Werk je bij een waterschap of drinkwaterbedrijf en mag je één securityrol invullen? Kies dan iemand die de procesautomatisering kent. Het beleid komt daarna.
Dat is mijn advies voor cybersecurity in de watersector. Sinds deze zomer weegt het zwaarder, want de regels zijn veranderd.
Welke regels gelden er voor cybersecurity in de watersector?
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Valt je organisatie eronder, dan registreer je je bij het NCSC, maak je een risicoanalyse, neem je passende maatregelen en meld je een incident binnen 24 uur bij het CSIRT en de toezichthouder. Het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering.
Voor drinkwater en afvalwater is de verdeling helder. Het NCSC is het CSIRT en de Inspectie Leefomgeving en Transport (ILT) is de toezichthouder, onder het ministerie van IenW. In de doorverwijsboom van het NCSC staan de 21 waterschappen apart, onder keren en beheren, met CERT-WM als CSIRT.
Een waterschap is daarnaast gewoon overheid. De BIO2, op 2 maart 2026 gepubliceerd in de Staatscourant, geldt voor alle overheidsentiteiten. Valt een overheidsorganisatie onder de Cyberbeveiligingswet, dan is de BIO via die wet verplicht. Valt ze er niet onder, dan geldt de BIO via verplichtende zelfregulering.
Dat één organisatie met meerdere regimes te maken heeft, is niet nieuw. In een Kamerbrief over Waternet uit 2020 schreef de minister van IenW dat de ILT daar alleen toezichthouder was voor het deel dat over de levering van drinkwater gaat. Decentrale overheden regelden hun cybersecurity toen zelf.
Reken er dus op dat je in de watersector met een wet én een baseline werkt, vaak onder twee toezichtlijnen. Daar horen mensen bij die beide kanten snappen.
Waarom OT-kennis eerst komt
Een zuivering of een gemaal draait op procesautomatisering: PLC's en SCADA, met telemetrie naar een centrale post. Die installaties staan er jaren, soms decennia. Je herstart ze niet even voor een patch.
Een informatiebeveiligingsadviseur uit de kantoor-IT schrijft prima beleid. Weet hij niet hoe een procesnetwerk werkt, of waarom je daar niet zomaar een scanner op loslaat, dan blijft dat beleid op papier staan. De technische dienst legt het dan terecht naast zich neer.
Iemand met OT-ervaring brengt eerst in kaart wat er staat, welke verbindingen naar buiten lopen en wie er op afstand bij kan. Daar begint de risicoanalyse die de wet vraagt. Het beleid sluit daarna aan op de praktijk.
Draai je die volgorde om, dan ben je maanden bezig met een document dat niemand op de werkvloer herkent.
OT-securityspecialist of informatiebeveiligingsadviseur?
Uiteindelijk heb je ze allebei nodig. Het verschil zit in wat ze de eerste maanden opleveren.
Een OT-securityspecialist werkt naast de procesautomatiseerders en de technische dienst. Hij maakt een overzicht van installaties en netwerksegmenten, kijkt naar toegang op afstand en verbindingen van leveranciers, en zet de eerste maatregelen neer zonder dat de zuivering stilvalt. Vraag in het gesprek naar een omgeving waar hij eerder werkte die op de jouwe lijkt, en wat hij daar in de eerste maand deed.
Een informatiebeveiligingsadviseur of GRC-specialist zorgt dat je kunt aantonen wat je doet. Hij koppelt de maatregelen aan de BIO2 en de zorgplicht uit de Cyberbeveiligingswet, richt de meldprocedure in en zorgt dat het bestuur weet waar het voor tekent. Dat werk moet gebeuren, zeker nu de ILT kan komen kijken. Het gaat alleen een stuk beter als het OT-overzicht er al ligt.
Heb je budget voor één rol, begin dan met OT. Zit er al een sterke informatiebeveiliger in huis, dan is een OT-specialist de logische aanvulling. Wat beide profielen kunnen, lees je op onze pagina's over OT- en ICS-security en GRC en compliance.
Vraag niet van één persoon dat hij de installaties inventariseert, het beleid schrijft én de meldprocedure inricht. Dat zijn twee profielen.
Waar de inhuur bij een waterschap vastloopt
Mensen die OT én security beheersen, zijn dun gezaaid. Energiebedrijven, netbeheerders en de industrie zoeken hetzelfde profiel. Wat ik schreef over OT-security in de energiesector, geldt voor water net zo goed.
Bij een waterschap komt daar de aanbesteding bij. Waterschappen kopen in volgens de Aanbestedingswet 2012; het inkoopbeleid van Waterschap Drents Overijsselse Delta noemt die wet bijvoorbeeld als kader. In een aanbesteding ligt het maximale uurtarief vast. Wil een kandidaat net iets meer, dan is er bijna geen ruimte.
Ik zeg dat daarom in het eerste gesprek al eerlijk tegen de kandidaat. Doe je dat niet, dan verlies je hem na de intake en ben je dagen kwijt.
Mijn advies aan inkopers: kijk voordat de uitvraag online gaat of het plafond past bij een OT-profiel. Is het afgestemd op een algemene IT-adviseur, dan haken de OT-specialisten af voordat je ze gesproken hebt. Hoe een overheidsaanvraag verder in elkaar zit, lees je in security inhuren bij de overheid.
Wat moet je nu doen?
- Controleer of je organisatie in het entiteitenregister van het NCSC staat en wie binnen 24 uur een incident meldt.
- Vraag de technische dienst om een actueel overzicht van installaties, netwerken en verbindingen op afstand. Bestaat dat niet, dan weet je welke rol je eerst nodig hebt.
- Leg vast welk deel van je organisatie onder welk toezicht valt, en waar de BIO2 geldt.
- Toets het maximumtarief in je uitvraag aan wat OT-securityspecialisten vragen, voordat je publiceert.
Zoek je een OT-securityspecialist of informatiebeveiliger voor een waterschap of drinkwaterbedrijf? Op onze pagina over water en afvalwater lees je meer over security in die sector. Liever eerst sparren over welke rol je nodig hebt? Bel of mail me.
