meldt.
Dag 30 tot 90: stabiliseren
- Publiceer beveiligingsbeleid dat IT en OT dekt en door het bestuursorgaan is goedgekeurd.
- Pak de snelste winst met het grootste risico: authenticatie op toegang van buitenaf, gedeelde accounts weg, offline back-ups van besturingsprogramma's, en bemiddelde toegang voor leveranciers.
- Doe een eerste tafeloefening met ransomware die MES en een productielijn raakt.
- Geef het bestuursorgaan de verplichte training onder artikel 20.
Maand 4 tot 12: volhouden
- Rol de werkwijze uit over alle locaties binnen scope, met een aanspreekpunt per locatie.
- Voer de ketenmaatregelen door: leveranciersoverzicht, beoordeling naar risico, en aangepaste contractclausules.
- Bouw OT-monitoring uit: passief meekijken op het netwerk, ontdekken van assets, en meldingen die bij de SOC landen.
- Doe een interne audit tegen artikel 21 en artikel 23 en dicht de bevindingen voordat de eerste externe toets komt.
Veelgestelde vragen
Valt mijn productiebedrijf onder NIS2?
Producenten uit bijlage II vallen eronder zodra ze de drempels voor middelgroot of groot halen. De korte toets: minstens 50 medewerkers of 10 miljoen euro omzet voor middelgroot, 250 medewerkers of 50 miljoen euro voor groot, in combinatie met een hoofdactiviteit binnen de genoemde deelsectoren.
Zijn producenten essentiële of belangrijke entiteiten?
De meeste producenten zijn belangrijke entiteit onder bijlage II. Een enkele kan door een lidstaat naar essentieel worden getild, meestal wanneer uitval gevolgen over de grens heeft of wanneer het bedrijf onder andere wetgeving al als kritiek geldt.
Vallen OT en SCADA onder NIS2?
Ja. NIS2 spreekt over netwerk- en informatiesystemen, en daar horen industriële besturingssystemen, SCADA, MES, historians en veiligheidssystemen bij. Loopt een productie-incident via die systemen of begint het daar, en raakt het de dienstverlening, dan valt het onder zowel risicobeheer als de meldplicht.
Wat verandert er aan leverancierscontracten?
Artikel 21 vraagt beveiliging in de keten. Reken op clausules over beveiliging, auditrecht en melding van incidenten in contracten met machineleveranciers, partijen die op afstand onderhoud doen, dienstverleners en cloudaanbieders, plus een vaste cyclus om leveranciers opnieuw te beoordelen.
Wat telt voor een producent als significant incident?
Onder artikel 23 is een incident significant als het ernstige verstoring, groot financieel verlies of wezenlijke schade bij derden veroorzaakt of kan veroorzaken. Voor producenten gaat het meestal om ransomware die de productie stillegt, aangetoonde inbraak in besturing of MES, manipulatie van veiligheids- of kwaliteitssystemen, en wezenlijk dataverlies rond klanten of leveranciers.
Hebben we ISO 27001 of IEC 62443 nodig?
Geen van beide is verplicht. ISO 27001 is een sterke basis voor het managementsysteem en dekt een groot deel van artikel 21 aan de IT-kant. IEC 62443 is de logische aanvulling voor OT. Producenten die beide al draaien, zijn sneller en goedkoper klaar voor NIS2.
Hoe lang duurt de invoering?
Voor een middelgrote producent zonder managementsysteem is negen tot twaalf maanden realistisch, van gap analyse tot klaar voor een audit. Locaties met ISO 27001 of een volwassen IT-securityfunctie halen dat in vier tot zes maanden door zich te richten op OT, de keten en het melden van incidenten.
Wie is persoonlijk aansprakelijk als het misgaat?
Artikel 20 legt de verantwoordelijkheid rechtstreeks bij het bestuursorgaan. Bestuurders keuren de maatregelen goed, houden toezicht op de uitvoering en volgen training. Lidstaten kunnen persoonlijke boetes opleggen en bestuurders in bepaalde gevallen tijdelijk uit hun functie weren wanneer ernstige tekortkomingen terug te voeren zijn op falend toezicht.