De kloof dichten: waarom het IT-kanaal nu moet ontwaken voor OT-beveiliging

Maar in de echte wereld is er een enorme blinde vlek ontstaan. Voorbij het zakelijke kantoor ligt Operational Technology (OT), de hardware en software die fysieke apparatuur aanstuurt – van de lopende banden in een geautomatiseerd distributiecentrum op de Maasvlakte tot de klimaatbeheersingssystemen in een groot datacentrum, de robotarmen op een productievloer, en de sluizen bij Rijkswaterstaat of de pompen bij een waterzuiveringsinstallatie.

Historisch gezien waren deze twee werelden volledig gescheiden. OT draaide op propriëtaire netwerken die totaal niet verbonden waren met het internet. Vandaag de dag is die ‘air gap’ verdwenen. In naam van efficiëntie, voorspellend onderhoud en realtime data-analyse zijn OT-systemen verbonden met corporate IT-netwerken. Deze convergentie heeft een enorm, onbeschermd aanvalsoppervlak gecreëerd, en het Nederlandse IT-kanaal raakt tijd kwijt om de kloof te dichten.

De botsing van culturen begrijpen

Om dit nieuwe landschap te beveiligen, moeten partners eerst begrijpen dat IT en OT op fundamenteel verschillende golflengten opereren.

In IT-beveiliging is vertrouwelijkheid de gouden regel. Als een zakelijke laptop wordt verdacht van een malwarebesmetting, is het standaardprotocol om deze onmiddellijk van het netwerk te isoleren. Het maakt niet uit of de directeur zijn e-mail een uur lang niet kan checken terwijl de schijf opnieuw wordt geformatteerd.

In OT zijn beschikbaarheid en veiligheid de gouden regel. Je kunt een server niet zomaar isoleren als die server toevallig een koelpomp in een chemische fabriek in Chemelot aanstuurt of het bagagesorteersysteem op Schiphol regelt. Het platleggen van een OT-systeem om een standaard kwetsbaarhedenscan uit te voeren kan leiden tot catastrofale fysieke storingen, productielijnen stilzetten en miljoenen euro's per uur kosten.

Bovendien, terwijl IT-infrastructuur elke drie tot vijf jaar wordt vernieuwd, zijn OT-assets zoals industriële controlesystemen ontworpen om twintig of dertig jaar mee te gaan. Het is heel gewoon om kritische industriële machines aan te treffen die draaien op legacy, niet-gepatchte besturingssystemen, simpelweg omdat het updaten van de software de fabrieksgarantie ongeldig zou maken of het risico zou lopen de hardware te destabiliseren.

De echte kosten van verwaarlozing

De gevolgen van het falen om de kruising van IT en OT te beveiligen zijn niet langer theoretisch. We zien een belangrijke verschuiving waarbij cybercriminelen opzettelijk corporate IT-systemen aanvallen, specifiek om de fysieke bedrijfsvoering te verlammen.

Een sprekend voorbeeld hiervan deed zich recent voor in de Nederlandse logistieke sector. Een geavanceerde ransomware-aanval trof de IT-supply chain van een grote Nederlandse retaildistributeur. De hackers hoefden de fysieke magazijnvloer niet rechtstreeks binnen te dringen. Door de IT-systemen te verlammen die het warehouse management, de orderverwerking en de just-in-time logistiek regelden, kwam de volledige fysieke distributie-operatie tot stilstand.

Het domino-effect was gigantisch: duizenden leveranciers werden ontregeld en de financiële schade bedroeg naar schatting honderden miljoenen euro's. Het bewees definitief dat je fysieke operaties niet kunt beschermen zonder beide kanten van de hefboom te beheren. Een inbreuk op kantoor kan de fabriek of het distributiecentrum bevriezen.

Regeldruk neemt toe: de NIS2-verplichting

Deze kwetsbaarheid heeft de aandacht getrokken van toezichthouders. De Nederlandse overheid en Europese instanties beseffen dat operationele uitval in kritieke industrieën een systemisch risico vormt voor de economie.

Als gevolg hiervan beweegt naleving weg van eenvoudig afvinken en richting strikt beheer van de consequenties. In Nederland en de EU wordt de Lat voor operationele veerkracht drastisch verhoogd door de implementatie van de NIS2-richtlijn (Netwerk- en Informatiebeveiligingsrichtlijn 2). NIS2 verbreedt niet alleen de definitie van kritieke sectoren, maar legt ook directe, persoonlijke verantwoordelijkheid bij directies.

Onder NIS2 zijn besturen nu wettelijk verplicht om IT en OT holistisch te besturen. Ze moeten aan toezichthouders (zoals de RDI of het NCSC) kunnen bewijzen dat ze elke afhankelijkheid van derden in kaart hebben gebracht en dat ze kritieke diensten in stand kunnen houden, zelfs tijdens een ernstig cyberincident. Als een bedrijf geen traceerbare datastromen kan aantonen of geen bewijs heeft dat ze de toegang van leveranciers tot hun fysieke systemen controleren, riskeren ze zware bestuurlijke boetes en zelfs persoonlijke aansprakelijkheid voor de directie.

De kans voor het kanaal: een expert view

Voor vooruitstrevende channel partners vertegenwoordigen deze regeldruk en technische kwetsbaarheid een enorme commerciële kans. Zakelijke klanten schreeuwen om partners die begrijpen hoe ze hybride omgevingen kunnen beveiligen zonder de dagelijkse operaties te verstoren.

Sebastiaan Reijman Hinze, expert op het gebied van digitale convergentie bij Hammer NL, gelooft dat het kanaal snel moet handelen om zich aan te passen aan dit verschuivende landschap.
"De traditionele grenzen van cybersecurity zijn opgelost," zegt Reijman Hinze. "We kunnen niet langer kijken naar een corporate netwerk in isolatie van de fysieke infrastructuur die het aanstuurt. Als een reseller alleen het zakelijke endpoint beveiligt, laten ze de helft van de deuren niet op slot. De uitdaging voor het kanaal is dat je een OT-omgeving niet kunt benaderen met een IT-mindset. Het vereist een diep begrip van netwerksegmentatie, gespecialiseerde industriële protocollen en het patchen van legacy-systemen."

Reijman Hinze benadrukt dat distributeurs een cruciale rol moeten spelen in het helpen van partners om deze expertise op te bouwen. "Het gaat hier niet om de verkoop van een nieuwe, losse softwaretool. Het gaat om architectonische integratie. Resellers moeten leren hoe ze OT-beveiligingstelemetrie rechtstreeks in de centrale security operations centre van een klant kunnen injecteren. Dit stelt hen in staat om een aanvaller te detecteren die een besturingssysteem van een magazijn aan het scannen is, vóórdat dit kan escaleren tot een operationele stilstand. De partners die deze convergentie nu meester worden, zullen de komende tien jaar de onmisbare strategische bondgenoten van de Nederlandse industrie worden."

Tijd om te ontwaken

De IT/OT-kloof is een van de belangrijkste security-uitdagingen waar Nederlandse bedrijven vandaag de dag voor staan. Resellers die ervoor kiezen Operational Technology te negeren, laten hun klanten feitelijk blootgesteld aan operationele verlamming.

Het dichten van deze kloof vereist gespecialiseerde vaardigheden, de bereidheid om industriële workflows te begrijpen en een toewijding aan architectonische beveiliging. De marktvraag is er, de regeldruk neemt toe (NIS2) en de real-world risico's zijn onmiskenbaar. Het is tijd voor het Nederlandse IT-kanaal om voorbij de kantoordeur te kijken en de fysieke basis van de Nederlandse onderneming te beveiligen.