IT voor Productiebedrijven: OT, IT en Cybersecurity voor de Maakindustrie

In een MKB-productiebedrijf lopen twee werelden door elkaar heen die elkaar vroeger nauwelijks spraken. Op kantoor staan laptops, Microsoft 365 en een ERP; op de werkvloer draaien PLC's, SCADA, CNC-machines en robots. Zodra je ze aan elkaar koppelt (en dat gebeurt in elke moderne fabriek) ontstaat één aanvalsoppervlak, één compliance-vraag en één keten waarin één zwak element de hele productie kan platleggen. Deze gids laat zien hoe je als MKB-maakbedrijf je IT en OT in 2026 praktisch inricht, wat de Cyberbeveiligingswet van je vraagt en welke stappen echt het verschil maken.

Waarom IT voor de maakindustrie om twee werelden gaat

In de maakindustrie heet alles wat je kantoor laat werken "IT" en alles wat je productie laat werken "OT" (operational technology). OT bestaat uit de PLC's die een lopende band aansturen, de SCADA-systemen die daar bovenop zitten, de robots, de energie- en koelsystemen, de camera's op de productievloer. Historisch stond OT op een geisoleerd netwerk, draaide op specifieke besturingssystemen en kreeg zelden een update. Vandaag is OT verbonden met je MES, je ERP, een cloud-dashboard en soms zelfs rechtstreeks met je leverancier via remote access.

Die convergentie heeft voordelen: realtime data, voorspeld onderhoud, snellere kwaliteitsregie. Maar ze heeft ook een prijs. Een phishing-mail op kantoor kan via een foute netwerksegmentatie een gestolen inlogcode opleveren die vervolgens tot in de PLC-laag reikt. En anders dan bij een kantoorincident mag je in productie geen "even opnieuw opstarten" doen. Een stilstand kost per dag al snel een omzetweek.

De Cyberbeveiligingswet en jouw maakbedrijf

De Nederlandse Cyberbeveiligingswet, de nationale implementatie van NIS2, is medio 2026 in werking getreden (Staatsblad 2026, 187). Meer dan 8.000 Nederlandse organisaties vallen eronder. De maakindustrie staat in bijlage II (andere kritieke sectoren).

Voor een MKB-maakbedrijf is de vuistregel: valt de sector onder NIS2 en heb je 50 of meer medewerkers of meer dan 10 miljoen euro omzet of balanstotaal? Dan ben je een "belangrijke entiteit". Dat betekent onder andere: aantoonbaar beveiligingsbeleid, risicoanalyse, meldplicht van incidenten binnen 24 uur (early warning) en een vollediger beeld binnen 72 uur, en bestuurlijke aansprakelijkheid. Boetes voor belangrijke entiteiten kunnen oplopen tot 7 miljoen euro of 1,4 procent van je wereldwijde jaaromzet.

Verder dan "wij hebben antivirus" moet je dus kunnen gaan. Onze complete gids over NIS2 voor het MKB legt de zorgplicht in detail uit; de rest van dit artikel focust specifiek op de maakindustrie.

Hoe het dreigingsbeeld voor de industrie eruitziet

Internationaal staat de industrie al maandenlang bovenaan de ransomware-lijstjes. NCC Group registreerde in de twaalf maanden vanaf maart 2025 2.073 ransomware-aanvallen op industriele organisaties en de sector was in elke individuele maand van die periode de meest geraakte. In Nederland bevestigen branchestemmen hetzelfde beeld: het aanvalsoppervlak door koppeling van OT aan corporate IT groeit snel, en het is zelden "misschien" geworden.

De aanvallen vallen in drie patronen uiteen: ransomware met dubbele afpersing (eerst versleutelen, dan dreigen met lek), supply chain-aanvallen via leveranciers die remote inloggen op jouw installatie, en gerichte spionage op bedrijfsgeheimen (recepturen, tekeningen, machine-instellingen). Elk van die drie heeft andere mitigaties, maar één gemene deler: de aanval begint zelden op OT. Hij begint op kantoor en wandelt daarna de productievloer op.

Het Purdue-model en IEC 62443, in gewone taal

Al dertig jaar is het Purdue-model het referentiekader voor OT-segmentatie. Het verdeelt je omgeving in vijf lagen plus een industriele DMZ:

• Level 0: fysieke proces (sensoren, actuatoren).
• Level 1: control (PLC's, DCS).
• Level 2: supervisory (SCADA, HMI).
• Level 3: operations (historian, MES, lokale servers op de fabriek).
• Level 3.5: industriele DMZ, de grens tussen OT en IT.
• Levels 4 en 5: enterprise IT (ERP, kantoor, cloud).

