Als je de meeste fabrikanten vraagt waar ze het meest mee bezig zijn bij de voorbereiding op NIS2, is cyberbeveiliging meestal het eerste antwoord.
En dat is begrijpelijk. Nieuwe regelgeving, strengere bestuursvereisten en toenemende cyberdreigingen hebben ervoor gezorgd dat cyberbeveiliging hoger op de agenda staat dan ooit tevoren.
Toch is cyberbeveiliging in de praktijk zelden het grootste obstakel om aan de NIS2-vereisten te voldoen. Meestal is de echte uitdaging veel eenvoudiger.
Kent u uw Operational Technology (OT)-omgeving eigenlijk wel goed genoeg om aan te tonen dat deze veilig is, goed wordt beheerd en klaar is voor een audit?
Bij Contec is dit een van de eerste vragen die we stellen wanneer we met fabrikanten samenwerken. Niet omdat organisaties over onvoldoende expertise beschikken, maar omdat industriële omgevingen in de loop van de tijd van nature veranderen. Productielijnen worden uitgebreid, apparatuur wordt gemoderniseerd, leveranciers hebben toegang op afstand nodig en er worden nieuwe systemen geïntroduceerd. Al snel wordt het OT-landschap veel complexer dan iemand aanvankelijk had gepland.
Dat is precies de reden waarom de voorbereiding op een NIS2-audit al lang vóór de audit zelf begint.
NIS2 gaat verder dan cyberbeveiliging
Een van de grootste misvattingen over NIS2 is dat het uitsluitend gericht is op IT-beveiliging. Dat is niet het geval.
Voor fabrikanten die kritieke of belangrijke infrastructuur beheren, schrijft NIS2 voor dat organisaties moeten aantonen dat zowel IT- als OT-omgevingen op de juiste wijze worden beheerd, gedocumenteerd en beveiligd. Dat betekent dat cyberbeveiliging slechts een onderdeel is van een veel breder geheel, dat ook governance, risicobeheer, bedrijfscontinuïteit, incidentrespons, leveranciersbeheer en operationele veerkracht omvat.
Voor veel organisaties vormt de OT-omgeving juist de grootste uitdaging als het gaat om dat bredere perspectief.
Waarom OT speciale aandacht verdient
In tegenstelling tot traditionele IT-systemen bestaan OT-omgevingen vaak uit een combinatie van apparatuur en technologieën die zich in de loop van vele jaren hebben ontwikkeld.
PLC’s, SCADA-platforms, industriële netwerken, HMI’s, historiedatabases, MES-toepassingen en systemen van derden moeten vaak samenwerken, ook al zijn ze daar oorspronkelijk niet voor ontworpen.
Dat hoeft niet per se te betekenen dat er iets mis is. Het betekent alleen dat je, om je voor te bereiden op een NIS2-audit, een duidelijk beeld moet hebben van de huidige stand van zaken, hoe systemen op elkaar inwerken en waar mogelijke risico’s of hiaten zich kunnen bevinden.
Onze ervaring leert dat organisaties vaak verbaasd zijn over de hoeveelheid waardevolle kennis die alleen in de hoofden van ingenieurs en onderhoudsteams zit, en niet in documentatie is vastgelegd.
Een controle vereist echter bewijs, geen veronderstellingen.
Wat we doorgaans zien in de productiesector
Elke productielocatie is anders, maar tijdens OT-beoordelingen komen bepaalde thema’s steeds weer terug.
Geen van deze zaken betekent op zich automatisch dat er sprake is van een cyberbeveiligingsincident. Samen maken ze het echter veel moeilijker om tijdens een NIS2-audit aan te tonen dat aan de voorschriften wordt voldaan.
-
OT-middelen die nog nooit volledig zijn gedocumenteerd
-
Verouderde apparatuur die nog steeds cruciale productieprocessen ondersteunt
-
Toegang voor leveranciers die in de loop der tijd is geëvolueerd zonder dat er regelmatig een evaluatie heeft plaatsgevonden
-
Back-up- en herstelprocedures die nog nooit zijn getest
-
Verschillende teams die verschillende versies van dezelfde informatie gebruiken
-
Onvolledige netwerkdocumentatie
OT-middelen die nog nooit volledig zijn gedocumenteerd
De voorbereiding op een NIS2-audit begint met inzicht in uw OT-omgeving
In plaats van meteen met technische beveiligingsmaatregelen te beginnen, raden we fabrikanten aan om eerst een gestructureerd inzicht te krijgen in hun OT-omgeving.
