IT adviseert de fabriek te isoleren. Weet het bestuur wat er dan uitvalt?

Het securityteam adviseert de fabriek los te koppelen van kantoor-IT. Het bestuur wil weten of de productie dan kan doorgaan. De ene manager zegt dat de PLC’s lokaal draaien. Een ander wijst op een centraal gehost systeem dat operators nodig hebben voor overzicht. Er moet snel een besluit komen, maar “de fabriek isoleren” is nog geen voldoende omschreven maatregel.

Een bestuurderstraining moet helpen om óók de gevolgen van een beveiligingsmaatregel te beoordelen. Niet alleen de dreiging herkennen. Een concrete isolatiebeslissing is een bruikbare oefening: welke informatie ontbreekt, wie kan die beoordelen en wie mag handelen? Het doel is een beter onderbouwd besluit, niet een bestuurder die zelf firewallregels kiest.

De verplichting: risico én maatregel kunnen beoordelen

NIS2 artikel 20, lid 2 verplicht lidstaten training te regelen voor leden van het bestuur van essentiële en belangrijke entiteiten. Het gaat om kennis en vaardigheden om risico’s, beheersmaatregelen en de gevolgen voor de dienstverlening te beoordelen. De nationale uitwerking bepaalt de concrete verplichtingen. Alleen het bezit van PLC’s maakt een organisatie nog geen entiteit binnen de reikwijdte.

In Nederland benoemt artikel 20 van het Cyberbeveiligingsbesluit expliciet de gevolgen van zowel risico’s als maatregelen. Dit werkt de training uit artikel 24 Cyberbeveiligingswet uit; artikelen 21–22 regelen inhoud en certificaat. Volgens het NCSC geldt de Cyberbeveiligingswet sinds 15 augustus 2026. Controleer afzonderlijk de reikwijdte en de persoonlijke termijn voor het volgen van training.

De oefening hieronder is een professionele aanbeveling voor één leerdoel. Het is geen volledige wettelijke opleiding, bewijs van naleving of vervanging van juridisch advies. De verplichting betreft het bestuur van de entiteit, geen producteis die naar de machinefabrikant kan worden doorgeschoven.

Fictief voorbeeld: lokale besturing, gedeeld overzicht

Neem een productiebedrijf met lokale PLC-besturing en lokale veiligheidsfuncties. Een deel van de operatorvisualisatie draait op gedeelde infrastructuur. Na vermoedelijke compromittering van kantoor-IT ontstaat het voorstel alle verbindingen tussen IT en OT te verbreken. De afhankelijkhedenkaart is niet tegen de actuele installatie gecontroleerd.

Dit voorbeeld is verzonnen. Het bewijst niet dat de veiligheidsfuncties onafhankelijk zijn, of dat doorwerken zonder centraal scherm is toegestaan. Dat moeten bevoegde medewerkers uit engineering en operations beoordelen. Doorwerken kan noodzakelijke informatie aan operators ontnemen; breed isoleren kan juist die informatievoorziening uitschakelen. Niets doen kan verdere verspreiding mogelijk maken.

Het bestuur heeft daarom een voorstel nodig waarin de netwerkgrens, mogelijke uitval, toegestane bedrijfscondities en handelingsbevoegdheid zijn benoemd. De vraag “kan de productie doorgaan?” verbergt die vier onderdelen wanneer niemand ze afzonderlijk toelicht.

1. Bereid één besluit voor, geen overzicht van alle dreigingen

Laat de CISO en plantmanager samen met een besturingsengineer en de verantwoordelijke voor veiligheid een korte casus voorbereiden. Benoem de voorgestelde isolatiegrens, de betrokken productiedienst, bevestigde afhankelijkheden en open aannames. Gebruik een goedgekeurde netwerkschets zonder gevoelige toegangsdetails. Wachtwoorden en uitgewerkte verbindingsinstructies horen niet in het bestuurspakket.

Geef deelnemers de informatie die op dat moment beschikbaar zou zijn, inclusief onzekerheid. Maak geen raadsel waarvan het juiste antwoord afhangt van een verborgen technisch feit. Het leerdoel is herkennen of een uitspraak onderbouwd is en gericht de informatie opvragen die voor een verantwoord besluit ontbreekt.

De bestaande noodprocedures, gedelegeerde incidentbevoegdheden en actuele bedrijfsinstructies moeten vooraf bekend zijn. De oefening mag geen extra goedkeuringsstap introduceren die medewerkers belemmert om al toegestane beschermende handelingen uit te voeren.

2. Vraag wat de maatregel daadwerkelijk verandert

Vraag niet alleen of isolatie veilig is. Vraag welke verbindingen worden verbroken en welke operationele functies ervan afhankelijk zijn. Gaat het alleen om leverancierstoegang, of ook om bedienschermen, identiteitsdiensten en ondersteuning voor engineering? Wie heeft dat gecontroleerd, en voor welke configuratie?

Houd beveiligingsdoel en bedrijfsgevolg uit elkaar. Het blokkeren van een vermoedelijke aanvalroute is het doel. Verlies van een gedeelde visualisatiedienst kan een gevolg zijn. Beide verdwijnen te gemakkelijk achter een geruststellende term als “netwerkisolatie”. Een bestuurder hoeft geen pakketten te analyseren, maar moet wel kunnen doorvragen als een toelichting maar één kant laat zien.