De sleutel is dat verkeer tussen die lagen door een firewall gaat en dat je lagere OT-lagen (0, 1, 2) nooit direct met het internet of met kantoor spreken. Dat is het "zone-and-conduit" idee uit IEC 62443, de internationale standaard voor industriele cybersecurity.

IEC 62443 kent vier security levels (SL1 tot SL4). Voor de meeste MKB-fabrieken is SL2 een haalbaar en realistisch doel: bescherming tegen gerichte aanvallen met beperkte middelen. SL3 is voor kritieke componenten binnen je proces, SL4 is nationale infrastructuur. Het Purdue-model wordt bekritiseerd als te plat voor cloud en Industrial IoT, maar het blijft de bruikbare basis zolang je de DMZ-grenzen handhaaft.

De zeven aandachtsgebieden voor een MKB-maakbedrijf

1. Asset-inventaris, inclusief OT

Je kunt niet beschermen wat je niet kent. Veel maakbedrijven hebben wel een kantoor-inventaris maar geen OT-overzicht: welke PLC, welke firmware, welke engineering-workstation, welke serial-aansluitingen. Begin hier. Een combinatie van passieve netwerk-discovery (tools die luisteren zonder te storen) en handmatige inventaris werkt voor MKB-schaal.

2. Netwerksegmentatie

Scheid OT en IT met een firewall, en segmenteer binnen OT op celniveau. Elke productielijn, elke machinegroep in zijn eigen zone. Geen "flat network" meer. Investeer bij voorkeur in industriele firewalls die ook OT-protocollen (Modbus, OPC UA, Profinet) kunnen inspecteren.

3. Veilige remote access voor onderhoud

Leveranciers willen remote inloggen op "hun" machines. Dat moet, maar niet via een altijd-open VPN of met gedeelde wachtwoorden. Zet een jump host of een managed remote-accesstool in de DMZ, met MFA, sessielogging en just-in-time toegang. Dit is in de praktijk het meest misbruikte kanaal.

4. Patching en legacy

Niet elke PLC is up-to-date te houden; sommige machines zijn gecertificeerd op een specifieke firmwareversie. Compenseer: isoleer, monitor, en zet application whitelisting op engineering-workstations. Voor kantoor-IT geldt gewoon patchmanagement; onze uitleg over patchmanagement laat de basis zien.

5. Endpoint-bescherming op elke engineering-workstation

Engineering-pc's die PLC's programmeren zijn een groot risico. Ze draaien soms nog Windows 7 of 10 zonder support en worden gebruikt voor zowel e-mail als productie. Scheid rollen (werk-pc versus engineering-pc), zet een moderne EDR op elke machine die het kan dragen en gebruik USB-controles.

6. Back-up en recovery, inclusief configuraties

Back-up is in productie meer dan je kantoor-data. PLC-configuraties, SCADA-projectbestanden, batchrecipes, HMI-schermen, machinemetingen: zonder herstelde configuraties duurt een incident dagen in plaats van uren. Back-up offsite en test minimaal twee keer per jaar een volledig herstel.

7. Monitoring, logging en incidentproces

NIS2 vraagt een werkend incidentproces met vastgelegde meldtermijnen. Centralise logs (ook SCADA-events waar mogelijk), definieer wat een incident is en wie wat doet. Voor MKB-schaal is uitbesteden aan een managed detection and response-partner vaak logischer dan zelf 24/7 bemannen. Onze vergelijking MSSP, MSP en managed detection and response helpt bij die keuze.

Welke IT-stack bij een MKB-productiebedrijf past

Buiten de OT-laag heeft een modern maakbedrijf in de regel een kantoor-stack met Microsoft 365 of Google Workspace, een ERP (vaak SAP Business One, Microsoft Dynamics 365 Business Central, AFAS of Exact), een MES als brug tussen ERP en productie, een PLM voor product- en tekeningbeheer, en een onderhoudsapplicatie (CMMS). De integratie tussen die lagen bepaalt hoe efficient je draait, en hoe weerbaar je bent.

De fout die we vaak zien: het ERP wordt wel in de cloud gezet, maar de MES staat nog op een losse server naast de productievloer, zonder back-up en zonder monitoring. Behandel die MES-server als een kritiek bedrijfssysteem, niet als "iets wat draait omdat de werf er is". Onze stappenplangids voor IT-infrastructuur moderniseren helpt zo'n achterstand gefaseerd weg te werken.

Veelgemaakte fouten in productie-IT

• Een platte netwerkstructuur zonder scheiding tussen OT en IT. De grootste bron van ransomware-escalatie in de maakindustrie.
• Leverancier-VPN zonder MFA. Elke externe partij heeft een eigen VPN, elk met een eigen wachtwoord. Centraliseer dit in een managed remote-access oplossing.
• Geen asset-inventaris van OT. Als je niet weet welke PLC's je hebt, kun je ze niet beschermen.
• Een "oude pc" voor machinebediening die ook e-mail en internet doet.
• Geen back-up van PLC- en SCADA-configuraties. Alleen data back-uppen betekent dat herstel na een incident dagen duurt.
• Compliance als jaarproject. NIS2 is geen eenmalige audit, maar een continu proces.