Bij Contec is onze aanpak voor OT NIS2-auditvoorbereiding opgebouwd rond acht praktische bouwstenen die organisaties helpen om van onzekerheid naar auditgereedheid te gaan:
1. Bepaal de reikwijdte van de ergotherapie
Breng cruciale bedrijfsmiddelen, productiesystemen en verantwoordelijkheden in kaart en leg daarbij duidelijk vast wat tot het OT-domein behoort.
2. Voer een OT-risicobeoordeling uit
Beoordeel cyberrisico’s, operationele risico’s en mogelijke kwetsbaarheden aan de hand van een gestructureerde, risicogebaseerde aanpak.
3. Beleid en procedures voor ergotherapie vaststellen
Leg vast hoe toegangsbeheer, back-ups, wijzigingsbeheer, het aanbrengen van patches en levenscyclusbeheer worden afgehandeld.
4. Stel een plan voor incidentrespons op
Zorg ervoor dat verantwoordelijkheden, escalatieprocedures en rapportageverplichtingen duidelijk zijn vastgelegd voordat zich een incident voordoet.
5. De bedrijfscontinuïteit versterken
Evalueer back-upstrategieën, procedures voor noodherstel en operationele veerkracht om productieverstoringen tot een minimum te beperken.
6. Beoordeling van het leveranciersbeheer
Zorg dat u weet wie toegang heeft tot uw OT-omgeving, onder welke voorwaarden en hoe die relaties worden geregeld.
7. Het beheer van bedrijfsmiddelen en de levenscyclus verbeteren
Zorg voor een nauwkeurige inventaris van OT-middelen en beheer tegelijkertijd updates, onderhoud en apparatuur die het einde van de levensduur nadert.
8. Beoordeel de technische beveiligingsmaatregelen
Beoordeel de huidige beveiligingsstatus van de OT-omgeving en breng praktische verbeteringen in kaart die de risico’s verminderen en tegelijkertijd de naleving van de regelgeving ondersteunen.
Geen van deze stappen mag worden gezien als louter administratieve rompslomp. Samen bieden ze een gestructureerde manier om inzicht te krijgen in de huidige stand van zaken van uw OT-omgeving, verbeterpunten in kaart te brengen en tijdens een audit aan te tonen dat u aan de voorschriften voldoet.
Bij auditgereedheid gaat het om meer dan alleen het doorstaan van een audit
Een van de belangrijkste dingen die we onze klanten vertellen, is dat de voorbereiding op NIS2 niet moet worden gezien als een eenmalig complianceproject.
De organisaties die hier het meeste profijt van hebben, zijn doorgaans de organisaties die het proces gebruiken om het beheer van hun OT-omgeving in het algemeen te verbeteren.
- Betere documentatie maakt het onderhoud eenvoudiger.
- Duidelijkere verantwoordelijkheden zorgen voor een grotere operationele veerkracht.
- Gestructureerd activabeheer maakt toekomstige upgrades eenvoudiger.
Duidelijk omschreven procedures verminderen de onzekerheid wanneer zich incidenten voordoen.
Met andere woorden: veel van de activiteiten die in het kader van NIS2 vereist zijn, dragen ook bij aan veiligere, betrouwbaardere en efficiëntere productieomgevingen.
Hoe Contec helpt
Het inrichten van een OT-omgeving voor NIS2 vereist meer dan alleen kennis van de regelgeving. Het vereist inzicht in hoe industriële omgevingen in de praktijk functioneren.
Dat is waar Contec een andere invalshoek biedt.
Met tientallen jaren ervaring op het gebied van industriële automatisering, industriële IT en integratie in de productie helpen wij organisaties de kloof te overbruggen tussen wettelijke vereisten en de dagelijkse praktijk in productieomgevingen. Onze aanpak combineert technische OT-expertise met praktische voorbereiding op audits, waardoor verbeteringen niet alleen op papier aan de voorschriften voldoen, maar ook realistisch zijn om te implementeren en te onderhouden.
Begin alvast met de voorbereidingen voordat de audit van start gaat
Als je wacht tot er een audit is gepland, moet je vaak tegen de klok werken.
Door eerder te beginnen krijgen organisaties de kans om inzicht te krijgen in hun OT-omgeving, hiaten op een gestructureerde manier weg te werken en vertrouwen op te bouwen voordat naleving dringend noodzakelijk wordt.
Als uw organisatie zich voorbereidt op NIS2, of gewoon meer inzicht wil krijgen in de mate waarin uw OT-omgeving hierop is voorbereid, staan onze specialisten klaar om u te helpen bij het beoordelen van uw huidige omgeving en het opstellen van een praktisch stappenplan om aan de vereisten te voldoen.
