Slimmer produceren vraagt om slimmer beveiligen

TCPM ondersteunt industriële organisaties op het gebied van engineering, projectmanagement, industriële veiligheid en cybersecurity. In gesprekken met klanten ziet Van Rekum dat de urgentie rondom digitale veiligheid groeit. Tegelijkertijd merkt hij dat veel bedrijven nog zoekende zijn naar de juiste aanpak.

"Digitalisering gaat vaak sneller dan het besef van de risico's die daarbij horen."

Verbonden systemen vergroten de kwetsbaarheid

Steeds meer productiesystemen worden gekoppeld aan netwerken. Dat maakt remote monitoring, data-analyse en slimme optimalisatie mogelijk, maar creëert tegelijkertijd nieuwe aanvalsvlakken.

Volgens Van Rekum ligt een belangrijke uitdaging in de operationele technologie (OT) van bedrijven. Veel industriële systemen zijn ontworpen in een tijd waarin cybersecurity nauwelijks een rol speelde. Nu deze systemen steeds vaker verbonden worden met andere netwerken, komen nieuwe kwetsbaarheden aan het licht.

Bedrijven realiseren zich niet altijd welke impact een cyberincident kan hebben op de continuïteit van hun onderneming. Productiestilstand, verlies van kennis of verstoringen in de keten kunnen grote gevolgen hebben.

Regelgeving als katalysator

Nieuwe Europese wetgeving, zoals NIS2 en de Cyber Resilience Act (CRA), zorgt ervoor dat cybersecurity hoger op de agenda komt te staan. Bedrijven vragen zich daarbij vaak af welke regelgeving op hun situatie van toepassing is en welke maatregelen nodig zijn.

Volgens Van Rekum is wetgeving een belangrijke aanjager, maar niet de belangrijkste motivatie.

"Het gaat uiteindelijk niet om voldoen aan een verplichting, maar om het beschermen van je organisatie, medewerkers en klanten."

Hij ziet dat bedrijven die cybersecurity benaderen vanuit bedrijfscontinuïteit vaak sneller stappen zetten dan organisaties die uitsluitend vanuit compliance redeneren.

Meer dan een IT-vraagstuk

Een van de grootste misverstanden is volgens Van Rekum dat cybersecurity nog regelmatig wordt gezien als de verantwoordelijkheid van de IT-afdeling.

In de praktijk raken cyberrisico's vrijwel alle onderdelen van een organisatie. Engineering, operations, management, HR en compliance spelen allemaal een rol bij het beheersen van risico's.

Daarom begint TCPM projecten meestal met een analyse van de organisatie, processen en belangrijkste kwetsbaarheden. Die risico's verschillen sterk per bedrijf.

Bij een klant bleek bijvoorbeeld niet de productielijn het grootste aandachtspunt, maar de bescherming van intellectueel eigendom. "Dan verschuift de discussie ineens van techniek naar kennisbescherming, medewerkers en processen."

"Je moet eerst begrijpen wat voor jouw organisatie echt kritisch is."

Bewustwording als eerste stap

Technische maatregelen zijn belangrijk, maar volgens Van Rekum begint cyberveiligheid met bewustwording.

Veel organisaties erkennen dat cyberdreigingen bestaan, maar zien zichzelf nog niet als potentieel doelwit. Juist daar ligt volgens hem een belangrijke uitdaging voor de komende jaren. De kans dat een productiebedrijf met een cyberaanval te maken krijgt, is volgens Van Rekum dan ook groot. Aanvallers richten zich steeds minder op één vooraf gekozen doelwit, maar zoeken op grote schaal en steeds verder geautomatiseerd naar kwetsbare systemen. Daarbij worden ook autonome AI-agents ingezet om onderdelen van aanvallen uit te voeren. Daardoor is het niet zozeer de vraag óf een organisatie wordt geraakt, maar wanneer een aanvalspoging plaatsvindt.

Bedrijven hoeven niet direct alle antwoorden te hebben. Wel moeten ze inzicht krijgen in hun risico's, afhankelijkheden en kwetsbaarheden. Pas dan kunnen gerichte keuzes worden gemaakt over investeringen, processen en beveiligingsmaatregelen.

Veiligheid als onderdeel van digitalisering

Volgens Van Rekum zijn digitalisering en cyberveiligheid onlosmakelijk met elkaar verbonden. Hoe verder organisaties digitaliseren, hoe belangrijker het wordt om veiligheid vanaf het begin mee te nemen in nieuwe projecten en investeringen.

Voor de Nederlandse industrie ligt daar een belangrijke opgave. Niet alleen om te voldoen aan wet- en regelgeving, maar vooral om innovatie, continuïteit en concurrentiekracht veilig te stellen.

"Ik hoop dat in 2030 geen enkel bedrijf meer denkt dat cyberveiligheid voor hen niet relevant is. Het moet een vanzelfsprekend onderdeel van de bedrijfsvoering worden."