De vijf stappen staan op papier. De technologie is gekozen. De eerste maatregelen zijn getroffen. En dan? Voor veel organisaties is OT-security een project dat op een gegeven moment “klaar” is. Tot het volgende incident, de volgende audit of de volgende reorganisatie. Een programma dat echt standhoudt, werkt anders.

OT-security is nooit klaar

Een project heeft een begin, een einde en een oplevering. Een security-programma niet. De dreigingen veranderen. De omgeving verandert. Systemen worden vervangen, leveranciers wisselen, regelgeving scherpt aan. Wat vandaag goed genoeg is, is over twee jaar misschien niet meer toereikend.

Toch behandelen veel organisaties OT-security als een project. Ze investeren in een eerste beoordeling van de situatie, implementeren een reeks maatregelen, rapporteren de oplevering aan het bestuur en gaan daarna over tot de orde van de dag. Tot iets hen dwingt opnieuw te kijken: een incident, een NIS2-audit of een nieuwe leverancier die toegang vraagt tot systemen die nooit bedoeld waren om bereikbaar te zijn.

Het verschil tussen een project en een programma zit niet in de omvang van de investering, maar in de vraag of beveiliging een toestand is of een proces. Een toestand kun je bereiken. Een proces moet je onderhouden.

Het fundament: wat er echt moet staan voordat je verder kunt bouwen

Een OT-security-programma bouwen op een wankele basis werkt niet. Voordat je nadenkt over volwassenheidsniveaus en meerjarenplannen, moeten drie dingen op orde zijn:

Zichtbaarheid is niet onderhandelbaar. Zonder een actuele en volledige inventarisatie van alle systemen in je OT-omgeving is elke vervolgstap gebouwd op aannames. Weet wat er draait, hoe het verbonden is en hoe kritiek elk systeem is. Dit is geen eenmalige klus: systemen veranderen, worden toegevoegd en vervangen. De inventarisatie moet leven.
Eigenaarschap moet belegd zijn. OT-security valt traditioneel tussen wal en schip: IT voelt zich niet verantwoordelijk voor de productievloer, operations wil geen beveiliging die de continuïteit verstoort. Zolang niemand eindverantwoordelijk is, gebeurt er weinig. Een programma dat standhoudt, heeft een eigenaar, bij voorkeur iemand die zowel de operationele als de beveiligingskant begrijpt.
Risico’s moeten geprioriteerd zijn. Niet alles kan tegelijk worden aangepakt en dat hoeft ook niet. Wat wel moet: een heldere afweging van welke systemen, processen en risico’s als eerste aandacht krijgen. Gebaseerd op impact bij uitval, kans op een incident en de huidige staat van de beveiliging.

Prioriteiten stellen als niet alles tegelijk kan

Stap 4 uit de roadmap van blog 1, prioriteiten stellen, klinkt vanzelfsprekend, maar is in de praktijk het lastigste onderdeel. Elke afdeling heeft zijn eigen urgentie. Budgetten zijn beperkt. En risico’s zijn moeilijk te kwantificeren in een omgeving die je misschien nog niet volledig in kaart hebt.

Een werkbare aanpak is het koppelen van drie vragen: wat is de impact, hoe groot is de kans en hoe beheersbaar is het risico?

Impact vraagt: wat zijn de gevolgen als dit systeem uitvalt of wordt aangevallen? Denk aan productieverlies, veiligheidsrisico’s voor mensen, reputatieschade en boetes onder NIS2.
Kans vraagt: hoe waarschijnlijk is het dat dit systeem doelwit wordt of kwetsbaar is? Systemen met externe toegang, bekende kwetsbaarheden of verouderde software scoren hier hoger.
Beheersbaarheid vraagt: wat kost het om dit risico te verkleinen en hoe snel kan dat? Een maatregel die weinig kost en snel door te voeren is, verdient voorrang boven een complexe infrastructuurwijziging die een jaar voorbereiding vraagt, ook als de impact van die laatste groter is.

Combineer die drie en je krijgt een prioriteitenlijst die verdedigbaar is richting het bestuur, uitlegbaar aan operations en haalbaar voor het security-team.

Voortgang meten: wat laat je zien aan het bestuur?

Een veelgemaakte fout is voortgang rapporteren in technische termen: hoeveel systemen zijn gesegmenteerd, hoeveel meldingen zijn opgevolgd, hoeveel kwetsbaarheden zijn gedicht. Dat zijn nuttige getallen voor het security-team, maar ze zeggen een bestuurder weinig.

Wat een bestuurder wil weten is: zijn we beter beschermd dan vorig jaar? Voldoen we aan wat NIS2 van ons vraagt? En wat zijn de resterende risico’s waar we een bewuste keuze over moeten maken?

Volwassenheid. In hoeverre voldoet de organisatie aan een erkend kader zoals ISA/IEC 62443 of het NIST Cybersecurity Framework? Een volwassenheidsmodel geeft een gestructureerd beeld van waar je staat en wat de volgende stap is. Dat is begrijpelijker dan een lijst technische bevindingen.
Incidenten en bijna-incidenten. Niet als iets om je voor te schamen, maar als leerinstrument. Hoeveel afwijkingen zijn gedetecteerd? Hoeveel zijn opgevolgd? Hoe snel? Trends in die cijfers zeggen meer dan de absolute aantallen.
Bewust geaccepteerde risico’s. Welke risico’s zijn bewust laten staan, omdat de kosten van het aanpakken ervan niet opwegen tegen de kans of impact? Die keuzes horen expliciet op tafel te liggen bij het bestuur, niet verstopt in een technisch rapport.

