OT-security energiesector: welke rollen heeft u nodig?

OT-security in de energiesector draait sinds 15 augustus 2026 om aantoonbaarheid. Vanaf die datum gelden de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Partijen in de elektriciteitsketen kunnen daarnaast onder de Europese netwerkcode voor cybersecurity vallen. Wie netten, centrales, opslag of warmte beheert, moet daarvoor vijf OT-taken beleggen: architectuur, technische uitvoering, detectie in het procesnetwerk, governance en compliance, en de coördinatie van het geheel.

Welke regels gelden er voor OT-security in de energiesector?

Drie kaders lopen door elkaar, en elk stelt andere vragen aan uw OT-team.

Cyberbeveiligingswet

De Cbw is de Nederlandse invulling van NIS2. Volgens de Rijksoverheid geldt de wet voor ruim 8.000 organisaties in 18 sectoren, waaronder energie. Organisaties moeten zich registreren in het entiteitenregister van het NCSC, maatregelen nemen om de risico's voor hun netwerk- en informatiesystemen te beheersen en significante incidenten melden aan hun CSIRT en de bevoegde autoriteit. Volgens RVO moet een eerste melding in de meeste gevallen binnen 24 uur worden gedaan. Het bestuur is eindverantwoordelijk en moet voldoende kennis hebben om risico's en maatregelen te beoordelen.

Lees "netwerk- en informatiesystemen" breed. In een energiebedrijf horen daar ook de SCADA-omgeving, de besturing van onderstations en de engineering-werkplekken bij. Een ISMS dat alleen de kantoor-IT afdekt, is dan niet compleet.

Wet weerbaarheid kritieke entiteiten

De Wwke richt zich op ongeveer 500 organisaties die het verantwoordelijke ministerie aanwijst als kritieke entiteit, onder meer in de energiesector. Na aanwijzing heeft een organisatie volgens de Rijksoverheid 9 maanden voor een risicobeoordeling en 10 maanden om passende technische, organisatorische en fysieke maatregelen te treffen. Incidenten met een aanzienlijke verstoring moeten binnen 24 uur gemeld worden. De Wwke gaat breder dan cyber: sabotage, terroristische misdrijven en extreem weer horen er ook bij. Daarom moet uw OT-security hier samenwerken met fysieke beveiliging en bedrijfscontinuïteit.

Netwerkcode cybersecurity voor elektriciteit

Voor de elektriciteitssector geldt daarnaast de Gedelegeerde Verordening (EU) 2024/1366 van 11 maart 2024, met sectorspecifieke regels voor de cybersecurity van grensoverschrijdende elektriciteitsstromen. De verordening is op 13 juni 2024 in werking getreden. Volgens ENTSO-E gaat de code over risicobeoordeling, basisbeveiligingseisen, certificering van producten en diensten, monitoring, incidentrapportage en crisisbeheersing, voor zogeheten high-impact en critical-impact entiteiten. Of uw organisatie daaronder valt, hangt af van de processen die u uitvoert.

Waarom OT-security een ander profiel vraagt dan IT-security

In OT staat beschikbaarheid voorop. Een scan die op kantoor onschuldig is, kan een oudere PLC laten vastlopen. Een patch vraagt om een onderhoudsvenster, afstemming met de leverancier en soms een hercertificering van de installatie. Systemen draaien vaak veel langer dan kantoor-IT, en de mensen die ze het best kennen zijn procesengineers, geen securityspecialisten.

De gangbare maatstaf is de ISA/IEC 62443-serie, een set cybersecuritystandaarden voor industriële automatiserings- en besturingssystemen (IACS). De IEC heeft de serie in 2021 erkend als horizontale standaard, toepasbaar in veel sectoren. 62443 verdeelt de verantwoordelijkheden over vier groepen: asset owners, leveranciers van automatiseringsproducten, integrators en serviceleveranciers. Voor een energiebedrijf als asset owner zijn vooral deel 2-1 (securityprogramma voor asset owners), 2-3 (patchmanagement in IACS-omgevingen), 3-2 (risicobeoordeling voor systeemontwerp) en 3-3 (systeemeisen en security levels) relevant. Deel 2-4 en 4-1 gebruikt u vooral bij inkoop: wat eist u van integrators en van productleveranciers?

Welke OT-securityprofielen heeft een energiebedrijf nodig?

Wij zien bij energiebedrijven steeds dezelfde vijf rollen terugkomen. Niet elke organisatie heeft ze alle vijf fulltime nodig, maar elk van deze taken moet ergens belegd zijn.

