Sinds 15 augustus moet een energiebedrijf kunnen laten zien dat zijn OT-security op orde is. Dat geldt voor kantoor-IT, en net zo goed voor de SCADA-omgeving en de onderstations. Daar heb je mensen voor nodig die procesomgevingen kennen, en die zijn schaars.
Op 15 augustus 2026 zijn de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) in werking getreden. Wie in de elektriciteitsketen zit, kan daarnaast onder de Europese netwerkcode voor cybersecurity vallen.
Welke regels gelden er voor OT-security in de energiesector?
Drie kaders lopen door elkaar. Ze vragen elk iets anders.
Cyberbeveiligingswet
De Cbw is de Nederlandse invulling van NIS2 en geldt voor ruim 8.000 organisaties in 18 sectoren, waaronder energie. Je moet je registreren in het nationale entiteitenregister, maatregelen nemen om de risico's voor je netwerk- en informatiesystemen te beheersen en significante incidenten melden aan je CSIRT en de bevoegde autoriteit. Een eerste melding moet in de meeste gevallen binnen 24 uur worden gedaan. Het bestuur is eindverantwoordelijk en moet genoeg kennis hebben om risico's en maatregelen te beoordelen.
Mijn advies: lees "netwerk- en informatiesystemen" breed. In een energiebedrijf horen daar ook de SCADA-omgeving, de besturing van onderstations en de engineering-werkplekken bij. Een ISMS dat alleen kantoor-IT afdekt, is dan niet compleet.
Wet weerbaarheid kritieke entiteiten
De Wwke richt zich op ongeveer 500 organisaties die het verantwoordelijke ministerie aanwijst als kritieke entiteit, onder meer in de energiesector. Na aanwijzing heb je 9 maanden voor een risicobeoordeling en 10 maanden om passende technische, organisatorische en fysieke maatregelen te treffen. Incidenten met een aanzienlijke verstoring meld je binnen 24 uur. De wet gaat breder dan cyber: sabotage, terroristische misdrijven en extreem weer horen er ook bij. OT-security moet hier dus samenwerken met fysieke beveiliging en bedrijfscontinuïteit.
Netwerkcode cybersecurity voor elektriciteit
Voor de elektriciteitssector geldt daarnaast Gedelegeerde Verordening (EU) 2024/1366 van 11 maart 2024, met regels voor de cybersecurity van grensoverschrijdende elektriciteitsstromen. Die is op 13 juni 2024 in werking getreden. De code gaat over risicobeoordeling, basisbeveiligingseisen, certificering van producten en diensten, monitoring, incidentrapportage en crisisbeheersing, voor zogeheten high-impact en critical-impact entiteiten. Of jij daaronder valt, hangt af van de processen die je uitvoert.
Waarom OT-security een ander profiel vraagt dan IT-security
In OT gaat beschikbaarheid voor alles. Een scan die op kantoor onschuldig is, kan een oudere PLC laten vastlopen. Een patch vraagt om een onderhoudsvenster, afstemming met de leverancier en soms een hercertificering van de installatie. De mensen die deze systemen het best kennen, zijn procesengineers. Geen securityspecialisten.
De gangbare maatstaf is de ISA/IEC 62443-serie, cybersecuritystandaarden voor industriële automatiserings- en besturingssystemen (IACS). De IEC heeft de serie in 2021 erkend als horizontale standaard, toepasbaar in veel sectoren. 62443 verdeelt de verantwoordelijkheid over asset owners, leveranciers van automatiseringsproducten, integrators en serviceleveranciers. Als energiebedrijf ben je asset owner. Dan zijn vooral deel 2-1 (securityprogramma voor asset owners), 2-3 (patchmanagement in IACS-omgevingen), 3-2 (risicobeoordeling voor systeemontwerp) en 3-3 (systeemeisen en security levels) relevant. Deel 2-4 en 4-1 gebruik je vooral bij inkoop: wat eis je van integrators en productleveranciers?
Welke OT-securityprofielen heeft een energiebedrijf nodig?
Ik zie bij energiebedrijven steeds dezelfde vijf taken terugkomen. Niet elke organisatie heeft daar vijf fulltimers voor nodig. Maar elke taak moet bij iemand liggen.