Hoe je begint: een praktisch 90-dagenplan

1. Week 1 tot 3: nulmeting. OT-asset-inventaris, netwerkdiagram, risicoanalyse op de drie belangrijkste productielijnen.
2. Week 4 tot 6: segmentatie. Firewall tussen OT en IT, DMZ opzet, basisregels. Begin breed, verfijn later.
3. Week 7 tot 9: toegang en back-up. Managed remote access voor leveranciers, back-up van PLC- en SCADA-configuraties.
4. Week 10 tot 12: monitoring en documentatie. Logging centraliseren, incidentproces vastleggen, aantoonbare risicoanalyse en zorgplicht onder de Cyberbeveiligingswet.

Dit is geen complete reis, maar wel een gezonde basis die het grootste deel van de MKB-risico's afdekt en je in lijn brengt met NIS2.

Veelgestelde vragen over IT voor productiebedrijven

Wat is het verschil tussen IT en OT precies? IT (information technology) is de wereld van je kantoor: laptops, servers, e-mail, ERP, cloud. OT (operational technology) is de wereld van je productievloer: PLC's, SCADA, robots, meetapparatuur, HMI's. OT heeft harde beschikbaarheids- en veiligheidseisen die IT niet kent, en gebruikt protocollen (Modbus, OPC UA, Profinet) die een gewone IT-firewall niet goed inspecteert.

Val ik als klein maakbedrijf onder de Cyberbeveiligingswet? Als je in de maakindustrie zit en meer dan 50 medewerkers hebt of meer dan 10 miljoen euro omzet of balanstotaal, dan val je als "belangrijke entiteit" onder de wet. Daaronder val je in principe niet, al kunnen klanten (zeker in ketens met een OEM boven je) alsnog NIS2-achtige eisen stellen omdat zij wel moeten voldoen. Check de officiele registratieflow van het NCSC bij twijfel.

Moet ik een eigen SOC opzetten voor OT-monitoring? Zelden rendabel voor het MKB. De bezetting voor 24/7 is doorgaans te duur voor een enkele fabriek. Een managed detection and response-partner met OT-expertise is in de meeste gevallen de pragmatischere route. Belangrijk is wel dat de partner zowel IT als OT begrijpt; losse SOC's die alleen kantoor-IT kunnen monitoren, missen de helft.

Hoe snel moet een incident gemeld worden? Onder NIS2 geldt een "early warning"-termijn van 24 uur, een vollere incidentmelding binnen 72 uur en een eindrapportage binnen een maand. Zet dit vooraf vast in je incidentprocedure, zodat je niet in paniek de telefoon pakt tijdens de aanval zelf.

Kan ik oude PLC's veilig houden zonder ze te vervangen? Vaak wel, als vervanging geen optie is. Zet ze in een eigen netwerksegment achter een industriele firewall, log al het verkeer, pas application whitelisting toe op de engineering-workstations die ermee praten, en zorg voor een offline back-up van hun configuraties. Dat vangt de meeste risico's op zonder dat je kostbare machines moet vervangen.

Wat kost dit grofweg? Afhankelijk van omvang. Een basisprogramma voor een MKB-fabriek van ongeveer 50 medewerkers (segmentatie, managed remote access, EDR, back-up, monitoring) start al snel bij enkele duizenden euro's per maand bij een managed partner, met projectkosten voor de initiele inrichting. Zelf doen vraagt specialistische kennis die je zelden in huis haalt voor minder.

Conclusie

In de maakindustrie werkt IT nooit meer alleen op kantoor. Zodra je OT en IT koppelt, krijg je er een breder aanvalsoppervlak, een strakkere compliance-vraag en een hogere afhankelijkheid bij. De basis is bekend en haalbaar: segmenteer OT van IT, zet een industriele DMZ, regel remote access centraal met MFA en logging, back-up ook je configuraties, en zet een incidentproces op dat NIS2-conform is. Doe je dit stapsgewijs, dan is 90 dagen genoeg om de belangrijkste risico's substantieel te verlagen.

Loop je vast op de combinatie van productie-realiteit en NIS2, of zoek je een partner die zowel IT als OT begrijpt? TRON Group begeleidt MKB-maakbedrijven van asset-inventaris tot gefaseerde segmentatie en managed monitoring. Bel vrijblijvend op 085-3035869 of bekijk onze cybersecurity-praktijk voor MKB-bedrijven voor een eerste gesprek.