• OT-securityarchitect. Ontwerpt de segmentatie in zones en conduits, bepaalt per zone het gewenste security level en vertaalt 62443-3-2 en 3-3 naar een doelarchitectuur. Dit is het eerste profiel om te werven als er nog geen actuele risicobeoordeling van het procesdomein ligt.
• ICS/OT-securityengineer. Voert uit: firewalls tussen IT en OT, veilige remote access voor leveranciers, hardening van engineering-werkplekken en het patchproces volgens 62443-2-3. Zoek iemand die met procesengineers kan overleggen en weet wanneer iets niet aangeraakt moet worden.
• OT-detectie- en monitoringspecialist. Richt passieve netwerkmonitoring in, kent industriële protocollen en zorgt dat het SOC OT-alerts begrijpt. Zonder dit profiel kunt u de meldplicht onder Cbw en Wwke in het procesdomein lastig waarmaken, want u ziet een incident simpelweg niet.
• OT-GRC- en compliancespecialist. Brengt in kaart welke eisen uit Cbw, Wwke en de netwerkcode op welk systeem van toepassing zijn, bouwt het securityprogramma volgens 62443-2-1 en levert de onderbouwing die het bestuur nodig heeft. Een generalistische NIS2-consultant zonder OT-ervaring onderschat hier vaak de techniek.
• Interim OT-securitylead. Bij een aanwijzing onder de Wwke of een grote audit is iemand nodig die het geheel coördineert, met het bestuur praat en de lijn naar asset management en operations heeft.

Valkuilen bij het inhuren van OT-securitytalent

De grootste fout die wij zien is een IT-securityprofiel inzetten in een OT-omgeving en hopen dat het goed komt. Iemand die uitstekend is in cloud of kantoornetwerken, heeft geen gevoel voor wat een actieve scan doet met een RTU uit een ander decennium. Vraag in het gesprek dus concreet naar ervaring met procesomgevingen en naar een situatie waarin de kandidaat bewust níet ingreep.

Een tweede valkuil is dat de rollen worden samengevoegd tot één "OT-security officer" die alles moet doen. Architectuur, uitvoering en compliance vragen andere mensen. Combineer gerust twee rollen in één persoon bij een kleinere organisatie, maar wees eerlijk over wat dan blijft liggen.

Derde punt: leveranciers. Veel OT-omgevingen worden onderhouden door integrators en fabrikanten met remote access. Neem in het functieprofiel op dat de kandidaat leverancierseisen kan formuleren en toetsen, bijvoorbeeld op basis van 62443-2-4. Anders blijft de grootste toegangsdeur buiten beeld.

Tot slot timing. OT-specialisten met energie-ervaring zijn schaars en vaak lang vooruit ingepland. Wie wacht tot de Wwke-aanwijzing binnen is, heeft van de 9 maanden voor de risicobeoordeling al een flink deel verloren aan werving.

Wat moet u nu doen?

1. Controleer of uw organisatie geregistreerd staat in het entiteitenregister van het NCSC en of u als kritieke entiteit onder de Wwke bent of kunt worden aangewezen.
2. Laat vaststellen of u onder de netwerkcode cybersecurity valt als high-impact of critical-impact entiteit.
3. Maak een overzicht van uw OT-assets en van alle externe partijen met remote access tot het procesdomein.
4. Leg per rol uit het overzicht hierboven vast wie het nu doet, intern of extern, en waar het gat zit.
5. Bepaal of u de gaten met interim-capaciteit, detachering of vaste werving invult, en start de werving voor het profiel met de langste doorlooptijd eerst.
6. Zorg dat het bestuur de OT-risico's en de status van de maatregelen periodiek ziet, want het bestuur is onder de Cbw eindverantwoordelijk.

MVPeople Group levert freelance en interim OT/ICS-securityspecialisten vanuit een netwerk van 7.000+ vetted professionals, en presenteert de eerste kandidaat binnen 4 uur. Bekijk onze OT/ICS-security-expertise, lees wat er speelt in de energiesector of neem contact op om uw capaciteitsvraag door te nemen. Voor de bredere NIS2-aanpak verwijzen we naar ons artikel over NIS2-compliance aantonen en onze NIS2-pagina.

Veelgestelde vragen

Valt OT onder de zorgplicht van de Cyberbeveiligingswet?

De zorgplicht gaat over de risico's voor de beveiliging van netwerk- en informatiesystemen. In een energiebedrijf horen de systemen die het primaire proces besturen daar logischerwijs bij. Neem OT daarom op in uw Cbw-maatregelen.

Wat is het verschil tussen een OT-securityarchitect en een ICS-securityengineer?

De architect bepaalt het ontwerp: zones, conduits, security levels en de risicobeoordeling op basis van IEC 62443-3-2 en 3-3. De engineer bouwt en beheert de maatregelen, zoals firewalls, remote access en het patchproces.

Moet elk energiebedrijf aan de netwerkcode cybersecurity voldoen?

Nee. De netwerkcode (EU) 2024/1366 gaat over de cybersecurity van grensoverschrijdende elektriciteitsstromen en richt zich op entiteiten met een hoge of kritieke impact. Een gas- of warmtebedrijf valt er dus niet onder, en ook binnen de elektriciteitssector hangt het af van uw processen. De Cbw en, bij aanwijzing, de Wwke kunnen wel gelden.