De OT-securityarchitect ontwerpt de segmentatie in zones en conduits, bepaalt per zone het gewenste security level en vertaalt 62443-3-2 en 3-3 naar een doelarchitectuur. Ligt er nog geen actuele risicobeoordeling van het procesdomein, dan is dit de eerste die je werft.
De ICS/OT-securityengineer doet het uitvoerende werk: firewalls tussen IT en OT, veilige remote access voor leveranciers, hardening van engineering-werkplekken en het patchproces volgens 62443-2-3. Zoek iemand die met procesengineers kan praten en weet wanneer je iets níet aanraakt.
De OT-detectiespecialist richt passieve netwerkmonitoring in, kent industriële protocollen en zorgt dat het SOC OT-alerts begrijpt. Zonder deze rol wordt de meldplicht uit de Cbw en de Wwke in het procesdomein lastig. Je ziet een incident dan gewoon niet.
De OT-GRC-specialist brengt in kaart welke eisen uit de Cbw, de Wwke en de netwerkcode op welk systeem van toepassing zijn, bouwt het securityprogramma volgens 62443-2-1 en levert de onderbouwing voor het bestuur. Een NIS2-generalist zonder OT-ervaring onderschat hier vaak de techniek.
En dan iemand die het geheel trekt: een interim OT-securitylead. Na een Wwke-aanwijzing of voor een grote audit heb je iemand nodig die coördineert, met het bestuur praat en de lijn naar asset management en operations openhoudt.
Waar het bij het inhuren misgaat
De meest gemaakte fout: een goede IT-securityspecialist in een OT-omgeving zetten en hopen dat het goed komt. Iemand die sterk is in cloud of kantoornetwerken, heeft geen gevoel voor wat een actieve scan doet met een oude RTU. Vraag OT-kandidaten daarom naar een moment waarop ze bewust níet hebben ingegrepen.
Ook vaak gezien: alle rollen samenvoegen tot één "OT-security officer" die alles moet doen. Bij een kleinere organisatie kan één persoon twee rollen combineren. Wees dan wel eerlijk over wat er blijft liggen.
Ook leveranciers raken vaak uit beeld. Veel OT-omgevingen worden onderhouden door integrators en fabrikanten met remote access. Zet in het functieprofiel dat de kandidaat leverancierseisen kan opstellen en toetsen, bijvoorbeeld op basis van 62443-2-4. Anders blijft de grootste toegangsdeur buiten beeld.
En dan de snelheid. Toen een netbeheerder bij ons een security architect zocht, lag de deadline voor aanbieden een dag na mijn eerste gesprek met de kandidaat. Ik wil het cv dan dezelfde dag bij de manager hebben. Goede kandidaten vragen in dat eerste gesprek meteen twee dingen: wat is de deadline, en hoeveel dagen per week moet ik op kantoor zijn? Bij die netbeheerder waren dat twee à drie vaste dagen. Voor iemand aan de andere kant van het land beslist dat of hij reageert. Zet die informatie dus vooraf in je aanvraag.
Wacht ook niet tot de Wwke-aanwijzing binnen is. OT-specialisten met energie-ervaring zijn schaars en vaak ver vooruit ingepland. Wie dan pas gaat werven, verliest een flink deel van de 9 maanden voor de risicobeoordeling.
Wat moet je nu doen?
- Check of je organisatie in het nationale entiteitenregister staat, en of je als kritieke entiteit onder de Wwke bent of kunt worden aangewezen.
- Laat uitzoeken of je als high-impact of critical-impact entiteit onder de netwerkcode cybersecurity valt.
- Maak een overzicht van je OT-assets en van alle externe partijen met remote access tot het procesdomein.
- Schrijf per taak hierboven op wie het nu doet, intern of extern, en waar het gat zit.
- Kies per gat: interim, detachering of vaste werving. Start met het profiel met de langste doorlooptijd.
- Zorg dat het bestuur de OT-risico's en de status van de maatregelen regelmatig ziet. Onder de Cbw is het bestuur eindverantwoordelijk.
Wij leveren freelance en interim OT/ICS-securityspecialisten vanuit een netwerk van 7.000+ vetted professionals, en presenteren de eerste kandidaat binnen 4 uur. Kijk bij onze OT/ICS-security-expertise, lees wat er speelt in de energiesector of bel of mail me als je een gat wilt invullen. Voor de bredere NIS2-aanpak: zie NIS2-compliance aantonen en onze NIS2-pagina.