De NCSC-vragen voor het gesprek tussen bestuurder en CISO ondersteunen sturing op risico’s, keuzes en middelen. De isolatievragen hier passen dat uitgangspunt toe op een OT-afhankelijkheid; het zijn geen letterlijk voorgeschreven wettelijke vragen.

3. Vergelijk afgebakende opties en bevoegdheden

Vergelijk in de oefening bijvoorbeeld gerichte isolatie, voortzetting binnen een aantoonbaar toegestane beperkte bedrijfsmodus of gecontroleerd stilzetten vóór bredere isolatie. Dit zijn te beoordelen mogelijkheden, geen opties die overal beschikbaar zijn. Engineering en veiligheidsdeskundigen bepalen of de veronderstelde bedrijfsmodus bestaat en verantwoord is.

Leg per uitvoerbare optie vast welke dreiging wordt aangepakt, wat resteert, wat de bedrijfsgevolgen zijn, wie mag uitvoeren en wanneer herbeoordeling nodig is. Vermijd een exacte stilstandsduur als herstelgegevens ontbreken. Een onderbouwde bandbreedte of expliciete onbekende afhankelijkheid is nuttiger dan een geruststellend getal zonder bewijs.

Verdeel de rollen duidelijk. Het bestuur beslist over middelen en besliskaders. De incidentleiding coördineert. Operations behoudt de toegewezen operationele bevoegdheden. Integrator en productontwikkelaar leveren informatie over de werkelijke configuratie en afhankelijkheden; de fabrikant kan ondersteund gebruik verduidelijken. Leveranciersinformatie neemt de noodzaak voor de installatie-eigenaar om de gevolgen te begrijpen niet weg.

4. Toets het inzicht zonder de fabriek te wijzigen

Voer de oefening aan tafel uit, met een begeleider. Spreek expliciet af dat niemand live instellingen, verbindingen of bedrijfscondities verandert. Voeg één fictieve ontwikkeling toe, bijvoorbeeld bevestiging dat het centrale bedienscherm inderdaad afhankelijk is van de te verbreken route. Laat deelnemers uitleggen of hun eerdere keuze daardoor verandert.

Beoordeel de redenering, niet wie het snelst antwoordt. Herkennen deelnemers ontbrekend bewijs? Kunnen zij een cyberrisico onderscheiden van een aanname over veiligheid? Weten zij wie operationeel bevoegd is en onder welke omstandigheden hun gekozen optie niet meer verantwoord zou zijn? Noteer onbeantwoorde vragen als bevinding, niet als persoonlijk falen.

Een tafeloefening bewijst geen technische werking. Een eventuele functionele test daarna vereist een apart engineeringplan, representatieve omstandigheden, goedkeuring en veilige terugval. Maak van een bestuurlijke oefening geen onaangekondigde proef met netwerkonderbrekingen.

5. Geef het kennistekort een eigenaar en een vervolg

Stel dat niemand kan bevestigen waarvan het centrale scherm afhankelijk is. “Meer bewustwording” is dan geen voldoende verbeteractie. Engineering verifieert de afhankelijkheid, operations beoordeelt de daaruit volgende bedrijfsbeperking en het bestuur beslist over noodzakelijke investeringen. Spreek een terugkommoment af en bepaal welk bewijs nodig is om de bevinding af te sluiten.

Bij oudere installaties bestaat mogelijk geen zelfstandig lokaal overzicht. Een ondersteund lokaal scherm, een smallere isolatiegrens of vervanging kan helpen, maar iedere optie vraagt onderzoek. Leg tot die tijd de beperking en afgesproken reactie vast. Een mondelinge verzekering dat operators handmatig verder kunnen, is geen aangetoonde terugvalvoorziening.

Herhaal de besluitvormingsoefening na wezenlijke wijzigingen of nieuwe afhankelijkheden die de keuzemogelijkheden veranderen. Kennis draagt pas bij aan weerbaarheid als de organisatie er aannames mee corrigeert, middelen vrijmaakt en werkbare incidentafspraken onderhoudt.

Wat bewaart u als bewijs?

Bewaar leerdoel, deelnemers, scenarioaannames, besluiten met argumenten, open vragen, actiehouders en vervolgresultaten. Houd formele opleidingsbewijzen apart van de oefennotities. Deelname aan deze sessie toont niet automatisch aan dat alle verplichte onderwerpen zijn behandeld.

• Reikwijdte en toepasselijke trainingsverplichtingen zijn gecontroleerd.
• De voorgestelde isolatiegrens is concreet.
• Operationele en veiligheidsaannames hebben een beoordelaar.
• Gedelegeerde noodbevoegdheden blijven bruikbaar.
• Deelnemers kunnen gevolgen en onzekerheid uitleggen.
• Bevindingen leiden tot aantoonbare verbeteringen, niet alleen een presentielijst.

Voor de bredere rolverdeling: lees het artikel over eigenaarschap van OT-cyberrisico. Met OT-securityconsultancy kan een onduidelijke afhankelijkheid worden uitgewerkt tot een gerichte oefening. Bespreek één onopgeloste isolatiebeslissing met OT-Guard.

Inhoud gecontroleerd op 11 oktober 2026. Informatieve guidance, geen juridisch advies of volledig trainingsprogramma. De casus is fictief; operationele besluiten vragen locatiespecifieke deskundigheid.