Wat als operations dwarsligt?

Een OT-security-programma staat nooit op zichzelf. Operations heeft productiedoelen. Budgetten worden heroverwogen. En beveiligingsmaatregelen die de werkwijze van operators veranderen, stuiten op weerstand. Dat is normaal. En het is beheersbaar, mits je er niet omheen werkt maar mee.

De sleutel is vroeg betrekken. Niet operations informeren nadat de beveiligingsarchitectuur is ontworpen, maar operators en procesverantwoordelijken aan tafel hebben tijdens het ontwerp. Zij kennen de systemen het beste, weten welke verbindingen kritiek zijn en kunnen aangeven waar een maatregel de operatie raakt. Die kennis maakt de architectuur beter en de invoering soepeler.

Daarnaast helpt het om beveiliging neer te zetten als voorwaarde voor continuïteit in plaats van een beperking. Een operator die begrijpt dat segmentatie een aanval beperkt tot één zone en daarmee de kans op een totale productiestilstand verkleint, is eerder bereid mee te werken dan wanneer segmentatie wordt gepresenteerd als „IT-beleid dat we moeten naleven”.

Van eenmalig project naar doorlopend programma: de vier pijlers

Een OT-security-programma dat standhoudt, rust op vier pijlers die elk voortdurend aandacht vragen.

Meten en bijsturen. Stel vaste momenten in: kwartaalreviews van de risicolijst, jaarlijkse herhaling van de inventarisatie, periodieke penetratietests. Gebruik die momenten niet alleen om te rapporteren, maar ook om bij te sturen. Een programma dat alleen rapporteert wat er is gedaan, leert niet.
Mensen en bewustzijn. Technologie beschermt niet tegen een operator die een USB-stick inplugt of een phishing-mail opent. Training voor OT-personeel is geen eenmalige sessie, maar een terugkerend onderdeel van het programma. Afgestemd op de specifieke risico’s van de omgeving, niet een generieke IT-security-cursus.
Wat te doen als het misgaat. Een plan voor als er toch iets fout gaat bij OT wijkt af van een IT-plan: de prioriteit is niet het redden van data, maar het herstellen van veilige operatie. Oefen dat plan regelmatig, ook met de mensen die er in de praktijk mee moeten werken.
Leveranciers in de hand houden. Externe partijen met toegang tot OT-systemen zijn een blijvend aandachtspunt. Houd bij welke leveranciers toegang hebben, tot welke systemen en op welke basis. Evalueer die toegang regelmatig. En stel duidelijke beveiligingseisen aan leveranciers die onderdeel zijn van je OT-keten.

Hoe Nomios je programma helpt opbouwen en borgen

Een OT-security-programma opbouwen lukt met de juiste kennis en de juiste technologie. Maar het in stand houden, aanscherpen en rapporteerbaar maken is waar veel organisaties vastlopen.

Nomios werkt samen met organisaties in energie, transport, zorg en industrie aan precies dat vraagstuk. We beginnen altijd met inzicht: een grondige beoordeling van de huidige situatie, gebaseerd op ISA/IEC 62443, die niet alleen kwetsbaarheden blootlegt maar ook een heldere prioriteitenlijst oplevert. Daaruit volgt een aanpak die aansluit op de operationele realiteit: haalbaar, gefaseerd en verdedigbaar richting het bestuur.

Voor de technologische kant bouwen we op het Fortinet-portfolio: van FortiGate (Rugged) voor segmentatie tot FortiAnalyzer en FortiNDR voor doorlopende monitoring. Maar we begeleiden ook de organisatorische kant: eigenaarschap beleggen, rapportagestructuren inrichten en operations meekrijgen.

Wil je weten waar jouw organisatie staat en wat de volgende stap is? Neem contact op met Nomios. We plannen een gesprek in waarin we samen kijken naar de huidige situatie, de grootste risico’s en een aanpak die past bij jouw organisatie.

Een toekomstbestendig OT-securityprogramma

OT-security is geen project met een eindstreep. Het is een programma dat meebeweegt met een veranderende omgeving, toenemende dreigingen en aanscherpende regelgeving.

De organisaties die dat begrijpen, bouwen iets dat standhoudt. Ze meten, rapporteren, sturen bij en betrekken de mensen die het verschil maken: operators, procesverantwoordelijken en het bestuur. Ze behandelen beveiliging niet als een kostenpost die ze zo klein mogelijk houden, maar als een voorwaarde voor continuïteit.

Dat is de afsluiting van deze drieluik. Maar niet het einde van het gesprek. Want een programma dat standhoudt, vraagt om een partner die meekijkt, meeleert en meegroeit. Nomios is er klaar voor.

De voorgaande blogs in de serie:

Blog 1: OT-security in 2026: Van blinde vlek naar strategische prioriteit

Blog 2: Van air-gapped naar verbonden: hoe je grip houdt als isolatie geen optie meer is